Acordo de Tratamento de Dados Pessoais (DPA)

1. Papéis

Para os dados pessoais que a CONTRATANTE cadastra no Serviço (funcionários, responsáveis técnicos, signatários, participantes de treinamentos, contatos de terceirizados), a CONTRATANTE é a CONTROLADORA e a Regularize é a OPERADORA. Para os dados da conta do usuário e do faturamento, a Regularize é controladora (ver Política de Privacidade).

2. Instruções e finalidade

A OPERADORA trata os dados exclusivamente para prestar o Serviço conforme o contrato e as instruções documentadas da CONTROLADORA (configurações e ações realizadas no próprio Serviço). Não usa os dados para finalidade própria, salvo obrigações legais, hipótese em que informará a CONTROLADORA, se permitido.

3. Natureza dos dados e titulares

• Titulares: colaboradores, responsáveis técnico e legal, signatários de documentos, participantes de treinamentos, contatos de prestadores.
• Categorias: identificação (nome, CPF, e-mail, cargo, registro em conselho), rubrica desenhada, dados de assinatura (IP, data/hora, navegador), presença em treinamentos, fotos de ambientes em simulações de inspeção.
• Dados sensíveis: o Serviço não se destina a dados de saúde de pacientes; a CONTROLADORA se compromete a não os inserir além do estritamente necessário.

4. Medidas de segurança

Controle de acesso por estabelecimento e papel aplicado no servidor; arquivos privados com links temporários; trilha de auditoria imutável; hash e códigos de verificação nas assinaturas; backups semanais; transporte cifrado; segregação lógica entre clientes; princípio do menor privilégio para a equipe da OPERADORA, que só acessa dados de clientes para suporte solicitado ou manutenção, com registro.

5. Suboperadores

A CONTROLADORA autoriza os suboperadores listados na Política de Privacidade (hospedagem, IA, e-mail, pagamento). Mudanças serão comunicadas com 15 dias de antecedência, podendo a CONTROLADORA se opor por motivo razoável e, se não houver solução, rescindir sem multa.

6. Direitos dos titulares e apoio

A OPERADORA fornece ferramentas para que a CONTROLADORA atenda os titulares (edição, exclusão com lixeira, exportação completa, log de auditoria) e prestará apoio adicional em até 10 dias quando solicitado. Requisições recebidas diretamente de titulares serão encaminhadas à CONTROLADORA.

7. Incidentes

A OPERADORA comunicará à CONTROLADORA incidentes de segurança que envolvam seus dados em até 72 horas do conhecimento, com a natureza do incidente, dados e titulares afetados, medidas adotadas e recomendações.

8. Transferência internacional

Os suboperadores podem processar dados nos Estados Unidos e na União Europeia, sob cláusulas contratuais de proteção (LGPD, art. 33, II).

9. Retenção e devolução

Ao término do contrato, os dados ficam disponíveis para exportação por 90 dias e são então eliminados, exceto o que deve ser retido por obrigação legal: documentos assinados, trilhas de assinatura e log de auditoria, por 5 anos, bloqueados e inacessíveis aos usuários.

10. Auditoria

A CONTROLADORA pode solicitar, uma vez por ano e com 30 dias de antecedência, informações e evidências razoáveis sobre o cumprimento deste DPA (políticas, relatórios de fornecedores, descrição de controles), respeitada a confidencialidade de outros clientes.

11. Aceite

Este DPA é aceito eletronicamente pelo Dono do estabelecimento no Serviço, com registro de versão, data/hora e IP, e vale para todos os estabelecimentos de que ele seja dono.