1. Objeto e integração contratual
Este Acordo de Tratamento de Dados Pessoais (DPA) integra os Termos de Uso do BioGeo Sistemas e disciplina as operações em que o contratante determina as finalidades e os elementos essenciais do tratamento de dados pessoais e a BioGeo realiza o tratamento em seu nome.
O DPA aplica-se durante a prestação do serviço e enquanto a BioGeo mantiver dados pessoais tratados na condição de operadora por obrigação contratual, instrução válida do controlador ou hipótese legal de conservação.
2. Papéis das partes
O contratante atua como controlador dos dados pessoais de clientes, colaboradores, profissionais, representantes e terceiros que decidir inserir no Gestor Ambiental, sempre que determinar as finalidades e os elementos essenciais desse tratamento.
A BioGeo atua como operadora quando armazena, organiza, disponibiliza, transmite, gera cópias de segurança ou realiza outras operações sobre esses dados exclusivamente para prestar, proteger, manter e dar suporte às funcionalidades contratadas.
A BioGeo atua como controladora independente dos tratamentos necessários à sua própria relação comercial e operacional, incluindo cadastro da conta, faturamento, cobrança, prevenção de fraude, segurança da plataforma, autenticação, suporte, evidências legais e cumprimento de obrigações próprias.
A qualificação de cada parte depende da operação concretamente realizada e não apenas da nomenclatura utilizada neste documento.
3. Objeto, natureza, finalidade e duração do tratamento
O objeto do tratamento realizado pela BioGeo como operadora é a execução das funcionalidades do Gestor Ambiental contratadas pelo controlador.
A natureza das operações poderá incluir coleta por inserção do próprio controlador, registro, organização, estruturação, armazenamento, consulta, uso, disponibilização autorizada, transmissão técnica, versionamento, cópia de segurança, recuperação, bloqueio e eliminação.
As finalidades são limitadas à prestação das funcionalidades solicitadas pelo controlador, segurança, continuidade, suporte técnico, manutenção e cumprimento de instruções documentadas compatíveis com a contratação.
A duração acompanha a relação contratual e a Política de Retenção e Exclusão aplicável, ressalvadas preservações legalmente justificadas.
4. Categorias de titulares e dados
Os titulares podem incluir clientes do contratante, proprietários de empreendimentos, representantes, colaboradores, prestadores, responsáveis técnicos, signatários e outras pessoas naturais cujos dados sejam inseridos legitimamente na plataforma.
Os dados podem incluir identificação, contato, documento, endereço, informações profissionais, dados constantes de processos e documentos ambientais, registros contratuais, assinaturas e metadados técnicos.
O Gestor Ambiental não exige como finalidade ordinária a inserção de dados pessoais sensíveis. Caso o controlador decida inserir conteúdo que os contenha, deverá avaliar previamente necessidade, adequação, base legal e salvaguardas aplicáveis.
5. Instruções do controlador
As instruções do controlador compreendem os atos realizados por usuários autorizados no uso normal das funcionalidades, configurações da conta, solicitações documentadas de suporte e demais orientações compatíveis com o contrato.
A BioGeo tratará os dados conforme essas instruções e poderá solicitar esclarecimentos quando uma instrução for ambígua, tecnicamente inviável, incompatível com a contratação ou aparentar contrariar a legislação aplicável.
A BioGeo poderá recusar ou suspender a execução de instrução manifestamente ilícita, informando o controlador quando juridicamente permitido.
6. Obrigações do controlador
Compete ao controlador assegurar fundamento jurídico para os tratamentos que determinar, fornecer informações adequadas aos titulares quando exigível e observar os princípios da LGPD.
O controlador é responsável pela qualidade e legitimidade dos dados inseridos, pela definição dos usuários autorizados, pela gestão de perfis e pela retirada tempestiva de acessos que deixem de ser necessários.
O controlador deverá evitar inserir dados excessivos ou incompatíveis com as finalidades de gestão realizadas pela plataforma.
7. Obrigações da BioGeo como operadora
A BioGeo limitará o tratamento às instruções válidas e ao necessário para execução, segurança e continuidade do serviço.
A BioGeo adotará controles técnicos e administrativos proporcionais aos riscos, incluindo autenticação, gestão de acesso, segregação entre organizações, proteção de credenciais, registros técnicos, rotinas de backup e procedimentos de resposta a incidentes.
Pessoas autorizadas a acessar dados no contexto de suporte, manutenção ou administração estarão sujeitas a deveres de confidencialidade e necessidade de acesso.
8. Suboperadores e fornecedores
O controlador concede autorização geral para que a BioGeo utilize fornecedores técnicos necessários à hospedagem, infraestrutura, armazenamento, backup, e-mail, segurança e serviços auxiliares, desde que sejam adotadas medidas contratuais e de segurança compatíveis com a atividade executada.
A BioGeo manterá inventário dos fornecedores relevantes e avaliará o papel efetivamente exercido por cada um. Determinados prestadores poderão atuar como suboperadores, enquanto outros poderão atuar como controladores independentes em relação a tratamentos próprios.
Alterações materiais na cadeia de fornecedores que afetem de forma relevante o tratamento realizado como operadora deverão ser comunicadas ao controlador por meio razoável, possibilitando manifestação fundamentada quando cabível.
9. Direitos dos titulares
Quando receber solicitação referente a tratamento em que atua exclusivamente como operadora, a BioGeo poderá encaminhá-la ao controlador e prestará assistência técnica razoável para localização, acesso, correção, bloqueio, exportação ou eliminação dos dados, observadas as funcionalidades disponíveis e as instruções legítimas.
Quando a BioGeo também for controladora do tratamento relacionado à solicitação, atenderá diretamente as obrigações que lhe forem aplicáveis.
10. Incidentes de segurança
A BioGeo manterá procedimento para detecção, contenção, avaliação e registro de incidentes envolvendo dados pessoais.
Quando atuar como operadora e tomar conhecimento de incidente relacionado aos dados do controlador, informará o controlador sem demora injustificada e fornecerá as informações razoavelmente disponíveis para subsidiar a avaliação e as comunicações legalmente cabíveis.
A decisão e a obrigação de comunicar a ANPD e os titulares caberão ao controlador quando a BioGeo atuar exclusivamente como operadora, sem prejuízo das obrigações próprias da BioGeo nos tratamentos em que seja controladora.
11. Transferências e localização do tratamento
A BioGeo avaliará a localização dos fornecedores e da infraestrutura utilizada. Eventuais transferências internacionais de dados observarão os mecanismos e requisitos previstos na LGPD e na regulamentação da ANPD aplicável.
O simples acesso técnico ou armazenamento fora do território nacional será tratado conforme sua caracterização jurídica e as salvaguardas exigíveis no caso concreto.
12. Retenção, devolução e eliminação
Durante a vigência, os dados permanecerão disponíveis segundo as funcionalidades e limites contratados.
Após o encerramento, aplicam-se os critérios internos de exportação, bloqueio, eliminação do ambiente ativo e rotação de backups definidos na Política de Retenção e Exclusão, ressalvadas obrigações legais, preservações de evidências e instruções válidas do controlador.
Dados conservados por fundamento residual ficarão limitados à finalidade que justificar sua manutenção e não serão reutilizados para finalidades incompatíveis.
13. Auditoria, evidências e cooperação
A BioGeo manterá registros e evidências razoáveis de suas medidas de governança e segurança e poderá fornecer ao controlador informações suficientes para demonstrar o cumprimento das obrigações assumidas neste DPA, preservados segredos comerciais, segurança de outros clientes e informações confidenciais.
Pedidos de auditoria deverão ser proporcionais ao risco, previamente acordados e não poderão comprometer a segurança, disponibilidade ou confidencialidade de outros ambientes.
14. Responsabilidade e limites das instruções
Cada parte responde pelas obrigações que lhe forem atribuídas pela legislação conforme o papel efetivamente exercido na operação de tratamento.
Nada neste DPA autoriza o controlador a transferir à BioGeo decisões que permaneçam sob sua responsabilidade legal, nem autoriza a BioGeo a utilizar os dados tratados como operadora para finalidades próprias incompatíveis com as instruções recebidas.
15. Vigência e atualizações
Este DPA entra em vigor com sua aceitação válida e acompanha a relação contratual enquanto houver tratamento abrangido por suas disposições.
Alterações materiais poderão resultar em nova versão e novo aceite quando necessário. A versão e o identificador criptográfico do documento são mantidos para rastreabilidade.