Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados integra os Termos de Uso e regula o tratamento de dados pessoais que o Pedcota faz em nome das empresas clientes, nos termos dos arts. 37 a 40 da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).

1. Partes e objeto

• Controlador: a empresa cliente que usa o Pedcota para cotar compras e gerar pedidos, representada por quem aceitou os Termos de Uso.
• Operador: o Pedcota.

O objeto é o tratamento de dados pessoais necessário para prestar o serviço descrito nos Termos de Uso: cadastro de fornecedores, cotações, respostas, mapa de comparação, pedidos, preços de referência, notificações e análises.

2. Papéis

Nos dados que o Controlador insere ou recebe por meio do Pedcota (fornecedores, cotações, respostas, pedidos, anexos e dados da equipe), o cliente é o controlador e o Pedcota é o operador. Nos dados de cadastro e acesso dos usuários, de cobrança e de segurança da plataforma, o Pedcota é controlador, conforme a Política de Privacidade.

As mensagens de WhatsApp são enviadas pelo próprio Controlador, do WhatsApp dele. O Pedcota não envia, não recebe e não acessa essas conversas; o uso do WhatsApp segue os termos que o Controlador aceitou com o provedor do aplicativo.

3. Instruções do Controlador

O Operador trata os dados apenas para prestar o serviço e conforme as instruções documentadas do Controlador. São instruções os Termos de Uso, este Acordo e as ações feitas pelos usuários na plataforma, como cadastrar um fornecedor, enviar uma cotação, gerar um pedido ou excluir um dado.

O Operador não vende os dados, não os usa para fins próprios nem para treinar modelos de inteligência artificial e avisa o Controlador se entender que uma instrução viola a LGPD.

4. Dados, titulares e finalidade

Finalidade: organizar e enviar cotações, receber e comparar respostas, gerar e acompanhar pedidos, buscar preços de referência e fornecedores, avisar a equipe e gerar análises de compras. Duração: enquanto a conta do Controlador existir, observada a seção 13. O Controlador não deve inserir dados pessoais sensíveis (art. 5º, II, da LGPD) nem dados de crianças e adolescentes, que não são necessários ao serviço.

5. Deveres do Controlador

• ter base legal para tratar os dados dos fornecedores e dos usuários que cadastra;
• informar os titulares sobre o tratamento, quando exigido;
• respeitar a marcação “não contatar” feita pelo fornecedor no link da cotação e não usar outros meios para contornar o pedido;
• manter atualizados os dados que cadastra e controlar quem tem acesso à sua equipe.

6. Confidencialidade

O acesso aos dados do Controlador pelo pessoal do Operador é restrito a quem precisa dele para operar, dar suporte ou corrigir falhas, sob dever de confidencialidade. Ações do suporte sobre empresas e usuários ficam registradas com autor e data, e esse registro entra na exportação de dados do Controlador.

7. Medidas de segurança

• conexões criptografadas (HTTPS) e senhas guardadas apenas como hash;
• isolamento dos dados por empresa, conferido no servidor em toda leitura e escrita, com testes automatizados;
• papéis na equipe (Proprietário, Administrador e Membro), com permissões diferentes;
• links de resposta e de pedido com código aleatório e limite de tentativas por período; o link de resposta tem validade limitada;
• captcha e limite de cadastros para conter contas em massa;
• registro de erros e cópias de segurança cifradas, guardadas por até 7 dias.

8. Suboperadores

O Controlador autoriza o Operador a contratar os suboperadores listados na seção de operadores da Política de Privacidade, sob contrato com obrigações de proteção de dados equivalentes às deste Acordo. A inclusão ou a troca de um suboperador é avisada por e-mail ou no sistema com pelo menos 15 dias de antecedência. Se o Controlador discordar por motivo justificado de proteção de dados, pode encerrar a conta antes da mudança, sem multa.

9. Transferência internacional

Parte dos suboperadores armazena ou processa dados nos Estados Unidos. A transferência se apoia nas hipóteses do art. 33 da LGPD, com cláusulas contratuais de proteção, e segue a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD).

10. Apoio aos direitos dos titulares

Pedidos de titulares sobre dados do Controlador que chegarem ao Operador são encaminhados ao Controlador, que responde a eles. O Operador ajuda com as ferramentas da plataforma: exportação dos dados (“Baixar meus dados”), correção e exclusão de cadastros e a marcação “não contatar”.

11. Incidentes de segurança

O Operador comunica ao Controlador, pelo e-mail do proprietário da conta, incidente de segurança que afete os dados dele sem demora injustificada e em até 2 dias úteis da confirmação, para que o Controlador possa avaliar a comunicação à ANPD e aos titulares no prazo da regulamentação. A comunicação informa, na medida do que se souber, a natureza do incidente, os dados e titulares afetados, os riscos e as medidas tomadas, e é completada à medida que a apuração avança.

12. Comprovação e auditoria

O Operador fornece, a pedido do Controlador e uma vez por ano, as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo, como descrição das medidas de segurança e lista atualizada de suboperadores. Auditorias adicionais dependem de acordo prévio sobre escopo, data, confidencialidade e custos.

13. Devolução e eliminação

Antes de encerrar a conta, o Controlador pode baixar os dados em “Configurações > Perfil > Privacidade” e os pedidos em PDF. Com a exclusão da conta, os dados do Controlador são eliminados da plataforma em até 30 dias, inclusive das cópias de segurança, salvo o que a lei obrigar a guardar.

14. Responsabilidade

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. As limitações de responsabilidade dos Termos de Uso valem para este Acordo, exceto quando a lei não as admitir.

15. Vigência e prevalência

Este Acordo vale enquanto o Controlador usar o Pedcota e, depois disso, até a eliminação dos dados. Em conflito com os Termos de Uso sobre proteção de dados, prevalece este Acordo. Empresas que precisem de uma via assinada podem pedir pelo e-mail privacidade@pedcota.com.br.