Acordo de Tratamento de Dados (DPA)

Operadora: RD2 Finance Tecnologia LTDA (“RD2”, “nós”), Campos dos Goytacazes/RJ, Brasil. Contato comercial: [email protected]. Canal LGPD: [email protected].

Controladora (dados do negócio): a pessoa jurídica cliente que cria ou administra a organização no RD2 Finance e decide sobre o tratamento dos dados operacionais inseridos no software (lançamentos, parceiros, extratos, vendas, Open Finance etc.).

RD2 como controladora (conta da plataforma): a RD2 é controladora apenas dos dados da própria conta/plataforma (ex.: cadastro de usuários da conta RD2, lista de espera, faturamento do software), conforme a Política de Privacidade.

Este DPA regula o tratamento em que a cliente é controladora e a RD2 é operadora dos dados do negócio hospedados no SaaS.

A RD2 trata dados pessoais e dados financeiros associados sob instruções da Controladora, exclusivamente para prestar o RD2 Finance (gestão financeira multiempresa), incluindo hospedagem, segurança, suporte, integrações ativas pela Controladora (ex.: Open Finance, e-mail, IA de categorias e de mapeamento da importação de vendas, conectores de IA, Agente Financeiro) e cumprimento de obrigações legais aplicáveis à operadora.

Conforme instruído pela Controladora, tipicamente:

• Dados de conta e acesso de usuários da organização (nome, e-mail, papel, empresas visíveis, sessão).
• Dados do negócio: lançamentos, categorias, centros de custo, contas, extratos, conciliação, vendas, caixa, parceiros (incluindo CPF/CNPJ e anexos).
• Dados de Open Finance, quando a organização conecta instituições.
• Dados enviados a recursos de IA de classificação, somente se a chave estiver configurada e o recurso for usado.
• Na importação de vendas, o cabeçalho e até 8 linhas de amostra da aba escolhida, enviados à IA quando a etapa de mapeamento de colunas é aberta com a IA habilitada. Antes do envio, o servidor mascara automaticamente identificadores reconhecíveis (CPF/CNPJ, e-mail, telefone, sequências longas de dígitos e as colunas identificadas como nome). Textos livres podem conter dados pessoais que não são reconhecidos; o provedor é instruído a não guardar a resposta para consulta posterior; a OpenAI pode reter entradas e saídas por até 30 dias para monitoramento de abuso.
• Na conferência de caixa, o cabeçalho e as linhas da listagem exportada pelo PDV, enviados à IA quando a importação é feita no Fechamento de Caixa com a IA habilitada. Antes do envio, o servidor mascara automaticamente identificadores reconhecíveis e o nome ou login do operador do caixa. Textos livres podem conter dados pessoais que não são reconhecidos, como um operador escrito numa linha de valores. Na chamada, o provedor é instruído a não guardar a resposta para consulta posterior; a OpenAI pode reter entradas e saídas por até 30 dias para monitoramento de abuso.
• Dados entregues a apps de IA que os usuários da organização conectarem (cláusula 16), com o registro da autorização e o log de uso das ferramentas.
• No Agente Financeiro (cláusula 17), a pergunta do usuário, os dados que o agente consulta para responder, as análises que o usuário salvar como favoritas e a memória do agente (as preferências que o usuário pede para lembrar e os 10 últimos pedidos dele).
• Logs e auditoria de ações sensíveis (sem senhas ou tokens).

Titulares: usuários da organização, parceiros/clientes/fornecedores da Controladora e demais pessoas cujos dados a Controladora inserir no sistema.

A RD2 trata os dados apenas:

1. conforme este DPA e a documentação do produto;
2. conforme instruções documentadas da Controladora (incluindo configurações no app); e
3. quando exigido por lei, hipótese em que informará a Controladora previamente, salvo se a lei proibir.

A RD2 não usa dados do negócio da Controladora para treinar modelos próprios de terceiros nem para marketing a terceiros.

A Controladora declara e se obriga a:

• ter base legal adequada para o tratamento que determina;
• inserir no sistema apenas dados necessários e lícitos;
• informar titulares e responder a pedidos de direitos relativos aos dados do negócio, podendo solicitar apoio razoável da RD2;
• configurar papéis e acessos de seus usuários de forma adequada;
• notificar a RD2 sobre instruções especiais de retenção, exclusão ou restrição.

A RD2 se obriga a:

• tratar os dados somente nas finalidades deste DPA;
• garantir confidencialidade das pessoas autorizadas a tratar os dados;
• aplicar medidas de segurança técnicas e organizacionais adequadas ao risco (isolamento por organização, autorização por papel, autenticação, TLS, controles de anexo, auditoria), sem garantir segurança absoluta;
• auxiliar a Controladora, na medida do razoável e do produto, no atendimento a direitos de titulares e em avaliações de impacto quando o tratamento no SaaS for relevante;
• não subcontratar tratamento a novos subprocessadores sem o mecanismo da cláusula 7;
• notificar incidentes conforme a cláusula 8;
• excluir ou devolver dados ao término conforme a cláusula 9.

A Controladora autoriza, de forma geral, o uso dos subprocessadores abaixo para as finalidades indicadas. A RD2 manterá a lista atualizada neste DPA e/ou na Política de Privacidade. Inclusão de novo subprocessador material será comunicada com antecedência razoável (ex.: e-mail do admin da organização ou atualização versionada da página), podendo a Controladora objetar por motivo legítimo de proteção de dados; se não houver acordo, poderá encerrar o serviço conforme o contrato comercial.

Os apps de IA que os usuários conectarem (cláusula 16) não entram nesta lista: o provedor é escolhido e contratado pela Controladora ou pelo usuário. A OpenAI consta acima pelos tratamentos da cláusula 7 (sugestão de categorias, mapeamento da importação de vendas e leitura da conferência de caixa) e pelo Agente Financeiro da RD2 (cláusula 17); como provedora de um app de IA conectado, ela não é suboperadora da RD2.

A RD2 celebrará ou manterá contratos com subprocessadores que imponham obrigações compatíveis com este DPA, no que for aplicável.

Não vendemos dados pessoais. Autoridades podem receber dados quando a lei exigir.

A RD2 manterá processo interno de resposta a incidentes. Havendo incidente de segurança que envolva dados pessoais tratados sob este DPA, a RD2:

1. notificará a Controladora sem demora injustificada após tomar conhecimento, com informações disponíveis sobre natureza, dados afetados, medidas tomadas e contatos;
2. cooperará razoavelmente com a Controladora na investigação e mitigação;
3. quando cabível às obrigações da RD2 como operadora/controladora da plataforma, observará comunicação à ANPD (referência interna: até 3 dias úteis quando aplicável ao caso da plataforma), sem substituir decisões da Controladora sobre notificação aos titulares dos dados do negócio.

Canal: [email protected].

Durante a vigência, a Controladora pode exportar dados pelos meios do produto ou solicitar apoio razoável.

Ao término do contrato ou mediante instrução válida da Controladora:

• a RD2 deixará de tratar ativamente os dados do tenant, salvo retenção legal/contábil ou defesa de direitos;
• excluirá ou anonimizará os dados do negócio na medida tecnicamente possível no produto e na infraestrutura, observados backups e prazos legais;
• anexos seguem a política de retenção do produto (ex.: expiração de anexos de parceiros no domínio do app; expurgo no armazenamento conforme política interna).

Prazos e formato de devolução/exportação podem ser detalhados no contrato comercial ou no pedido a [email protected].

A Controladora poderá, com aviso prévio razoável e no máximo uma vez a cada 12 meses (salvo incidente ou ordem de autoridade), solicitar:

• informações e evidências documentais sobre medidas de segurança e subprocessadores; e/ou
• relatórios ou questionários de segurança razoáveis.

Auditorias presenciais ou invasivas só ocorrerão se previstas no contrato comercial, sem comprometer segurança de outros clientes, e às custas da Controladora salvo acordo em contrário.

Quando subprocessadores tratarem dados fora do Brasil, a transferência se apoiará nas hipóteses dos arts. 33 a 36 da LGPD e em salvaguardas contratuais adequadas com o fornecedor. Preferimos regiões no Brasil quando disponíveis. Detalhes: Política de Privacidade.

Cada parte responde pelos danos que causar pelo descumprimento de suas obrigações legais e deste DPA. A Controladora responde pelas decisões de tratamento que determina; a RD2 responde pelo tratamento realizado em desacordo com as instruções lícitas da Controladora ou com a legislação aplicável à operadora. Limites de indenização do contrato comercial de prestação do SaaS aplicam-se na medida permitida pela lei.

Este DPA vigora enquanto a Controladora usar o RD2 Finance para tratar dados do negócio e sobrevive no necessário às obrigações de exclusão, confidencialidade e responsabilidade.

Alterações materiais deste DPA serão publicadas com nova versão e data de vigência. O aceite no produto ou a continuidade do uso após comunicação, quando aplicável ao contrato, constitui adesão à versão vigente, sem prejuízo de oposição a novo subprocessador na forma da cláusula 7.

Lei brasileira (LGPD e normas correlatas). Foro da comarca de Campos dos Goytacazes/RJ, salvo regra de proteção do consumidor ou disposição diversa no contrato comercial.

O administrador que cria ou ativa a organização no RD2 Finance declara ter lido este DPA e aceitá-lo em nome da Controladora, ficando registrado no sistema a data, o usuário e a versão aceita (quando o fluxo de criação de organização estiver habilitado). Alternativamente, o DPA pode ser anexo assinado ao contrato comercial.

Versão publicada: 1.2.

Os usuários da Controladora podem conectar à própria conta um app de IA de terceiro (por exemplo, Claude, ChatGPT ou Grok) para consultar e lançar dados do RD2 Finance pela conversa. Nesse tratamento:

1. Instrução. Cada conexão é instrução da Controladora, dada pelo usuário na tela de autorização do RD2, que mostra o app, o domínio de retorno, a conta e a organização. A trilha de auditoria registra o app, a permissão escolhida (“Consultar e lançar” ou “Só consultar”), o usuário e a data; o domínio de retorno fica no registro do app. A RD2 entrega ao app apenas o que a conta do usuário alcança na tela, nunca além das permissões dela.
2. Provedor de IA. O provedor do app (por exemplo, Anthropic, OpenAI ou xAI) é escolhido e contratado pela Controladora ou pelo usuário e, nesse papel, não é suboperador da RD2. O tratamento que ele faz dos dados recebidos segue o contrato e a política dele, inclusive quanto à transferência internacional, e cabe à Controladora avaliá-lo. A OpenAI só é suboperadora da RD2 nos tratamentos da cláusula 7 (sugestão de categorias, mapeamento da importação de vendas e leitura da conferência de caixa), inclusive quando uma ferramenta do conector pede a sugestão, e no Agente Financeiro da RD2 (cláusula 17). Tudo o que o usuário escreve na conversa passa pelo app e pelo provedor antes de chegar à RD2, inclusive documentos que ele digitar, como o CPF ou o CNPJ do titular para conectar um banco.
3. Medidas da RD2. Gravações pedidas pela IA só acontecem depois de um resumo escrito pelo servidor e de uma confirmação; nenhuma ferramenta do conector movimenta dinheiro nem envia dados a um destino indicado na conversa (as integrações que elas acionam são as mesmas da tela); CPF sai mascarado nas respostas, e do CPF ou do CNPJ informado para conectar um banco a confirmação pendente guarda só a forma mascarada, como aparece no resumo, e um código de conferência com chave secreta (HMAC), que não permite recuperá-los; textos inseridos por terceiros são entregues como dado, não como instrução; desconectar o app, desativar o usuário ou desligar o recurso corta o acesso na chamada seguinte.
4. Registros. A RD2 guarda a autorização até ela ser desconectada, um log de uso por chamada (ferramenta, desfecho, código de erro, duração e nome do app, sem os dados consultados ou lançados) por 90 dias e as confirmações pendentes, que valem 10 minutos e são apagadas a partir de um dia depois de vencer (a limpeza roda quando outra confirmação é criada, no máximo uma vez por hora).
5. Responsabilidades da Controladora. Definir, pelos papéis e pelas empresas visíveis de cada usuário, o que ele e o app que ele conectar alcançam; conferir o que a IA grava; e responder pelas outras ferramentas que seus usuários ligarem no mesmo app de IA, que podem ler o que o RD2 devolve na conversa.
6. Desligamento. O administrador da organização vê e desconecta qualquer conexão da organização em Configurações. A RD2 libera o recurso por organização e pode desligá-lo por segurança ou a pedido da Controladora pelo canal [email protected].

O Agente Financeiro é o assistente da própria RD2 dentro do RD2 Finance, em /agente-financeiro, liberado pela RD2 por organização. Nesse tratamento:

1. Acesso. Quando um usuário da Controladora conversa com o agente, ele pode acessar, com a autorização e a permissão do próprio usuário, os dados financeiros da organização que esse usuário já pode ver no RD2 Finance. A autorização é dada uma vez, na tela de autorização do RD2, e vale até ser desconectada na página Conecte sua IA.
2. OpenAI. A pergunta e os dados consultados vão à OpenAI, suboperadora da RD2 (cláusula 7), para gerar a resposta. Senhas e tokens de acesso nunca são enviados ao modelo, e o CPF chega mascarado. Na chamada, a OpenAI é instruída a não guardar a resposta para consulta posterior e pode reter entradas e saídas por até 30 dias para monitoramento de abuso.
3. Registros. As conversas ficam guardadas por 30 dias, e as análises favoritas ficam até o usuário removê-las; a lista das conversas no RD2, com o começo da primeira pergunta como título, fica enquanto a conta existir.
4. Memória. Para usar nas próximas conversas, o agente guarda, cifrados, só as preferências que o usuário pede para lembrar (até 15) e os 10 últimos pedidos dele, no banco do próprio agente; essa memória é só desse usuário. Valores e documentos não vão para a memória: o agente recusa guardar como preferência os valores em reais, CPF e CNPJ que reconhece no texto e os mascara nos pedidos. A memória deixa de valer e é apagada depois de 180 dias sem uso, e o que o usuário pede para o agente esquecer sai da memória na hora (esquecer uma preferência apaga também os pedidos recentes), sem que o próprio pedido de esquecer fique guardado.