Contrato de tratamento de dados (DPA)

1. Papéis e objeto

Quanto aos dados dos contatos da organização (clientes, fornecedores e outras pessoas que ela cadastra ou importa), a organização é a controladora e a Orditiva é a operadora. A Orditiva trata esses dados só para prestar o serviço descrito nos Termos de uso. Os dados da própria conta de quem usa o sistema são tratados pela Orditiva como controladora, nos termos da Política de privacidade.

2. Dados e pessoas envolvidos

• Titulares: clientes, fornecedores e outros contatos da organização, e as pessoas que aparecem em lançamentos, extratos e anexos.
• Dados: nome, CPF ou CNPJ, e-mail, telefone, endereço e dados bancários que a organização informar; descrições de lançamentos e de extratos; e o conteúdo de anexos e fotos de comprovantes.
• Natureza e duração: armazenamento, organização, consulta, cálculo, exportação e eliminação, enquanto durar a conta e até a eliminação prevista no item 9.

3. Instruções da controladora

A Orditiva só trata os dados conforme as instruções documentadas da organização, que são estes termos, os Termos de uso e o que os administradores fazem no sistema (cadastrar, alterar, exportar e excluir). Se uma instrução violar a lei, a Orditiva avisa a organização. A Orditiva não usa esses dados para outra finalidade, não os vende e não os mistura com os de outras organizações. É a organização quem garante ter base legal para cadastrar os dados e informar os titulares.

4. Confidencialidade e segurança

A Orditiva adota medidas técnicas e administrativas para proteger os dados, entre elas:

• dados no Brasil (Supabase, região de São Paulo, sa-east-1), com TLS 1.2 ou superior e criptografia em repouso;
• isolamento dos dados de cada organização no banco, com acesso por papel (administrador, financeiro e contador);
• arquivos privados, entregues por endereços assinados de 5 minutos;
• verificação em duas etapas disponível para todas as pessoas;
• limite de tentativas de entrada, de importação e de convites, e aviso de acesso por aparelho novo;
• histórico de alterações (quem, o quê e quando);
• segredos guardados só no servidor e cópias de segurança com recuperação em um ponto do tempo nos últimos 7 dias.

O acesso de pessoas da Orditiva aos dados é limitado ao necessário para operar e dar suporte, e todas se comprometem com a confidencialidade.

5. Incidentes de segurança

Se a Orditiva confirmar um incidente que afete dados desta organização, avisa os administradores por e-mail sem demora injustificada, com o que se sabe: a natureza do incidente, os dados e titulares afetados, as medidas tomadas e o que a organização pode fazer. A Orditiva coopera com a organização para que ela cumpra o art. 48 da LGPD e a comunicação à ANPD e aos titulares.

6. Direitos dos titulares

Se um titular pedir algo à Orditiva sobre dados que a organização controla, a Orditiva o encaminha à organização, sem responder ao mérito. A organização atende o titular com as ferramentas do sistema (corrigir, excluir, exportar) e, quando precisar de ajuda adicional, pede em {{EMAIL_PRIVACIDADE}}.

7. Suboperadores

A organização autoriza, em geral, a contratação dos suboperadores abaixo. A Orditiva impõe a cada um obrigações de proteção equivalentes a estas e responde por eles. Se a lista mudar, os administradores são avisados por e-mail antes de a mudança valer, e a organização que não concordar pode exportar os dados e encerrar o contrato.

• Supabase

  Banco de dados, autenticação de pessoas e armazenamento dos arquivos.

  São Paulo, Brasil (região sa-east-1).

  Pode tratar os dados dos contatos.

• Vercel

  Hospedagem e execução da aplicação. Os dados passam por ela em trânsito.

  Os servidores da Vercel podem estar fora do Brasil.

  Pode tratar os dados dos contatos.

• Stripe

  Cobrança da assinatura por cartão de crédito. Não recebe lançamentos nem contatos.

  Fora do Brasil.

  Não recebe os dados dos contatos.

• Sentry

  Registro de erros do sistema, configurado para não enviar cookies, corpo das requisições, e-mails nem textos digitados.

  Fora do Brasil.

  Não recebe os dados dos contatos.

• {{PROVEDOR_EMAIL}}

  Envio dos e-mails do sistema: confirmação de cadastro, convites, avisos e recuperação de senha.

  Conforme o contrato com o provedor.

  Não recebe os dados dos contatos.

8. Transferência internacional

Os dados ficam no Brasil. Se algum suboperador tratar dados fora do Brasil, a Orditiva garante que a transferência cumpra o art. 33 da LGPD, com cláusulas contratuais e garantias adequadas.

9. Fim do contrato

Quando o contrato termina, por cancelamento ou por exclusão da organização:

• a organização exporta todos os dados em formato aberto (CSV, anexos e extratos originais) em Configurações, Dados, em qualquer estado da conta;
• a exclusão da organização é agendada para 7 dias depois do pedido e pode ser cancelada nesse prazo; no dia, a Orditiva elimina os dados e os arquivos e confirma por e-mail, tudo dentro de 30 dias do pedido;
• cópias de segurança podem guardar os dados eliminados por até 7 dias, até serem substituídas;
• contas só para leitura ou arquivadas mantêm os dados guardados até o pedido de exclusão;
• a Orditiva pode guardar o que a lei mandar guardar, pelo prazo legal.

10. Demonstração de conformidade

A Orditiva presta à organização as informações necessárias para demonstrar o cumprimento deste contrato, incluindo as de segurança, e permite que a organização as verifique por meios razoáveis, mediante pedido por escrito em {{EMAIL_PRIVACIDADE}}, sem prejudicar a segurança de outras organizações.

11. Contato e foro

Encarregado pelo tratamento de dados pessoais da Orditiva: {{ENCARREGADO}}. Contato: {{EMAIL_PRIVACIDADE}}. Este contrato segue a lei brasileira, e o foro é {{FORO}}.