Esta plataforma oferece mecanismos de organização e controle; não afirma certificação ou conformidade legal automática. Este texto descreve como a plataforma trata dados em nome da organização cliente e não substitui aconselhamento jurídico.

Acordo de Tratamento de Dados

Versão 2026-10-14 · vigente desde 14 de outubro de 2026

Este Acordo integra os Termos de Uso e regula o tratamento de dados pessoais que a Operadora da Central de Conformidade de Fornecedores realiza em nome da organização cliente, com base na Lei nº 13.709/2018 (LGPD). Ele passa a valer quando a organização cliente aceita os Termos ao criar seu espaço de trabalho.

1. Papéis

A organização cliente é a controladora dos dados do seu espaço de trabalho: ela decide quais dados cadastrar (por exemplo, contatos de clientes e fornecedores e os documentos que eles enviam) e para quê. A Operadora da plataforma é a operadora desses dados (art. 5º, VI e VII, da LGPD) e os trata somente para prestar o serviço. Para os dados de conta e de segurança da própria plataforma, a Operadora atua como controladora, nos termos da Política de Privacidade.

2. Dados e titulares

O tratamento abrange o conteúdo descrito na Política de Privacidade: contas dos membros, documentos e arquivos, clientes, fornecedores e seus contatos, requisitos, pacotes, tarefas, aprovações, notificações, Registro de Atividades e registros de acesso com endereço IP. Os titulares são os membros da organização cliente, os contatos de seus clientes e fornecedores e as pessoas cujos dados constem dos documentos enviados. O tratamento dura enquanto o espaço de trabalho existir.

3. Instruções

• A Operadora trata os dados apenas conforme as instruções documentadas da controladora: este Acordo, os Termos de Uso e as funcionalidades e configurações da plataforma usadas pela organização.
• Se entender que uma instrução viola a LGPD, a Operadora avisará a controladora.
• A controladora é responsável por ter base legal para os dados que cadastra, por informar os titulares e por atender aos direitos deles.
• As pessoas da Operadora autorizadas a tratar os dados estão sujeitas a dever de confidencialidade.

4. Medidas de segurança

• Arquivos e exportações cifrados em repouso (AES-256-GCM) e tráfego protegido por HTTPS.
• Senhas guardadas apenas como hash; links de compartilhamento, links de fornecedores e sessões guardados apenas como hash.
• Verificação em duas etapas opcional para todos os membros e para os administradores da plataforma; toda ação administrativa exige confirmação recente de credencial (senha ou código do autenticador).
• Organizações separadas pela aplicação e pela segurança por linha do banco de dados.
• Registro de Atividades que só recebe novas entradas, limites de tentativas de acesso, verificação de arquivos enviados e cópias de segurança diárias, mantidas por 14 dias.

5. Administradores da plataforma

Os administradores da plataforma gerenciam planos, assinaturas e a situação das organizações. Eles não veem o conteúdo, os nomes nem os arquivos dos documentos, e suas ações sobre a organização aparecem no Registro de Atividades dela.

6. Subprocessadores

• A controladora autoriza, de forma geral, a contratação de subprocessadores necessários à prestação do serviço: o provedor de hospedagem da infraestrutura (servidor, rede e proteção de tráfego) e, quando configurado pela Operadora, o provedor de envio de e-mails.
• A Operadora impõe a eles obrigações de proteção de dados equivalentes às deste Acordo e permanece responsável perante a controladora.
• Para receber a lista atualizada, escreva para [email protected]. Inclusões ou substituições relevantes serão avisadas com antecedência razoável, e a controladora pode se opor por motivo fundado.
• Se um subprocessador tratar dados fora do Brasil, a transferência internacional observará o art. 33 da LGPD.

7. Direitos dos titulares

A Operadora auxilia a controladora a responder aos titulares (art. 18 da LGPD), por meio das funcionalidades de exportação, correção e exclusão da plataforma e de apoio mediante solicitação. Pedidos que a Operadora receber diretamente sobre dados do espaço de trabalho serão encaminhados à controladora em prazo razoável.

8. Incidentes de segurança

• A Operadora comunica a controladora, sem demora injustificada e em até 72 horas após tomar ciência, qualquer incidente de segurança que afete dados do espaço de trabalho.
• A comunicação descreve, na medida do conhecido, a natureza do incidente, os dados e titulares afetados, as medidas adotadas e um contato para esclarecimentos.
• A Operadora colabora com a controladora para que ela cumpra o art. 48 da LGPD, que trata da comunicação à ANPD e aos titulares.

9. Auditoria

A Operadora fornece à controladora as informações necessárias para demonstrar o cumprimento deste Acordo. A controladora também pode auditar o cumprimento, mediante aviso prévio razoável, em horário comercial e sem comprometer a segurança, o sigilo ou os dados de outras organizações. O Registro de Atividades fica disponível à controladora o tempo todo.

10. Término: devolução e eliminação

A controladora pode exportar todos os dados a qualquer momento em Configurações → Dados e privacidade e pedir a exclusão do espaço de trabalho ali. Depois que um administrador da plataforma agenda a exclusão, o espaço de trabalho fica suspenso e, 30 dias depois, é excluído de forma definitiva, arquivos inclusive. Fica apenas o registro de que a exclusão ocorreu, sem o conteúdo da organização. Dados em cópias de segurança saem delas em até 14 dias, e a Operadora pode manter o que a lei exigir.

11. Contato

Dúvidas sobre este Acordo e pedidos relativos a dados pessoais devem ser enviados para [email protected].