ORA•CONT
ORA•CONT
O ORA•CONT é operado por [A PREENCHER: razão social e CNPJ do controlador da plataforma]. Em relação aos dados das empresas e pessoas que o cliente cadastra e consulta, o cliente é o controlador e nós somos operador, nos termos da LGPD (Lei 13.709/2018): tratamos esses dados só para prestar o serviço contratado e seguindo as instruções do cliente. Em relação aos dados de cadastro dos usuários do portal (nome, e-mail, registros de acesso), somos controlador.
Exclusivamente para executar as consultas, capturas, análises e alertas que o cliente configura; para dar suporte; para segurança (auditoria, prevenção a acesso indevido); e para cobrança do serviço. Não vendemos dados, não os usamos para publicidade e não treinamos modelos de terceiros com eles.
| Fornecedor | Para quê | Dados envolvidos |
|---|---|---|
| Locaweb (hospedagem, Brasil) | Servidor onde a plataforma e o banco de dados rodam | Todos os dados da plataforma |
| Brevo (envio de e-mail) | Entrega dos alertas e avisos por e-mail | E-mail do destinatário e texto do aviso |
| Google (Google Drive) | Guarda da cópia de segurança do banco, cifrada antes do envio | Backup cifrado; o Google não tem a chave |
| Serpro (Integra Contador) | Consultas à Receita Federal, no contrato do próprio cliente | CNPJ consultado e dados da consulta |
| SEFAZ estaduais e Ambiente Nacional da NFS-e | Captura de documentos fiscais e caixa postal estadual | CNPJ e certificado da empresa na conexão |
[A PREENCHER: confirmar a lista, a localização de cada fornecedor e se há transferência internacional (Brevo e Google).]
O certificado A1 e a senha informados pelo cliente ficam gravados no banco cifrados, com chave que fica fora do banco e do código. Eles são usados só pelo servidor, no momento da consulta ou captura pedida pelo cliente, e nunca são exibidos nem devolvidos depois de salvos, nem para o próprio cliente. O cliente pode substituir ou remover o certificado a qualquer momento; ao excluir a empresa ou encerrar o contrato, o certificado é apagado junto. O cliente continua responsável pela guarda do arquivo original e por revogar o certificado se suspeitar de vazamento. [A PREENCHER: limite de responsabilidade em caso de uso indevido do certificado.]
Acesso por HTTPS; senhas guardadas com hash; segredos cifrados; separação dos dados por cliente em toda consulta; controle de acesso por perfil e por empresa; trilha de auditoria das ações sensíveis; backup diário cifrado com teste periódico de restauração.
Enquanto o contrato estiver ativo, pelos prazos de retenção configurados para cada cliente (registros técnicos, logs de e-mail e execuções têm prazos próprios). Ao encerrar, o cliente pode exportar seus dados; depois, o cliente é excluído após quarentena de 30 dias. As cópias de segurança expiram em até [A PREENCHER: prazo do backup, hoje 30 dias].
Pedidos de titulares sobre dados que o cliente controla são encaminhados ao cliente, que decide; ajudamos com o que estiver ao nosso alcance técnico (localizar, exportar, corrigir, apagar). Pedidos sobre os dados de usuário do portal podem ser feitos diretamente ao encarregado abaixo.
Encarregado pelo tratamento de dados pessoais: [A PREENCHER: nome], e-mail [A PREENCHER]. Incidente de segurança que possa afetar os dados do cliente é comunicado a ele em até [A PREENCHER: prazo, sugestão 48 horas] depois de confirmado.
Para clientes que pedirem, o contrato traz um anexo de tratamento de dados com: objeto e duração do tratamento; tipos de dado e de titular; obrigação de seguir as instruções do cliente; confidencialidade da equipe; medidas de segurança do item 6; lista de suboperadores do item 4 e aviso prévio de [A PREENCHER: dias] antes de incluir outro; apoio a pedidos de titulares e à ANPD; comunicação de incidentes do item 9; devolução ou eliminação dos dados no fim do contrato; e direito de auditoria razoável.