Anexo de Tratamento de Dados

Este anexo rege o tratamento de dados pessoais de TERCEIROS que o cliente cadastra no Absoluto: colaboradores, dependentes, sócios, clientes e fornecedores das entidades que ele atende.

Controlador é o cliente, isto é, o escritório de contabilidade ou a empresa que usa o Absoluto. É ele quem decide quais dados coletar, de quem e para quê, e é dele a relação com os titulares.

Operadora é a ShiftCore Tech LTDA, CNPJ 68.159.009/0001-83, Rua Conceição, 233, pavimento 9, sala 916, Centro, Campinas, São Paulo, que trata esses dados em nome do controlador e conforme as instruções dele (LGPD, art. 5º, VI e VII, e art. 39).

Para os dados da conta de acesso do próprio usuário (nome, e-mail, cobrança da assinatura), a ShiftCore Tech LTDA é controladora, e aí vale a Política de Privacidade.

A operadora trata os dados exclusivamente para prestar o serviço contratado: escrituração contábil e fiscal, folha de pagamento, geração e transmissão de obrigações acessórias e de eventos do eSocial, emissão de guias e relatórios, e as funcionalidades de apoio da plataforma.

O tratamento dura enquanto durar o contrato, e depois dele apenas pelos prazos de guarda obrigatória indicados no item 8.

A operadora trata os dados somente conforme as instruções documentadas do controlador. As instruções são, em primeiro lugar, o uso das funcionalidades da plataforma: cada ação que o cliente executa na tela é uma instrução dele. Instruções adicionais podem ser enviadas por escrito para suporte@absoluto.app.

A operadora não usa os dados do controlador para finalidade própria, não os comercializa, não os cede a terceiros fora do item 5 e não os usa para treinar modelos de inteligência artificial.

Se uma instrução do controlador parecer contrária à LGPD, a operadora informa o controlador e pode deixar de executá-la (LGPD, art. 39, combinado com o art. 42, §1º).

A operadora mantém sigilo sobre os dados, inclusive após o fim do contrato, e garante que quem tem acesso a eles está obrigado ao mesmo sigilo. O acesso interno é concedido apenas a quem precisa dele para operar e manter o serviço.

O controlador autoriza a operadora a contratar suboperadores para a infraestrutura e os serviços de apoio necessários ao funcionamento da plataforma. A operadora impõe a eles obrigações de proteção compatíveis com as deste anexo e responde pela atuação deles perante o controlador.

Suboperadores em uso nesta data:

• Supabase: banco de dados, autenticação e arquivos (Estados Unidos).
• Lovable: hospedagem da aplicação, envio de e-mail e intermediação do assistente de IA (Estados Unidos).
• Google: modelo de linguagem do assistente de IA e fontes do site (Estados Unidos).
• Stripe: cobrança da assinatura (Estados Unidos).
• Serpro: API Integra Contador, para consultar e transmitir à Receita Federal (Brasil).
• BrasilAPI e CNPJá: consulta pública de CNPJ no cadastro de entidades (Brasil).

A lista é mantida atualizada nesta página. Entrando um suboperador novo, a versão deste anexo sobe e o cliente é avisado dentro do sistema, podendo rescindir sem ônus se não concordar.

Parte dos suboperadores está fora do Brasil, como indicado no item 5. A transferência se apoia nas cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024 ou em outra hipótese dos arts. 33 a 36 da LGPD, conforme o fornecedor.

O assistente de inteligência artificial é o único recurso que envia conteúdo das entidades para processamento fora do Brasil, e só quando é usado. Nenhuma outra funcionalidade depende dele: o controlador que não quiser esse processamento basta não usar o assistente.

A operadora adota as medidas do art. 46 da LGPD, entre elas: comunicação cifrada (HTTPS), comunicação com órgãos públicos por TLS mútuo com o certificado da própria entidade, senha de certificado digital guardada cifrada, isolamento por entidade no banco de dados, de modo que cada usuário só alcança as entidades a que tem acesso vigente, e armazenamento privado de arquivos.

A operadora mantém registro das operações de tratamento (LGPD, art. 37) e avalia periodicamente as medidas adotadas.

Encerrado o contrato, o controlador pode exportar os dados pela própria plataforma, em Configurações. Passado o período de exportação acordado, a operadora elimina os dados, salvo os que a lei obriga a guardar, pelos prazos abaixo. Durante esses prazos, o sistema recusa a exclusão, porque eliminar antes tira do controlador a prova que a lei exige dele.

• Escrituração contábil: lançamentos, razão, balanços: 10 anos do encerramento do exercício. Código Civil, art. 1.194, combinado com o prazo de prescrição do art. 205.
• Documentos fiscais: notas, SPED, declarações, guias: 5 anos do primeiro dia do exercício seguinte ao do lançamento. CTN, art. 173, I e art. 174 (decadência e prescrição tributária).
• Folha de pagamento, holerites, afastamentos, férias e rescisões: 5 anos do fim do contrato de trabalho. CF, art. 7º, XXIX, e CLT, art. 11 (prescrição trabalhista).
• Contribuições previdenciárias e eventos do eSocial: 5 anos do primeiro dia do exercício seguinte ao da competência. Lei 8.212/1991, art. 32, §11, e CTN, art. 173, I.
• FGTS: depósitos e comprovantes: 5 anos do depósito. STF, ARE 709.212 (prescrição quinquenal), e Lei 8.036/1990, art. 23, §5º.
• Protocolos e XML transmitidos a órgãos públicos: 5 anos da transmissão. Acompanha o prazo do documento que comprovam (CTN, art. 173, I).
• Registro de incidentes de segurança: 5 anos do registro do incidente. Resolução CD/ANPD 15/2024, art. 10.
• Aceite dos Termos e da Política de Privacidade: 5 anos do encerramento da conta. Prova da relação de consumo (CDC, art. 27) e prestação de contas (LGPD, art. 6º, X).
• Perguntas ao assistente de IA e auditoria de uso: 1 anos da pergunta. Sem obrigação legal: prazo próprio, para apurar abuso e erro (LGPD, art. 15, I).

O pedido de um titular sobre dados de colaborador, sócio ou cliente de uma entidade é dirigido ao controlador, que é quem tem a relação com ele. A operadora dá ao controlador os meios para atender: exportação, correção e eliminação pela própria plataforma, e apoio adicional quando o caso exigir, pelo canal privacidade@absoluto.app.

Recebendo um pedido de titular diretamente, a operadora não responde no lugar do controlador: encaminha a ele em até 5 dias úteis. O mesmo vale para requisição da Autoridade Nacional de Proteção de Dados ou de outra autoridade.

A operadora comunica ao controlador qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em até 24 horas da ciência, com o que se souber até ali, e completa a informação conforme apurar.

A comunicação à ANPD e aos titulares cabe ao controlador, nos prazos da Resolução CD/ANPD nº 15/2024, e a operadora o apoia com as informações e evidências de que dispuser. A operadora mantém registro de todos os incidentes, comunicados ou não, pelo prazo da mesma resolução.

A operadora disponibiliza ao controlador, mediante pedido fundamentado e com antecedência razoável, as informações necessárias para demonstrar o cumprimento deste anexo, como o registro de operações de tratamento, a lista de suboperadores e a descrição das medidas de segurança. Auditoria presencial ou acesso a ambientes de terceiros não está incluída.

Cada parte responde pelos danos que causar no âmbito das suas próprias atribuições, nos termos dos arts. 42 a 44 da LGPD. O controlador responde pela licitude da coleta, pela base legal e pela informação aos titulares dos dados que cadastra; a operadora responde por tratar fora das instruções recebidas ou por descumprir as obrigações deste anexo.

Os limites de responsabilidade dos Termos de Uso aplicam-se também a este anexo, no que não contrariar norma de ordem pública.

Este anexo vigora enquanto durar o contrato e, nas obrigações de sigilo e de guarda, enquanto durarem os prazos do item 8. Alterações sobem a versão e são comunicadas dentro do sistema, para aceite.

Aplica-se a lei brasileira e o foro de Campinas, São Paulo, com a ressalva do art. 101, I do Código de Defesa do Consumidor quando o cliente for consumidor.

Encarregado pelo tratamento de dados pessoais da operadora: Caio Barros, caio@shiftcore.io.