Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados ("DPA") é celebrado entre a organização contratante do Arquivix ("controladora" ou "cliente") e o Arquivix ("operador"), nos termos dos arts. 5º, VI e VII, e 39 da Lei nº 13.709/2018 (LGPD).

Para os documentos fiscais eletrônicos e os dados pessoais neles contidos (emitentes, destinatários, transportadores e demais partes identificadas nos XMLs), o cliente é o controlador e o Arquivix atua como operador, tratando os dados exclusivamente conforme as instruções documentadas do cliente, estes Termos e a legislação aplicável. Para os dados de cadastro, uso e cobrança da plataforma, o Arquivix permanece controlador, conforme a Política de privacidade.

Este DPA regula o tratamento de dados pessoais realizado pelo operador no contexto da prestação dos serviços de captura, armazenamento, organização, manifestação e disponibilização de documentos fiscais eletrônicos descritos nos Termos de uso.

O DPA vigora enquanto durar a relação contratual entre as partes e, no que couber, até a conclusão da devolução ou eliminação dos dados prevista na cláusula 10.

O tratamento consiste no armazenamento e processamento de documentos fiscais eletrônicos (NF-e, NFC-e, CT-e, SAT-CF-e e NFS-e) obtidos da SEFAZ, do Ambiente de Dados Nacional ou importados pelo cliente, incluindo:

• captura e guarda dos XMLs oficiais, com preservação de integridade e autenticidade;
• indexação de metadados fiscais para pesquisa, relatórios e manifestação do destinatário;
• geração de representações auxiliares (DANFE/DACTE) e exportações solicitadas pelo cliente;
• manutenção de trilhas de auditoria e registros técnicos de segurança do serviço.

O operador não trata os dados para finalidade própria, não os vende e não os utiliza para publicidade ou perfilamento de titulares.

• Documentos fiscais eletrônicos: XMLs e metadados que podem conter dados pessoais de emitentes, destinatários, transportadores e responsáveis técnicos (nome, CPF/CNPJ, endereço, inscrições, contatos e dados da operação mercantil).
• Dados de usuários do cliente: nome, e-mail, papel de acesso e registros de uso dos usuários cadastrados pelo controlador na plataforma.
• Dados técnicos: logs de acesso e auditoria necessários à segurança e à comprovação da conformidade.

O serviço não é destinado ao tratamento de dados pessoais sensíveis (art. 5º, II, LGPD); eventual presença desses dados em documentos fiscais é incidental ao conteúdo emitido pelas partes da operação.

O operador compromete-se a:

• tratar os dados somente conforme as instruções documentadas do controlador, salvo quando exigido por obrigação legal, hipótese em que o controlador será informado, se permitido;
• segurança de credenciais: senhas de certificados digitais A1 cifradas com Fernet (AES) e segredos protegidos por criptografia em repouso e em trânsito;
• isolamento multi-tenant: segregação lógica dos dados por organização, com escopo de tenant aplicado em todas as consultas e caminhos de armazenamento;
• controle de acesso: autenticação por usuário e autorização baseada em papéis (RBAC), com tokens de sessão de curta duração;
• auditoria: trilhas de auditoria das operações relevantes e verificação periódica de integridade do acervo (SHA-256);
• backups: cópias criptografadas com réplica offsite para continuidade do serviço;
• retenção legal: guarda dos documentos fiscais pelo prazo de 6 (seis) anos previsto na Lei Complementar nº 166/2019, observadas as demais obrigações fiscais aplicáveis;
• eliminação com prova: eliminação dos dados ao término do tratamento, cumpridos os prazos legais de guarda, com registro comprobatório disponibilizado ao controlador;
• manter sigilo sobre os dados e garantir que as pessoas autorizadas ao tratamento estejam sob obrigação de confidencialidade.

O controlador autoriza o uso dos subprocessadores abaixo, cada um com finalidade limitada e obrigações contratuais de proteção de dados:

• Contabo (União Europeia): hospedagem da infraestrutura de computação e armazenamento dos dados da plataforma.
• Armazenamento remoto de backup (Restic, S3-compatível): réplica criptografada offsite dos dados e do acervo de XMLs.
• Stripe: processamento de cobranças e faturas da assinatura (dados de faturamento; o Arquivix não armazena cartões).

Alterações relevantes na lista de subprocessadores serão comunicadas nesta página antes da troca. A transferência internacional decorrente da hospedagem na União Europeia observa o capítulo V da LGPD, amparada em cláusulas contratuais de proteção.

O operador comunicará ao controlador, sem demora injustificada, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, com descrição da natureza dos dados afetados, medidas de mitigação adotadas e recomendações de proteção.

A comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, quando cabível, seguirá o prazo de 3 (três) dias úteis previsto na Resolução CD/ANPD nº 15/2024, cabendo ao controlador a decisão e a comunicação formais, com o apoio documental do operador.

O operador prestará assistência razoável ao controlador para o atendimento dos direitos dos titulares (art. 18 da LGPD) que digam respeito a dados tratados sob este DPA, incluindo localização, acesso e exportação dos dados, nos prazos e condições descritos na nossa página de LGPD. Solicitações podem ser registradas na área logada ou pelo e-mail [email protected].

Mediante solicitação fundamentada e com aviso prévio razoável, o operador disponibilizará ao controlador as informações necessárias para demonstrar conformidade com este DPA (políticas, registros e relatórios de segurança). Auditorias presenciais ou inspeções adicionais podem ser acordadas entre as partes, com escopo, frequência e custos definidos de comum acordo, preservados o sigilo e a segurança dos demais clientes.

Encerrada a relação contratual, o controlador poderá exportar seu acervo de documentos fiscais pelos meios disponíveis na plataforma. Após o encerramento, os dados serão eliminados em prazo razoável, respeitados os prazos legais de retenção fiscal (cláusula 5) e os ciclos de expurgo dos backups criptografados, com registro comprobatório da eliminação disponibilizado ao controlador.

Este DPA é regido pelas leis da República Federativa do Brasil, em especial a Lei nº 13.709/2018 (LGPD). Fica eleito o foro da comarca da sede do controlador para dirimir controvérsias, salvo disposição legal em contrário.