MINUTA DE HOMOLOGAÇÃO — em revisão jurídica, não usar em produção
POLÍTICA DE PRIVACIDADE DO ACCESS CONSENT
1. Quem somos
Access Security Consultoria e Tecnologia LTDA, CNPJ 29.612.419/0001-86, com sede em Barueri/SP. Encarregado (DPO): Edinei Pires Filho — [email protected].
2. Papéis
Para os dados do cadastro e dos usuários do painel, a Access Security é controladora. Para os dados dos visitantes dos sites dos Clientes (decisões de cookies, aceites, pedidos de titular), o Cliente é o controlador e a Access Security é operadora, nos termos do Acordo de Tratamento de Dados (DPA).
3. Dados tratados
a) Cadastro: CNPJ, razão social, endereço, telefone, e-mail corporativo, nome e e-mail dos usuários, aceites destes documentos.
b) Uso do painel: registros de acesso (data, IP, navegador) e trilha de auditoria.
c) Visitantes dos Clientes: identificador aleatório do navegador (visitorId), escolhas por categoria, versão do aviso, IP, país (cabeçalho da Cloudflare), navegador, página e referência, data e hora; aceites de documentos (e-mail, nome, CPF/CNPJ ou referência quando o Cliente enviar); pedidos de titular (nome, e-mail, descrição).
d) Cobrança: tratada pelo Access Pay; dados de cartão ficam com Stripe/Cielo e não são armazenados pelo Access Consent.
4. Finalidades e bases legais
Prestação do serviço e execução do contrato (art. 7º, V); cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI), inclusive a prova do consentimento (art. 8º, §2º); segurança e prevenção a fraude (legítimo interesse, art. 7º, IX).
5. Onde ficam e com quem compartilhamos
Amazon Web Services, região us-east-1 (Estados Unidos) — hospedagem, banco de dados e armazenamento imutável da prova; Amazon SES — envio de e-mails transacionais; Cloudflare — DNS, proxy e proteção; Access Pay (Access Security) com Stripe e Cielo — cobrança. Há transferência internacional para os EUA, amparada nas garantias contratuais desses fornecedores (art. 33 da LGPD).
6. Retenção
Decisões de cookies: 5 anos após o registro. Aceites de documentos: 10 anos após o registro. Pedidos de titular respondidos ou recusados: 5 anos após a resposta; pedidos nunca confirmados: 30 dias após a criação. Sessões expiradas e links de uso único: removidos após o vencimento (links, em até 7 dias). Contagens de visitantes únicos: mês corrente e anterior. A exclusão é feita por rotina diária e registrada na trilha.
7. Direitos do titular
Os direitos do art. 18 da LGPD podem ser exercidos pelo canal https://consent.accesssecurity.com.br/titular ou pelo e-mail [email protected]. Para dados de visitantes de sites de Clientes, o pedido é encaminhado ao Cliente controlador. Prazo de resposta: 15 dias após a confirmação do e-mail.
8. Segurança
Criptografia em trânsito (HTTPS), isolamento por empresa no banco (RLS), senhas com scrypt, tabela de prova só-inserção com corrente de hash e âncora diária em armazenamento com bloqueio de objeto.