Acordo de Tratamento de Dados (DPA)

Este Acordo integra os Termos de Uso e rege o tratamento de dados pessoais realizado pela ATLASCLOUD DESENVOLVIMENTO E LICENCIAMENTO DE PROGRAMAS DE COMPUTADOR CUSTOMIZAVEIS LTDA (CNPJ 66.681.405/0001-40), operadora do nodIQ, por conta e ordem do cliente contratante.

1. Papéis

O cliente é controlador dos dados pessoais que insere ou integra na plataforma para executar sua operação logística. A ATLASCLOUD atua como operadora desses dados. A ATLASCLOUD é controladora dos dados de cadastro, autenticação, segurança, cobrança, suporte e cumprimento de suas próprias obrigações legais.

2. Objeto, finalidade e duração

Objeto: execução da camada operacional de transporte (estruturação de demandas, cotação, contratação, monitoramento, comprovantes e comunicação). Finalidade: exclusivamente as instruções documentadas do controlador, sem uso próprio dos dados para outra finalidade. Duração: enquanto vigorar o contrato, observados os prazos de eliminação da cláusula 12.

3. Categorias de titulares e de dados

Não é finalidade da plataforma tratar dados sensíveis. Recebendo-os por engano, aplicam-se acesso restrito, retenção mínima e eliminação a pedido.

4. Instruções documentadas

O controlador instrui a operadora por meio: (i) deste Acordo; (ii) das configurações da plataforma, incluindo playbooks, regras, níveis de autonomia e prazos de retenção; e (iii) de instruções escritas enviadas ao canal de privacidade. A operadora informará o controlador caso uma instrução lhe pareça violar a LGPD.

5. Confidencialidade

Só acessam dados os profissionais que precisam para prestar o serviço, sob obrigação de confidencialidade e controle de acesso individual e registrado.

6. Segurança

A operadora mantém isolamento por organização no banco de dados (row level security), TLS em trânsito, criptografia em repouso na infraestrutura de nuvem, controle de papéis, chaves de API emitidas pelo nodIQ armazenadas como resumo criptográfico, segredos reutilizáveis (assinatura HMAC e credenciais de terceiros) protegidos em repouso com acesso restrito ao serviço que os utiliza, links sem senha com token aleatório, escopo de uma única carga, expiração, revogação, limite de uso e auditoria, além de trilha de auditoria das decisões.

7. Suboperadores

O controlador autoriza a contratação dos suboperadores listados no Anexo I. Alterações são comunicadas com antecedência razoável, cabendo objeção fundamentada. A operadora responde pelos suboperadores que contrata e lhes impõe obrigações equivalentes às deste Acordo.

8. Transferência internacional

Transferências internacionais observam os arts. 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024, com indicação, por suboperador, do mecanismo adotado (decisão de adequação, cláusulas-padrão contratuais da ANPD, cláusulas específicas aprovadas ou normas corporativas globais). O Anexo I registra país de destino e mecanismo.

9. Direitos dos titulares

A operadora disponibiliza canal aberto (/direitos) e recursos de exportação, correção, anonimização e eliminação na plataforma. Pedidos recebidos diretamente por titulares do controlador são encaminhados a ele em até 2 dias úteis, com apoio técnico para o atendimento no prazo legal.

10. Apoio a RIPD e prestação de contas

A operadora fornece ao controlador as informações necessárias para elaborar Relatório de Impacto à Proteção de Dados Pessoais (RIPD) e avaliações de legítimo interesse (LIA) relativas a monitoramento por GPS, colaboração por mensageria e uso de inteligência artificial.

11. Incidentes de segurança

A operadora notifica o controlador em até 24 horas da ciência de incidente de segurança que envolva seus dados, com as informações disponíveis, e presta apoio contínuo. Cabe ao controlador avaliar a comunicação à ANPD e aos titulares no prazo de 3 dias úteis (Resolução CD/ANPD nº 15/2024). Registros de incidentes são mantidos por, no mínimo, 5 anos.

12. Devolução e eliminação

Encerrado o contrato, o controlador pode exportar seus dados durante 30 dias. Findo esse período, os dados são eliminados em até 30 dias, exceto o que houver de guarda legal obrigatória, e a operadora emite registro da eliminação a pedido. Cópias em backup expiram conforme o ciclo de retenção da infraestrutura.

13. Retenção configurável

Os prazos padrão constam da Política de Privacidade. Como controlador, o cliente pode definir prazos menores para as categorias operacionais, respeitados os limites legais e o mínimo necessário para auditoria e prevenção a fraude.

14. Auditoria

A operadora disponibiliza, mediante solicitação razoável e sob confidencialidade, documentação sobre seus controles de segurança e privacidade, e responde a questionários de avaliação de fornecedores no máximo uma vez ao ano, salvo incidente relevante.

15. Responsabilidade

Cada parte responde nos limites do art. 42 e seguintes da LGPD, conforme seu papel no tratamento e o descumprimento de suas obrigações.

Anexo I — Suboperadores e transferências

Os campos marcados como "a informar" são completados na contratação, conforme os provedores efetivamente utilizados na instância do cliente, e mantidos atualizados neste Anexo.

Versão 1.0. Contato: privacidade@nodiq.com.br.