Termo de Tratamento de Dados Pessoais do StockCRS

Versão 1.0 · Data desta versão: 04/10/2026 · em vigor desde 04/10/2026

Este termo faz parte da licença de uso do StockCRS e trata só de proteção de dados pessoais. Ele é aceito no sistema pelo administrador ou auditor da licença, em nome da empresa cliente. Quando uma palavra aparece com inicial maiúscula (Cliente, CR, Titular, Licença), ela tem o sentido da cláusula 1.

Neste termo, "operadora" é o papel da CR definido na Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018). Não confundir com o "operador de campo", que é a pessoa que conta itens no inventário pelo QR.

As referências ao "Guia" são ao Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, da ANPD (versão 2.0, abril de 2022).

1. Partes e definições

• CR: empresário individual que usa o nome fantasia CR Soluções, CNPJ 12.573.418/0001-77, com sede na R. Evaristo da Veiga, 217, sala 1006, Ed. Torque Empresarial, Casa Amarela, Recife/PE, CEP 52070-100. E-mail: [email protected].
• Cliente: a empresa titular da Licença, representada pelo administrador ou auditor da Licença que aceita este termo no sistema. Quem aceita declara ter poderes para representar o Cliente.
• Licença: o direito de uso do StockCRS contratado pelo Cliente, nas condições da proposta comercial aceita.
• Titular: a pessoa natural a quem o dado pessoal se refere (LGPD, art. 5º V).

2. Quem decide e quem executa

1. O Cliente é o controlador do dado pessoal que ele coloca no StockCRS ou que a operação dele gera no sistema: é ele quem decide quem cadastra, o que conta e por quê (LGPD, art. 5º VI).
2. A CR é a operadora desse dado: trata o dado em nome do Cliente, seguindo as instruções dele (LGPD, arts. 5º VII e 39).
3. A base legal de cada tratamento feito em nome do Cliente é escolhida pelo Cliente, como controlador (LGPD, art. 7º). A CR não escolhe a base legal por ele.
4. A CR é controladora independente, e não operadora, nos seguintes casos:
   • Registros de acesso e segurança da aplicação: endereço IP, data e hora, navegador e aparelho, o e-mail usado no login ou o nome informado no QR, e as sessões abertas. A CR guarda esses registros para a segurança do sistema, para prevenir fraude e para se defender em eventual processo (LGPD, art. 7º IX e VI). Usa como referência o prazo de 6 meses que o Marco Civil da Internet fixa para os provedores constituídos como pessoa jurídica (Lei nº 12.965/2014, art. 15).
   • Telemetria técnica: registro de erros do aplicativo e métricas de funcionamento, para manter o serviço funcionando e seguro (LGPD, art. 7º IX).
   • Dados da relação comercial com o Cliente e dados da equipe da própria CR.

   Nesses casos, a CR responde como controladora e os descreve no aviso de privacidade (LGPD, art. 9º).

3. Objeto, finalidade e dados tratados

O conteúdo desta cláusula segue o que o Guia (§56) indica para o contrato entre controlador e operador: objeto, duração, natureza, finalidade e tipos de dados.

Objeto: hospedar e operar o StockCRS para o Cliente: gestão de estoque, inventário físico, contagem pelo QR, auditoria, movimentações e, quando contratada, a integração com o sistema de gestão (ERP) do Cliente.

Finalidade: só a prestação desse serviço. A CR não usa o dado do Cliente para fim próprio (LGPD, arts. 6º I e 39).

Natureza do tratamento: coleta, armazenamento, consulta, exibição, envio de e-mail do próprio sistema, cópia de segurança e eliminação (LGPD, art. 5º X).

Duração: a da Licença, mais os prazos da cláusula 10.

Categorias de titulares e de dados:

O StockCRS não foi feito para tratar dado sensível (origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico) nem dado de criança ou adolescente (LGPD, arts. 5º II, 11 e 14). O Cliente se obriga a não colocar esse tipo de dado no sistema (cláusula 4.6).

4. Instruções do Cliente e deveres das partes

1. A CR trata o dado só conforme as instruções do Cliente (LGPD, art. 39). São instruções: este termo e a configuração que o Cliente faz na Licença (usuários, filiais, prazo de guarda das fotos, lista de IPs permitidos, horários de acesso, integrações que ele ativa).
2. A CR não vende o dado, não o usa para fim próprio e não o repassa a ninguém além dos suboperadores da cláusula 7, salvo por obrigação legal ou ordem de autoridade (LGPD, arts. 6º I e 39). Se receber ordem de autoridade sobre dado do Cliente, a CR avisa o Cliente antes de cumprir, quando a lei permitir, e só entrega registro de acesso por ordem judicial (Lei nº 12.965/2014, art. 10 §1º).
3. A CR não cumpre instrução contrária à lei e avisa o Cliente quando receber uma. O operador que descumpre a lei responde junto com o controlador (LGPD, art. 42 §1º I).
4. Quem na CR tem acesso ao dado guarda sigilo, também depois do fim da Licença (LGPD, art. 47).
5. As duas partes mantêm registro das operações de tratamento que fazem (LGPD, art. 37).
6. O Cliente garante que tem base legal para cada tratamento que manda fazer; informa os próprios titulares, inclusive operadores de campo e prestadores, sobre o uso do StockCRS; dá acesso só a quem precisa; e não coloca no sistema dado sensível nem dado de criança ou adolescente.

5. Segurança

A CR adota medidas técnicas e administrativas para proteger o dado contra acesso não autorizado, perda, alteração ou vazamento (LGPD, art. 46). Em resumo:

• o dado de cada Licença fica isolado no banco: um cliente não enxerga o dado de outro;
• senhas são guardadas só de forma irreversível, e links de convite e de troca de senha valem por pouco tempo e uma vez só;
• o Cliente pode restringir o acesso por rede (lista de IPs) e por horário;
• as contas administrativas da CR nos fornecedores de infraestrutura e no repositório de código exigem autenticação em dois fatores;
• a trilha de auditoria registra quem fez o quê de forma encadeada, o que denuncia adulteração;
• a comunicação com o sistema é cifrada (HTTPS);
• há cópia de segurança diária; a cópia guardada fora da infraestrutura da CR é cifrada antes de sair;
• fotos só são acessadas por dentro do sistema, sem link público, e a credencial do armazenamento é guardada cifrada;
• rotinas de guarda, automáticas ou acionadas pela CR, apagam o dado ou reduzem a identificação dele quando o prazo da cláusula 3 vence.

Detalhes técnicos que ajudariam um ataque (endereços, portas, nomes de servidor) não entram neste termo. A CR fornece mais informação ao Cliente quando ele pedir, na medida do necessário (cláusula 9.5).

6. Incidente de segurança

1. Se a CR souber de um incidente de segurança que possa afetar dado pessoal tratado em nome do Cliente, ela avisa o Cliente sem demora, em até 48 horas de quando soube, pelo e-mail cadastrado dos administradores da Licença.
2. O aviso traz o que a CR já souber sobre os itens do art. 48 §1º da LGPD: que dados foram afetados, quem são os titulares, que medidas de proteção existiam, quais os riscos e o que foi feito para conter o dano. O que faltar é completado assim que a CR souber.
3. Quem comunica à ANPD e aos titulares é o Cliente, como controlador, quando o incidente puder causar risco ou dano relevante (LGPD, art. 48). O prazo dele é de 3 dias úteis, ou 6 se ele for agente de pequeno porte, contados de quando souber que o incidente afetou dado pessoal (Resolução CD/ANPD nº 15/2024, arts. 5º, 6º e 9º). A CR ajuda com as informações técnicas.
4. A CR contém o incidente e preserva os registros, que servem de prova.
5. Quando o incidente afeta dado de que a CR é controladora (cláusula 2.4), quem comunica é a própria CR (LGPD, art. 48).

7. Suboperadores

1. O Cliente autoriza, de forma genérica, que a CR use os suboperadores da lista pública, que fica na seção "Com quem compartilhamos" do aviso de privacidade (Guia, §§54 (iii) e 67).
2. A lista mostra o nome de cada suboperador, o que ele faz, o país e a data da última mudança.
3. Para incluir ou trocar um suboperador, a CR atualiza a lista e avisa os administradores da Licença, no sistema ou por e-mail, pelo menos 15 dias antes de ele começar a receber dado. Nesse prazo, o Cliente pode se opor. Se não houver acordo, o Cliente pode encerrar a Licença, e valem as regras da cláusula 10.
4. A CR só usa suboperador com quem tenha contrato escrito que o obrigue, no mínimo, ao que este termo obriga a CR. O suboperador entra na mesma cadeia de responsabilidade da CR (Guia, §69).

Lista na data desta versão:

O sistema e o banco de dados rodam em infraestrutura própria da CR, no Brasil.

8. Transferência internacional

A LGPD só permite enviar dado pessoal para fora do Brasil por um dos mecanismos do art. 33. Dado cifrado continua sendo dado pessoal (LGPD, art. 12), e por isso a cifra reduz o risco, mas não substitui o mecanismo. O estado de hoje é este (LGPD, arts. 33 a 36):

Ao aceitar este termo, o Cliente dá à CR a instrução por escrito para transferir os dados aos suboperadores desta tabela, nas condições descritas aqui. Quando a CR formalizar as cláusulas-padrão da ANPD entre operadores com um suboperador, essa instrução vale também para elas (Resolução CD/ANPD nº 19/2024, Anexo II, cláusula 4, Opção B, item 4.1). As cópias anteriores nos Estados Unidos (bucket antigo do R2 e bucket antigo do B2) são apagadas depois da migração para a União Europeia. A CR publica as informações sobre cada transferência no aviso de privacidade, e o Cliente pode usá-las para cumprir o próprio dever de transparência (Resolução CD/ANPD nº 19/2024, art. 17 §§2º e 3º).

9. Direitos dos titulares e apoio ao Cliente

1. Quem responde aos pedidos dos titulares (confirmação, acesso, correção, eliminação e os demais do art. 18) é o Cliente, como controlador (LGPD, art. 18).
2. A CR dá ao Cliente o meio técnico: o administrador consulta e corrige os usuários na gestão, e a CR apoia, a pedido do Cliente, o que o sistema ainda não faz sozinho, como reunir os dados de um titular para entregar a ele.
3. Se um pedido de titular chegar direto à CR sobre dado do Cliente, a CR o encaminha ao Cliente o quanto antes e informa o titular de que a controladora é a empresa cliente (LGPD, art. 18 §3º).
4. A CR entrega ao Cliente o que for necessário para responder ao titular em até 7 dias do pedido dele, para que o Cliente cumpra o prazo de 15 dias da declaração completa (LGPD, art. 19 II). Os prazos de 15 e 30 dias da CR ao titular valem só para o dado de que a CR é controladora; o pedido sobre dado do Cliente é encaminhado a ele e os prazos dele é que valem. O prazo em dobro do agente de pequeno porte da CR não se transfere ao Cliente (Resolução CD/ANPD nº 2/2022, art. 14).
5. A CR fornece ao Cliente as informações necessárias para demonstrar o cumprimento deste termo, para responder à ANPD e para um relatório de impacto, se a ANPD pedir um ao Cliente (LGPD, arts. 6º X e 38).

10. Guarda e fim da Licença

1. Durante a Licença, o dado fica guardado pelos prazos da cláusula 3 (LGPD, art. 15).
2. Até o 30º dia depois do fim da Licença, o Cliente pode pedir a exportação completa dos dados dele, com as fotos. A CR entrega em até 15 dias do pedido, em planilhas (CSV) e com as fotos em arquivo compactado.
3. Se houver pedido de exportação, a CR elimina o dado do Cliente do sistema, inclusive as fotos do armazenamento, depois da entrega e em até o 45º dia depois do fim da Licença. Sem pedido, a eliminação ocorre ao fim do 30º dia (LGPD, art. 16).
4. Ficam guardados só:
   • os registros de acesso, de que a CR é controladora (cláusula 2.4), por até 6 meses depois do encerramento, sem passar de 12 meses desde o registro, e então apagados (LGPD, art. 7º VI e IX);
   • a trilha de auditoria, que é encadeada e não admite apagar linha. No mesmo prazo do item 3, a CR troca nela o nome de quem fez cada ação por iniciais ou códigos. Isso reduz a identificação, mas, enquanto houver vínculo que permita reidentificar (como o identificador do usuário no aceite), o dado continua pessoal até o fim do prazo de guarda (LGPD, art. 16). Durante a Licença, a troca é feita a pedido do Cliente (LGPD, art. 18 IV);
   • o registro de aceite deste termo (quem aceitou, papel, versão, data e hora), de que a CR é controladora, por até 5 anos depois do fim da Licença, como prova da contratação (LGPD, art. 7º VI; Código Civil, art. 206 §5º I);
   • as cópias de segurança, até vencerem no ciclo delas: até 90 dias na cópia local e até cerca de 4 meses na cópia em nuvem. Uma cópia só é restaurada em caso de desastre; se for, o dado que já tinha sido eliminado é eliminado de novo.

11. Responsabilidade

1. Perante os titulares e a ANPD valem as regras da LGPD, inclusive a responsabilidade solidária do operador (LGPD, art. 42 §1º I). Este termo não reduz nenhum direito do titular.
2. Entre as partes, quem pagar uma indenização ao titular pode cobrar da outra a parte que cabe a ela, na medida da participação dela no dano (LGPD, art. 42 §4º).
3. Entre as partes, inclusive na cobrança do item 2, a responsabilidade total da CR por este termo fica limitada ao maior destes valores: o total que o Cliente pagou pela Licença nos 12 meses anteriores ao fato que gerou o dano, ou 12 mensalidades do valor da proposta comercial aceita, mesmo se a Licença estiver em período gratuito.
4. Esse limite não vale em caso de dolo ou culpa grave da CR.

12. Encarregado e canal de contato

1. A CR é agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022, art. 2º) e não indicou encarregado. Ela mantém um canal para receber reclamações, prestar esclarecimentos e adotar providências (Resolução CD/ANPD nº 2/2022, art. 11; LGPD, art. 41 §2º I): [email protected]. Para o operador, indicar encarregado é facultativo (Resolução CD/ANPD nº 18/2024, art. 6º).
2. O Cliente, como controlador, cuida do próprio encarregado ou canal (LGPD, art. 41).

13. Vigência e mudança deste termo

1. O termo vale enquanto a Licença estiver ativa (Guia, §56). O sigilo e as regras da cláusula 10 continuam valendo depois do fim (LGPD, art. 47).
2. Cada versão tem número e data. O sistema registra qual versão foi aceita, quando e por quem (LGPD, arts. 6º X e 37).
3. Uma versão nova é avisada na gestão com pelo menos 30 dias de antecedência e precisa de novo aceite do administrador ou auditor da Licença. Passado esse prazo sem aceite, a gestão fica bloqueada, mas a exportação (cláusula 10.2) e o pedido de encerramento continuam disponíveis; operador de campo e auditor continuam trabalhando normalmente. Se o Cliente não concordar com a versão nova, pode encerrar a Licença, e valem as regras da cláusula 10.

14. Lei aplicável e foro

1. Aplica-se a lei brasileira.
2. No que for proteção de dados pessoais, este termo prevalece sobre a proposta comercial e sobre outras condições da Licença.
3. Fica eleito o foro de Recife/PE, sem prejuízo dos direitos do titular.