Esta Política LGPD para Operadores (“Política”) aplica-se à GARGO TECH S.A., sociedade por ações de capital fechado inscrita no CNPJ/MF sob nº 51.066.584/0001-39, gestora da plataforma OPENI (“OPENI”), seus administradores, colaboradores, prestadores de serviços, parceiros, fornecedores e terceiros autorizados, conforme o contexto aplicável.
Esta Política estabelece diretrizes para situações em que a OPENI trate Dados Pessoais na qualidade de Operadora, Suboperadora ou prestadora de serviços em nome de Clientes Controladores.
Este documento possui natureza institucional e deve ser interpretado em conjunto com os contratos, políticas, procedimentos internos, anexos técnicos e demais documentos aplicáveis da OPENI.
Cláusula Primeira: Do Papel da OPENI
1.1A OPENI poderá atuar como Operadora quando tratar Dados Pessoais em nome do Cliente Controlador, conforme contrato, DPA, documentação técnica, instruções documentadas e finalidade dos Produtos e Serviços contratados.
1.2A OPENI poderá atuar como Controladora em situações específicas, como gestão de usuários próprios, relacionamento comercial, faturamento, compliance, segurança, prevenção a fraude, suporte, melhoria de seus próprios canais e administração de sua operação.
1.3A definição do papel da OPENI deverá considerar o contexto do tratamento, a finalidade determinada, o grau de decisão sobre meios essenciais e as orientações da ANPD sobre agentes de tratamento.
Cláusula Segunda: Dos Tratamentos em Nome do Cliente
2.1Os tratamentos realizados como Operadora poderão envolver Plataforma, APIs, webhooks, Integrações, Open Finance, documentos fiscais eletrônicos, ERPs, OCR, IA, classificação, conciliação, logs, suporte, implantação e Serviços Profissionais.
2.2O Cliente é responsável por assegurar base legal, transparência, informações aos titulares, autorizações, consentimentos, permissões de Open Finance, credenciais, procurações eletrônicas, certificados digitais e demais requisitos necessários ao tratamento dos dados disponibilizados à OPENI.
2.3A OPENI tratará Dados Pessoais conforme escopo contratado e não deverá utilizar dados tratados como Operadora para finalidade própria incompatível com contrato, DPA, instrução documentada ou legislação aplicável.
Cláusula Terceira: De Instruções, Limites e Cooperação
3.1Instruções do Cliente deverão ser lícitas, documentadas, compatíveis com o contrato e tecnicamente viáveis, cabendo à OPENI solicitar esclarecimentos quando houver dúvida material sobre escopo, finalidade, segurança ou legalidade.
3.2A OPENI poderá cooperar com o Cliente em solicitações de titulares, relatórios, auditorias, comunicações à ANPD, avaliações de impacto e esclarecimentos de proteção de dados, observados escopo, confidencialidade, viabilidade técnica e custos aplicáveis.
3.3A OPENI cooperará com o Cliente para atendimento dos direitos dos titulares, observados o contrato, o DPA, a legislação aplicável e a responsabilidade do Cliente como Controlador.
3.4Solicitações de titulares recebidas pela OPENI enquanto Operadora deverão ser direcionadas ao Cliente Controlador, salvo quando houver obrigação legal ou instrução documentada em sentido diverso.
Cláusula Quarta: De Segurança, Subprocessadores e Transferências
4.1A OPENI adotará medidas técnicas e organizacionais compatíveis com a natureza dos Dados Pessoais, incluindo controles de acesso, segregação, logs, proteção de credenciais, segurança de Integrações, gestão de vulnerabilidades, backup e resposta a incidentes, conforme documentos internos aplicáveis.
4.2Subprocessadores poderão ser utilizados para infraestrutura, hospedagem, comunicação, suporte, fiscal, analytics, segurança, desenvolvimento ou outros serviços necessários à execução dos Produtos e Serviços, observada a Lista de Subprocessadores e o DPA aplicável.
4.3Transferências internacionais, quando ocorrerem, deverão observar mecanismo legal aplicável, contrato, DPA, instruções do Controlador, cláusulas contratuais, decisão de adequação ou outro instrumento pertinente.
Cláusula Quinta: De Incidentes e Comunicação
5.1Incidentes de segurança envolvendo Dados Pessoais tratados em nome do Cliente deverão ser avaliados e comunicados ao Cliente conforme DPA, contrato, Plano de Resposta a Incidentes, informações disponíveis e legislação aplicável.
5.2Quando a OPENI atuar como Operadora, a decisão sobre comunicação à ANPD e aos titulares caberá, em regra, ao Cliente Controlador, sem prejuízo da cooperação razoável da OPENI com informações sob sua esfera de controle.
5.3A comunicação de incidentes deverá considerar a Resolução CD/ANPD nº 15/2024, os riscos ou danos relevantes aos titulares, a natureza dos dados, as medidas adotadas e as responsabilidades das partes.
Cláusula Sexta: De Retenção, Exclusão e Devolução
6.1Ao término do contrato ou da finalidade aplicável, Dados Pessoais tratados em nome do Cliente poderão ser devolvidos, excluídos, anonimizados ou retidos conforme contrato, DPA, Política de Retenção e Descarte, backup, logs, obrigações legais e limitações técnicas.
6.2Backups, logs e registros técnicos poderão seguir ciclos próprios de retenção, descarte e restrição de acesso, sem uso para finalidade incompatível.