Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados ("Acordo") é celebrado entre a Konvéz, fornecedora do Konvéz Quality ("Operadora"), e a empresa que cria um ambiente no sistema e aceita estes termos ("Controladora"). Ele integra os Termos de Uso e regula o tratamento de dados pessoais que a Operadora realiza em nome da Controladora para prestar o serviço, nos termos da Lei nº 13.709/2018 (LGPD).

O aceite é registrado eletronicamente no cadastro, com data, hora, endereço IP e versão deste Acordo. Havendo contrato assinado entre as partes, as cláusulas de proteção de dados dele prevalecem sobre este Acordo no que forem diferentes. Esta é uma versão provisória, em revisão jurídica.

Os termos "dado pessoal", "titular", "tratamento", "controlador", "operador", "encarregado", "incidente de segurança" e "ANPD" têm o significado dado pela LGPD. "Ambiente" é o espaço isolado da Controladora no Konvéz Quality. "Usuários" são as pessoas a quem a Controladora dá acesso ao Ambiente.

A Controladora decide quais dados insere no Ambiente e para quais finalidades. A Operadora trata esses dados para prestar o serviço contratado e conforme as instruções documentadas da Controladora — que são este Acordo, os Termos de Uso e as configurações que a Controladora faz no próprio sistema (usuários, permissões, módulos e integrações). Se uma instrução parecer contrária à LGPD, a Operadora avisará a Controladora antes de cumpri-la.

A Operadora não vende os dados do Ambiente nem os utiliza para publicidade. Além de prestar o serviço, há estas situações reais em que a Konvéz trata dados por conta própria ou acessa o Ambiente:

• Verificação antifraude no cadastro, em que a Konvéz atua como controladora: guarda códigos criptográficos (pseudonimizados) derivados do e-mail, do domínio, do CPF ou CNPJ e do IP de quem se cadastra, por 24 meses, para prevenir abuso do teste grátis. Para reconhecer se o domínio de e-mail de um novo cadastro já pertence a um ambiente, a Konvéz também consulta o domínio dos e-mails dos Usuários cadastrados nos Ambientes, apenas para essa verificação.
• Acesso de suporte: um membro autorizado da equipe da Operadora pode acessar o Ambiente para atender um chamado, por uma conta de suporte própria, com autenticação em dois fatores. O acesso fica registrado na trilha de auditoria do Ambiente, com o nome ou e-mail de quem acessou.
• Registro de acesso (login): a Operadora guarda, por 6 meses, a data, a hora, o método, a conta e o IP de cada login, para a segurança da plataforma e a apuração de incidentes, com consulta restrita e registrada. O papel de cada parte nesse registro está em análise jurídica.
• Estatísticas de uso agregadas por ambiente (por exemplo, adesão às etapas de configuração), que não identificam pessoas, para operar e melhorar o serviço.

Finalidade: disponibilizar o sistema de gestão da qualidade — documentos, ocorrências, não conformidades, auditorias, riscos, fornecedores e demais módulos — com suporte, segurança, backup e comunicações do próprio serviço.

Titulares: usuários da Controladora e pessoas citadas nos registros que a Controladora insere (por exemplo, contatos de fornecedores, clientes ou envolvidos em ocorrências).

Categorias de dados: nome, e-mail, cargo e vínculo organizacional (unidade, departamento, gestor), foto de perfil opcional, registros de acesso e trilha de auditoria (quem fez o quê e quando), e o conteúdo dos registros e arquivos anexados pela Controladora.

Dados pessoais sensíveis (art. 5º, II, da LGPD): o sistema não foi desenhado para tratá-los, e a Controladora deve orientar seus Usuários a não inserir dados de saúde, atestados ou outros dados sensíveis em campos de texto livre, descrições, comentários e anexos. Se a Controladora ou seus Usuários inserirem esse tipo de dado, a responsabilidade pela base legal e pelas salvaguardas adicionais é da Controladora.

• Ter base legal adequada para os dados que insere e informar os titulares sobre o tratamento, como exige a LGPD.
• Inserir apenas os dados necessários às finalidades da gestão da qualidade e orientar os Usuários sobre dados sensíveis (item 4).
• Gerenciar os próprios usuários: conceder e retirar acessos, manter permissões adequadas e desativar quem sai da empresa.
• Manter as credenciais de acesso em sigilo e comunicar à Operadora qualquer suspeita de uso indevido.
• Orientar os Usuários sobre o uso de assistentes de IA de terceiros (Konvéz AI Connect): a conexão é feita por iniciativa do Usuário, o conteúdo consultado segue para o provedor de IA escolhido por ele, sob os termos desse provedor, e a Operadora não contrata esse provedor.

A Operadora mantém medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas (art. 46 da LGPD), entre elas:

• Isolamento lógico entre Ambientes de clientes diferentes, com controle de acesso por perfil.
• Conexões protegidas por criptografia (HTTPS/TLS).
• Backups diários criptografados (AES-256) antes de serem enviados aos destinos remotos (Google Drive e Amazon S3); o envio remoto é recusado se não houver a chave de criptografia. Retenção de 14 dias nos destinos remotos.
• Verificação antivírus dos arquivos enviados.
• Autenticação em dois fatores obrigatória para o acesso administrativo da Operadora e trilha de auditoria das ações administrativas.
• Consulta restrita e registrada ao registro de acesso (IP).
• Acesso aos dados restrito às pessoas da Operadora que precisam dele para prestar o serviço, todas sujeitas a dever de confidencialidade.

A Operadora mantém registro das operações de tratamento que realiza (art. 37 da LGPD).

A Controladora autoriza a Operadora a contratar os seguintes fornecedores, limitados ao necessário para cada finalidade (os marcados com * atendem o cadastro e a cobrança, em que a Konvéz é controladora, e não os dados do Ambiente):

• Hospedagem — servidor virtual (VPS) em São Paulo, Brasil: aplicação, banco de dados e arquivos.
• Cloudflare — proxy e rede de entrega (CDN) do site: todo o tráfego passa por ela, e ela recebe o endereço IP, a URL acessada e metadados da requisição; guarda logs por cerca de 30 dias. Também faz a verificação antirrobô (Turnstile) no cadastro, que recebe o IP e sinais do navegador.
• Google Drive e Amazon S3 — cópias de backup, cifradas (AES-256) antes do envio. O Amazon S3 também pode guardar os arquivos anexados, quando o ambiente usa armazenamento em nuvem.
• Amazon SES — envio de e-mails do sistema e do cadastro (nome, e-mail e conteúdo da mensagem).
• Asaas* — cobrança e meio de pagamento: nome, CPF ou CNPJ e e-mail de quem contrata. Os dados do cartão são digitados na página do Asaas e não passam pelos nossos servidores.
• BrasilAPI* — consulta pública do CNPJ informado no cadastro.
• OpenStatus* — página pública de status (disponibilidade) do serviço.
• Microsoft — login corporativo (SSO) com a conta Microsoft/Entra ID, somente quando a empresa o ativa, e, se a empresa ativar essa opção, a foto de perfil da própria conta Microsoft.

O provedor de IA que o próprio Usuário conecta pelo AI Connect não é suboperador da Operadora (item 5 do Acordo).

A Operadora exige dos suboperadores obrigações de proteção de dados compatíveis com este Acordo e responde perante a Controladora pelos atos deles. Mudanças nessa lista serão comunicadas com pelo menos 15 dias de antecedência; a Controladora pode se opor de forma fundamentada e, não havendo solução, encerrar o uso do serviço sem multa.

Os dados são armazenados preferencialmente no Brasil. Alguns desses fornecedores podem tratar dados fora do Brasil. Isso pode envolver transferência internacional de dados, sujeita às condições de tratamento de dados de cada fornecedor. Isso inclui, por exemplo, a cópia redundante de backup, que é criptografada antes do envio.

A Operadora ajuda a Controladora a atender pedidos de titulares (acesso, correção, eliminação, portabilidade e demais direitos do art. 18 da LGPD). No sistema, a Controladora pode consultar, corrigir, exportar e excluir dados. Além disso, a Operadora mantém um procedimento interno e uma ferramenta de uso restrito (com autenticação em dois fatores e registro de cada uso) que, mediante instrução da Controladora, permite localizar os dados de uma pessoa no Ambiente (primeiro como contagens), exportar os dados próprios dessa pessoa em arquivo e anonimizar a conta dela. Conteúdos de módulos que possam citar terceiros (como não conformidades e ocorrências) não são entregues automaticamente ao titular: a decisão é da Controladora.

Se a Operadora receber um pedido diretamente de um titular sobre dados do Ambiente, ela o encaminhará à Controladora sem demora e não responderá no mérito sem autorização dela, salvo obrigação legal.

10.1 "Incidente" é o evento confirmado, ou com indícios razoáveis, de acesso não autorizado, perda, alteração ou divulgação de dados pessoais do Ambiente.

10.2 A Operadora comunicará a Controladora, sem demora injustificada depois de ter indícios razoáveis de que o Incidente ocorreu, pelo contato de segurança ou pelo administrador cadastrado no Ambiente. A Controladora deve manter esse contato atualizado.

10.3 A comunicação inicial trará as informações então disponíveis (natureza dos dados, titulares envolvidos, medidas de segurança usadas, riscos conhecidos e medidas adotadas) e será complementada conforme a investigação avançar. A falta de alguma informação não atrasa a comunicação inicial.

10.4 A Operadora prestará o apoio razoável para que a Controladora cumpra o dever de comunicar a ANPD e os titulares (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024), dentro dos prazos que a regulamentação fixa para a Controladora.

10.5 Cada parte comunica os incidentes que afetem os dados pelos quais é controladora.

A Operadora fornecerá, mediante solicitação razoável, as informações necessárias para demonstrar o cumprimento deste Acordo, como a descrição das medidas de segurança e a lista atualizada de suboperadores. Auditorias presenciais ou por terceiros dependem de agendamento prévio, confidencialidade e não podem expor dados de outros clientes.

A Operadora também fornece as informações necessárias para a Controladora elaborar relatório de impacto à proteção de dados pessoais (art. 38 da LGPD), quando exigido.

Encerrado o uso do serviço, a Controladora terá 30 dias para exportar seus dados, nos formatos de exportação disponíveis no sistema. Ao término do tratamento (fim do contrato ou do Ambiente), a Operadora elimina os dados do Ambiente e os arquivos da Controladora, ressalvadas as hipóteses de conservação previstas na LGPD (art. 16). As cópias de backup deixam de existir com a rotação automática, em até 14 dias. Os registros de acesso (6 meses) seguem o próprio prazo de eliminação automática.

Ficam ressalvados os dados que a Operadora precise guardar quando houver obrigação legal ou contratual, sempre pelo prazo mínimo necessário (art. 16 da LGPD).

Cada parte responde pelos danos que causar por descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente quando descumprir a legislação ou as instruções lícitas da Controladora.

Este Acordo vale enquanto a Operadora tratar dados em nome da Controladora. Alterações serão publicadas nesta página com nova versão e comunicadas à Controladora; mudanças relevantes exigem novo aceite. É regido pelas leis da República Federativa do Brasil.

Encarregado de Proteção de Dados da Operadora: Erick Mathias — [email protected].