Política de Retenção e Descarte

Esta Política de Retenção e Descarte (“Política”) aplica-se à GARGO TECH S.A., sociedade por ações de capital fechado inscrita no CNPJ/MF sob nº 51.066.584/0001-39, gestora da plataforma OPENI (“OPENI”), aos seus Produtos e Serviços, Plataforma, Site e Canais Oficiais, bem como aos Usuários, Clientes, Controladores, administradores, colaboradores, prestadores de serviços, parceiros, fornecedores e terceiros autorizados, conforme o contexto aplicável.

Esta Política estabelece diretrizes para retenção, conservação, anonimização, eliminação e descarte seguro de Dados Pessoais, Dados do Cliente, documentos, registros, logs, metadados, arquivos digitais, documentos físicos, informações operacionais e demais informações tratadas pela OPENI no âmbito de seus Produtos e Serviços.

Quando a OPENI atuar como Operadora, a retenção, eliminação ou devolução de Dados Pessoais observará o contrato aplicável, o Data Processing Agreement, as instruções documentadas do Cliente Controlador, a legislação aplicável e as limitações técnicas e operacionais pertinentes. Quando atuar como Controladora, a OPENI observará sua Política de Privacidade e demais documentos aplicáveis.

A utilização da Plataforma, Site, Produtos, Serviços ou Canais Oficiais da OPENI implica ciência desta Política, sem prejuízo da aplicação dos Termos de Uso, contratos, DPAs, Política de Privacidade, obrigações legais, regulatórias, fiscais, contábeis, contratuais, técnicas e operacionais e demais documentos aplicáveis.

Dúvidas, solicitações, pedidos de esclarecimento ou exercício de direitos relacionados à retenção, exclusão, anonimização, limitação de uso, devolução, conservação ou descarte de dados, documentos e informações poderão ser encaminhados à OPENI por meio dos Canais Oficiais indicados nesta Política, no Site ou em outro documento aplicável.

Cláusula Primeira: Do Objeto

1.1Esta Política tem por objeto estabelecer critérios gerais para retenção, conservação, anonimização, eliminação, descarte e restrição de uso de Dados, Informações e Registros tratados pela OPENI no contexto de seus Produtos e Serviços.

1.2As disposições desta Política não substituem contratos, anexos técnicos, instruções documentadas do Cliente Controlador, obrigações legais, regulatórias ou fiscais, políticas específicas ou procedimentos operacionais internos aplicáveis.

1.3Esta Política deverá ser interpretada em conjunto com a Política de Privacidade, os Termos de Uso, o Data Processing Agreement, a Política LGPD para Operadores, a Política de Segurança da Informação, a Política de Backup, a Política de Logs e Auditoria e demais documentos institucionais da OPENI.

Cláusula Segunda: Da Abrangência

2.1Esta Política aplica-se aos Dados, Informações e Registros tratados no âmbito da Plataforma, APIs, webhooks, Integrações, conectores, Open Finance, documentos fiscais eletrônicos, ERPs, OCR, recursos de inteligência artificial, classificação, conciliação, reconciliação, suporte, implantação, Serviços Profissionais, ambientes internos e demais soluções tecnológicas disponibilizadas pela OPENI.

2.2A abrangência desta Política inclui arquivos digitais, bases de dados, logs, metadados, documentos, relatórios, comunicações, tickets de suporte, registros operacionais, credenciais, certificados, tokens, mídias, equipamentos, dispositivos corporativos, documentos físicos e demais suportes que contenham ou possam conter informações relacionadas às atividades da OPENI.

2.3A aplicação desta Política observará a natureza da informação, a finalidade do tratamento, o escopo contratado, a posição da OPENI como Controladora ou Operadora, as instruções do Cliente Controlador, os requisitos legais, regulatórios, fiscais, contratuais e operacionais aplicáveis e a esfera de controle da OPENI.

Cláusula Terceira: Dos Princípios de Retenção e Descarte

3.1A retenção e o descarte de Dados, Informações e Registros pela OPENI são orientados pelos princípios da finalidade, necessidade, adequação, minimização, segurança, prevenção, confidencialidade, rastreabilidade, responsabilização e prestação de contas.

3.2A OPENI busca reter informações somente pelo período necessário ao cumprimento de finalidades legítimas, obrigações legais, regulatórias, fiscais, contratuais, operacionais, de segurança, auditoria, prevenção a fraudes, exercício regular de direitos ou atendimento a instruções documentadas do Cliente Controlador.

3.3A retenção de informações não autoriza sua utilização para finalidades incompatíveis com os documentos aplicáveis, com as bases legais pertinentes ou com as instruções documentadas recebidas pela OPENI, quando atuar como Operadora.

Cláusula Quarta: Das Categorias de Dados, Informações e Registros

4.1Os Dados, Informações e Registros abrangidos por esta Política podem incluir, entre outros, Dados do Cliente, Dados Pessoais, dados financeiros, fiscais, contábeis e operacionais, dados obtidos por Open Finance, documentos fiscais, comprovantes, extratos, transações, saldos, investimentos, logs, metadados, credenciais, certificados, chaves, tokens, webhooks, bases de apoio, resultados de OCR, classificações, conciliações, reconciliações, informações derivadas de integrações com terceiros, contratos, propostas, registros de suporte e comunicações.

4.2A OPENI poderá tratar dados sensíveis ou informações sujeitas a maior restrição quando tais informações forem fornecidas pelo Cliente, Usuário, Controlador ou terceiro autorizado, ou quando forem necessárias ao cumprimento de obrigação legal, regulatória, contratual, operacional ou de segurança.

4.2.1Credenciais, certificados digitais, tokens, chaves de acesso, client IDs, client secrets e demais elementos de autenticação ou autorização deverão ser tratados como informações de acesso restrito, sujeitas a controles proporcionais ao risco e ao contexto de utilização.

Cláusula Quinta: Dos Critérios de Retenção

5.1Os prazos e critérios de retenção serão definidos conforme a natureza da informação, a finalidade do tratamento, a base legal aplicável, o contrato vigente, as instruções do Cliente Controlador, obrigações legais, regulatórias, fiscais e contábeis, requisitos de segurança, auditoria, continuidade operacional, suporte, prevenção a fraudes e exercício regular de direitos.

5.2A OPENI poderá manter determinados registros após o encerramento da relação contratual ou da conta do Usuário quando a retenção for necessária para cumprimento de obrigação legal ou regulatória, preservação de evidências, prevenção a fraudes, segurança da informação, auditoria, defesa de direitos, atendimento a autoridades ou execução de instruções documentadas do Cliente Controlador.

5.3Encerrada a relação contratual ou desativado o acesso do Cliente aos Produtos e Serviços, a OPENI avaliará os Dados, Informações e Registros vinculados ao respectivo relacionamento e adotará, conforme aplicável, medidas de devolução, exclusão, anonimização, restrição de uso ou retenção limitada, observadas as obrigações legais, regulatórias, fiscais, contratuais, operacionais, de segurança, auditoria e exercício regular de direitos.

5.4Quando não houver obrigação de retenção, necessidade operacional legítima, instrução documentada aplicável ou justificativa de segurança, a OPENI poderá promover a exclusão, anonimização, agregação, descaracterização, bloqueio, restrição de uso ou descarte das informações, conforme o caso.

Cláusula Sexta: Da Matriz Referencial de Retenção e Descarte

6.1A matriz abaixo possui natureza referencial e poderá ser ajustada conforme contratos, anexos técnicos, DPAs, instruções documentadas, obrigações legais, regulatórias, fiscais, contábeis, operacionais, requisitos de segurança, ciclos técnicos de armazenamento e demais condições aplicáveis.

6.1.1A matriz de retenção deverá observar, sempre que aplicável, prazos mínimos legais e operacionais conhecidos, incluindo, entre outros: registros fiscais, contábeis e tributários pelo prazo mínimo de 5 (cinco) anos; documentos trabalhistas pelo prazo mínimo de 5 (cinco) anos, ou prazo superior quando exigido pela natureza do documento, obrigação previdenciária, de saúde e segurança, auditoria ou risco aplicável; e registros de acesso a aplicações de internet pelo prazo mínimo de 6 (seis) meses, nos termos do Marco Civil da Internet.

Matriz Referencial de Retenção e Descarte

Cláusula Sétima: Dos Procedimentos de Descarte

7.1O descarte de Dados, Informações e Registros deverá observar procedimento compatível com a natureza da informação, o suporte utilizado, o grau de sensibilidade, o risco envolvido, o contexto de tratamento e as obrigações aplicáveis à OPENI.

7.1.1Antes do descarte, a OPENI poderá avaliar a existência de obrigação legal, regulatória, fiscal, contratual, ordem de autoridade, instrução documentada do Cliente Controlador, necessidade de auditoria, investigação, resposta a incidente, exercício regular de direitos ou outra hipótese que justifique a retenção ou suspensão temporária do descarte.

7.1.2O descarte poderá ocorrer por exclusão lógica, anonimização, agregação, descaracterização, sobrescrita, expurgo, sanitização, fragmentação, inutilização física, eliminação segura ou outro método tecnicamente compatível com a informação e com o suporte utilizado.

7.1.3Quando o descarte envolver documentos físicos, mídias removíveis, equipamentos, discos, dispositivos ou suportes de armazenamento, a OPENI adotará medidas proporcionais para evitar recuperação indevida, acesso não autorizado, exposição acidental ou reutilização incompatível das informações.

7.1.4A OPENI poderá manter registros internos ou evidências compatíveis com a natureza do descarte realizado, especialmente quando houver envolvimento de Dados do Cliente, Dados Pessoais, informações confidenciais, solicitações de titulares, instruções de Controlador, obrigações contratuais ou requisitos de auditoria.

Cláusula Oitava: De Backups, Logs e Registros Técnicos

8.1Backups, logs, metadados, registros técnicos e cópias de segurança poderão observar ciclos próprios de retenção, expurgo, sobrescrita ou eliminação, conforme a arquitetura dos Produtos e Serviços, a Política de Backup, a Política de Logs e Auditoria, requisitos de segurança, continuidade operacional, investigação de incidentes e limitações técnicas aplicáveis.

8.1.1A exclusão de informações em bases ativas não necessariamente implicará eliminação imediata de cópias residuais existentes em backups, logs ou registros técnicos, as quais poderão ser mantidas de forma restrita até o encerramento do respectivo ciclo técnico, desde que não sejam utilizadas para finalidades incompatíveis.

8.2Logs e registros técnicos poderão ser preservados pelo período necessário à segurança da informação, rastreabilidade, auditoria, diagnóstico de falhas, resposta a incidentes, prevenção a fraudes, cumprimento de obrigações legais ou regulatórias e exercício regular de direitos.

Cláusula Nona: De Legal Hold e Suspensão de Descarte

9.1A OPENI poderá suspender temporariamente o descarte, eliminação, anonimização ou sobrescrita de Dados, Informações e Registros quando houver litígio, investigação, auditoria, incidente de segurança, solicitação de autoridade, obrigação legal ou regulatória, risco relevante, exercício regular de direitos ou outra justificativa documentada.

9.1.1Durante o período de suspensão, as informações deverão ser preservadas de forma compatível com sua natureza, observados controles de acesso, confidencialidade, integridade, rastreabilidade e limitação de uso.

9.1.2Encerrada a causa que motivou a suspensão, a OPENI poderá retomar o fluxo de retenção, descarte, anonimização, eliminação ou restrição de uso aplicável, conforme os critérios desta Política e dos documentos relacionados.

Cláusula Décima: Das Responsabilidades

10.1A administração da OPENI é responsável por apoiar a adoção desta Política e promover diretrizes compatíveis com a proteção das informações, a conformidade regulatória e a continuidade dos Produtos e Serviços.

10.2As áreas técnicas, de produto, operações, segurança, suporte, jurídico, compliance e demais áreas envolvidas deverão observar esta Política no tratamento, retenção, descarte, restrição de uso e documentação de informações sob sua responsabilidade.

10.3Colaboradores, prestadores de serviços, parceiros, fornecedores e terceiros autorizados deverão utilizar, armazenar, transferir, reter e descartar informações apenas nos limites de suas atribuições, autorizações, contratos, políticas internas e instruções recebidas.

10.3.1Suboperadores, fornecedores e terceiros que tratem informações em nome da OPENI deverão observar obrigações contratuais, técnicas e organizacionais compatíveis com a natureza das informações tratadas e com os requisitos aplicáveis de confidencialidade, segurança, retenção e descarte.

Cláusula Décima Primeira: Das Solicitações, Canais e Cooperação

11.1Solicitações relacionadas à retenção, eliminação, anonimização, devolução, restrição de uso ou descarte de Dados Pessoais, Dados do Cliente ou demais informações deverão ser encaminhadas pelos Canais Oficiais da OPENI, acompanhadas das informações necessárias para análise, autenticação, validação de legitimidade e tratamento da demanda.

11.1.1Quando a OPENI atuar como Operadora, solicitações de titulares de Dados Pessoais poderão ser encaminhadas ao Cliente Controlador responsável, sem prejuízo da cooperação da OPENI nos limites do contrato, do DPA, das instruções documentadas e da legislação aplicável.

11.1.2A OPENI poderá solicitar informações complementares para confirmar a identidade do solicitante, verificar poderes de representação, identificar a relação contratual, localizar os dados envolvidos, avaliar restrições legais ou técnicas e responder de forma adequada à solicitação.

Cláusula Décima Segunda: Dos Documentos Relacionados

12.1Esta Política é complementada, conforme aplicável, pela Política de Privacidade, Termos de Uso, Data Processing Agreement, Política LGPD para Operadores, Política de Segurança da Informação, Política de Backup, Política de Logs e Auditoria, Política de Controle de Acessos, contratos, anexos técnicos, procedimentos internos e demais documentos institucionais da OPENI.

12.2Na hipótese de conflito entre esta Política e instrumento contratual ou documento específico aplicável a determinado Cliente, Produto, Serviço ou tratamento, prevalecerá o instrumento mais específico, observada a legislação aplicável.

Cláusula Décima Terceira: Das Disposições Gerais

13.1Esta Política poderá ser revisada, atualizada ou ampliada sempre que houver alterações relevantes na legislação, nos Produtos e Serviços, na arquitetura tecnológica, nos riscos envolvidos, nos contratos, nas práticas de governança ou nos processos internos da OPENI.

13.2A inexistência, pendência de formalização ou futura revisão de documento complementar não afasta a aplicação das diretrizes gerais previstas nesta Política, nem impede a adoção de medidas técnicas, administrativas, organizacionais ou contratuais compatíveis com os riscos identificados pela OPENI.

13.3Os casos omissos serão avaliados pela OPENI conforme boa-fé, razoabilidade, legislação aplicável, contratos vigentes, instruções documentadas, práticas de segurança da informação e demais documentos institucionais.