Este Acordo de Tratamento de Dados Pessoais ("Acordo") integra os Termos de Uso da Ferramenta IValida e é celebrado entre o Cliente, como controlador, e Leonardo Da Silva Pinheiro, pessoa natural responsável pelo IValida, contato ivalida.app@gmail.com, responsável pela marca IValida, como operador ("IValida"), nos termos do art. 39 da Lei nº 13.709/2018 (LGPD). O aceite eletrônico dos Termos na Ferramenta inclui o aceite deste Acordo. Em caso de conflito sobre proteção de dados pessoais, prevalece este Acordo. Quando a empresa titular do IValida for constituída, ela assumirá este Acordo, com aviso prévio e novo aceite na Ferramenta.
1. Definições
1.1. Aplicam-se as definições do art. 5º da LGPD, em especial dado pessoal, titular, controlador, operador, encarregado, tratamento, transferência internacional e ANPD.
1.2. Dados do Cliente: os dados pessoais contidos nos documentos fiscais eletrônicos (XML, inclusive dentro de arquivos ZIP) e nos demais arquivos (planilhas de estoque ou de produtos e arquivos da apuração assistida) enviados pelo Cliente à Ferramenta. Relatório: o resultado da conferência devolvido ao Cliente. Suboperador: terceiro contratado pelo IValida que trata Dados do Cliente.
2. Objeto e descrição do tratamento
2.1. Objeto: este Acordo regula o tratamento de Dados do Cliente realizado pelo IValida em nome do Cliente na prestação do serviço descrito nos Termos.
2.2. Finalidade única: conferir o preenchimento dos campos de IBS e CBS dos documentos enviados e gerar o Relatório. O IValida não trata os Dados do Cliente para nenhuma outra finalidade, inclusive estatística, comercial, de treinamento de modelos de inteligência artificial ou de melhoria do produto. Nos módulos de apoio (cláusula 3.6 dos Termos), a finalidade é executar o módulo escolhido pelo Cliente sobre os arquivos que ele enviou, com as mesmas regras deste Acordo.
| Categorias de titulares | Emitentes pessoas físicas (inclusive produtores rurais e empresários individuais), destinatários, tomadores e consumidores, transportadores, pessoas autorizadas a obter o XML e outras pessoas mencionadas nos documentos |
|---|---|
| Categorias de dados | Dados de identificação e contato presentes em documentos fiscais (nome, CPF/CNPJ, endereço, telefone, e-mail, inscrição estadual), dados da operação (itens, valores, datas, chave de acesso) e texto livre de informações complementares. Não se espera o tratamento de dados sensíveis |
| Natureza | Recebimento pela internet (HTTPS), leitura e conferência exclusivamente em memória, geração do Relatório e descarte ao fim de cada requisição |
| Duração | A de cada requisição, no máximo 120 segundos por lote. Não há armazenamento de XMLs nem de Relatórios |
| Local do processamento | Google Cloud, região São Paulo (southamerica-east1), Brasil; trânsito pela rede da Cloudflare (cláusula 9) |
3. Instruções do Cliente
3.1. O IValida tratará os Dados do Cliente somente conforme as instruções documentadas do Cliente (LGPD, art. 39). Constituem instruções: (a) os Termos e este Acordo; (b) o envio de arquivos e as opções escolhidas na Ferramenta (perfil de severidade, validação de schema, mascaramento, identificação de empresas, formato do Relatório); (c) outras instruções escritas do Cliente compatíveis com o serviço.
3.2. O mascaramento da chave de acesso e do nome do arquivo no Relatório é o padrão. Ao desativá-lo, o Cliente instrui o IValida a exibir esses dados no Relatório entregue a ele.
3.3. O IValida informará o Cliente se, a seu juízo, uma instrução violar a LGPD, podendo suspender sua execução até o esclarecimento.
3.4. O Cliente declara que: (a) possui base legal para tratar os Dados do Cliente e para compartilhá-los com o IValida para a finalidade da cláusula 2; (b) cumpre os deveres de transparência perante os titulares; (c) quando atuar como operador de terceiros (por exemplo, escritório contábil em relação às empresas que atende), está autorizado por esses controladores a contratar o IValida como suboperador e repassará a eles as informações deste Acordo.
3.5. O acesso por API usa uma conta com chaves (Termos, cláusula 8.1). Os dados dessa conta (e-mail, resumo criptográfico (hash), prefixo de 9 caracteres e nome de cada chave, versões aceitas e contadores de uso) são tratados pelo IValida como controlador, conforme a Política de Privacidade, e não são Dados do Cliente para fins deste Acordo. Os Documentos enviados pela API são Dados do Cliente e seguem este Acordo, com o mesmo processamento só em memória, sem armazenamento. Funções opcionais que dependam de armazenamento de Dados do Cliente (como histórico de lotes ou carteira de empresas por conta) estão desligadas; a sua eventual ativação exigirá atualização prévia deste Acordo e instrução expressa do Cliente na Ferramenta.
4. Confidencialidade
4.1. O IValida manterá os Dados do Cliente e os Relatórios em sigilo e garantirá que as pessoas autorizadas a acessar a infraestrutura estejam sujeitas a dever de confidencialidade contratual ou legal. Por desenho técnico, os Dados do Cliente não ficam disponíveis para consulta posterior por nenhuma pessoa, inclusive do IValida.
5. Suboperadores
5.1. O Cliente autoriza, de forma geral, a contratação dos seguintes suboperadores:
| Suboperador | Serviço | Local |
|---|---|---|
| Google Cloud (Google LLC ou Google Cloud Brasil Computação e Serviços de Dados Ltda., conforme o contrato de nuvem do IValida) | Execução da aplicação em contêiner (Cloud Run), em memória, inclusive para as chamadas pela API; registros técnicos sem conteúdo dos documentos. O banco das contas e chaves de API (Cloud Storage) não contém Dados do Cliente | Região São Paulo (southamerica-east1), Brasil |
| Cloudflare, Inc. | Proxy reverso, terminação TLS, proteção contra ataques e controle de acesso (Cloudflare Access). Os arquivos atravessam a rede em trânsito, sem armazenamento | Empresa nos Estados Unidos, com rede global; tráfego normalmente atendido por pontos no Brasil |
5.2. O IValida avisará o Cliente, por e-mail e na Ferramenta, com antecedência mínima de 15 (quinze) dias, sobre a inclusão ou substituição de suboperador que trate Dados do Cliente. O Cliente poderá se opor, de forma fundamentada, nesse prazo; não havendo acordo, poderá encerrar o uso da Ferramenta sem ônus.
5.3. O IValida contratará os suboperadores com obrigações de proteção de dados compatíveis com as deste Acordo, no que couber ao serviço, e responde perante o Cliente pelo descumprimento delas.
5.4. Não são suboperadores, por não receberem Dados do Cliente: o provedor de e-mail do suporte (o Cliente não deve enviar XMLs por e-mail), a autoridade certificadora e o serviço de compilação e publicação do software.
6. Segurança
6.1. O IValida adota medidas técnicas e administrativas aptas a proteger os Dados do Cliente (LGPD, art. 46), descritas no Anexo I. O IValida poderá atualizá-las, desde que não reduza o nível geral de proteção.
7. Incidentes de segurança
7.1. O IValida comunicará ao Cliente, em até 48 (quarenta e oito) horas do conhecimento, qualquer incidente de segurança que afete ou possa ter afetado Dados do Cliente, pelo e-mail do Usuário cadastrado e pelo contato indicado pelo Cliente, com as informações então disponíveis, complementadas assim que possível: descrição e natureza do incidente; categorias e quantidade aproximada de titulares e de dados; medidas técnicas e de segurança adotadas; riscos relacionados; medidas de contenção e mitigação; e contato para informações.
7.2. O prazo acima busca permitir que o Cliente, como controlador, avalie o incidente e, se for o caso, comunique a ANPD e os titulares no prazo de 3 (três) dias úteis previsto no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024. O IValida prestará a cooperação razoável para essas comunicações e não comunicará titulares ou a ANPD em nome do Cliente sem instrução dele, salvo obrigação legal própria.
7.3. O IValida manterá registro dos incidentes que envolvam Dados do Cliente, com a documentação exigida pela Resolução CD/ANPD nº 15/2024, pelo prazo nela previsto.
8. Direitos dos titulares e cooperação
8.1. Se receber pedido de titular relativo a Dados do Cliente, o IValida: (a) não responderá ao mérito sem instrução do Cliente; (b) informará o titular de que o controlador é o Cliente, quando identificável; e (c) encaminhará o pedido ao Cliente em até 5 (cinco) dias úteis.
8.2. Como o IValida não armazena Dados do Cliente, em regra não há dados a acessar, corrigir, portar ou eliminar. O IValida prestará, mediante solicitação, as informações técnicas necessárias para o Cliente responder aos titulares e à ANPD e para elaborar seu relatório de impacto (LGPD, art. 38).
9. Transferência internacional
9.1. O processamento dos Dados do Cliente ocorre no Brasil. Como a Cloudflare, Inc. é sediada nos Estados Unidos e opera rede global, os Dados do Cliente podem transitar, de forma cifrada e transitória, por pontos de sua rede fora do Brasil.
9.2. A transferência em trânsito dos Dados do Cliente à Cloudflare, Inc. (cláusula 5.1) é necessária para prestar o serviço contratado e segue os termos de proteção de dados da Cloudflare. A definição da base legal do tratamento dos Dados do Cliente cabe ao Cliente, como controlador (cláusula 3.4). O IValida ainda não confirmou se os termos da Cloudflare incorporam as cláusulas-padrão contratuais da ANPD (Anexo II da Resolução CD/ANPD nº 19/2024); quando confirmar, avisará o Cliente e atualizará este Acordo e a página de Transferência Internacional. O Cliente autoriza essas transferências para a finalidade da cláusula 2.
9.3. O IValida não fará outras transferências internacionais de Dados do Cliente sem aviso prévio na forma da cláusula 5.2. As informações de transparência estão na página Transferência Internacional de Dados, e a indicação dos termos de proteção de dados aplicáveis é fornecida mediante solicitação, em até 15 dias.
10. Término, eliminação e devolução
10.1. Encerrado o uso da Ferramenta ou este Acordo, por qualquer motivo, não haverá Dados do Cliente a devolver ou eliminar, porque eles não são armazenados (cláusula 2). A pedido, o IValida emitirá declaração por escrito confirmando essa condição.
10.2. Se, no futuro, a Ferramenta passar a armazenar dados por instrução do Cliente, o IValida deverá, ao término, eliminá-los em até 30 (trinta) dias ou devolvê-los ao Cliente em formato estruturado, conforme escolha dele, ressalvadas as hipóteses de conservação do art. 16 da LGPD, e fornecer confirmação da eliminação.
11. Auditoria e demonstração de conformidade
11.1. O IValida demonstrará o cumprimento deste Acordo respondendo, em até 30 (trinta) dias, a questionário razoável de segurança e proteção de dados enviado pelo Cliente, no máximo uma vez a cada 12 meses, salvo incidente de segurança ou determinação da ANPD.
11.2. Mediante solicitação, o IValida fornecerá também a descrição atualizada das medidas do Anexo I e as certificações e relatórios públicos dos suboperadores. Auditorias presenciais ou por terceiro independente dependem de acordo prévio entre as partes quanto a escopo, data, custos e confidencialidade, e não dão acesso a dados de outros clientes nem a ambientes dos suboperadores.
12. Responsabilidade
12.1. Cada parte responde pelos danos que causar em violação à LGPD, nos termos dos arts. 42 a 45. O IValida responde solidariamente perante os titulares quando descumprir obrigações da LGPD ou não seguir as instruções lícitas do Cliente (art. 42, § 1º, I).
12.2. Entre as partes aplicam-se as limitações da cláusula 16 dos Termos, com as ressalvas ali previstas.
13. Vigência e disposições finais
13.1. Este Acordo vigora enquanto o Cliente usar a Ferramenta e, depois, pelo tempo necessário ao cumprimento das obrigações nele previstas.
13.2. Alterações seguem a cláusula 19 dos Termos. Aplicam-se a lei brasileira e o foro previsto nos Termos.
13.3. Contato de privacidade e incidentes do IValida: ivalida.app@gmail.com (se esse canal mudar, o novo endereço será informado ao Cliente). O Cliente pode indicar contato próprio para incidentes pelo mesmo canal.
Anexo I — Medidas técnicas e administrativas de segurança
- Retenção zero: XMLs e ZIPs lidos exclusivamente em memória, sem gravação em disco, banco de dados, cache ou fila (o upload é lido sem arquivo temporário e o ZIP é aberto em memória); verificado por testes automatizados a cada versão.
- Criptografia em trânsito: HTTPS entre o navegador e a Cloudflare e entre a Cloudflare e o servidor.
- Controle de acesso: login por e-mail autorizado com código de uso único (Cloudflare Access), sessão de até 24 horas; o servidor recusa requisições que não chegam pelo proxy com segredo compartilhado guardado em cofre de segredos; proteção de origem e de cabeçalho Host contra falsificação de requisições.
- Isolamento: aplicação em contêiner sem privilégios de administrador, com conta de serviço de permissão mínima; publicação automatizada somente após aprovação dos testes.
- Leitura segura de arquivos: bloqueio de DTD, entidades externas e acesso à rede no parser XML; limites de tamanho, profundidade, itens, entradas de ZIP, razão de compressão e tempo; ZIP aninhado ou criptografado recusado.
- Minimização: dados de pessoa física nunca incluídos no Relatório; chave de acesso e nome de arquivo mascarados por padrão.
- Registros sem conteúdo: registros da aplicação com lista fechada de campos e supressão automática de sequências numéricas com formato de CPF, CNPJ e chave de acesso.
- Navegador: política de segurança de conteúdo restrita (sem scripts inline nem recursos de terceiros), sem cookies além do de autenticação.
- Administração: acesso às contas de nuvem restrito ao responsável técnico, com verificação em duas etapas.
- Gestão de vulnerabilidades: testes automatizados de segurança (XXE, bombas de expansão e compressão, limites, ausência de escrita em disco e de dados em registros) a cada versão.
Anexo II — Mecanismo de transferência internacional
As transferências internacionais da cláusula 9 seguem, hoje, os termos de proteção de dados do suboperador, conforme a cláusula 9.2. Quando o IValida confirmar que esses termos incorporam as cláusulas-padrão contratuais do Anexo II da Resolução CD/ANPD nº 19/2024, ou passar a adotá-las, este Anexo indicará as cláusulas aplicáveis, com as informações complementares (partes, finalidade, categorias de dados e medidas de segurança) descritas nas cláusulas 2, 5 e 9 e no Anexo I. Informações pelo canal ivalida.app@gmail.com.