Acordo de Tratamento de Dados Pessoais (DPA) do Qevna

Este acordo faz parte dos Termos de Uso do Qevna e vale a partir do aceite dos Termos pelo Cliente. Ele regula o tratamento de dados pessoais que a Qevna faz em nome do Cliente, conforme a Lei nº 13.709/2018 (LGPD), em especial os arts. 37 a 42 e 46 a 49.

1. Partes e papéis

1.1. Operadora: Mirex Soluções em Tecnologia Ltda., CNPJ 47.246.147/0001-20, com sede em Rua Reinaldo dos Santos, 198, Vila Império, São Paulo/SP, CEP 04407-050 ("Qevna"). Contato do encarregado: privacidade@qevna.com. Contato de segurança: seguranca@qevna.com.

1.2. Cliente: a organização que usa o Qevna, identificada no cadastro.

1.3. Papéis (LGPD, art. 5º, VI e VII):

• Quando o Cliente é a empresa destinatária ou tomadora dos documentos fiscais, o Cliente é controlador e a Qevna é operadora.
• Quando o Cliente é um escritório de contabilidade que cadastra CNPJs de clientes, a empresa titular do CNPJ é a controladora, o escritório atua como operador dela e a Qevna atua como suboperadora do escritório. Nesse caso, o Cliente declara que tem autorização do controlador para contratar a Qevna e entregar o certificado, e que só repassa instruções compatíveis com as do controlador. Neste acordo, "controlador" inclui o controlador final e, na cadeia, o Cliente que transmite as instruções dele.
• Para os dados de cadastro, acesso, segurança e comunicação com os Usuários, a Qevna é controladora e este acordo não se aplica (ver a Política de Privacidade).

2. Objeto, finalidade e duração

2.1. Objeto: os dados pessoais contidos nos documentos fiscais capturados das Fontes Oficiais (NF-e, CT-e e NFS-e nacional), os demais dados que o Cliente inserir no Qevna e o certificado digital A1 com a sua senha.

2.2. Operações: consulta às Fontes Oficiais com o certificado, armazenamento, organização, exibição, envio de alertas, exportação, registro de eventos fiscais autorizados (Ciência da Operação e manifestações pedidas pelo Cliente), transmissão aos suboperadores e eliminação.

2.3. Finalidade: exclusivamente prestar o Serviço descrito nos Termos de Uso. A Qevna não trata esses dados para finalidades próprias.

2.4. Duração: enquanto o Cliente usar o Serviço, mais o período de exportação e eliminação da cláusula 10.

2.5. Titulares: pessoas naturais que constam nos documentos (por exemplo, empresários individuais, emitentes, destinatários, tomadores, prestadores, transportadores, motoristas, produtores rurais e consumidores) e o responsável pelo certificado.

2.6. Dados: nome, CPF, CNPJ de empresário individual, endereço, telefone e e-mail quando constam, placa de veículo, valores e demais dados da operação, e os dados do responsável pelo certificado. Dados sensíveis não são esperados. Se aparecerem por acaso em descrições de produtos ou serviços, recebem a mesma proteção.

3. Instruções do controlador (LGPD, art. 39)

3.1. A Qevna trata os dados somente conforme as instruções documentadas do controlador. Essas instruções são este acordo, os Termos de Uso e as ações do Cliente no Serviço: cadastrar empresas, enviar ou remover o certificado, pedir exportações e manifestações, convidar e remover Usuários e encerrar a organização. Ao enviar o certificado, o Cliente instrui a Qevna a registrar a Ciência da Operação das NF-e destinadas ao CNPJ (Termos, cláusula 5.3).

3.2. A Qevna avisará o Cliente se entender que uma instrução viola a LGPD e poderá suspender o seu cumprimento até o esclarecimento.

3.3. A Qevna não vende, aluga ou compartilha os dados e não os usa para publicidade, perfilamento, treinamento de modelos de inteligência artificial ou estatística própria com identificação de titulares. Métricas técnicas de funcionamento, sem o conteúdo dos documentos, são permitidas.

4. Confidencialidade

4.1. Só têm acesso aos dados as pessoas que precisam dele para operar o Serviço, vinculadas a dever de sigilo que continua depois do fim do vínculo (LGPD, art. 47). Hoje, o acesso administrativo ao ambiente de produção é restrito ao responsável técnico da Qevna.

4.2. A Qevna não acessa o conteúdo dos documentos no dia a dia. Acessos de suporte acontecem a pedido do Cliente ou para resolver incidente.

5. Segurança (LGPD, arts. 46 e 49)

5.1. A Qevna mantém as medidas técnicas e administrativas descritas no Anexo I, proporcionais ao risco. Quanto ao certificado, valem também as medidas da Política de Custódia de Certificados Digitais.

5.2. A Qevna pode mudar as medidas para acompanhar a evolução técnica, sem reduzir o nível geral de proteção.

6. Suboperadores

6.1. O Cliente autoriza a Qevna a usar os suboperadores abaixo. A Qevna responde perante o Cliente pelos atos deles, como se fossem seus.

6.2. Mudanças: a Qevna avisará o Cliente por e-mail com 30 dias de antecedência sobre a inclusão ou a troca de suboperador. O Cliente pode se opor, com motivo, em até 15 dias. Se não houver solução razoável, o Cliente pode encerrar o uso sem custo.

6.3. Transferência internacional (LGPD, arts. 33 a 36): quando um suboperador tratar dados fora do Brasil, a Qevna usará um fundamento do art. 33 da LGPD: a decisão de adequação aplicável ou as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. Nos alertas por e-mail, a Qevna inclui só o necessário para o Usuário identificar a nota e, quando o emitente é pessoa física, não inclui o nome nem o CPF dele.

7. Direitos dos titulares e apoio ao controlador

7.1. Se a Qevna receber pedido de titular sobre dados que trata como operadora, não responderá o mérito sem instrução. Ela encaminhará o pedido ao Cliente em até 3 dias úteis e avisará o titular do encaminhamento.

7.2. A Qevna ajudará o Cliente, por meios técnicos razoáveis, a atender os direitos do art. 18 da LGPD em até 5 dias úteis do pedido do Cliente, para que o controlador cumpra o prazo do art. 19.

7.3. A Qevna fornecerá, a pedido, as informações sobre o tratamento que realiza necessárias ao registro de operações (art. 37) e, se exigido, ao relatório de impacto (art. 38), e mantém o seu próprio registro das operações como operadora.

7.4. A Qevna colaborará com a ANPD quando solicitada.

8. Incidentes de segurança

8.1. Definição: incidente de segurança é qualquer evento adverso confirmado que afete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (Resolução CD/ANPD nº 15/2024).

8.2. Aviso ao Cliente: a Qevna avisará o Cliente sem demora injustificada e em até 48 horas depois de confirmar que um incidente afetou dados pessoais tratados sob este acordo. Se envolver o certificado digital ou a sua senha, o aviso será em até 24 horas depois da confirmação ou de indício razoável de comprometimento, para que o Cliente possa revogar o certificado. O aviso vai por e-mail aos Usuários que administram a organização e aos que gerenciam o certificado.

8.3. Comunicação à ANPD e aos titulares: a obrigação de comunicar é do controlador (LGPD, art. 48; Resolução CD/ANPD nº 15/2024), em até 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais, prazo dobrado para agentes de tratamento de pequeno porte. Os prazos da cláusula 8.2 existem para dar tempo útil ao controlador. A Qevna não comunicará a ANPD nem os titulares em nome do Cliente, salvo instrução ou obrigação legal própria.

8.4. Conteúdo do aviso: natureza e categorias dos dados afetados, número aproximado de titulares, medidas de segurança existentes, riscos prováveis, data do incidente e do conhecimento, descrição e causa provável, medidas tomadas e contato. O que não se souber no primeiro aviso será complementado depois, sem atrasar o primeiro aviso.

8.5. Mitigação: a Qevna contém o incidente, preserva evidências, coopera na apuração e nas comunicações e mantém registro de todos os incidentes, inclusive os não comunicados, por pelo menos 5 anos.

8.6. O aviso ou as medidas da Qevna não significam reconhecimento de culpa.

9. Demonstração de conformidade

9.1. A pedido, a Qevna fornece informações razoáveis para demonstrar conformidade: este acordo, a lista atualizada de suboperadores, o resumo das medidas de segurança e respostas a um questionário de segurança por ano.

9.2. Em caso de incidente confirmado, exigência da ANPD ou indício fundado de descumprimento, o Cliente pode pedir uma verificação adicional, com aviso de 30 dias (5 dias em incidente), sob sigilo, sem acesso a dados de outros clientes e por profissional que não seja concorrente. Os custos são do Cliente, salvo se for apurado descumprimento relevante da Qevna.

10. Devolução e eliminação (LGPD, arts. 15 e 16)

10.1. Certificado: é apagado do banco de dados na hora em que o Cliente o remove ou troca, ou em que a organização é encerrada.

10.2. Exportação: depois do encerramento, o Cliente tem 90 dias para pedir a exportação dos XML em arquivo ZIP (Termos, cláusula 8.3).

10.3. Eliminação: passados os 90 dias, ou antes por instrução do Cliente, a Qevna apaga os XML e os dados dos documentos. Os XML não têm cópia de segurança. As cópias de segurança do banco de dados, criptografadas, expiram sozinhas em até 13 meses, não são usadas e só seriam restauradas em recuperação de desastre, caso em que a eliminação seria refeita. A pedido, a Qevna declara por escrito a eliminação.

10.4. A Qevna só conserva dados depois disso quando a lei exigir ou para exercício regular de direitos (LGPD, art. 16), no limite do necessário e sob sigilo, como o histórico de uso do certificado e dos eventos fiscais.

11. Obrigações do Cliente (controlador)

11.1. O Cliente deve: ter base legal para o tratamento dos dados dos documentos e para a captura pela Qevna; informar os titulares quando exigido; manter a autorização do titular do CNPJ e do certificado; manter atualizadas as permissões dos Usuários; e não inserir dados desnecessários.

11.2. O Cliente responde pelos danos causados pelo descumprimento da cláusula 11.1 ou por instruções ilícitas, na medida da sua responsabilidade.

12. Responsabilidade

12.1. Cada parte responde nos termos dos arts. 42 a 45 da LGPD, inclusive de forma solidária nos casos do art. 42, § 1º. A Qevna, se tratar dados em desacordo com a lei ou com as instruções lícitas do controlador, é equiparada ao controlador (art. 42, § 1º, I).

12.2. No mais, aplica-se a cláusula 11 dos Termos de Uso, que não limita a responsabilidade por dolo ou culpa grave nem o que a lei não permite limitar.

13. Vigência, prevalência e foro

13.1. Este acordo vale enquanto a Qevna tratar dados em nome do Cliente. Sobre dados pessoais, ele prevalece sobre os Termos de Uso. Aplicam-se as leis do Brasil, e o foro é o de São Paulo/SP.

Anexo I: medidas de segurança

Limite conhecido: a criptografia protege contra o vazamento do banco de dados ou das cópias de segurança e contra o uso da credencial da AWS fora do servidor. Ela não impede o uso dos dados por quem obtenha o controle do servidor de produção em funcionamento.

Histórico de versões