1. Para que serve este anexo
Este anexo faz parte dos Termos de uso. Ele vale para os dados pessoais que o parceiro lança ou traz para a plataforma sobre os clientes, contratantes, dependentes, sócios e empregados dele, inclusive os e-mails da caixa e as mensagens de WhatsApp que ele conecta. Para esses dados, o parceiro é o controlador e a NICOLI INFORMATICA LTDA (o fornecedor do João Online) é a operadora (LGPD, art. 5º, VI e VII, e art. 39).
2. Objeto e duração
O fornecedor trata esses dados enquanto durar o contrato com o parceiro e pelo prazo de devolução e eliminação da seção 10, só para prestar os serviços contratados: emitir e buscar documentos fiscais, cobrar, gerir contratos e assinaturas, comunicar-se com os clientes do parceiro, escriturar, apurar e transmitir obrigações.
3. Instruções do parceiro
O fornecedor trata os dados só segundo as instruções do parceiro, que são as configurações e os comandos que ele dá na plataforma (emitir, cobrar, enviar, transmitir, consultar, conectar contas) e o que for combinado por escrito. O fornecedor:
- não usa esses dados para fim próprio, não os vende e não os junta com dados de outro parceiro;
- não os usa para treinar modelos de inteligência artificial;
- avisa o parceiro se uma instrução parecer contrária à lei.
4. Responsabilidades do parceiro
Como controlador, o parceiro:
- tem base legal (LGPD, arts. 7º e 11) para cada dado que lança e para cada mensagem que envia;
- informa os titulares sobre o tratamento, como manda o art. 9º da LGPD;
- responde aos pedidos dos titulares, com a ajuda do fornecedor;
- comunica à ANPD e aos titulares os incidentes que o atinjam, quando a lei exigir.
5. Quem trata junto (suboperadores)
Para executar as instruções, a plataforma envia dados a terceiros, cada um só com o necessário. O parceiro autoriza estes suboperadores:
| Terceiro | País | Quando |
|---|---|---|
| Contabo GmbH | Alemanha | sempre: hospedagem do servidor |
| Hetzner Online GmbH | Alemanha | sempre: guarda da cópia de segurança cifrada |
| Receita Federal e Serpro, Emissor Nacional da NFS-e, prefeituras, secretarias da fazenda, eSocial, EFD-Reinf | Brasil | ao emitir, transmitir ou consultar documentos fiscais |
| Asaas, Mercado Pago, e.Rede | Brasil | quando o parceiro conecta o meio de pagamento e cobra por ele |
| Google (Gmail) | Estados Unidos e outros | quando o parceiro envia e-mails pela conta Google dele ou conecta a caixa de e-mail |
| WhatsApp (Meta) | Estados Unidos e outros | quando o parceiro conecta o número dele e troca mensagens |
| MXroute | Estados Unidos e outros | e-mails da própria plataforma aos usuários do parceiro (código de acesso, troca de senha, avisos) |
| BrasilAPI, OpenCNPJ, ViaCEP | Brasil | ao consultar CNPJ e CEP para preencher cadastros |
Os órgãos públicos recebem os dados por obrigação legal do parceiro e não atuam como suboperadores do fornecedor.
Um suboperador novo entra nesta lista numa versão nova deste anexo, avisada ao responsável do parceiro com pelo menos 30 dias antes de receber dados. O parceiro que não concordar pode encerrar o contrato sem multa nesse prazo.
6. Transferência internacional
Os dados ficam em servidores na Alemanha e, quando o parceiro usa Google, WhatsApp ou e-mails da plataforma, também nos servidores desses fornecedores, inclusive nos Estados Unidos. A transferência se apoia nas cláusulas-padrão contratuais aprovadas pela ANPD e nos contratos de tratamento desses fornecedores (LGPD, art. 33, II, "b", e Resolução CD/ANPD 19/2024).
7. Segurança
O fornecedor mantém as medidas descritas na Política de privacidade e na página Segurança: conexão cifrada, separação dos dados de cada parceiro dentro do banco, serviço isolado para dados de cartão, credenciais, tokens e certificados cifrados, registro das ações, cópias de segurança cifradas com a chave fora dos servidores. Só o fornecedor e as contas que o parceiro cria acessam os dados; o acesso do suporte fica registrado em nome de quem acessou.
As pessoas do fornecedor que acessam os dados têm dever de sigilo e só acessam o necessário para o serviço, o suporte ou a segurança.
8. Incidentes
Se o fornecedor souber de um incidente de segurança que atinja dados do parceiro, avisa o responsável do parceiro em até 2 dias úteis, com o que se sabe até o momento: o que aconteceu, quais dados e quantos titulares foram atingidos, os riscos e o que já foi feito. Assim o parceiro, como controlador, pode comunicar a ANPD e os titulares em 3 dias úteis (Resolução CD/ANPD 15/2024). O fornecedor ajuda com as informações de que o parceiro precisar e registra o incidente.
9. Pedidos dos titulares
Se um titular pedir ao fornecedor algo sobre dados que o parceiro lançou, o fornecedor encaminha o pedido ao parceiro em até 5 dias úteis e o ajuda a responder; ele não responde sozinho em nome do parceiro. O parceiro consegue consultar, corrigir e excluir os cadastros pelo próprio painel.
10. Devolução e eliminação
Ao fim do contrato, o acesso continua aberto por 30 dias para o parceiro baixar os dados que o painel oferece (XML e PDF das notas, relatórios, contratos e documentos). Depois, o fornecedor apaga os dados do parceiro da plataforma em até 90 dias, de uma vez (contas, cadastros, documentos e histórico), e as cópias de segurança cifradas que ainda os contenham expiram em até 14 dias. O parceiro pode pedir a eliminação antes. O fornecedor só guarda depois disso o que a lei o obrigar a guardar, e confirma a eliminação por escrito se o parceiro pedir.
11. Informações e auditoria
O parceiro pode pedir informações sobre como seus dados são tratados e protegidos, e o fornecedor responde por escrito em até 15 dias úteis. O fornecedor mantém o registro das operações de tratamento (LGPD, art. 37) e o apresenta ao parceiro ou à ANPD quando pedido.
12. Contato
Encarregado de dados do fornecedor: João Pedro Nicoli Pereira Coimbra Neves, contato@joao.online.