DPA - Acordo de Processamento de Dados Pessoais

1. Definicoes

Para os fins deste Acordo, considera-se:

• Dado pessoal: informacao relacionada a pessoa natural identificada ou identificavel (art. 5o, I, LGPD).
• Dado pessoal sensivel: dado pessoal sobre origem racial ou etnica, conviccao religiosa, opiniao politica, filiacao a sindicato, dado referente a saude ou a vida sexual, dado genetico ou biometrico (art. 5o, II, LGPD).
• Controlador: pessoa natural ou juridica, de direito publico ou privado, a quem competem as decisoes referentes ao tratamento de dados pessoais. No ambito deste Acordo, o Cliente (Contratante) atua como Controlador dos dados pessoais de seus tomadores, socios, fornecedores e demais titulares.
• Operador: pessoa natural ou juridica, de direito publico ou privado, que realiza o tratamento de dados pessoais em nome do Controlador. No ambito deste Acordo, a Kortex Tecnologia Ltda. atua como Operadora, nos termos do art. 5o, VI, da LGPD.
• Encarregado (DPO): pessoa indicada pelo Controlador e pelo Operador para atuar como canal de comunicacao entre o Controlador, os titulares dos dados e a ANPD (Autoridade Nacional de Protecao de Dados).
• Tratamento: toda operacao realizada com dados pessoais, como coleta, producao, recepcao, classificacao, utilizacao, acesso, reproducao, transmissao, distribuicao, processamento, arquivamento, armazenamento, eliminacao, avaliacao ou controle da informacao, entre outras (art. 5o, X, LGPD).
• Incidente de seguranca: qualquer ocorrencia que comprometa a confidencialidade, integridade, disponibilidade ou autenticidade dos dados pessoais tratados (art. 48, LGPD).
• Subcontratado (suboperador): terceiro contratado pela Kortex para auxiliar no tratamento de dados pessoais em nome do Cliente.

2. Objeto e duracao do tratamento

2.1. Objeto. Este DPA disciplina o tratamento de dados pessoais realizado pela Kortex em nome do Cliente, no ambito da prestacao do servico Kortex Fiscal (plataforma SaaS de integracao tecnica para emissao de NFS-e e documentos fiscais correlatos).

2.2. Duracao. Este DPA vigorara enquanto o Cliente mantiver relacao contratual com a Kortex, inclusive durante prazos de retencao de dados previstos na legislacao tributaria (CTN, art. 173/174; legislacao municipal aplicavel). Apos o encerramento, passam a ser aplicadas as regras da Secao 14 (Encerramento).

2.3. Instrucoes do tratamento. O Cliente, na qualidade de Controlador, e' o unico responsavel por definir:

• Quais dados pessoais serao inseridos na Plataforma (a Kortex nao coleta dados por conta propria, salvo dados de login e operacionais estritamente necessarios);
• Quais finalidades de tratamento serao perseguidas (emissao de NFS-e, guarda de documentos, etc.);
• Quais bases legais serao invocadas (execucao de contrato, obrigacao legal, interesse legitimo, consentimento etc.);
• Quais categorias de titulares serao afetadas (tomadores, socios, funcionarios, etc.).

3. Natureza e finalidade dos dados

A Kortex realiza tratamento de dados pessoais em nome do Cliente exclusivamente para as seguintes finalidades operacionais:

1. Execucao do servico contratado: transmissao de XMLs de NFS-e a prefeituras, Secretarias da Fazenda e provedores oficiais; recepcao de protocolos de autorizacao/rejeicao; armazenamento dos documentos emitidos; disponibilizacao de consultas e relatorios ao Cliente.
2. Cumprimento de obrigacao legal ou regulatoria: guarda de documentos fiscais eletronicos por prazo minimo legal; atendimento a requisicoes de orgaos de fiscalizacao quando formalmente dirigidas a Kortex e legalmente cabiveis.
3. Melhoria continua do servico: analise agregada e anonimizada de metricas operacionais (ex.: taxa media de autorizacao por municipio, tempo medio de processamento), nunca em nivel individual ou re-identificavel.
4. Seguranca da informacao: logs de acesso auditados, deteccao de anomalias e prevencao de incidentes.

A Kortex nao utiliza os dados pessoais tratados para finalidade propria de marketing, publicidade, treinamento de modelos de inteligencia artificial, perfilamento comportamental, venda de dados ou qualquer outra finalidade que nao seja a prestacao do servico contratado.

4. Tipo de dados pessoais tratados

A Kortex trata, em nome do Cliente, as seguintes categorias de dados pessoais inseridas pelo Cliente na Plataforma ou recebidas de terceiros (prefeituras, provedores oficiais):

• Dados de identificacao: nome, razao social, nome fantasia, CNPJ, CPF, inscricao estadual, inscricao municipal.
• Dados de contato: endereco, telefone, e-mail.
• Dados financeiros e fiscais: valores de servicos, aliquotas, retencoes, numero da NFS-e, chave de acesso, codigo de verificacao.
• Dados de socio/proprietario: nome, CPF, participacao societaria (somente quando o Cliente opta por inclui-los).
• Dados de certificado digital: titular do certificado, CNPJ/CPF vinculado, data de validade (a Kortex nao armazena a chave privada em texto plano).
• Dados de uso da plataforma: IP, User-Agent, timestamps de acesso (logs de auditoria).

A Kortex nao trata dados pessoais sensiveis (art. 5o, II, LGPD), salvo quando o Cliente os inserir deliberadamente em campos de texto livre (ex.: descricao de servico), caso em que o Cliente assume exclusiva responsabilidade pela base legal e finalidade.

5. Categorias de titulares

Os dados pessoais tratados pela Kortex em nome do Cliente podem pertencer as seguintes categorias de titulares:

1. Contribuintes (tomadores) do Cliente: pessoas fisicas ou juridicas que contratam servicos do Cliente e constam como tomadores nas NFS-e.
2. Socios, administradores e representantes legais: pessoas naturais vinculadas a empresas do Cliente ou dos tomadores, quando incluidos em cadastros ou em dados transmitidos via webservices.
3. Funcionarios e prestadores do Cliente: usuarios da Plataforma com acesso autenticado (login + senha + opcional 2FA).
4. Contadores e assessores do Cliente: terceiros convidados pelo Cliente a acessar a Plataforma para fins contabeis ou fiscais.

A Kortex nao coleta dados de titulares por iniciativa propria. Todo tratamento decorre de insercao do Cliente ou de recepcao de dados de terceiros (prefeituras, provedores oficiais) no fluxo de prestacao do servico.

6. Obrigacoes do operador (Kortex)

A Kortex, na qualidade de Operadora, obriga-se a:

1. Tratar dados pessoais somente para as finalidades instruidas pelo Cliente, em conformidade com este DPA e com a legislacao aplicavel.
2. Implementar medidas tecnicas e organizacionais adequadas para proteger os dados pessoais contra tratamento nao autorizado ou ilegitimo e contra perda, destruicao ou danificacao acidental, conforme detalhado na Secao 10.
3. Manter sigilo sobre os dados pessoais tratados, impondo a mesma obrigacao, por contrato, a seus funcionarios, prestadores e subcontratados com acesso aos dados.
4. Notificar o Cliente sobre qualquer incidente de seguranca em ate 24 (vinte e quatro) horas corridas do seu conhecimento, conforme Secao 12.
5. Auxiliar o Cliente no atendimento aos direitos dos titulares (Secao 11), no prazo maximo de 5 (cinco) dias uteis contados da solicitacao, salvo impedimento legal.
6. Auxiliar o Cliente na elaboracao de relatorios de impacto a protecao de dados pessoais (RIPD), quando solicitados por orgaos de fiscalizacao.
7. Subcontratar somente com terceiros que oferecam garantias suficientes de cumprimento da LGPD, nos termos da Secao 8.
8. Encerrar o tratamento e devolver ou eliminar os dados pessoais ao termino do contrato, conforme Secao 14.
9. Manter registros das operacoes de tratamento realizadas em nome do Cliente, conforme art. 37 da LGPD.
10. Designar Encarregado (DPO) como canal de comunicacao com o Cliente, titulares e a ANPD. O Encarregado da Kortex podera ser contatado pelo e-mail dpo@kortex.com.br.
11. Nao transferir dados pessoais a terceiros, exceto (i) quando instruida pelo Cliente; (ii) quando necessario para cumprimento de obrigacao legal; (iii) para subcontratados previamente aprovados; (iv) em caso de transferencia internacional conforme Secao 9.
12. Realizar auditorias internas periodicas e disponibilizar ao Cliente, mediante solicitacao, resumo de conformidade com este DPA.

7. Obrigacoes do controlador (Cliente)

O Cliente, na qualidade de Controlador, e' o unico responsavel por:

1. Definir finalidades e bases legais para o tratamento de dados pessoais, nos termos dos arts. 7o e 11 da LGPD.
2. Obter consentimento quando necessario (hipoteses em que a LGPD exige consentimento, ex.: tratamento para finalidade nao abrangida por execucao de contrato ou obrigacao legal).
3. Informar os titulares sobre o tratamento de seus dados pessoais, conforme art. 9o da LGPD, incluindo a indicacao de que a Kortex atua como Operadora.
4. Atender diretamente os direitos dos titulares (acesso, correcao, anonimizacao, portabilidade, eliminacao, revogacao de consentimento, etc.), podendo solicitar apoio operacional da Kortex conforme Secao 11.
5. Elaborar RIPD quando exigido pelo art. 38 da LGPD, podendo solicitar apoio tecnico da Kortex para documentacao da infraestrutura.
6. Comunicar a ANPD e aos titulares sobre incidentes de seguranca originados em seus proprios sistemas ou por acao de seus funcionarios/prepostos, em ate 2 (dois) dias uteis (art. 48, LGPD), podendo a Kortex auxilia-lo operacionalmente.
7. Garantir a licitude dos dados pessoais inseridos na Plataforma, respondendo por dados obtidos de forma ilegitima ou utilizados para finalidade ilecita.
8. Cumprir as obrigaes legais e fiscais que demandam a guarda dos documentos fiscais eletronicos, definindo prazos de retencao compativeis com o CTN e legislacao municipal.
9. Restringir o acesso a Plataforma a funcionarios, socios e prestadores que efetivamente necessitem dos dados para desempenho de suas funcoes.
10. Contratar seguro ou garantias proprias para cobertura de riscos operacionais sob sua responsabilidade exclusiva (autuacoes, multas, indenizacoes a titulares, etc.).

8. Subcontratacao (suboperadores)

A Kortex podera contratar suboperadores para auxiliar no tratamento de dados pessoais, desde que oferecam garantias suficientes de cumprimento da LGPD. A lista atualizada de suboperadores estara sempre disponivel em pagina publica acessivel pela Plataforma, com aviso previo de 30 (trinta) dias em caso de substituicao ou inclusao de novo suboperador.

Atualmente, a Kortex utiliza os seguintes suboperadores (categoria):

• ACBr Monitor / Projeto ACBr: motor open-source de comunicacao com webservices fiscais (instalado em ambiente isolado sob controle da Kortex).
• Prefeituras e Secretarias da Fazenda: destinatarios finais das NFS-e, que recebem os XMLs conforme protocolo municipal. Sao entes publicos autonomos, nao subordinados a Kortex.
• Gov.br / Receita Federal do Brasil: ambientes publicos de validacao de CNPJ, inscricoes e certificados.
• Amazon Web Services (AWS): infraestrutura de nuvem (data center Sao Paulo - sa-east-1), responsavel por armazenamento criptografado, banco de dados, backup e computacao.
• Provedores de envio de e-mail transacional: utilizados para envio de convites, alertas de incidentes e comunicados operacionais.
• Provedores de monitoramento e logs: plataformas de observabilidade, logs e metricas (dados anonimizados sempre que possivel).

A Kortex celebra contrato escrito com cada suboperador que efetivamente acesse dados pessoais em formato nao-anonimizado, impondo, no minimo: (i) obrigacao de sigilo; (ii) limitacao de finalidade; (iii) medidas de seguranca minimas; (iv) compromisso de cooperacao em caso de incidente; (v) compromisso de eliminação dos dados ao termino do servico.

O Cliente podera se opor a qualquer suboperador, mediante justificativa razoavel, em ate 30 (trinta) dias apos comunicacao da inclusao. Em caso de oposicao legitima que impossibilite a prestacao do servico, a Kortex podera rescindir o contrato sem onus.

9. Transferencias internacionais

Atualmente, todos os dados pessoais tratados pela Kortex em nome do Cliente sao armazenados e processados em data center localizado no Brasil (regiao AWS sa-east-1, Sao Paulo).

Eventuais transferencias internacionais poderao ocorrer somente nas seguintes hipoteses:

• Utilizacao de suboperador com data center no exterior, mediante (i) adequacao a pais com nivel de protecao considerado adequado pela ANPD; (ii) clausulas-padrao contratuais aprovadas pela ANPD; (iii) ou consentimento especifico do Cliente.
• Backup de disaster recovery em regiao geografica diversa, com criptografia forte e chave retida no Brasil.
• Determinacao judicial ou de orgao publico competente, em caso de cooperacao juridica internacional.

A Kortex compromete-se a informar o Cliente, com antecedencia minima de 30 (trinta) dias, sobre qualquer transferencia internacional de dados pessoais em formato nao-anonimizado, indicando pais destinatario, base legal adotada e medidas de protecao aplicadas.

10. Medidas de seguranca

A Kortex implementa, no minimo, as seguintes medidas tecnicas e organizacionais para protecao dos dados pessoais:

10.1. Medidas tecnicas

• Criptografia em repouso: todos os dados armazenados em banco de dados e em backups sao cifrados com algoritmo AES-256 (Advanced Encryption Standard).
• Criptografia em transito: todo o trafego entre Cliente e Plataforma ocorre via HTTPS com TLS 1.3 e Perfect Forward Secrecy. A comunicacao entre a Plataforma e os webservices das prefeituras ocorre via mTLS (mutual TLS), com certificacao digital de servidor.
• Cofre de certificados: certificados digitais A1/A3 sao armazenados em cofre criptografado com chave mestra segregada, com acesso restrito a sistemas autorizados.
• Segregacao por tenant: cada Cliente (tenant) tem seus dados fisica e logicamente segregados, com filtros obrigatorios em todas as queries SQL.
• Autenticacao forte: login por e-mail + senha (com politica de complexidade minima) e suporte a 2FA (TOTP). Tokens de sessao hasheados em SHA-256 no banco.
• Logs auditados: registros imutaveis de acesso, alteracao e exclusao de dados, com retencao minima de 12 (doze) meses.
• Rate limiting e protecao contra abuso: limitacao de tentativas de login, requisicoes por minuto e volume de dados por IP/usuario.
• WAF e DDoS protection: protecao de borda contra ataques de negacao de servico e exploits conhecidos.
• Backups diarios com retencao de 30 (trinta) dias e teste de restore mensal.
• Testes de penetracao ao menos uma vez ao ano, por empresa especializada independente.
• Atualizacao continua de dependencias criticas com varredura automatica de vulnerabilidades.

10.2. Medidas organizacionais

• Politica de privacidade e seguranca da informacao vigente e revisada anualmente.
• Treinamento obrigatorio de todos os funcionarios em LGPD, seguranca da informacao e tratamento de incidentes.
• Acordo de confidencialidade assinado por funcionarios, prestadores e suboperadores com acesso a dados pessoais.
• Controle de acesso baseado em perfis (RBAC), com principio do menor privilegio.
• Procedimento formal de gestao de incidentes com papeis definidos (CSIRT, DPO, equipe tecnica).
• Plano de continuidade de negocios (PCN) e Plano de Recuperacao de Desastres (DRP) testados anualmente.

11. Direitos dos titulares

Os titulares dos dados pessoais (tomadores, socios, funcionarios do Cliente, etc.) podem exercer os direitos previstos no art. 18 da LGPD diretamente perante o Cliente, que e' o Controlador. A Kortex, na qualidade de Operadora, auxilia o Cliente no atendimento desses direitos, conforme abaixo:

• Canal primario: o titular deve contatar o Cliente (Controlador) diretamente, por meio do canal de privacidade informado pelo Cliente em sua politica de privacidade.
• Canal secundario: caso o titular nao consiga identificacao ou resposta do Cliente, podera contatar a Kortex pelo e-mail dpo@kortex.com.br. A Kortex orientara o titular e, se necessario, enviara a solicitacao ao Cliente.
• Prazos: a Kortex prestara apoio operacional em ate 5 (cinco) dias uteis, para que o Cliente consiga cumprir o prazo legal de 15 (quinze) dias (art. 18, § 5o).

Os direitos passiveis de atendimento incluem: confirmacao da existencia de tratamento, acesso aos dados, correcao de dados incompletos ou incorretos, anonimizacao, bloqueio, eliminacao de dados desnecessarios, portabilidade, revogacao de consentimento e oposicao a tratamento nao autorizado.

12. Incidentes de seguranca

Em caso de incidente de seguranca que comprometa confidencialidade, integridade, disponibilidade ou autenticidade dos dados pessoais tratados pela Kortex, serao aplicadas as seguintes providencias:

1. Deteccao e conteccao: a Kortex mantem equipe e sistemas de monitoracao 24/7, com tempo medio de deteccao inferior a 2 (duas) horas.
2. Comunicacao ao Cliente: em ate 24 (vinte e quatro) horas corridas do conhecimento do incidente, a Kortex notificara o Cliente por e-mail e por aviso no aplicativo, indicando: (i) natureza do incidente; (ii) categorias e volume estimado de titulares afetados; (iii) dados potencialmente comprometidos; (iv) medidas tomadas de conteccao; (v) plano de remediação.
3. Comunicacao a ANPD: a Kortex cooperara com o Cliente para que a notificacao a ANPD ocorra em ate 2 (dois) dias uteis, conforme art. 48 da LGPD, caso o risco seja relevante.
4. Comunicacao aos titulares: a Kortex cooperara com o Cliente na elaboracao da comunicacao aos titulares afetados, quando exigida pelo art. 48, § 1o, da LGPD.
5. Investigacao e licoes aprendidas: a Kortex conduzira investigacao interna (post-mortem), com publicacao de resumo executivo ao Cliente em ate 30 (trinta) dias.

A Kortex nao se responsabiliza por incidentes originados em sistemas do Cliente (ex.: computadores infectados por malware, senhas fracas, compartilhamento indevido de credenciais, ataques de phishing contra funcionarios do Cliente).

13. Retencao

A Kortex mantem os dados pessoais tratados em nome do Cliente pelos seguintes prazos minimos:

• Documentos fiscais eletronicos (XMLs, PDFs, eventos): 5 (cinco) anos a partir do fato gerador, conforme art. 173 do CTN (Codigo Tributario Nacional) e prazos variaveis da legislacao municipal.
• Logs de acesso: 12 (doze) meses para fins de auditoria, conforme politica interna de seguranca.
• Backups: 30 (trinta) dias em storage rotativo, com sobreposicao continua.
• Registros de tratamento (art. 37, LGPD): 5 (cinco) anos apos o termino do tratamento.

Apos o encerramento do contrato com o Cliente, os dados serao anonimizados ou eliminados conforme Secao 14, salvo nos casos em que a retencao seja necessaria para cumprimento de obrigacao legal ou contratual.

14. Encerramento e devolucao/eliminacao dos dados

Ao termino do contrato com o Cliente, por qualquer motivo, a Kortex:

1. Mantera os dados por 30 (trinta) dias apos o encerramento, em estado de quarentena, durante os quais o Cliente podera solicitar a devolucao integral em formato padrao (XML + JSON).
2. Apos 30 (trinta) dias, os dados serao anonimizados (dados nao passiveis de re-identificacao mantidos para fins estatisticos) ou eliminados de forma segura, salvo nos casos em que a retencao seja exigida por lei (ex.: CTN, legislacao municipal, obrigacoes com a ANPD).
3. Destruicao segura: a eliminacao sera feita por processo criptografado de sobrescrita multipla, com emissao de certificado de destruicao mediante solicitacao.
4. Backups: serao purgados conforme rotacao natural, em ate 30 (trinta) dias adicionais.

A pedido expresso do Cliente, em ate 60 (sessenta) dias antes do encerramento, a Kortex podera disponibilizar exportacao completa dos dados em formato ZIP criptografado, com chave enviada por canal independente.

15. Auditoria e certificacoes

A Kortex mantem programa interno de auditoria de conformidade com a LGPD e com este DPA, revisado anualmente. Adicionalmente:

• Direito de auditoria do Cliente: o Cliente podera solicitar, mediante aviso previo de 30 (trinta) dias, uma auditoria anual nas dependencias da Kortex (ou em auditoria remota) para verificacao de conformidade, as custas do Cliente, em data mutuamente acordada, com observancia do sigilo sobre dados de outros Clientes.
• Relatorios resumidos: a Kortex podera disponibilizar, a seu criterio, relatorios resumidos de auditoria (ex.: SOC 2 Type II, ISO 27001, quando aplicavel) em substituicao a auditoria presencial, sem custos ao Cliente.
• Certificacoes: a Kortex compromete-se a buscar e manter certificacoes de mercado (ISO 27001, SOC 2 ou equivalentes) em prazo razoavel, conforme roadmap publico.

16. Foro

Este DPA e' regido pelas leis da Republica Federativa do Brasil, em especial pela Lei n. 13.709/2018 (LGPD) e pelo Codigo Civil. As partes elegem o foro da Comarca de Sao Paulo/SP para dirimir quaisquer controversias, com renuncia a qualquer outro, por mais privilegiado que seja.

Antes de qualquer medida judicial, as partes se comprometem a tentar resolucao administrativa pelo canal de Encarregado (DPO) da Kortex (dpo@kortex.com.br) e do Cliente, em ate 60 (sessenta) dias.