Adendo de Tratamento de Dados Pessoais do Conota

DPA LGPD

Prestadora: Qualymax Software LTDA
Nome fantasia: Qualymax®
CNPJ: 58.014.476/0001-61
Endereço: Avenida Brigadeiro Faria Lima, 1811, Sala 1119, Jardim Paulistano, CEP 01452-001, São Paulo, SP
Produto: Conota

1. Finalidade

Este Adendo integra os Termos de Uso do Conota e estabelece condições aplicáveis ao tratamento de dados pessoais realizado pela Qualymax® em nome do Cliente.

2. Papéis

Para os dados pessoais inseridos pelo Cliente em operações fiscais e tratados pela Qualymax® segundo instruções do Cliente:

• o Cliente atuará, em regra, como Controlador;
• a Qualymax® atuará, em regra, como Operadora;
• fornecedores contratados pela Qualymax® para auxiliar a operação poderão atuar como Suboperadores.

Os papéis serão definidos pela realidade de cada tratamento, independentemente da nomenclatura contratual.

3. Instruções documentadas

O Cliente instrui a Qualymax® a tratar os dados na medida necessária para:

• executar chamadas de API;
• processar documentos fiscais;
• transmitir informações a autorizadores;
• consultar documentos;
• processar eventos;
• gerar arquivos auxiliares;
• armazenar dados contratados;
• executar webhooks;
• disponibilizar recursos por meio do Conota MCP;
• prestar suporte;
• proteger e operar a infraestrutura.

As requisições realizadas por credenciais válidas do Cliente constituem instruções documentadas para fins deste Adendo, sem prejuízo de instruções adicionais formalizadas entre as Partes.

4. Obrigações do Cliente

O Cliente deverá:

• garantir base legal para os tratamentos;
• fornecer avisos de privacidade quando exigidos;
• respeitar princípios de finalidade, adequação e necessidade;
• não enviar dados excessivos ou desnecessários;
• garantir a exatidão dos dados;
• atender direitos dos titulares;
• avaliar riscos de suas próprias operações;
• garantir segurança de seus sistemas;
• manter sigilo das credenciais;
• não instruir tratamento ilegal.

5. Obrigações da Qualymax®

A Qualymax® deverá:

• tratar os dados conforme instruções legítimas do Cliente;
• limitar o acesso a pessoas autorizadas;
• manter obrigações de confidencialidade;
• adotar medidas de segurança adequadas ao risco;
• auxiliar o Cliente, de forma razoável, no atendimento de obrigações da LGPD;
• comunicar incidentes relevantes conforme este Adendo;
• impor obrigações adequadas aos Suboperadores;
• excluir ou devolver dados conforme as condições contratuais, ressalvadas obrigações legais.

6. Natureza e finalidade do tratamento

6.1. Natureza

As operações podem envolver coleta, recepção, acesso, utilização, processamento, transmissão, distribuição, armazenamento, consulta, extração, comunicação, eliminação e outras operações necessárias à prestação do serviço.

6.2. Finalidade

A finalidade principal é viabilizar a integração tecnológica do Cliente com sistemas fiscais e recursos relacionados.

7. Categorias de titulares

Podem ser titulares:

• usuários do Cliente;
• sócios;
• representantes;
• consumidores;
• clientes do Cliente;
• fornecedores;
• prestadores;
• destinatários;
• tomadores;
• remetentes;
• transportadores;
• empregados;
• contratados;
• demais pessoas identificadas em documentos fiscais.

8. Categorias de dados

Podem ser tratados:

• dados de identificação;
• CPF;
• nome;
• endereço;
• contatos;
• dados empresariais associados a pessoas naturais;
• informações fiscais;
• dados constantes de documentos fiscais;
• informações de pagamento quando exigidas pelo documento;
• dados de transporte;
• logs;
• dados de autenticação;
• demais dados inseridos pelo Cliente.

O Cliente não deverá utilizar o Conota para tratar dados pessoais sensíveis que não sejam estritamente necessários à finalidade fiscal ou contratada.

9. Duração

O tratamento ocorrerá durante a vigência do contrato e pelo período adicional necessário para:

• encerramento técnico;
• exportação;
• retenção legal;
• segurança;
• defesa de direitos;
• cumprimento de ordens de autoridade.

10. Confidencialidade

A Qualymax® restringirá o acesso aos dados pessoais às pessoas que necessitem deles para executar suas funções e que estejam sujeitas a deveres de confidencialidade.

11. Segurança

A Qualymax® manterá medidas técnicas e administrativas adequadas ao risco, podendo incluir, conforme aplicável:

• controle de acesso;
• segregação lógica;
• gestão de credenciais;
• registros de eventos;
• mecanismos de proteção de transporte;
• proteção de armazenamento;
• backups;
• monitoramento;
• gestão de vulnerabilidades;
• resposta a incidentes.

A descrição não representa garantia de invulnerabilidade.

12. Suboperadores

O Cliente autoriza de forma geral a utilização de Suboperadores necessários à prestação do serviço, desde que a Qualymax® imponha obrigações de proteção de dados compatíveis com este Adendo.

Quando exigido por contrato específico ou legislação, a Qualymax® disponibilizará informações sobre Suboperadores relevantes.

13. Transferências internacionais

Se o tratamento envolver transferência internacional de dados pessoais, a Qualymax® adotará mecanismo válido conforme a LGPD e regulamentação da ANPD.

O Cliente compromete-se a cooperar com documentos ou ajustes contratuais necessários à regularização da transferência.

14. Direitos dos titulares

A Qualymax® auxiliará o Cliente, considerando a natureza do tratamento e as informações disponíveis, no atendimento a solicitações de titulares.

Se a Qualymax® receber solicitação referente exclusivamente a dados controlados pelo Cliente, poderá encaminhá-la ao Cliente.

A Qualymax® não decidirá, em nome do Cliente, sobre o mérito do pedido, salvo obrigação legal própria.

15. Autoridades

A Qualymax® cooperará de forma razoável com o Cliente no atendimento de solicitações da ANPD ou outras autoridades competentes relacionadas ao tratamento objeto deste Adendo.

16. Incidentes

16.1. Comunicação ao Cliente

Quando a Qualymax® atuar como Operadora e tomar conhecimento de incidente de segurança envolvendo dados pessoais tratados em nome do Cliente, comunicará o Cliente sem demora indevida após obter informações suficientes para caracterizar o evento.

16.2. Conteúdo

Quando disponível, a comunicação poderá incluir:

• natureza do incidente;
• categorias de dados;
• titulares potencialmente afetados;
• medidas adotadas;
• riscos conhecidos;
• recomendações de mitigação.

16.3. Decisão de notificar

Quando o Cliente for Controlador, caberá a ele avaliar a necessidade de comunicação à ANPD e aos titulares, com a cooperação da Qualymax® nos limites de suas informações e responsabilidades.

17. Auditoria e evidências

Mediante solicitação razoável e proporcional, a Qualymax® poderá fornecer informações suficientes para demonstrar o cumprimento de obrigações deste Adendo.

Auditorias presenciais, testes invasivos ou acesso a informações de outros clientes dependerão de acordo específico, escopo controlado, confidencialidade e inexistência de risco à segurança.

18. Exclusão e devolução

Após o encerramento, a Qualymax® excluirá ou anonimizará dados conforme sua Política de Retenção e Exclusão, salvo quando:

• houver obrigação legal de retenção;
• houver ordem de autoridade;
• os dados forem necessários ao exercício regular de direitos;
• a retenção temporária for tecnicamente necessária em backups ou sistemas de segurança.

19. Responsabilidade

Cada Parte responderá pelas obrigações que a legislação lhe atribuir.

O Cliente é responsável pelas decisões relativas à finalidade do tratamento, dados enviados, base legal e instruções.

A Qualymax® não responderá por tratamento realizado em estrita observância de instrução legítima do Cliente, salvo se tiver violado obrigação legal própria.

20. Prevalência

Em caso de conflito entre este Adendo e os Termos de Uso sobre proteção de dados, este Adendo prevalecerá na matéria específica.

21. Solicitações de titulares recebidas diretamente pela Qualymax®

Quando a Qualymax® atuar como Operadora e receber diretamente solicitação de titular relacionada a dados tratados em nome do Cliente, a Qualymax® poderá registrar a solicitação e encaminhá-la ao respectivo Cliente, que, em regra, atuará como Controlador e será responsável por decidir sobre o mérito do pedido.

A Qualymax® prestará cooperação razoável e tecnicamente viável ao Cliente para atendimento dos direitos dos titulares, inclusive quando houver necessidade de:

• localizar registros;
• exportar informações;
• corrigir dados tecnicamente alteráveis;
• restringir tratamentos;
• excluir registros quando juridicamente admissível;
• registrar evidências do atendimento.

A Qualymax® não deverá, sem instrução válida do Cliente ou fundamento jurídico próprio, alterar ou excluir dados que integrem documentos fiscais, protocolos, evidências ou registros cuja conservação seja necessária para cumprimento de obrigação legal ou regulatória, exercício regular de direitos, segurança, prevenção a fraude ou outra hipótese legal aplicável.

22. Direito de eliminação e conservação obrigatória

As Partes reconhecem que os direitos previstos na LGPD, inclusive a eliminação de dados pessoais, devem ser avaliados conforme a base legal, a finalidade e as obrigações aplicáveis ao tratamento.

Quando dados pessoais integrarem documentos fiscais ou registros relacionados a obrigações legais, a solicitação de eliminação não autoriza automaticamente sua exclusão.

O Cliente, na qualidade de Controlador, deverá avaliar a solicitação e instruir a Qualymax® quanto às providências cabíveis, observadas:

• as obrigações fiscais e regulatórias;
• os prazos de retenção aplicáveis;
• o exercício regular de direitos;
• as limitações técnicas legítimas;
• a Política de Retenção e Exclusão do Conota.

23. Papéis variáveis por operação

A Qualymax® poderá atuar como Controladora em atividades próprias, ainda que atue como Operadora no processamento fiscal realizado em nome do Cliente.

Exemplos de atividades em que a Qualymax® poderá atuar como Controladora incluem:

• administração da conta;
• faturamento;
• relacionamento comercial;
• segurança;
• prevenção a fraude;
• gestão de acessos;
• auditoria própria;
• cumprimento de obrigações legais da Qualymax®.

A classificação deve seguir a realidade de cada tratamento, e não uma definição única para toda a relação entre as Partes.