Política de Privacidade

1. Escopo e aplicação

Esta Política descreve como a GRDO (“nós”, “CONTRATADA” ou “GRDO CTE”) trata informações no âmbito da plataforma SaaS destinada à geração, montagem, transmissão e gestão de documentos fiscais eletrônicos (CT-e, MDF-e e funcionalidades correlatas), conforme o plano contratado.

Aplica-se a clientes contratantes, usuários autorizados da plataforma e, no que couber, a titulares de dados pessoais cujas informações sejam processadas por meio do serviço.

Complementa os Termos de Uso e o contrato SaaS. Em caso de conflito, prevalecem o instrumento contratual e a Proposta Comercial.

2. Controlador e operador

No contexto das operações do cliente tratadas por meio da plataforma, o cliente (CONTRATANTE) é, em regra, o controlador dos dados pessoais relacionados à sua atividade empresarial. A GRDO atua como operadora, processando dados conforme as instruções do cliente e o contrato firmado.

A GRDO poderá atuar como controladora autônoma para finalidades próprias e legítimas, tais como faturamento, prevenção à fraude, segurança da informação, atendimento contratual e cumprimento de obrigações legais.

3. Dados tratados

Podem ser tratados, conforme o uso da plataforma:

• Dados cadastrais e de acesso de usuários (nome, e-mail, perfil, credenciais e registros de autenticação);
• Dados cadastrais de empresas, filiais, entidades (remetentes, destinatários, tomadores), motoristas e veículos;
• Dados operacionais e fiscais inseridos ou importados pelo cliente (valores, CFOP, CST, regras fiscais, séries, contratos de frete e demais parâmetros de emissão);
• Documentos fiscais eletrônicos e arquivos correlatos (XML de CT-e e MDF-e, eventos, protocolos, DACTE/DANFE e impressões operacionais);
• Certificado digital e-CNPJ A1 (arquivo .pfx/.p12) e respectiva senha, quando cadastrados pelo cliente para assinatura e transmissão à SEFAZ — ver seção 3.1;
• Credenciais de integrações e serviços auxiliares (quando configurados pelo cliente);
• Metadados técnicos, logs de segurança, auditoria de acessos e estatísticas agregadas anonimizadas necessárias à operação, melhoria e proteção do serviço.

Permanecem de titularidade do cliente os dados por ele inseridos e os documentos fiscais de sua operação, ressalvados os direitos da GRDO sobre a estrutura tecnológica, metadados técnicos, logs de segurança e estatísticas agregadas anonimizadas.

3.1. Certificado digital — armazenamento e criptografia

Para viabilizar a emissão de documentos fiscais eletrônicos, o cliente pode enviar à plataforma o certificado digital e-CNPJ A1 e a senha de abertura do arquivo.

• O arquivo do certificado é armazenado fora do diretório público da aplicação (storage/certs), com permissões restritas de acesso no servidor;
• A senha do certificado é criptografada em repouso mediante criptografia simétrica AES-256, não sendo armazenada em texto claro;
• O uso do certificado ocorre apenas para as finalidades técnicas necessárias à assinatura e transmissão dos documentos fiscais à SEFAZ e demais órgãos competentes, no âmbito da conta do cliente;
• A GRDO não comercializa certificados digitais nem utiliza a chave privada do cliente para finalidades alheias à prestação do serviço contratado;
• A validade, renovação, revogação e guarda adequada do certificado perante a Autoridade Certificadora permanecem sob responsabilidade exclusiva do cliente.

4. Finalidades do tratamento

• Prestação, manutenção e suporte da plataforma SaaS contratada;
• Autenticação, gestão de acessos, auditoria e segurança da informação;
• Geração, assinatura digital, transmissão e acompanhamento de CT-e, MDF-e e demais documentos no escopo contratado;
• Armazenamento seguro do certificado digital e credenciais necessárias à emissão;
• Cumprimento de obrigações legais, regulatórias e contratuais;
• Prevenção a fraudes, incidentes e uso indevido da plataforma;
• Faturamento, cobrança e relacionamento comercial com o cliente;
• Backups periódicos e plano de contingência para continuidade do serviço.

5. Bases legais (LGPD)

As Partes comprometem-se a cumprir a Lei nº 13.709/2018 (LGPD), adotando medidas para tratamento lícito, seguro e adequado dos dados pessoais eventualmente envolvidos. As bases legais aplicáveis incluem, conforme o caso, execução de contrato, legítimo interesse, cumprimento de obrigação legal/regulatória e demais hipóteses admitidas em lei.

6. Segurança da informação

A GRDO adota medidas técnicas e administrativas razoáveis e compatíveis com o estado da técnica para proteger a confidencialidade, integridade, disponibilidade e rastreabilidade dos dados tratados na plataforma, incluindo:

• Controles de acesso e autenticação de usuários;
• Segregação lógica entre contas/empresas;
• Registro de logs e monitoramento;
• Rotinas de backup em ambiente protegido contra perda física ou lógica;
• Armazenamento do certificado fora do docroot e criptografia AES-256 da senha do certificado;
• Comunicação segura (HTTPS) no acesso à plataforma.

Poderão ser utilizados provedores de infraestrutura, hospedagem, mensageria, certificação, monitoramento e outros subcontratados tecnológicos necessários à prestação do serviço, permanecendo a GRDO responsável, na medida da lei e do contrato, pela adequada seleção e supervisão desses fornecedores.

Nenhum ambiente tecnológico é absolutamente imune a incidentes. Em caso de incidente de segurança envolvendo dados pessoais sob tratamento relacionado ao serviço, as Partes cooperarão de boa-fé para avaliação, contenção, mitigação e adoção das providências cabíveis, inclusive quanto a comunicações legalmente exigidas.

7. Confidencialidade

Informações de negócios, operacionais, técnicas e comerciais a que as Partes tiverem acesso são tratadas como confidenciais e utilizadas apenas para as finalidades do contrato, com cuidados no mínimo razoáveis para prevenir divulgação indevida. As obrigações de confidencialidade sobrevivem ao encerramento contratual pelo prazo previsto no instrumento (em regra, cinco anos), observadas as exceções legais e contratuais (informações públicas, conhecimento prévio legítimo, obtenção de terceiro sem dever de sigilo, ou determinação legal/judicial/regulatória).

8. Compartilhamento

Os dados poderão ser compartilhados somente quando necessário para:

• Transmissão de documentos fiscais eletrônicos à SEFAZ e demais órgãos públicos competentes, conforme a legislação e os protocolos técnicos aplicáveis;
• Prestação do serviço por subcontratados tecnológicos sob supervisão da GRDO (incluindo infraestrutura de hospedagem);
• Disponibilização ao cliente controlador e seus usuários autorizados na plataforma;
• Cumprimento de ordem legal, judicial, regulatória ou administrativa;
• Defesa de direitos e prevenção a fraudes ou incidentes de segurança;
• Atendimento a solicitações do próprio cliente controlador no âmbito da plataforma.

Não comercializamos dados pessoais, certificados digitais nem chaves privadas dos clientes.

9. Retenção, exportação e exclusão

Os dados inseridos, processados, armazenados ou gerados durante a utilização da solução são de propriedade e/ou titularidade do cliente. Encerrada a relação contratual, a GRDO disponibilizará ao cliente, sem ônus adicional e em até 10 (dez) dias úteis, cópia integral dos arquivos XML de CT-e e MDF-e gerados e armazenados durante a vigência, em formato original estruturado e legível, apto à extração, auditoria e migração.

Decorrido o prazo de retenção técnica e legalmente admitido após o encerramento, a GRDO poderá promover a exclusão segura dos dados do cliente, ressalvadas hipóteses de guarda obrigatória por imposição legal, regulatória, de auditoria, segurança ou defesa de direitos.

Backups destinam-se à continuidade da prestação dos serviços e não constituem solução de arquivamento histórico ou recuperação individual de informações excluídas pelo cliente.

10. Direitos dos titulares

Titulares de dados pessoais poderão exercer os direitos previstos na LGPD (confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e oposição, entre outros), observados os limites legais e o papel de cada Parte.

Quando a GRDO atuar como operadora, solicitações relacionadas a dados da operação do cliente deverão ser direcionadas prioritariamente ao respectivo controlador (cliente). Quando a GRDO atuar como controladora, as solicitações podem ser enviadas ao canal indicado abaixo.

11. Responsabilidades do cliente

• Assegurar a veracidade, integridade e adequação das informações inseridas no sistema;
• Gerenciar usuários, perfis e permissões de seus prepostos;
• Zelar pelo sigilo de credenciais, certificados digitais e meios de autenticação;
• Manter o certificado digital válido, renovado e corretamente configurado;
• Observar a legislação aplicável ao seu negócio e às bases legais do tratamento que determina;
• Comunicar prontamente incidentes, falhas percebidas ou acessos indevidos.

12. Contato

Para dúvidas sobre esta Política, suporte técnico ou solicitações relacionadas a privacidade e proteção de dados:

• E-mail: atendimento@grdo-solutions.com
• Controladora/Operadora: GRDO Consultoria e Desenvolvimento Ltda. — CNPJ 59.106.574/0001-91
• Endereço: Avenida Paulista, 1106 — Sala 01, 16º andar, CEP 01310-914, São Paulo/SP

13. Alterações e foro

Esta Política poderá ser atualizada para refletir melhorias do serviço, mudanças legais ou ajustes contratuais. A versão vigente será publicada nesta página, com indicação da data de atualização.

Fica eleito o foro da Comarca de São Paulo/SP para dirimir controvérsias relacionadas a esta Política, com renúncia a qualquer outro, por mais privilegiado que seja.