Adendo de Tratamento de Dados

A forma publicada do DPA é [Owner: DPA document version and date, once counsel has settled it]. Enquanto isso não existir, o DPA de cada cliente do piloto é negociado no papel dele ou no nosso, um a um.

Controlador

O cliente. É ele quem decide quais dados pessoais entram em um modelo e por quê.

Operadora

[Owner: legal entity name], que opera sob o nome Superiora, tratando esses dados apenas conforme instruções documentadas do controlador.

Objeto e duração

Fornecer o Superiora Planner pelo prazo do contrato, mais a janela de exportação após o término.

Natureza e finalidade

Hospedar, armazenar, calcular sobre e disponibilizar o modelo de planejamento do cliente; enviar notificações da plataforma; dar suporte ao cliente quando solicitado.

Categorias de titulares

Os empregados e contratados do cliente (como usuários da plataforma, e como linhas em um plano de força de trabalho), e qualquer pessoa que o cliente escolha modelar — um vendedor, um franqueado, uma contraparte nomeada.

Categorias de dados pessoais

Dados de identidade e contato dos usuários da plataforma; e o que o controlador colocar no modelo, tipicamente nome, cargo, centro de custo, território, custo de emprego e datas.

Dados sensíveis

Nenhum. A política de uso aceitável proíbe carregar dados sensíveis sem acordo prévio por escrito.

• Apenas instruções. Tratamos dados pessoais apenas conforme instruções documentadas do controlador, inclusive quanto a transferência internacional, salvo se uma lei à qual estejamos sujeitos exigir o contrário — caso em que avisamos o controlador antes, quando isso for lícito.
• Confidencialidade. Todos com acesso estão vinculados a dever de confidencialidade.
• Segurança. Medidas técnicas e organizacionais adequadas, descritas na seção 03 e em mais detalhe em segurança.
• Suboperadores. Apenas com autorização geral do controlador, sob condições não mais fracas que estas, e com aviso de qualquer mudança — veja suboperadores.
• Apoio aos direitos dos titulares. Quando um titular nos escreve sobre dados dentro do modelo de um cliente, repassamos ao controlador e o ajudamos a responder.
• Apoio em avaliações de impacto e na consulta prévia a uma autoridade de proteção de dados, na medida em que o nosso conhecimento do tratamento torne isso possível.
• Notificação de incidente. Avisamos o controlador sem demora indevida e, em qualquer caso, dentro de [Owner: breach notification window, e.g. 48 hours] a contar de tomarmos conhecimento de um incidente com dados pessoais, com o que sabemos e o que estamos fazendo.
• Eliminação ou devolução. Ao fim do contrato, à escolha do controlador entre exportação ou eliminação, no prazo previsto nos Termos. Os backups expiram no ciclo de backup, e não instantaneamente, e ficam protegidos até lá.
• Auditoria. Disponibilizamos as informações necessárias para demonstrar conformidade e nos submetemos a auditorias mediante aviso razoável, [Owner: audit frequency, notice and cost terms].

• TLS em toda conexão com a plataforma; certificados da Let’s Encrypt, renovados automaticamente.
• Senhas hasheadas com Argon2id. Tokens de sessão assinados com tempo de vida limitado, e tokens de vida curta entre o control plane e o motor de um modelo. Um endereço é bloqueado após tentativas repetidas de entrada malsucedidas.
• Acesso por papel, mais acesso dimensional (seletivo) que concede ou nega fatias individuais de um modelo. O acesso é aplicado do lado da leitura, então uma escrita em uma fatia que você não consegue ver é recusada antes de ser enviada.
• Travas de período: um mês fechado recusa toda escrita nele — digitada, colada, importada ou agendada —, inclusive a do próprio sistema.
• Um log de eventos append-only: toda mudança em um modelo é registrada com autor e hora, e o estado é reconstruído reproduzindo-o.
• Isolamento entre tenants: cada modelo é um processo próprio, com um diretório de dados próprio, endereçado por um control plane autenticado.
• O contêiner da aplicação roda como usuário não-root.
• Backup noturno do volume de dados para armazenamento de objetos na mesma região.
• Infraestrutura na Amazon Web Services us-east-1, com a AWS responsável pela segurança física e ambiental.

O tratamento acontece nos Estados Unidos (us-east-1). Para um controlador no Brasil, isso é uma transferência internacional nos termos do Capítulo V da LGPD; para um no EEE ou no Reino Unido, é uma transferência restrita nos termos do Capítulo V do GDPR.

O mecanismo utilizado é [Owner: transfer mechanism — standard contractual clauses / ANPD clausulas-padrao, module and annexes], com o Adendo de Tratamento de Dados da AWS repassado ao nosso provedor de infraestrutura.

Nenhuma outra região é oferecida hoje. Se os seus dados não puderem sair do Brasil ou do EEE, diga antes de o piloto começar.