Acordo de tratamento de dados

Este acordo faz parte dos Termos de Uso e regula o tratamento de dados pessoais que a GUIDI SISTEMAS E SERVICOS EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ nº 11.905.971/0001-05 ("Guidis DFe", "Operador"), faz por conta do Cliente e das empresas emitentes que ele cadastra ("Controladora") ao prestar o serviço de emissão de documentos fiscais eletrônicos. Os termos usados aqui têm o sentido da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD").

1. Os papéis

1.1. A empresa emitente é a controladora dos dados pessoais que vão nos documentos fiscais que ela emite: ela decide emitir, para quem e com que dados. O Guidis DFe é operador desses dados: trata-os só para prestar o serviço, pelas instruções da controladora.

1.2. Quando o Cliente emite por empresas de terceiros (o caso de quem desenvolve o sistema que elas usam), ele age em nome delas e garante, pelos termos (seção 3.1), que tem a autorização de cada uma. As instruções que ele dá pela API valem como instruções da controladora.

1.3. Os dados da conta e de quem usa o portal não entram neste acordo: deles o Guidis DFe é controlador, como diz a Política de Privacidade.

2. O que o Guidis DFe faz com os dados

2.1. Os dados tratados são os que o pedido de emissão leva e os que a administração tributária devolve: o nome, o CPF ou o CNPJ, o endereço, o e-mail e o telefone do destinatário, do tomador e dos demais participantes do documento; o nome e o CPF do condutor; o nome, o documento e a localização de quem recebe uma entrega; os dados de pagamento do contratado do MDF-e (o documento, a chave PIX, o banco e a agência); os dados da operação; e, na distribuição de documentos do CT-e, os documentos de outros emitentes em que a empresa aparece.

2.2. As instruções são as do pedido. O Guidis DFe trata os dados para conferir o pedido, montar e assinar o XML, transmiti-lo à administração tributária, guardá-lo, gerar o documento auxiliar (o DANFE e os demais), entregar o resultado pelo webhook e pela API e mostrar os documentos no portal. Não usa os dados para outra finalidade, não os vende, não os usa para publicidade nem para treinar modelos de inteligência artificial.

2.3. Se uma instrução contrariar a LGPD, o Guidis DFe avisa a controladora antes de cumpri-la.

3. O que cabe à controladora

3.1. Ter base legal para os dados que envia (em regra, a obrigação legal de emitir o documento fiscal) e informar os titulares, como a LGPD pede ao controlador.

3.2. Enviar só os dados que o documento exige.

3.3. Responder aos titulares sobre os documentos que emitiu, com a ajuda do Guidis DFe (seção 6).

4. Confidencialidade e segurança

4.1. O Guidis DFe se obriga a limitar o acesso da sua equipe aos dados ao que a operação e o suporte do serviço pedem, e a manter essa equipe sob dever de sigilo.

4.2. O Guidis DFe mantém as medidas de segurança da Política de Privacidade (seção 9): o acesso autenticado e por papel, a comunicação cifrada, o certificado digital, a senha dele e o CSC cifrados com chave fora do banco, e a cópia de segurança fora do servidor, sem essa chave.

5. Suboperadores

5.1. A controladora autoriza o Guidis DFe a usar os fornecedores listados na Política de Privacidade (seção 5.2) para hospedar, copiar e entregar os dados. Cada um recebe só o necessário para a sua tarefa e se obriga, no contrato com o Guidis DFe, a proteger os dados ao menos como este acordo pede.

5.2. A administração tributária não é suboperadora: ela recebe os documentos por obrigação legal da controladora.

5.3. Fornecedor novo que trate os dados dos documentos é avisado por e-mail com 30 dias de antecedência, e a controladora pode se opor, encerrando o contrato antes de ele entrar.

6. Pedidos dos titulares

O pedido de um titular sobre um documento que chegar ao Guidis DFe é encaminhado à controladora em até 5 dias úteis, e o Guidis DFe a ajuda a respondê-lo com os dados que guarda. O documento autorizado não pode ser alterado nem apagado da administração tributária, e a controladora tem obrigação legal de guardá-lo.

7. Incidentes de segurança

7.1. O Guidis DFe avisa a controladora do incidente de segurança que afete os dados dela em até 48 (quarenta e oito) horas depois de tomar conhecimento, com o que se sabe: o que aconteceu, os dados e os titulares atingidos, as medidas tomadas e o contato.

7.2. A comunicação à ANPD e aos titulares é da controladora, e o Guidis DFe a apoia com as informações que tiver.

8. Auditoria

O Guidis DFe responde, por escrito e uma vez por ano, ao questionário razoável da controladora sobre o cumprimento deste acordo. Auditoria presencial ou por terceiro depende de acordo à parte, com o custo e o sigilo combinados.

9. Fim do tratamento

9.1. Com o fim do contrato, o Guidis DFe para de tratar os dados para emitir, mantém o XML dos documentos disponível para download pelo prazo dos termos (seção 6.3) e depois apaga os dados, salvo o que a lei o obrigue a guardar.

9.2. As cópias de segurança são apagadas sozinhas ao fim do ciclo delas: 14 dias no servidor e 30 dias na Backblaze.

10. Responsabilidade

Cada parte responde pelo descumprimento das suas obrigações neste acordo e na LGPD, nos limites dos termos de uso (seção 10).