Política de Privacidade

Esta Política aplica-se aos dados pessoais tratados pela CUSTEC em razão do relacionamento com:

• ✓visitantes dos sites institucionais
• ✓usuários do Power Insight, EasyAPI e demais plataformas
• ✓representantes de clientes e potenciais clientes
• ✓fornecedores e parceiros comerciais
• ✓responsáveis técnicos, financeiros e administrativos
• ✓pessoas que solicitam suporte ou atendimento
• ✓participantes de reuniões, demonstrações, eventos ou campanhas
• ✓candidatos, colaboradores e prestadores, quando aplicável

Determinadas operações poderão estar sujeitas a documentos específicos, como contratos, anexos de proteção de dados, acordos de tratamento de dados ou políticas internas. Nessas situações, os documentos específicos deverão ser interpretados em conjunto com esta Política.

Para facilitar a compreensão desta Política, são adotadas as seguintes definições:

Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou que possa ser identificada, como nome, e-mail, telefone, endereço IP e identificadores de usuário.

Dado pessoal sensível é a informação sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa.

Titular é a pessoa natural a quem os dados pessoais se referem.

Tratamento é qualquer atividade realizada com dados pessoais, incluindo coleta, acesso, utilização, armazenamento, compartilhamento, processamento, alteração, anonimização ou eliminação.

Controlador é quem define as principais decisões, finalidades e meios relacionados ao tratamento dos dados pessoais.

Operador é quem realiza o tratamento dos dados em nome e de acordo com as instruções do controlador.

Encarregado é o canal de comunicação entre a empresa, os titulares e a Autoridade Nacional de Proteção de Dados.

Contratante é a pessoa jurídica ou natural que contrata os produtos ou serviços da CUSTEC.

Usuário é a pessoa autorizada pela contratante a acessar os sistemas e funcionalidades disponibilizados pela CUSTEC.

A atuação da CUSTEC poderá variar conforme a natureza da operação realizada.

CUSTEC como controladora

A CUSTEC atuará como controladora quando determinar a finalidade e os meios de tratamento dos dados pessoais.

Isso poderá ocorrer, por exemplo, no tratamento de informações relacionadas a:

• ✓cadastro de clientes e fornecedores
• ✓elaboração de propostas comerciais
• ✓gestão de contratos
• ✓emissão de notas fiscais e cobranças
• ✓atendimento e suporte
• ✓segurança dos sites e sistemas
• ✓relacionamento institucional
• ✓comunicação comercial
• ✓gestão de acessos aos canais da CUSTEC
• ✓prevenção a fraudes
• ✓cumprimento de obrigações legais

Nessas situações, a CUSTEC será responsável por definir como e por que os dados serão tratados, respeitando a legislação aplicável.

CUSTEC como operadora

Em determinadas operações, a CUSTEC poderá atuar como operadora, realizando o tratamento de dados pessoais em nome da empresa contratante.

Isso poderá ocorrer quando a CUSTEC processar:

• ✓cadastros de usuários realizados pelo cliente
• ✓permissões e perfis de acesso
• ✓informações integradas pela EasyAPI
• ✓registros exibidos no Power Insight
• ✓dados enviados por APIs
• ✓consultas realizadas em sistemas conectados
• ✓informações encaminhadas para recursos de inteligência artificial
• ✓registros necessários à prestação dos serviços contratados

Nessas situações, a empresa contratante normalmente será a controladora dos dados, pois será responsável por definir a finalidade do tratamento, as pessoas autorizadas, os dados utilizados e as bases legais aplicáveis.

A CUSTEC realizará o tratamento conforme as instruções legítimas e documentadas da contratante, os limites técnicos da solução, os documentos da contratação e as obrigações legais aplicáveis.

A natureza e a quantidade dos dados dependerão da forma como o titular ou a empresa contratante interagir com a CUSTEC.

Dados cadastrais e profissionais

A CUSTEC poderá tratar informações como:

• ✓nome
• ✓e-mail pessoal ou corporativo
• ✓telefone
• ✓cargo
• ✓departamento
• ✓empresa
• ✓endereço profissional
• ✓CPF, quando necessário
• ✓dados do representante legal
• ✓informações de contato técnico, financeiro ou administrativo

Esses dados poderão ser utilizados para identificação, comunicação, formalização da contratação, suporte, faturamento e relacionamento comercial.

Dados de acesso e autenticação

Para permitir o acesso seguro às plataformas, poderão ser tratados:

• ✓identificador do usuário
• ✓e-mail corporativo
• ✓empresa ou tenant
• ✓perfil de acesso
• ✓grupos e permissões
• ✓data e horário de autenticação
• ✓endereço IP
• ✓identificadores do Microsoft Entra ID
• ✓registros de login, logout e falhas de autenticação
• ✓status da conta
• ✓duração da sessão

Quando a autenticação for realizada por meio do Microsoft Entra ID, SSO, LDAP ou outro provedor corporativo, determinadas informações serão recebidas diretamente do ambiente mantido pela contratante.

Dados técnicos e de navegação

Durante a utilização dos sites e sistemas, poderão ser coletadas informações técnicas necessárias para segurança, desempenho e funcionamento, incluindo:

• ✓endereço IP
• ✓navegador utilizado
• ✓dispositivo
• ✓sistema operacional
• ✓data e hora do acesso
• ✓páginas e funcionalidades acessadas
• ✓tempo de resposta
• ✓erros e exceções
• ✓logs técnicos
• ✓eventos de segurança
• ✓cookies e identificadores equivalentes

Essas informações auxiliam na identificação de falhas, prevenção de acessos indevidos, melhoria da experiência, análise de desempenho e manutenção da segurança.

Dados comerciais, contratuais e financeiros

No relacionamento com clientes e fornecedores, poderão ser tratados:

• ✓proposta comercial
• ✓plano contratado
• ✓quantidade de usuários
• ✓módulos e funcionalidades
• ✓pedidos de compra
• ✓contratos e aditivos
• ✓histórico de atendimento
• ✓valores contratados
• ✓vencimentos
• ✓dados para faturamento
• ✓notas fiscais
• ✓situação financeira
• ✓informações sobre renovação ou cancelamento

A CUSTEC não deverá solicitar dados bancários ou financeiros além daqueles necessários à contratação, cobrança ou cumprimento de obrigações legais.

Conteúdos processados pelos sistemas

Dependendo do produto, configuração e escopo contratado, os sistemas poderão processar:

• ✓arquivos
• ✓parâmetros de consultas
• ✓dados provenientes de APIs
• ✓dados de bancos de dados
• ✓relatórios
• ✓modelos semânticos
• ✓metadados
• ✓logs de integração
• ✓mensagens de suporte
• ✓instruções enviadas a recursos de inteligência artificial
• ✓resultados de processamento

A natureza dessas informações será determinada principalmente pela empresa contratante, que deverá assegurar que possui autorização, finalidade e base legal para utilizar os dados na Plataforma.

O Power Insight é uma plataforma destinada à gestão, organização, incorporação e disponibilização segura de relatórios e dashboards, especialmente aqueles conectados ao Microsoft Power BI.

Como regra geral, os dados corporativos, modelos semânticos, datasets e relatórios poderão permanecer hospedados no ambiente Microsoft definido pela empresa contratante.

Para permitir a visualização dos relatórios, o Power Insight poderá processar:

• ✓identificadores de usuários
• ✓grupos e perfis
• ✓permissões
• ✓identificadores de relatórios e workspaces
• ✓tokens técnicos
• ✓informações de autenticação
• ✓registros de navegação
• ✓eventos de auditoria
• ✓parâmetros necessários à exibição dos conteúdos

A CUSTEC não adquire propriedade sobre os relatórios, dados ou conteúdos pertencentes à empresa contratante.

O conteúdo disponibilizado a cada usuário será determinado pelas permissões configuradas pela contratante, pelos recursos do Power BI, pelas regras de segurança e pelos perfis estabelecidos na Plataforma.

Quando forem habilitados recursos de exportação, envio programado, inteligência artificial, compartilhamento ou processamento adicional, os dados poderão ser temporariamente processados para executar a funcionalidade solicitada.

A EasyAPI é uma solução destinada à integração, ingestão, processamento, automação e monitoramento de dados provenientes de APIs, arquivos, bancos de dados e outros sistemas.

Durante a utilização da EasyAPI, poderão ser processados:

• ✓endereços de APIs
• ✓parâmetros de conexão
• ✓identificadores técnicos
• ✓arquivos
• ✓registros retornados por sistemas integrados
• ✓logs de execução
• ✓histórico de processamento
• ✓mensagens de erro
• ✓métricas de consumo
• ✓credenciais técnicas protegidas
• ✓dados necessários ao funcionamento das integrações

A empresa contratante será responsável por definir quais fontes poderão ser acessadas, quais dados serão processados e para quais destinos serão enviados.

A CUSTEC aplicará os controles técnicos previstos na arquitetura e nos documentos da contratação, mas não será responsável pela legalidade, qualidade, exatidão ou origem dos dados disponibilizados pela contratante.

A CUSTEC poderá tratar dados pessoais para:

• ✓identificar clientes e usuários
• ✓criar, administrar e proteger contas
• ✓autenticar usuários
• ✓controlar perfis e permissões
• ✓disponibilizar os serviços contratados
• ✓configurar ambientes
• ✓processar integrações
• ✓incorporar relatórios
• ✓prestar suporte técnico
• ✓investigar falhas
• ✓monitorar desempenho
• ✓emitir cobranças e documentos fiscais
• ✓administrar contratos
• ✓comunicar atualizações
• ✓prevenir fraudes
• ✓identificar acessos indevidos
• ✓proteger a infraestrutura
• ✓manter registros de auditoria
• ✓cumprir obrigações legais ou regulatórias
• ✓exercer direitos em processos administrativos, judiciais ou arbitrais
• ✓melhorar os produtos e serviços
• ✓realizar comunicações comerciais permitidas

A CUSTEC não deverá utilizar dados pessoais para finalidades incompatíveis com aquelas informadas ao titular ou estabelecidas pela empresa contratante.

O tratamento de dados pessoais poderá ser realizado com fundamento nas hipóteses autorizadas pela legislação, incluindo:

• ✓execução de contrato
• ✓procedimentos preliminares relacionados à contratação
• ✓cumprimento de obrigação legal ou regulatória
• ✓exercício regular de direitos
• ✓legítimo interesse
• ✓consentimento
• ✓proteção do crédito
• ✓prevenção à fraude
• ✓garantia da segurança do titular
• ✓demais hipóteses permitidas

A escolha da base legal dependerá da finalidade e do contexto de cada operação.

Quando o tratamento depender de consentimento, o titular poderá revogá-lo por meio dos canais indicados nesta Política. A revogação não afetará os tratamentos realizados anteriormente de forma legítima.

O legítimo interesse será utilizado somente quando existir uma finalidade legítima, necessidade do tratamento e compatibilidade com os direitos e expectativas do titular.

Para viabilizar a prestação dos serviços, a CUSTEC poderá compartilhar determinados dados pessoais com fornecedores de tecnologia, infraestrutura, autenticação, comunicação, suporte, monitoramento e processamento.

Entre esses fornecedores poderão estar:

• ✓Microsoft e empresas do respectivo ecossistema
• ✓provedores de nuvem
• ✓serviços de hospedagem
• ✓provedores de autenticação
• ✓fornecedores de e-mail
• ✓ferramentas de atendimento
• ✓serviços de monitoramento
• ✓empresas de processamento de pagamentos
• ✓prestadores contábeis, fiscais, jurídicos ou administrativos
• ✓fornecedores envolvidos na operação dos produtos
• ✓autoridades públicas, quando legalmente exigido

Esse compartilhamento será limitado às informações necessárias para a execução da atividade e deverá observar obrigações de confidencialidade, segurança e proteção de dados.

A CUSTEC também poderá compartilhar informações quando necessário para:

• ✓cumprir obrigação legal
• ✓atender ordem judicial
• ✓responder a autoridade competente
• ✓prevenir fraude
• ✓proteger direitos
• ✓investigar incidente de segurança
• ✓executar ou defender direitos contratuais

A relação dos principais fornecedores ou subprocessadores poderá ser disponibilizada mediante solicitação ou em página específica da CUSTEC.

Alguns fornecedores utilizados pela CUSTEC poderão possuir servidores, empresas relacionadas ou equipes localizadas fora do Brasil.

Por esse motivo, determinados dados poderão ser objeto de transferência ou processamento internacional.

Quando isso ocorrer, a CUSTEC buscará utilizar fornecedores que adotem medidas adequadas de segurança, confidencialidade e proteção de dados, observando os mecanismos permitidos pela legislação brasileira.

A transferência internacional poderá ocorrer especialmente em razão da utilização de serviços de nuvem, autenticação, monitoramento, inteligência artificial, comunicação e infraestrutura tecnológica.

Os dados pessoais serão mantidos somente pelo período necessário para cumprir as finalidades que justificaram sua coleta.

Os prazos poderão variar conforme:

• ✓natureza do dado
• ✓serviço contratado
• ✓vigência da relação comercial
• ✓obrigações legais
• ✓necessidade de segurança
• ✓prazos prescricionais
• ✓exercício de direitos
• ✓instruções da empresa controladora
• ✓políticas dos fornecedores envolvidos

Após o encerramento da finalidade ou da contratação, os dados poderão ser:

• ✓eliminados
• ✓anonimizados
• ✓devolvidos à empresa contratante
• ✓bloqueados
• ✓mantidos de forma restrita para cumprimento de obrigação legal ou exercício de direitos

A CUSTEC poderá conservar registros relacionados a contratos, pagamentos, aceite eletrônico, suporte, segurança e auditoria durante o período necessário à proteção de seus direitos e ao cumprimento da legislação.

A CUSTEC adota medidas técnicas e administrativas destinadas à proteção dos dados contra acesso não autorizado, perda, alteração, destruição, divulgação ou utilização indevida.

A arquitetura do Power Insight poderá utilizar infraestrutura Microsoft Azure e controles como:

• ✓comunicação por HTTPS/TLS
• ✓Azure Application Gateway
• ✓Web Application Firewall
• ✓autenticação por Microsoft Entra ID ou SSO
• ✓autenticação multifator
• ✓controle baseado em perfis e permissões
• ✓segregação por tenant
• ✓validação de escopo na API
• ✓criptografia nos serviços compatíveis
• ✓redes virtuais e endpoints privados
• ✓Azure Key Vault
• ✓Managed Identity
• ✓logs e registros de auditoria
• ✓Application Insights
• ✓monitoramento
• ✓health checks
• ✓alertas
• ✓backups
• ✓controle de versionamento
• ✓pipelines de implantação
• ✓possibilidade de rollback

A CUSTEC poderá operar ambientes compartilhados ou dedicados. Nos ambientes compartilhados, serão utilizados controles de isolamento lógico entre os clientes. Nos ambientes dedicados, poderão ser disponibilizados recursos exclusivos conforme a contratação.

O acesso administrativo será limitado às pessoas autorizadas e às situações necessárias para suporte, manutenção, segurança ou cumprimento de obrigação legal.

Apesar das medidas adotadas, nenhum sistema é totalmente imune a riscos. A segurança também depende das ações da empresa contratante, especialmente quanto ao controle dos usuários, proteção das credenciais, configuração de permissões, segurança dos dispositivos e manutenção dos sistemas de origem.

Caso seja identificado incidente envolvendo dados pessoais, a CUSTEC adotará medidas proporcionais à natureza e à gravidade do evento.

Essas medidas poderão incluir:

• ✓contenção do incidente
• ✓investigação técnica
• ✓preservação de evidências
• ✓identificação dos sistemas e dados afetados
• ✓correção da vulnerabilidade
• ✓avaliação dos riscos
• ✓comunicação à empresa contratante
• ✓apoio às medidas de mitigação
• ✓comunicação às autoridades ou titulares, quando legalmente necessária

Quando a CUSTEC atuar como operadora, a comunicação inicial será direcionada à empresa contratante responsável pelo tratamento, para que ela possa avaliar as providências aplicáveis na condição de controladora.

O titular poderá exercer os direitos previstos na legislação, incluindo solicitar:

• ✓confirmação da existência de tratamento
• ✓acesso aos dados
• ✓correção de informações incompletas, inexatas ou desatualizadas
• ✓anonimização
• ✓bloqueio
• ✓eliminação de dados desnecessários ou excessivos
• ✓portabilidade, quando aplicável
• ✓informação sobre compartilhamentos
• ✓revogação do consentimento
• ✓oposição ao tratamento
• ✓revisão de decisões automatizadas
• ✓informação sobre as consequências da recusa de consentimento

Para proteger o próprio titular, a CUSTEC poderá solicitar informações adicionais para confirmar sua identidade antes de atender o pedido.

Quando os dados forem tratados pela CUSTEC em nome de uma empresa contratante, a solicitação poderá ser encaminhada ao respectivo cliente controlador, que será responsável pela decisão sobre o atendimento.

Os sites e sistemas da CUSTEC poderão utilizar cookies e tecnologias semelhantes para permitir o funcionamento das páginas, manter sessões, autenticar usuários, preservar preferências, reforçar a segurança, medir desempenho e compreender a utilização dos serviços.

Os cookies poderão ser classificados como:

Cookies necessários: indispensáveis ao funcionamento, autenticação e segurança dos sites e sistemas.

Cookies de preferência: utilizados para lembrar configurações selecionadas pelo usuário.

Cookies analíticos: utilizados para compreender a navegação, o desempenho e a utilização das funcionalidades.

Cookies de terceiros: utilizados por fornecedores integrados aos sites ou sistemas, quando aplicável.

O usuário poderá controlar cookies opcionais por meio do banner de preferências ou das configurações de seu navegador.

A desativação de cookies necessários poderá impedir o funcionamento adequado de algumas funcionalidades.

Determinadas funcionalidades da CUSTEC poderão utilizar inteligência artificial para apoiar consultas, gerar respostas, resumir conteúdos, identificar informações, recomendar ações ou auxiliar atividades técnicas.

Quando o usuário utilizar esses recursos, poderão ser processadas:

• ✓perguntas
• ✓instruções
• ✓parâmetros
• ✓informações de contexto
• ✓dados autorizados pela empresa contratante
• ✓respostas geradas
• ✓registros técnicos de utilização

As respostas produzidas por inteligência artificial poderão conter imprecisões e deverão ser revisadas antes de sua utilização em decisões relevantes.

A empresa contratante deverá orientar seus usuários a não inserir dados pessoais, confidenciais ou sensíveis em ferramentas de inteligência artificial que não estejam autorizadas para esse fim.

Quando uma decisão automatizada produzir efeitos relevantes para o titular, poderão ser fornecidas informações e mecanismos de revisão nos casos previstos pela legislação.

Os produtos corporativos da CUSTEC não são direcionados especificamente a crianças ou adolescentes.

Caso uma empresa contratante utilize a Plataforma para tratar dados de crianças ou adolescentes, ela será responsável por assegurar que o tratamento:

• ✓possua finalidade legítima
• ✓observe a legislação
• ✓seja realizado no melhor interesse do titular
• ✓utilize somente os dados necessários
• ✓adote controles adequados de segurança
• ✓possua as autorizações legalmente exigidas

A contratante deverá comunicar previamente à CUSTEC quando a natureza do tratamento exigir medidas adicionais.

A CUSTEC poderá utilizar dados de contato para enviar:

• ✓comunicações operacionais
• ✓informações sobre suporte
• ✓avisos de segurança
• ✓atualizações dos sistemas
• ✓informações de cobrança
• ✓comunicações contratuais
• ✓conteúdos
• ✓convites para eventos
• ✓novidades sobre produtos

As comunicações indispensáveis à execução do contrato ou à segurança poderão ser enviadas enquanto durar a relação com o cliente.

Nas comunicações comerciais, o destinatário poderá solicitar o cancelamento do recebimento por meio do link de descadastramento ou pelo canal de contato indicado.

O cancelamento de comunicações comerciais não impede o envio de mensagens operacionais, contratuais, financeiras ou de segurança.

Quando atuar como controladora dos dados processados pela Plataforma, a empresa contratante será responsável por:

• ✓determinar a finalidade do tratamento
• ✓definir a base legal
• ✓informar seus usuários e titulares
• ✓manter dados corretos
• ✓limitar a utilização ao necessário
• ✓configurar os acessos
• ✓revisar permissões
• ✓remover usuários desligados
• ✓atender solicitações de titulares
• ✓proteger credenciais
• ✓comunicar incidentes
• ✓não inserir dados obtidos de forma ilícita
• ✓respeitar as instruções de segurança
• ✓manter os sistemas de origem sob sua responsabilidade

A CUSTEC não será responsável por acessos concedidos, permissões configuradas ou dados inseridos diretamente pela empresa contratante em desacordo com a legislação ou com os documentos aplicáveis.

A CUSTEC poderá atualizar esta Política para refletir:

• ✓mudanças na legislação
• ✓orientações da ANPD
• ✓alterações nos serviços
• ✓novas funcionalidades
• ✓novas integrações
• ✓mudanças na arquitetura
• ✓evolução das práticas de segurança
• ✓atualização dos processos internos

A versão vigente será disponibilizada no site ou na Plataforma, com indicação da data de atualização.

Quando uma alteração puder produzir impacto relevante sobre os titulares ou clientes, a CUSTEC poderá realizar comunicação por e-mail, aviso no sistema ou outro canal apropriado.

Dúvidas, solicitações ou reclamações relacionadas ao tratamento de dados pessoais poderão ser encaminhadas para:

CUSTEC TECNOLOGIA E CONSULTORIA LTDA.

CNPJ: 36.610.135/0001-16

E-mail de privacidade: lgpd@custec.com.br

Telefone: (16) 3637-0362

Endereço: Rua Galileu Galilei, 1800 · Sala 303 — Ribeirão Preto — SP

Encarregado pelo tratamento de dados: canal lgpd@custec.com.br

A CUSTEC buscará analisar as solicitações dentro dos prazos e condições estabelecidos pela legislação.

Esta Política será interpretada de acordo com as leis da República Federativa do Brasil, especialmente a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.

Quando existir contrato formal ou Acordo de Tratamento de Dados firmado entre a CUSTEC e a empresa contratante, suas disposições específicas prevalecerão sobre esta Política nas matérias expressamente negociadas, sem prejuízo dos direitos legalmente assegurados aos titulares.