Aviso de Privacidade

1. Quem Somos

Clav Soluções em Software Ltda ("Clav"), inscrita no CNPJ 63.829.686/0001-48, com sede na Alameda Rio Negro, nº 503, Sala 2005, Alphaville, Barueri – SP, é uma empresa de tecnologia que desenvolve soluções de automação de verificações, compliance e licenciamento para organizações, fornecidas por meio de uma plataforma SaaS e via API ("Plataforma").

2. Escopo e Nosso Papel

A Clav atua em dois papéis distintos no tratamento de dados pessoais, conforme o contexto:

• Como controladora, a Clav: determina a finalidade e os meios do tratamento de dados pessoais para seus próprios fins — como no formulário do site institucional e nos registros de acesso.
• Como operadora, a Clav: processa dados pessoais inseridos pelos clientes (organizações contratantes) na Plataforma, sob instrução destes. A responsabilidade pela legalidade desse tratamento (incluindo a obtenção de autorizações dos titulares, quando exigido) é do cliente controlador. Titulares que desejem exercer seus direitos em relação a esses dados devem fazê-lo diretamente junto à organização que os contratou. Caso necessário, a Clav poderá indicar ao titular o controlador responsável.

3. Canal de Contato

Para exercer seus direitos como titular de dados ou em caso de dúvidas, reclamações ou sugestões sobre este Aviso ou sobre as práticas de tratamento de dados da Clav, entre em contato pelo canal abaixo:

E-mail do DPO: [email protected]

Encarregada pelo Tratamento de Dados Pessoais (DPO): Luana do Amaral Peterle

As solicitações são respondidas em horário comercial, de segunda a sexta-feira, no prazo de até 15 dias contados do recebimento do pedido, conforme art. 19 da LGPD.

4. Definições

Para facilitar a compreensão deste Aviso, apresentamos os principais conceitos utilizados:

• Titular dos dados: Pessoa física a quem se referem os dados pessoais objeto de tratamento.
• LGPD: Lei Federal nº 13.709/2018, que disciplina o tratamento de dados pessoais no Brasil.
• Dados Pessoais: Qualquer informação relacionada a pessoa física que a identifique ou que, em combinação com outros dados, possibilite sua identificação.
• Controlador: Pessoa física ou jurídica que decide a finalidade e os meios do tratamento de dados pessoais.
• Operador: Pessoa física ou jurídica que realiza o tratamento de dados em nome do controlador.
• Bases Legais: Fundamentos jurídicos previstos nos arts. 7º e 11 da LGPD que legitimam o tratamento de dados pessoais.
• Consentimento: Autorização livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para finalidade previamente determinada.
• Eliminação: Exclusão de dado ou conjunto de dados armazenados em banco de dados.
• Compartilhamento de dados: Comunicação, transferência ou interconexão de dados pessoais entre controladores ou com operadores.
• ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública federal responsável por zelar pela proteção de dados pessoais, fiscalizar o cumprimento da LGPD, editar normas e procedimentos sobre proteção de dados pessoais e aplicar sanções em caso de descumprimento da legislação.
• Plataforma: Plataforma digital de infraestrutura regulatória desenvolvida pela Clav para apoiar organizações sujeitas à supervisão regulatória na gestão de requisitos normativos, controles de conformidade, processos de licenciamento, certificações e evidências, proporcionando visibilidade, rastreabilidade e monitoramento contínuo da conformidade regulatória.

5. A Quem Este Aviso se Aplica

Este Aviso de Privacidade destina-se a:

• usuários que realizam cadastro e utilizam a Plataforma Clav;
• visitantes do site institucional que interagem com o formulário de contato;
• terceiros cujos dados pessoais sejam eventualmente contidos em documentos enviados para processamento na Plataforma — nesse caso, a Clav atua como operadora sob instrução do cliente controlador, e os direitos desses titulares devem ser exercidos diretamente perante a organização que contratou a Plataforma.

Este Aviso não se aplica a dados anonimizados ou em formato agregado, uma vez que estes não permitem identificar uma pessoa física.

6. Fonte de Dados Pessoais e Finalidades

O tratamento de dados pessoais é realizado em conformidade com a LGPD e com os princípios de necessidade, adequação e proporcionalidade. A Clav coleta dados pessoais pelas seguintes fontes:

6.1 Logs técnicos coletados automaticamente pela Plataforma (papel de controladora)

A Clav coleta automaticamente, por iniciativa própria e independentemente de instrução do cliente, os seguintes dados técnicos gerados pelo uso da Plataforma, atuando como controladora para as finalidades indicadas:

6.2 Mediante preenchimento do formulário "Solicitar Acesso" no site institucional

Ao preencher o formulário disponível no site institucional (clav.tech), o visitante fornece os seguintes dados para fins de primeiro contato comercial:

6.3 Mediante upload de documentos na Plataforma (papel de operadora)

A Plataforma permite que clientes (organizações contratantes) realizem o upload e armazenamento de documentos que podem conter dados pessoais de terceiros. Em relação aos dados pessoais contidos nesses documentos, a Clav atua, em regra, como operadora, realizando o tratamento em nome e conforme as instruções da organização contratante, que permanece responsável pelas decisões relacionadas às finalidades e aos meios do tratamento.

Os documentos são utilizados exclusivamente para a prestação dos serviços contratados, não sendo seu conteúdo acessado ou utilizado pela Clav para finalidades comerciais ou quaisquer outras finalidades próprias incompatíveis com a execução dos serviços.

Como medida adicional de segurança, a Plataforma disponibiliza funcionalidade opcional de criptografia dos documentos armazenados. Quando essa funcionalidade é utilizada, o conteúdo dos documentos permanece inacessível à Clav, sendo acessível apenas pela organização contratante e pelos usuários por ela autorizados.

7. Dados que a Clav não coleta

A Clav declara expressamente que não coleta dados pessoais sensíveis — como dados de saúde, biometria, origem racial ou étnica, convicções religiosas, opiniões políticas ou dados genéticos — de forma intencional ou sistemática. Caso tais dados sejam eventualmente incluídos pelo usuário em documentos enviados via upload, o tratamento estará restrito às finalidades do serviço contratado, conforme disposto na Seção 6.

A Clav não coleta nem trata, intencionalmente, dados pessoais de crianças e adolescentes. Seus produtos e serviços são destinados exclusivamente a pessoas com 18 anos ou mais. Se identificado tratamento não intencional de dados de menores, os dados serão imediatamente eliminados, salvo determinação legal em contrário.

8. Compartilhamento de Dados Pessoais com Terceiros

A Clav não divulga nem compartilha dados pessoais com terceiros para fins comerciais ou publicitários. O compartilhamento ocorre apenas nas seguintes hipóteses:

• Prestadores de serviço (operadores): a Clav utiliza fornecedores de tecnologia para viabilizar suas operações, como serviços de hospedagem em nuvem, autenticação, armazenamento e segurança. Esses fornecedores tratam dados pessoais exclusivamente sob instrução da Clav e se comprometem contratualmente com as obrigações de segurança da informação e proteção de dados.
• Certificadoras e terceiros integrados por instrução do cliente: a Plataforma permite que o administrador da organização cliente configure integrações com certificadoras e outros terceiros via API. Nesses casos, o compartilhamento ocorre exclusivamente sob instrução expressa do cliente, que determina quais dados serão transmitidos e a qual destinatário. A Clav atua como operadora nesse fluxo. A responsabilidade pela adequação do compartilhamento com os terceiros destinatários recai sobre o cliente que o configura.
• Autoridades públicas: quando exigido por lei, decisão judicial ou requisição de autoridade competente.
• Exercício de direitos: quando necessário para proteger os direitos, bens ou segurança da Clav, seus usuários ou terceiros.
• Operações societárias: em caso de fusão, aquisição, cisão ou reestruturação do negócio, os dados poderão ser compartilhados com as partes envolvidas, mantendo-se o nível de proteção previsto neste Aviso.

A Clav permanece responsável pelo tratamento realizado pelos operadores com os quais compartilha dados por iniciativa própria. Para os compartilhamentos configurados pelo cliente via Plataforma, conforme item b acima, a responsabilidade pelo tratamento realizado pelo terceiro destinatário é do cliente que o instruiu.

9. Armazenamento de Dados e Transferências Internacionais

A infraestrutura de hospedagem da Clav está localizada no Brasil, na região sa-east-1 (São Paulo), o que significa que os dados pessoais tratados pela Clav são armazenados em território nacional.

Caso haja alteração na infraestrutura de hospedagem que implique mudança no país de armazenamento, este Aviso será atualizado e os titulares serão notificados por e-mail ou aviso na plataforma antes da migração, sendo adotados os mecanismos válidos de transferência internacional previstos na LGPD e na regulamentação da ANPD.

10. Retenção e Descarte de Dados Pessoais

Os dados pessoais são retidos pelo tempo necessário ao cumprimento das finalidades descritas neste Aviso e pelo prazo mínimo exigido pela legislação aplicável:

• Logs técnicos da Plataforma (comportamento de uso, IP, data/hora de acesso): retidos pelo tempo necessário às finalidades de segurança, melhoria e diagnóstico técnico do produto, observado o prazo mínimo de 6 meses para logs de acesso, conforme art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet).
• Dados do formulário do site: mantidos pelo tempo necessário ao contato comercial e, caso não resultem em contratação, eliminados no prazo de 2 anos.
• Dados tratados como operadora (cadastros de usuários, documentos via upload): retidos pelo tempo necessário à prestação do serviço contratado com o cliente. O cliente, na qualidade de controlador, pode determinar a eliminação a qualquer tempo; a Clav eliminará os dados nos prazos previstos no contrato de serviço, respeitadas as hipóteses legais de retenção.
• Dados de acesso ao site institucional (IP, data e hora de navegação): retidos pelo prazo mínimo de 6 meses, em cumprimento ao art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet).

Encerrados os prazos de retenção aplicáveis e inexistindo fundamento legal para manutenção, os dados pessoais serão eliminados ou anonimizados, conforme aplicável.

11. Segurança dos Dados

A Clav adota medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acesso não autorizado, perda, alteração ou divulgação indevida. Entre as medidas implementadas estão controles de acesso, múltiplo fator de autenticação (MFA), política de backup e criptografia de documentos (opcional, à escolha do administrador da organização cliente).

A Clav emprega técnicas de minimização e, sempre que possível e compatível com as finalidades do tratamento, adota mecanismos de pseudonimização.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Clav adotará as medidas cabíveis para contenção e comunicará o incidente à ANPD e aos titulares afetados, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024.

12. Direitos dos Titulares

O titular pode exercer, a qualquer momento e gratuitamente, os seguintes direitos previstos no art. 18 da LGPD, mediante solicitação ao DPO pelo canal indicado na Seção 3:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados;
• eliminação dos dados tratados com base no consentimento;
• informação sobre compartilhamento com terceiros e sobre as consequências de não fornecer consentimento;
• revogação do consentimento;
• revisão de decisões tomadas com base em tratamento automatizado, quando aplicável.

Em alguns casos, a Clav pode ter motivos legítimos para não atender integralmente a uma solicitação — como nos casos em que a retenção for obrigatória por força legal ou regulatória, ou quando o atendimento puder violar direitos de terceiros. Nessas hipóteses, a Clav justificará a limitação ao titular.

Atenção: quando a Clav atua como operadora — ou seja, no processamento de dados inseridos pelos clientes na Plataforma (como cadastros de usuários e documentos enviados via upload) —, os direitos previstos nesta seção devem ser exercidos diretamente perante o cliente controlador, que é a organização que contratou a Plataforma. A Clav não tem autonomia para atender essas solicitações sem instrução do controlador responsável. Caso necessário, a Clav poderá indicar ao titular a organização competente para receber o pedido.

Caso o titular não obtenha resposta satisfatória, poderá apresentar reclamação perante a ANPD: https://www.gov.br/anpd.

13. Modificações a Este Aviso

A Clav poderá modificar este Aviso a qualquer momento para refletir alterações nos serviços, na legislação aplicável ou nas práticas de privacidade. As versões atualizadas serão publicadas no site institucional. Em caso de mudanças materiais que afetem os titulares, a notificação será feita por e-mail ou aviso destacado na plataforma antes da entrada em vigor das alterações.

Recomendamos que o titular verifique periodicamente este Aviso para se manter informado sobre eventuais atualizações.