Acordo de Tratamento de Dados Pessoais

Vigente desde 3 de setembro de 2026 · Versão 7

Este Acordo integra os Termos de Uso do Stratum e é aceito no mesmo ato. Ele disciplina o tratamento de dados pessoais decorrente do uso da plataforma, nos termos da Lei nº 13.709/2018 (LGPD).

Havendo acordo de tratamento específico firmado entre as partes, ele prevalece sobre este documento no que houver conflito.

1. Partes e papéis

Operadora: FineApps Sistemas Ltda., CNPJ 27.340.695/0001-07. Controladora: a pessoa jurídica contratante do Stratum.

Os papéis variam conforme o dado tratado: **** ****

Quando a Contratante trata dados por conta de terceiro — escritório contábil atendendo seus próprios clientes, por exemplo —, ela atua como operadora daquele terceiro e a FineApps como suboperadora. Nessa hipótese, cabe à Contratante assegurar que possui autorização para subcontratar o tratamento.

2. Escopo do tratamento

Dados de terceiros não signatários. O conteúdo inserido pode conter dados pessoais de pessoas que não são parte desta contratação — fornecedores pessoa física, prestadores, contrapartes. A Contratante declara deter base legal adequada para o compartilhamento desses dados com a FineApps e permanece responsável perante tais titulares.

Retenção de registros de envio. A FineApps mantém registro técnico de cada tentativa de envio de comunicação eletrônica realizada por conta da Contratante, contendo endereço do destinatário, tipo, data, hora, status e mensagem de erro, com as seguintes janelas: (i) o conteúdo da mensagem é eliminado em 15 dias da tentativa; (ii) o registro é eliminado integralmente em 12 meses da tentativa; (iii) o encerramento da contratação antecipa a eliminação, na forma da cláusula 9. A finalidade é operacional e probatória — reprocessamento automático de falhas, diagnóstico de indisponibilidade e demonstração de tentativa de comunicação —, com fundamento no art. 7º, VI, e no art. 16, I, da Lei 13.709/2018. A Contratante, na qualidade de controladora, pode instruir prazo menor por escrito.

Registros de diagnóstico e telemetria de uso. Para manter o serviço disponível e corrigir defeitos, a FineApps coleta registros técnicos da operação da aplicação e os transmite ao suboperador Sentry (seção 5), em ambiente localizado nos Estados Unidos, em dois conjuntos: (i) registros de erro, ocorridos no servidor ou no navegador do usuário, contendo mensagem e pilha do erro, identificador técnico da falha, endereço da tela, versão da aplicação, identificação da organização e papel do usuário — nas falhas de servidor não acompanham pilha do erro, endereço de tela nem versão da aplicação, e acompanham apenas identificadores técnicos do registro que falhou, selecionados por lista fechada, e as contagens do que foi enviado e do que foi retido; nas falhas de navegador o registro pode conter o estado da tela no momento do erro; (ii) telemetria de desempenho e de navegação, contendo endereço da tela e tempos de carregamento e de resposta, enviada em toda navegação de todo usuário, e não apenas quando há falha. Não há gravação de tela nem de sessão do usuário. Localização aproximada. O provedor de monitoramento deriva cidade e país a partir do endereço IP de origem da transmissão, sem armazenar o próprio endereço IP. Nos registros enviados pelo servidor, essa origem é a infraestrutura da aplicação, e não o usuário; nos registros enviados pelo navegador, é o acesso do próprio usuário. Os dois conjuntos são retidos por 30 dias e eliminados em seguida. A finalidade é a segurança, a disponibilidade e a correção de defeitos do serviço, com fundamento no legítimo interesse (art. 7º, IX) e no dever de segurança do art. 46 da Lei 13.709/2018. A Contratante, na qualidade de controladora, pode instruir por escrito prazo de retenção menor.

Cópias de segurança. Para cumprir o dever de segurança do art. 46 da Lei 13.709/2018, a FineApps mantém cópia de segurança diária do banco de dados e dos arquivos armazenados pela Contratante. A cópia é cifrada antes de deixar a infraestrutura de origem, com chave assimétrica cuja contraparte privada é mantida separadamente, fora do ambiente que executa a rotina e fora do provedor que a armazena — de modo que o provedor guarda arquivo que não dispõe de meios para ler. A rotina é executada em ambiente de integração contínua operado pelo suboperador GitHub e o arquivo cifrado é armazenado pelo suboperador Cloudflare (seção 5), ambos nos Estados Unidos, o que configura transferência internacional na forma da seção 6. A cópia é retida por prazo não superior a 30 (trinta) dias, findo o qual é eliminada; a eliminação de que trata a seção 9 a alcança dentro desse mesmo prazo. A cifragem é medida de segurança e não afasta a qualificação da operação como tratamento de dados pessoais nem a incidência desta cláusula. A Contratante, na qualidade de controladora, pode instruir por escrito prazo de retenção menor.

3. Instruções

A FineApps trata os dados exclusivamente conforme as instruções da Contratante. Os Termos de Uso e este Acordo constituem as instruções iniciais. Instruções adicionais devem ser transmitidas por escrito.

Se a FineApps entender que uma instrução viola a legislação de proteção de dados, informará a Contratante e poderá suspender sua execução até esclarecimento.

A FineApps obriga-se a não:

• tratar os dados para finalidade diversa da contratada;
• comercializar, ceder ou disponibilizar os dados a terceiros, salvo aos suboperadores da seção 5;
• utilizar os dados para publicidade ou perfilamento próprio;
• utilizar os dados para treinar, ajustar, calibrar ou avaliar modelos, regras ou parâmetros que beneficiem outras contratantes.

4. Segurança

A FineApps adota medidas técnicas e administrativas compatíveis com a natureza dos dados, incluindo criptografia em trânsito e em repouso, isolamento lógico entre ambientes de contratantes, controle de acesso por privilégio mínimo, autenticação em dois fatores nos ambientes que hospedam dados, e trilha de auditoria de operações sensíveis.

As práticas estão descritas na página de segurança da informação. A FineApps mantém política interna de segurança, revista periodicamente, cujo resumo pode ser disponibilizado a pedido.

Pessoas com acesso aos dados estão submetidas a dever de confidencialidade que subsiste ao término do vínculo.

5. Suboperadores

A Contratante autoriza previamente a contratação dos suboperadores relacionados abaixo, necessários à prestação do serviço.

A FineApps assegura que cada suboperador esteja submetido a obrigações de proteção de dados não menos protetivas que as deste Acordo — por instrumento celebrado com ele ou por sujeição direta à Lei nº 13.709/2018 — e permanece responsável perante a Contratante pelos atos deles.

A inclusão de novo suboperador é comunicada com 30 dias de antecedência. A Contratante pode se opor, por escrito e de forma fundamentada, dentro desse prazo. Não havendo solução consensual, a Contratante pode rescindir a contratação sem ônus.

A relação vigente e atualizada pode ser obtida a qualquer momento em privacidade@fineapps.com.br.

6. Localização dos dados e transferência internacional

O banco de dados e o armazenamento operam em território brasileiro (São Paulo), e as funções da aplicação são executadas na mesma região.

Serviços acessórios identificados na seção 5 — entrega da aplicação, e-mail transacional, processamento por inteligência artificial, monitoramento de falhas e, quando ativado, processamento de pagamentos — são prestados por fornecedores estabelecidos nos Estados Unidos, o que configura transferência internacional de dados quanto às informações que transitam por eles. Para essas transferências, a FineApps adota mecanismo de garantia previsto no art. 33 da LGPD, composto pelas cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados e pelo acordo de tratamento de dados celebrado com cada um desses fornecedores, mantidos arquivados e exibidos à Contratante mediante solicitação.

A assinatura eletrônica de documentos é prestada por fornecedor estabelecido no Brasil e, por isso, diretamente sujeito à Lei nº 13.709/2018; o armazenamento por ele realizado abrange o Brasil e os Estados Unidos, e a conservação do documento assinado observa a cláusula "Retenção residual em suboperador" da seção 9.

A execução e o armazenamento da cópia de segurança de que trata a seção 2 são prestados por fornecedores estabelecidos nos Estados Unidos, o que configura transferência internacional de dados. Quanto a eles, a proteção é assegurada na forma da seção 5 — por instrumento celebrado com o fornecedor ou por sujeição direta à Lei nº 13.709/2018 —, e a obrigação de arquivamento prevista nesta seção alcança os instrumentos efetivamente celebrados. A cópia transita e permanece cifrada nesses ambientes, com a chave privada mantida fora deles; a cifragem constitui medida técnica adequada a tornar os dados ininteligíveis a terceiros não autorizados, nos termos do art. 48, § 3º, da Lei nº 13.709/2018, e não substitui o mecanismo de garantia de que trata esta seção.

7. Direitos dos titulares

Recebendo requisição de titular relativa a dados de conteúdo — dos quais a Contratante é controladora —, a FineApps não responde diretamente: encaminha a requisição à Contratante e presta o auxílio técnico necessário para o atendimento.

A FineApps disponibiliza à Contratante os meios para localizar, exportar, corrigir e eliminar dados de titular determinado dentro do seu ambiente.

Quanto aos dados em que a FineApps é controladora — conta, acesso e faturamento —, ela responde diretamente, na forma da página de direitos.

8. Incidentes de segurança

A FineApps comunica a Contratante em até 48 (quarenta e oito) horas contadas da ciência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, empregando esforços para comunicar tão logo disponha de informação suficiente.

O prazo destina-se a viabilizar o cumprimento, pela Contratante, dos prazos previstos na regulamentação da ANPD, contados da ciência dela.

A comunicação conterá, na medida do conhecido:

• descrição do incidente e da sua natureza;
• categorias e volume aproximado de dados afetados;
• número aproximado de titulares atingidos;
• consequências prováveis;
• medidas adotadas ou propostas;
• contato para esclarecimentos.

A comunicação à ANPD e aos titulares é atribuição da Contratante, na qualidade de controladora. A FineApps coopera com as informações e providências ao seu alcance.

A FineApps mantém registro de incidentes por cinco anos, inclusive dos que não exijam comunicação.

9. Término e eliminação

Encerrada a contratação, os dados permanecem disponíveis para exportação, em formato estruturado e de uso corrente, por 60 dias.

Decorrido o prazo, a FineApps elimina os dados dos ambientes produtivos e, em até 30 dias, também das cópias de segurança, fornecendo declaração de eliminação quando solicitada.

Excetua-se a retenção exigida por obrigação legal ou regulatória, ou necessária ao exercício regular de direitos — hipótese em que os dados permanecem bloqueados para qualquer outra finalidade.

Retenção residual em suboperador. A eliminação de que trata esta seção alcança os ambientes sob controle da FineApps. Determinados suboperadores mantêm, por base legal própria e independentemente de instrução da FineApps, cópia dos dados que lhes foram entregues para a execução do serviço — notadamente o provedor de assinatura eletrônica, que conserva o documento assinado e a respectiva trilha de auditoria pelo prazo necessário à preservação do seu valor probatório, observado o prazo prescricional aplicável. Nessas hipóteses: (i) a FineApps identifica o suboperador, a finalidade e o prazo na tabela da seção 5; (ii) os dados permanecem no suboperador exclusivamente para aquela finalidade, sem uso para qualquer outra; e (iii) a FineApps encaminha ao suboperador o pedido de eliminação recebido da Contratante e informa o desfecho, ainda que a política do suboperador não permita o atendimento integral.

10. Auditoria e demonstração de conformidade

A FineApps disponibiliza, mediante solicitação, as informações necessárias para demonstrar o cumprimento deste Acordo, incluindo o resumo de sua política de segurança e as certificações mantidas por seus suboperadores.

Auditoria presencial ou por terceiro indicado pela Contratante pode ser realizada, no máximo uma vez por ano, mediante aviso prévio de 30 dias, em horário comercial, sem comprometer a operação, às expensas da Contratante e sujeita a acordo prévio quanto a escopo e forma.

11. Responsabilidade

Aplica-se a limitação prevista nos Termos de Uso do Stratum, ressalvado que ela opera entre as partes e não afeta direitos de titulares nem competências da Autoridade Nacional de Proteção de Dados.

Cada parte responde por suas próprias obrigações legais, na qualidade em que atua.

12. Vigência

Este Acordo vigora enquanto durar a contratação e, quanto às obrigações que por sua natureza devam subsistir — confidencialidade, eliminação e registro de incidentes —, pelos prazos nelas previstos.

Sua empresa tem um acordo de tratamento próprio? Escreva para privacidade@fineapps.com.br. Analisamos e negociamos instrumento específico quando o porte da contratação justificar.