Adendo de Proteção de Dados

1. Objeto e papéis

Este Adendo regula o tratamento de dados pessoais realizado pela Kernuz Desenvolvimento de Software Customizável Ltda., CNPJ 68.351.883/0001-18 ("Operadora"), por conta da empresa assinante ("Controladora"), na prestação dos serviços do Sociuz, nos termos da Lei 13.709/2018 (LGPD).

A Controladora é a Controladora dos dados dos seus cotistas, colaboradores e terceiros inseridos na plataforma. Cabe a ela definir as finalidades e os meios do tratamento, assegurar base legal adequada, e responder perante os titulares.

A Operadora é a Operadora. Trata os dados exclusivamente conforme as instruções documentadas da Controladora e os termos deste Adendo.

A Operadora não trata os dados para finalidade própria, não os comercializa, e não os utiliza para treinar modelos de inteligência artificial.

2. Objeto do tratamento

Dados sensíveis: a plataforma não foi projetada para tratar dados pessoais sensíveis (art. 5º, II, LGPD). A Controladora se obriga a não inseri-los em campos de texto livre. Caso o faça, assume a responsabilidade pelas exigências adicionais aplicáveis.

3. Obrigações da Operadora

A Operadora se obriga a:

1. Tratar os dados apenas conforme instrução documentada da Controladora, salvo obrigação legal, hipótese em que informará previamente, se permitido.
2. Assegurar que quem tem acesso aos dados esteja sujeito a dever de confidencialidade.
3. Adotar as medidas de segurança da cláusula 6.
4. Auxiliar a Controladora no atendimento aos pedidos de titulares (cláusula 7).
5. Auxiliar a Controladora no cumprimento das obrigações dos arts. 46 a 50 da LGPD, incluindo comunicação de incidentes.
6. Eliminar ou devolver os dados ao fim do contrato, conforme cláusula 9.
7. Disponibilizar as informações necessárias para demonstrar o cumprimento deste Adendo.
8. Manter registro das operações de tratamento realizadas por conta da Controladora.

4. Obrigações da Controladora

A Controladora se obriga a:

1. Assegurar base legal adequada para os dados que insere na plataforma, inclusive coletando consentimento quando for o caso.
2. Fornecer aos titulares a informação exigida pelos arts. 9º e 18 da LGPD, disponibilizando a Política de Privacidade da plataforma.
3. Emitir instruções lícitas e responder aos titulares nos prazos legais.
4. Gerenciar adequadamente os acessos concedidos aos seus colaboradores, revogando-os quando cessar a necessidade.
5. Não inserir dados sensíveis, nos termos da cláusula 2.
6. Comunicar à Operadora, sem demora, qualquer incidente de que tome conhecimento.

5. Suboperadores

A Controladora autoriza a Operadora a contratar os suboperadores abaixo:

A Operadora comunicará a Controladora com antecedência mínima de 30 dias sobre inclusão ou substituição de suboperador. A Controladora poderá se opor fundamentadamente; não havendo acordo, poderá rescindir o contrato sem ônus.

A Operadora responde perante a Controladora pelos atos dos suboperadores.

Transferência internacional: as transferências aos suboperadores localizados fora do Brasil ocorrem com base em cláusulas contratuais que asseguram nível de proteção compatível com a LGPD (art. 33, II).

6. Medidas de segurança

A Operadora mantém, no mínimo:

• Transmissão cifrada (TLS) em todas as conexões
• Senhas armazenadas com algoritmo de hash resistente
• Segregação lógica entre clientes (multi-tenant), com verificação em cada requisição
• Controle de acesso por perfil e por unidade, com escopo aplicado no servidor
• Segredos de integração armazenados de forma cifrada
• Limitação de tentativas de autenticação
• Trilha de auditoria de operações administrativas sensíveis
• Cópias de segurança diárias, cifradas, replicadas fora do servidor principal, com retenção de 30 dias
• Registro de acesso e de operações

Sobre dados de cartão: a plataforma não armazena número completo de cartão nem código de segurança. Dados de cartão informados pela Controladora para pagamento da assinatura transitam pelo servidor da Operadora exclusivamente para tokenização junto à instituição de pagamento, e não são persistidos. As cobranças aos cotistas ocorrem em ambiente hospedado pela instituição de pagamento, sem trânsito pelo servidor da Operadora.

7. Direitos dos titulares

Pedidos de titulares recebidos diretamente pela Operadora serão encaminhados à Controladora em até 2 dias úteis, sem resposta ao titular quanto ao mérito.

A Operadora disponibiliza à Controladora, na própria plataforma, os meios para consultar, corrigir e eliminar dados, e para exportá-los em formato estruturado.

Quando a solicitação exigir atuação técnica não disponível na interface, a Operadora prestará auxílio em até 5 dias úteis do pedido da Controladora, de modo a permitir a resposta no prazo legal de 15 dias.

8. Incidentes de segurança

A Operadora comunicará a Controladora, em até 24 horas da ciência, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, informando:

1. Descrição da natureza do incidente e dados afetados
2. Titulares envolvidos, quando identificáveis
3. Medidas técnicas adotadas
4. Riscos relacionados
5. Medidas de mitigação recomendadas

A comunicação à ANPD e aos titulares é responsabilidade da Controladora, com o apoio técnico da Operadora.

9. Término, devolução e eliminação

Encerrado o contrato principal:

1. Os dados permanecem acessíveis para exportação pela Controladora por 90 dias, contados do encerramento.
2. Findo esse prazo, a Operadora eliminará os dados dos ambientes de produção em até 30 dias.
3. As cópias de segurança que contenham os dados serão eliminadas conforme o ciclo natural de retenção, em no máximo 30 dias adicionais.
4. Ficam ressalvados os dados cuja conservação seja exigida por lei, que permanecerão bloqueados para uso e serão eliminados ao fim do prazo legal.

A Operadora fornecerá declaração de eliminação, se solicitada.

10. Auditoria

A Controladora poderá solicitar, uma vez por ano e mediante aviso de 30 dias, informações e documentos que demonstrem o cumprimento deste Adendo.

Auditoria presencial ou por terceiro independente será admitida quando houver determinação de autoridade competente ou incidente comprovado, com custos a cargo da Controladora, resguardados os segredos de negócio da Operadora e a segurança dos demais clientes.

11. Responsabilidade

Cada parte responde pelos danos que causar em razão do descumprimento de suas obrigações, nos termos dos arts. 42 a 45 da LGPD.

12. Vigência e prevalência

Este Adendo vigora enquanto durar o contrato principal e, quanto às obrigações de eliminação e confidencialidade, pelo prazo nelas previsto.

Em caso de conflito com o contrato principal quanto a proteção de dados, prevalece este Adendo.