Acordo de tratamento de dados

Minuta de referência do acordo de tratamento de dados pessoais que integra o contrato, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD). A proposta traz os detalhes do caso.

1. Papéis

A empresa contratante é a controladora: ela decide para que os dados são usados. A DRUSA TECNOLOGIA DE DADOS LTDA (a drusa) é a operadora: trata os dados só em nome da contratante, para executar a rotina contratada, e só segue as instruções dela.

2. O que é tratado

A rotina leva só os dados que a tarefa exige. Os tipos de dado de cada rotina constam na proposta. Em geral, são dados da operação da empresa, que podem incluir dados pessoais dos clientes dela, como nome, documento e valor pago. A rotina não usa dados sensíveis, salvo se a proposta disser o contrário.

3. Finalidade e instruções

A drusa usa os dados somente para a finalidade da rotina descrita na proposta. Não os usa para outro fim, não os vende, não os compartilha e não monta base própria com eles. Se receber uma instrução que viole a lei, avisa a contratante.

4. Onde ficam os dados

Os dados continuam nos sistemas da contratante. A rotina os lê e os escreve nesses sistemas, nas contas que a contratante abriu. Fora o registro de execução (data, resultado e erro, se houver), a drusa não mantém cópia. O registro não traz o conteúdo dos dados da operação.

5. Suboperadores

Suboperador é uma empresa que a drusa contrata para ajudar a tratar os dados. A drusa só usa suboperador com aviso prévio à contratante.

• Suboperadores que tratam dados da operação: nenhum. Esses dados ficam nos sistemas da contratante e no ambiente de automação aberto em nome dela.
• Suboperadores que tratam apenas dados de contato (e-mail, nome da empresa e o que a contratante escrever no formulário ou nas mensagens): Google (formulário do pedido, planilhas e e-mail) e Cloudflare (hospedagem do site). Parte dos servidores fica fora do Brasil, com as salvaguardas do art. 33 da LGPD.
• Suboperadores específicos de uma rotina, quando houver: informados na proposta, com o nome da empresa e a função.
• Os sistemas que a contratante já usa (banco, emissor de nota fiscal, planilha) são fornecedores da própria contratante, não suboperadores da drusa.

6. Medidas de proteção

• Acesso mínimo: permissão só de leitura sempre que possível; escrita só no que a proposta lista.
• A chave de acesso é guardada separada dos dados e nunca em e-mail, planilha ou mensagem. A contratante pode revogá-la a qualquer momento.
• A drusa não pede nem guarda senhas.
• Só as pessoas da drusa necessárias à rotina têm acesso à chave de acesso e ao registro de execução.

7. Incidentes

Em incidente que pare a operação da contratante, a primeira resposta sai em até 4 horas úteis (documento de prazos). Se a drusa tomar conhecimento de acesso indevido, perda ou vazamento de dados da contratante, avisa por e-mail em até 2 dias úteis, dizendo o que aconteceu, quais dados foram afetados e o que está sendo feito. A comunicação à autoridade e aos titulares é decisão da contratante, como controladora.

8. Direitos dos titulares

Se um titular de dados procurar a drusa, ela encaminha o pedido à contratante em até 3 dias úteis e ajuda, no que for necessário, a respondê-lo.

9. Fim do contrato

No fim do contrato, a drusa apaga a chave de acesso e o registro de execução e confirma por e-mail. Durante o contrato, registros com mais de 12 meses são apagados. Os dados da contratante continuam onde estavam.

10. Informações

A contratante pode pedir, por e-mail, a lista atualizada de suboperadores e uma descrição das medidas de proteção. Canal de contato para assuntos de dados pessoais: contato@drusadados.com.br.