Acordo de Tratamento de Dados Pessoais

1. Partes, objeto e vigência

1.1. Este Acordo de Tratamento de Dados Pessoais (“Acordo”) é celebrado entre GH ENGENHARIA E GESTÃO INTEGRADA DE PROCESSOS LTDA, CNPJ 68.021.316/0001-01, com sede na Rua Tobias de Macedo Júnior, 1381 – Santo Inácio, Curitiba/PR, CEP 82010-340, fornecedora da plataforma Chamado Certo (“Operadora”), e a empresa que contrata a plataforma (“Controlador” ou “Assinante”), identificada no cadastro e representada pela pessoa com poderes para isso (“Responsável”).

1.2. O Acordo integra os Termos de Uso e Contrato de Assinatura e regula o tratamento, pela Operadora, dos dados pessoais que o Controlador, sua equipe e seus clientes registram na plataforma, nos termos da Lei nº 13.709/2018 (“LGPD”).

1.3. O aceite ocorre no cadastro, inclusive para o teste grátis, junto com os Termos de Uso e a Política de Privacidade, e fica registrado com data, hora, endereço IP e versão. O Acordo vigora enquanto a Operadora tratar dados do Controlador, inclusive durante o prazo de guarda posterior ao fim da assinatura.

1.4. Em caso de conflito entre este Acordo e os Termos de Uso sobre proteção de dados, prevalece este Acordo.

2. Papéis das partes

2.1. O Controlador é a empresa Assinante: é ela quem decide quais dados dos seus clientes, dos contatos deles e da sua equipe registrar, para quê e por quanto tempo. Cabe a ela, em especial:

• definir e documentar a base legal de cada tratamento (por exemplo, execução do contrato com o cliente, legítimo interesse, cumprimento de obrigação legal ou fiscal ou, quando necessário, consentimento);
• informar os titulares sobre o tratamento, inclusive os clientes que recebem acesso ao portal e as pessoas da equipe;
• obter a autorização do cliente para instalar o agente de monitoramento na rede dele;
• atender aos pedidos dos titulares (art. 18 da LGPD), com o apoio da Operadora previsto na seção 8;
• conceder e revogar os acessos da equipe e do portal do cliente e manter os dados corretos e atualizados;
• coletar apenas os dados necessários às finalidades que definiu, inclusive nas fotos tiradas durante os atendimentos.

2.2. A Operadora trata esses dados exclusivamente em nome do Controlador e para prestar o serviço contratado, sem decidir sobre suas finalidades.

2.3. Em relação aos dados cadastrais e de cobrança do Responsável, aos pedidos de suporte, aos contatos do site e aos registros de acesso, a Operadora é controladora, conforme a Política de Privacidade; esses dados não são regidos por este Acordo.

2.4. Na cobrança integrada (boletos, Pix e NFS-e), o Asaas é contratado diretamente pelo Controlador, na conta dele. A Operadora apenas envia, por instrução do Controlador, os dados do pagador, da cobrança e do serviço à conta Asaas do Controlador, e não recebe nem movimenta valores.

3. Instruções do Controlador

3.1. As instruções do Controlador são dadas pelo próprio uso da plataforma (cadastrar, editar, conceder acessos, exportar, excluir, ativar recursos) e por solicitações registradas nos canais de suporte. A Operadora tratará os dados somente para:

• armazenar, organizar, exibir e proteger os dados registrados pelo Controlador, por sua equipe e por seus clientes;
• executar os recursos da plataforma: chamados, ordens de serviço, agenda, clientes, contratos e equipamentos, tabela de preços e estoque, propostas, financeiro, portal do cliente, monitoramento e app;
• gerar os PDFs de faturas e propostas com a marca do Controlador;
• enviar avisos no sistema e no celular de quem os ativou;
• emitir boletos, Pix e NFS-e pela conta Asaas do Controlador, quando ele ativar esse recurso;
• consultar dados públicos de empresas pelo CNPJ e exibir clientes no mapa, quando o Controlador usar esses recursos;
• receber e registrar o estado dos equipamentos verificados pelo agente de monitoramento;
• gerar os relatórios e arquivos que o Controlador solicitar, incluindo a exportação dos dados;
• fazer cópias de segurança e restaurá-las em caso de falha;
• prestar suporte técnico quando solicitado pelo Controlador;
• cumprir ordem judicial ou obrigação legal, observado o item 3.3.

3.2. A Operadora não usa os dados do Controlador para finalidades próprias, como publicidade, estatística comercial, venda, criação de perfis ou treinamento de sistemas de inteligência artificial, e não os compartilha com terceiros além dos suboperadores do Anexo II.

3.3. Se a Operadora considerar que uma instrução viola a LGPD ou outra norma, informará o Controlador. Se for obrigada por lei ou ordem de autoridade a tratar ou fornecer dados, avisará o Controlador antes, salvo quando a própria lei ou ordem o proibir.

4. Dados e titulares envolvidos

4.1. O agente de monitoramento coleta apenas o estado dos equipamentos cadastrados (online ou offline, tempo de resposta e horário) e a identificação e o endereço na rede desses equipamentos. Ele não acessa imagens, gravações, áudio nem o conteúdo do tráfego da rede do cliente.

4.2. A plataforma não realiza reconhecimento facial nem tratamento biométrico, e não foi desenhada para tratar dados pessoais sensíveis. O Controlador deve evitar registrar esse tipo de dado.

4.3. O tratamento dura enquanto houver assinatura e, depois dela, pelo prazo de guarda da seção 11.

5. Confidencialidade e acesso

5.1. A Operadora garante que todas as pessoas autorizadas a acessar a infraestrutura da plataforma estão sujeitas a dever de confidencialidade, por contrato ou por lei, que persiste após o fim do vínculo.

5.2. O acesso da equipe da Operadora aos dados de um Controlador é restrito ao necessário para suporte, manutenção ou segurança, e cada acesso fica registrado.

5.3. Verificações na conta do Controlador para resolver pedidos de suporte ocorrem a pedido dele e se limitam ao necessário para resolver o problema relatado.

6. Segurança da informação

6.1. A Operadora mantém as medidas técnicas e administrativas descritas no Anexo I e pode substituí-las por outras de nível igual ou superior.

6.2. O Controlador é responsável pela segurança do seu lado: senhas fortes e exclusivas, controle de quem recebe acesso, revogação dos acessos de quem deixa a empresa e de clientes que não devem mais entrar no portal, proteção dos celulares e computadores da equipe, guarda segura dos arquivos exportados e da chave de API da sua conta Asaas.

7. Suboperadores

7.1. O Controlador autoriza a Operadora a contratar os suboperadores do Anexo II. A Operadora exige deles obrigações de proteção de dados compatíveis com este Acordo e responde perante o Controlador pelo cumprimento dessas obrigações.

7.2. A inclusão ou troca de suboperador que trate dados dos clientes ou da equipe do Controlador será comunicada na plataforma com antecedência mínima de 30 (trinta) dias. Se discordar, o Controlador pode cancelar a assinatura sem ônus antes da mudança, com direito à exportação dos dados.

7.3. Não são suboperadores da Operadora: (a) o Asaas na cobrança integrada, contratado diretamente pelo Controlador (item 2.4); (b) o WhatsApp (Meta), ferramenta de terceiros usada pelo próprio usuário quando ele toca em um botão que abre o aplicativo com uma mensagem ou um arquivo pronto; e (c) os aplicativos Google Maps e Waze quando abertos pelo próprio usuário, no aparelho dele, para traçar uma rota. A plataforma não envia mensagens pelo WhatsApp.

8. Apoio ao Controlador

8.1. A Operadora oferece ferramentas para que o Controlador atenda aos direitos dos titulares (art. 18 da LGPD): consulta, correção, exclusão de registros e exportação dos dados.

8.2. Pedidos de titulares recebidos diretamente pela Operadora serão encaminhados ao Controlador em até 5 (cinco) dias úteis, sem que a Operadora responda pelo mérito ou revele dados a quem não for o titular.

8.3. A Operadora fornecerá, quando solicitado pelos canais de suporte, as informações razoavelmente necessárias para o Controlador elaborar relatório de impacto à proteção de dados, responder a titulares ou atender à Autoridade Nacional de Proteção de Dados (ANPD).

9. Incidentes de segurança

9.1. A Operadora comunicará o Controlador sobre incidente de segurança que possa afetar os seus dados sem demora injustificada e em até 2 (dois) dias úteis da ciência, por aviso na plataforma e pelos contatos cadastrados do Responsável, para permitir que o Controlador cumpra o prazo de 3 (três) dias úteis da Resolução CD/ANPD nº 15/2024.

9.2. A comunicação trará, conforme disponível, as informações do art. 48, § 1º, da LGPD: descrição da natureza dos dados afetados; titulares envolvidos; medidas técnicas e de segurança utilizadas para a proteção dos dados; riscos relacionados ao incidente; motivos de eventual demora; e medidas adotadas e recomendadas para reverter ou reduzir os efeitos do prejuízo, além do contato para acompanhamento. Informações ainda não disponíveis serão complementadas assim que apuradas.

9.3. Cabe ao Controlador avaliar e, se for o caso, comunicar a ANPD e os titulares, nos termos do art. 48 da LGPD. A Operadora cooperará com essas comunicações, com a contenção do incidente e com o registro do ocorrido.

10. Transferência internacional

10.1. Os dados do Controlador e as cópias de segurança são armazenados no Brasil, e a base de dados não é transferida para outro país.

10.2. Os serviços de notificação dos fabricantes de navegadores e aparelhos (Anexo II) podem operar com servidores fora do Brasil. Por eles trafega apenas o aviso destinado ao aparelho de quem ativou os avisos, cifrado de ponta a ponta pelo padrão Web Push, sem que o serviço consiga ler o conteúdo.

10.3. O Google Maps pode operar com servidores fora do Brasil. Ao exibir o mapa, o navegador do usuário envia ao Google os endereços ou as coordenadas mostrados, sem transferência da base de dados do Controlador.

10.4. Esses tratamentos ocorrem para a execução do serviço e com as garantias contratuais dos fornecedores, nos termos do art. 33 da LGPD. Qualquer outra transferência internacional dependerá do procedimento do item 7.2 e das garantias do art. 33 da LGPD.

11. Fim do tratamento: devolução e exclusão

11.1. Devolução. Durante a assinatura e no prazo do item 11.2, o Responsável pode exportar pela plataforma os dados da empresa. As senhas não são incluídas.

11.2. Exclusão. Encerrada a assinatura (por cancelamento, fim do teste sem contratação ou encerramento por inadimplência), os dados ficam disponíveis em modo somente leitura por 90 (noventa) dias e depois são excluídos definitivamente dos servidores ativos, incluindo a chave de integração do Asaas do Controlador. As cópias de segurança são sobrescritas em até 30 (trinta) dias adicionais.

11.3. A pedido do Controlador, a exclusão pode ser antecipada, e a Operadora fornecerá declaração de exclusão.

11.4. A Operadora poderá manter, apenas pelo tempo exigido em lei, os registros de acesso à aplicação (6 meses, art. 15 do Marco Civil da Internet) e os dados de cobrança da assinatura (5 anos), que não incluem dados dos clientes do Controlador.

11.5. Se o Controlador precisar guardar algum registro por prazo maior (por exemplo, por obrigação fiscal, garantia de serviço ou defesa em processo), deve exportá-lo antes do fim do prazo do item 11.2.

11.6. Com o fim da assinatura, os agentes de monitoramento deixam de ser aceitos pela plataforma. Cabe ao Controlador removê-los das redes dos seus clientes.

12. Comprovação e auditoria

12.1. A Operadora disponibiliza este Acordo e seus anexos como descrição das medidas adotadas e responderá, uma vez por ano ou após incidente, a questionário razoável do Controlador sobre o cumprimento deste Acordo, enviado pelos canais de suporte.

12.2. Verificações presenciais ou técnicas adicionais dependem de aviso com 30 (trinta) dias de antecedência, correm por conta do Controlador e não podem dar acesso a dados de outros Assinantes nem comprometer a segurança da plataforma.

13. Responsabilidades

13.1. Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente apenas quando descumprir a legislação de proteção de dados ou deixar de seguir as instruções lícitas do Controlador.

13.2. O Controlador responde pela base legal, pela informação aos titulares, pela autorização dos clientes para o monitoramento, pela correção dos dados que registra, pelos acessos que concede e pelo uso dos dados exportados.

13.3. Aplicam-se, no que a lei permitir, os limites de responsabilidade previstos nos Termos de Uso.

14. Contato

Encarregado pelo tratamento de dados da Operadora: Gabriel Helmer. Canal: formulário Fale com a gente do site, indicando “Privacidade / LGPD”.

Anexo I — Medidas técnicas e administrativas de segurança

• Criptografia em trânsito: acesso à plataforma por HTTPS (TLS) no endereço oficial.
• Isolamento entre Assinantes: cada empresa tem a sua base separada, e todas as consultas são filtradas pela empresa da sessão.
• Portal do cliente: cada cliente só recebe os dados que dizem respeito a ele; a regra é conferida no servidor.
• Autenticação: senhas armazenadas com hash forte, nunca em texto puro; proteção contra tentativas repetidas de login; sessão encerrada por inatividade.
• Proteção contra requisições forjadas: verificação de cabeçalho próprio nas chamadas que alteram dados (CSRF).
• Arquivos protegidos: fotos, assinaturas e PDFs servidos apenas a usuários autenticados autorizados.
• Chaves de integração cifradas: a chave de API do Asaas do Controlador é guardada cifrada no servidor.
• Pagamentos: dados de cartão de crédito da assinatura são enviados diretamente ao intermediador e não ficam armazenados na plataforma.
• Avisos no celular: conteúdo cifrado de ponta a ponta pelo padrão Web Push.
• Agente de monitoramento: envia à plataforma apenas o estado dos equipamentos cadastrados, por conexão cifrada.
• Auditoria: registro de atividades dos usuários e registro dos acessos da equipe da Operadora.
• Infraestrutura: servidor no Brasil, com firewall que só libera as portas necessárias, acesso administrativo por chave criptográfica e atualizações de segurança.
• Menor privilégio: a plataforma roda com usuário de sistema, banco e processos exclusivos, separados de outros sistemas do servidor.
• Cópias de segurança: backup diário, cifrado, com acesso restrito.
• Pessoas: acesso administrativo restrito ao responsável técnico, com dever de confidencialidade, apenas para suporte e manutenção.

Anexo II — Suboperadores autorizados

Integra os Termos de Uso e Contrato de Assinatura. Veja também a Política de Privacidade.