Adendo de Tratamento de Dados

1. Papéis

Quanto aos dados de cada CNPJ que você conecta, você (ou a sua empresa) é o controlador e a Composenz é a operadora, na forma da LGPD. Este adendo é parte dos Termos de Uso de todo cliente empresarial. Uma via assinada para os seus registros está disponível mediante pedido em david@composenz.com.

2. O que tratamos e por quê

Objeto: registros financeiros, em modo somente leitura, dos CNPJs que você conecta. Finalidade: consolidar o grupo e gerar os Resultados e relatórios escritos. Duração: enquanto a sua conta estiver ativa. Natureza: tratamento automatizado por um motor determinístico mais uma camada de narrativa; não há decisão automatizada com efeito jurídico, e cada resultado é revisado e assinado pelo contador responsável técnico (CRC).

3. Os nossos compromissos como operadora

Tratamos os dados apenas conforme as suas instruções documentadas (usar o serviço é a instrução). Mantemos a equipe vinculada a sigilo. Implementamos as medidas técnicas e organizacionais descritas na página de Segurança e na Política de Privacidade — acesso somente leitura, criptografia de envelope das credenciais de acesso, isolamento por cliente na camada de banco de dados, criptografia em trânsito e em repouso, acesso de privilégio mínimo. Não usamos os seus dados para treinar modelos. Auxiliamos no atendimento de pedidos de titulares e em notificações de incidente, e avisamos você sem demora indevida após tomarmos ciência de um incidente de segurança que afete os seus dados pessoais.

4. Suboperadores

Usamos os suboperadores listados na página de Suboperadores sob termos escritos de proteção de dados. Avisamos os clientes com antecedência antes de adicionar ou substituir suboperadores que tratem dados financeiros; se você se opuser por motivos razoáveis de proteção de dados, poderá encerrar o serviço afetado.

5. Transferências, auditorias e eliminação

As transferências internacionais apoiam-se em salvaguardas reconhecidas, como cláusulas contratuais padrão, na forma da LGPD. Disponibilizamos as informações razoavelmente necessárias para demonstrar conformidade e respondemos a questionários de segurança dos clientes diretamente.

No encerramento, ou quando você desconecta uma fonte, apagamos os dados correspondentes em até 30 dias do pedido, exceto quando a lei exigir retenção. A sua escrituração nas suas próprias fontes nunca é afetada.