Contrato de tratamento de dados pessoais (LGPD)

1. Partes

CONTROLADORA: a empresa cadastrada no Cantevra, representada pelo proprietário da conta que aceitou este Contrato ao criar a empresa no sistema ("Controladora" ou "Empresa").

OPERADOR: Cantevra, CNPJ 66.252.822/0001-78, com sede em A PREENCHER ("Cantevra" ou "Operador").

Este Contrato integra os Termos de uso do Cantevra e vale enquanto a Empresa usar o sistema, e depois, pelo tempo necessário para cumprir as cláusulas de devolução e eliminação dos dados.

2. Objeto e definições

Este Contrato regula o tratamento de dados pessoais que o Cantevra realiza em nome da Empresa ao prestar o serviço de gestão de obras, conforme a Lei nº 13.709/2018 (LGPD).

Os termos "dado pessoal", "titular", "tratamento", "controlador", "operador", "encarregado" e "ANPD" têm o significado do art. 5º da LGPD.

O Cantevra é operador quanto aos dados pessoais colocados no sistema pela Empresa e por seus usuários. Quanto aos dados de cadastro e de cobrança dos próprios usuários do Cantevra, o Cantevra é controlador, conforme a Política de privacidade.

3. Dados e titulares tratados

Categorias de titulares: trabalhadores próprios e terceirizados da Empresa e de seus empreiteiros; usuários e convidados da Empresa; profissionais e responsáveis técnicos; fornecedores, empreiteiros e seus representantes (pessoas físicas ou de pessoas jurídicas); clientes e seus representantes, inclusive os que acessam o portal do cliente; e outras pessoas que a Empresa mencione em seus registros.

Categorias de dados, conforme o que a Empresa inserir: nome, CPF ou CNPJ, e-mail, telefone, endereço, função e vínculo, quantidade e horas de trabalhadores no diário de obra, imagens (fotos de obra, que podem conter pessoas), assinaturas, dados de contratos, medições, notas fiscais e pagamentos, e outras informações livres digitadas ou anexadas.

Fotos do diário de obra podem guardar o local onde foram tiradas (pelo GPS da foto ou do aparelho, só no momento da foto), para comprovar onde o serviço foi feito. Não há rastreamento contínuo, e o cliente da obra não vê as coordenadas.

A Empresa deve evitar inserir dados pessoais sensíveis (LGPD, art. 5º, II), como dados de saúde, salvo quando indispensável e com base legal própria, informando previamente o Cantevra. Ocorrências de acidente de trabalho, por exemplo, devem ser registradas somente com as informações necessárias.

4. Finalidade e instruções da Empresa

O Cantevra trata os dados exclusivamente para prestar o serviço contratado e segundo as instruções lícitas da Empresa, que são: este Contrato, os Termos de uso, as configurações e os comandos dados pela Empresa e por seus usuários no sistema.

O Cantevra não usará os dados para fins próprios, nem os compartilhará com terceiros, exceto os suboperadores da cláusula 6 e as hipóteses legais da cláusula 13. Se o Cantevra entender que uma instrução viola a LGPD, avisará a Empresa e poderá suspender sua execução.

A Empresa, como controladora, é responsável por ter base legal para tratar os dados que insere, por informar os titulares e por decidir sobre o que é inserido, guardado e excluído. Cabe a ela, por exemplo, tratar os dados de trabalhadores conforme a legislação trabalhista.

5. Confidencialidade

O Cantevra garante que as pessoas autorizadas a tratar os dados pessoais estão sujeitas a dever de confidencialidade e acessam os dados somente quando for necessário para operar, dar suporte ou proteger o serviço.

6. Suboperadores

A Empresa autoriza o Cantevra a contratar os suboperadores abaixo, que tratam os dados na medida do necessário para o serviço:

• Supabase: banco de dados, autenticação e armazenamento de arquivos;
• Anthropic: inteligência artificial do assistente Ton IA e do diário por voz, que recebe apenas o texto e o contexto necessários a cada consulta feita por um usuário;
• Resend: envio dos e-mails do sistema (acesso, convites e avisos);
• MEGA API: envio dos avisos por WhatsApp;
• provedores de hospedagem e de infraestrutura da aplicação.

A Stripe, instituição de pagamento, trata os dados de cobrança por conta própria; o Cantevra não envia a ela os dados das obras.

O Cantevra impõe aos suboperadores obrigações de proteção de dados compatíveis com este Contrato e responde perante a Empresa por eles. Mudanças relevantes na lista serão avisadas à Empresa pelo e-mail cadastrado ou no sistema, com antecedência razoável, para que possa se opor de forma fundamentada; não havendo solução, a Empresa pode encerrar o contrato.

7. Segurança

O Cantevra adota medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (LGPD, art. 46), incluindo: criptografia em trânsito; separação lógica dos dados de cada empresa, com regras de acesso aplicadas no banco de dados; controle de acesso por papel e por obra; registro de ações importantes para auditoria; e cópias de segurança mantidas pelo provedor de infraestrutura.

A Empresa é responsável pela segurança do que está sob o seu controle: guardar as credenciais, conceder e retirar acessos de sua equipe e proteger os aparelhos usados no aplicativo de campo.

8. Incidentes de segurança

Se o Cantevra tomar conhecimento de incidente de segurança que afete dados pessoais tratados em nome da Empresa, avisará a Empresa por e-mail, sem demora injustificada e, sempre que possível, em até 72 horas da ciência, informando o que se sabe sobre a natureza do incidente, os dados e titulares afetados, as medidas tomadas e os riscos.

Cabe à Empresa, como controladora, avaliar a comunicação à ANPD e aos titulares (LGPD, art. 48). O Cantevra colabora fornecendo as informações de que dispuser.

9. Direitos dos titulares

Se um titular pedir ao Cantevra o exercício de direitos sobre dados tratados em nome da Empresa, o Cantevra o encaminhará à Empresa e não responderá ao pedido por conta própria, salvo se a lei exigir.

Dentro do possível, o Cantevra ajudará a Empresa a atender aos pedidos dos titulares (acesso, correção, eliminação, portabilidade e demais direitos do art. 18 da LGPD), pelas funções do sistema ou por solicitação ao suporte.

10. Transferência internacional

A Empresa reconhece que os suboperadores podem tratar dados em servidores fora do Brasil. O Cantevra se compromete a que essa transferência ocorra apenas com base em um dos mecanismos permitidos pelo art. 33 da LGPD e com garantias contratuais adequadas.

11. Devolução e eliminação dos dados

Ao término do contrato, os dados ficam guardados por 90 dias, período em que a Empresa pode solicitar a exportação deles. Passado esse prazo, o Cantevra elimina ou torna anônimos os dados pessoais, inclusive de seus suboperadores, salvo quando a lei exigir a conservação.

Durante a vigência, a Empresa pode excluir ou pedir a exclusão de dados que não deseje mais manter; as cópias de segurança são eliminadas pelo ciclo normal de rotação do provedor.

12. Prestação de contas e auditoria

O Cantevra manterá registro das operações de tratamento que realizar como operador (LGPD, art. 37) e fornecerá à Empresa, a pedido razoável, as informações necessárias para demonstrar o cumprimento deste Contrato.

Auditorias presenciais ou técnicas só podem ser feitas com aviso prévio de 30 dias, em horário comercial, uma vez por ano (salvo incidente ou exigência da ANPD), sem acesso a dados de outros clientes, sob sigilo e por conta da Empresa.

13. Obrigação legal e autoridades

Se o Cantevra receber ordem judicial ou requisição de autoridade para fornecer dados tratados em nome da Empresa, avisará a Empresa antes de cumprir, quando a lei e a ordem permitirem, e fornecerá somente o que for exigido.

14. Encarregados

Encarregado do Cantevra: A PREENCHER, e-mail A PREENCHER.

O encarregado da Empresa é a pessoa que ela indicar ao Cantevra pelos canais do sistema ou por e-mail.

15. Responsabilidade

Cada parte responde pelos danos que causar em descumprimento da LGPD e deste Contrato, na forma do art. 42 e seguintes da LGPD. O operador responde solidariamente pelos danos quando descumprir a legislação ou as instruções lícitas do controlador. A limitação de responsabilidade dos Termos de uso se aplica a este Contrato na medida permitida em lei.

16. Vigência, mudanças e foro

Este Contrato começa quando o proprietário da conta o aceita, ao criar a empresa no sistema, e vale enquanto o Cantevra tratar dados em nome da Empresa. O aceite eletrônico fica registrado, com a versão do documento, a data e hora, e o endereço IP e o navegador usados.

Mudanças neste Contrato serão comunicadas à Empresa com antecedência razoável e constarão em nova versão, sempre indicada no topo desta página.

Fica eleito o foro da comarca de A PREENCHER, com renúncia a qualquer outro, por mais privilegiado que seja.