Termo de tratamento de dados

1. Objeto

A operadora trata dados pessoais em nome da controladora só para prestar o serviço do Quadrelo: registro de ocorrências e não conformidades, ações corretivas, avisos, relatórios, indicadores, exportação e, quando ligado, o assistente de IA.

2. Dados e titulares

• Titulares: pessoas da equipe da controladora com acesso ao sistema e pessoas citadas nos registros (por exemplo, operadores, fornecedores ou clientes).
• Dados: nome, e-mail, perfis de acesso, registros de qualidade com textos, fotos e anexos, e o histórico de quem fez cada mudança.
• O sistema não foi feito para dados sensíveis (como saúde ou biometria). A controladora deve evitar registrá-los.

3. Obrigações da operadora

• Tratar os dados só conforme as instruções da controladora, dadas pelo uso do sistema e por este termo.
• Manter sigilo e garantir que quem acessa os dados esteja obrigado a sigilo.
• Manter medidas de segurança: conexão cifrada, separação de dados por empresa no banco, perfis de acesso, histórico que não pode ser alterado e cópias de segurança.
• Avisar a controladora sem demora injustificada sobre incidente de segurança que envolva os dados dela, com as informações disponíveis para que ela cumpra suas obrigações com a ANPD e os titulares.
• Ajudar a controladora a responder pedidos de titulares, encaminhando a ela os pedidos que receber.
• Não usar os dados da controladora para outras finalidades, nem para treinar modelos de IA.

4. Obrigações da controladora

• Ter base legal para os dados que registra e informar sua equipe sobre o uso do sistema.
• Gerenciar quem tem acesso, removendo pessoas que saem da empresa.
• Decidir se liga o assistente de IA e orientar a equipe a não escrever nomes de pessoas nas descrições.

5. Suboperadores

A controladora autoriza o uso dos fornecedores abaixo. Mudanças nesta lista são avisadas com antecedência.

• Supabase: Banco de dados, login e armazenamento de fotos e anexos (São Paulo, Brasil (infraestrutura da Amazon Web Services)).
• Vercel: Hospedagem do sistema e execução das funções do servidor (Funções em São Paulo, Brasil; entrega das páginas pela rede global da Vercel).
• Resend: Envio dos e-mails de aviso e do resumo semanal (Envio pela região de São Paulo, Brasil; empresa sediada nos Estados Unidos).
• Anthropic: Assistente de IA, só quando o Administrador da empresa liga o recurso (Estados Unidos).

O envio à Anthropic acontece só com o assistente de IA ligado pelo Administrador da controladora e se limita ao texto da não conformidade, sem fotos, nomes de pessoas cadastradas ou e-mails.

6. Transferência internacional

Os dados ficam armazenados no Brasil. A Resend e a Anthropic podem tratar dados nos Estados Unidos; essas transferências seguem o capítulo V da LGPD, com cláusulas contratuais dos fornecedores.

7. Fim do contrato

Ao fim do contrato, a controladora pode baixar a exportação completa (planilhas e fotos) por 30 dias. Depois disso, a operadora apaga os dados, exceto o que a lei obrigar a guardar, e confirma por escrito se a controladora pedir.

8. Auditoria

A controladora pode pedir informações para verificar o cumprimento deste termo, com aviso prévio razoável. A operadora responde por escrito em até 15 dias.

9. Contato

Encarregado de dados da operadora: privacidade@quadrelo.com.br.