Acordo de Tratamento de Dados Pessoais — DPA do SUIDChain

Este Acordo de Tratamento de Dados Pessoais, denominado “DPA”, integra os Termos de Uso, a proposta comercial, a ordem de serviço, o formulário de contratação e os demais instrumentos celebrados para utilização da plataforma SUIDChain.

O presente DPA é celebrado entre:

Cliente: pessoa jurídica, organização, instituição, projeto ou profissional identificado no Contrato Principal, doravante denominado “Cliente” ou “Controlador”;

Sautlink Tecnologia da Informação e Comércio Eletrônico Imp. e Exp. Ltda., inscrita no CNPJ sob o nº 12.031.849/0001-01, responsável pela operação do SUIDChain, doravante denominada “SUIDChain” ou “Operador”.

Cliente e SUIDChain serão denominados individualmente “Parte” e, em conjunto, “Partes”.

Este DPA disciplina o tratamento de dados pessoais realizado pelo SUIDChain em nome do Cliente e deve ser interpretado em conjunto com a Política de Privacidade, os Termos de Uso e o Contrato Principal.

1. Base legal e normas aplicáveis

Este DPA será interpretado de acordo com a legislação brasileira, especialmente:

Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais — LGPD;
Lei nº 12.965/2014 — Marco Civil da Internet;
Decreto nº 8.771/2016;
Lei nº 8.078/1990 — Código de Defesa do Consumidor, quando aplicável;
Lei nº 10.406/2002 — Código Civil;
Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança;
Resolução CD/ANPD nº 19/2024 — Regulamento de Transferência Internacional de Dados;
demais normas, regulamentos e orientações expedidos pela Agência Nacional de Proteção de Dados — ANPD.

Quando uma operação estiver sujeita a legislação estrangeira, as Partes poderão celebrar aditivo específico, sem afastar a aplicação da legislação brasileira quando esta for obrigatória.

2. Definições

Para fins deste DPA:

2.1 Dados pessoais

Informações relacionadas a uma pessoa natural identificada ou identificável.

2.2 Dados pessoais sensíveis

Dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos vinculados a uma pessoa natural.

2.3 Titular

Pessoa natural a quem se referem os dados pessoais tratados.

2.4 Controlador

Pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.

2.5 Operador

Pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador e de acordo com suas instruções lícitas e documentadas.

2.6 Suboperador

Terceiro contratado pelo SUIDChain para executar, em seu nome, operações de tratamento necessárias à prestação dos serviços.

2.7 Tratamento

Toda operação realizada com dados pessoais, incluindo coleta, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, avaliação, modificação, comunicação, transferência, extração, publicação autorizada, anonimização, bloqueio ou eliminação.

2.8 Dados do Cliente

Dados, arquivos, documentos, registros e informações inseridos, enviados, integrados, importados, produzidos ou armazenados pelo Cliente por meio dos serviços.

2.9 Incidente de segurança

Evento confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais.

2.10 Contrato Principal

Proposta, pedido, formulário de contratação, ordem de serviço, contrato de assinatura, licença ou outro instrumento que estabeleça a relação comercial entre as Partes.

2.11 Serviços

Funcionalidades fornecidas pelo SUIDChain, incluindo:

emissão e gerenciamento de SUIDs;
criação de SUID Passes;
geração e leitura de QR Codes;
identificação digital de produtos, lotes e coleções;
rastreabilidade de matérias-primas, processos e cadeias produtivas;
organização de informações sobre origem, autoria, produção e território;
gestão de documentos, evidências e informações de conformidade;
dashboards, relatórios e indicadores;
recursos de inteligência de dados;
APIs e integrações;
recursos de logística, cotação de frete e emissão de etiquetas;
suporte, implantação, treinamento e consultoria relacionados à plataforma.

3. Objeto

O presente DPA estabelece as condições para o tratamento de dados pessoais realizado pelo SUIDChain em nome do Cliente durante a execução dos serviços.

O tratamento será limitado:

às funcionalidades contratadas;
às instruções lícitas e documentadas do Cliente;
às finalidades descritas no Contrato Principal e neste DPA;
ao período necessário para prestação dos serviços;
às obrigações legais e regulatórias aplicáveis.

O SUIDChain não utilizará os dados pessoais tratados em nome do Cliente para finalidades próprias incompatíveis com as instruções recebidas.

4. Papéis das Partes

4.1 Cliente como Controlador

O Cliente será, como regra geral, o Controlador dos dados pessoais que inserir, importar, integrar ou determinar que sejam tratados por meio da plataforma.

O Cliente será responsável por:

determinar as finalidades do tratamento;
definir quais dados serão coletados ou cadastrados;
estabelecer as bases legais aplicáveis;
fornecer aos titulares as informações exigidas pela LGPD;
obter consentimento quando essa for a base legal utilizada;
garantir a qualidade, exatidão e atualização dos dados;
definir os usuários autorizados;
estabelecer os prazos de conservação;
determinar quais informações poderão ser publicadas em SUID Passes;
atender às solicitações dos titulares;
avaliar a necessidade de comunicação de incidentes à ANPD e aos titulares;
não inserir dados obtidos de forma ilegal, abusiva ou enganosa;
não realizar tratamentos incompatíveis com os serviços contratados.

4.2 SUIDChain como Operador

O SUIDChain atuará como Operador quando tratar dados pessoais em nome do Cliente e conforme suas instruções.

Nessas situações, o SUIDChain deverá:

observar as instruções lícitas e documentadas do Cliente;
limitar o tratamento às finalidades contratadas;
adotar medidas de segurança adequadas;
manter confidencialidade;
auxiliar o Cliente no cumprimento de suas obrigações;
informar ao Cliente quando considerar que uma instrução poderá violar a legislação;
manter informações necessárias para demonstrar o cumprimento deste DPA.

4.3 SUIDChain como Controlador independente

O SUIDChain poderá atuar como Controlador independente em relação aos dados necessários para:

criação e administração de contas;
identificação dos representantes do Cliente;
faturamento e cobrança;
gestão contratual;
prevenção a fraudes;
segurança da plataforma;
atendimento e suporte;
cumprimento de obrigações legais;
defesa de direitos;
envio de comunicações operacionais;
geração de estatísticas anonimizadas.

Essas operações serão regidas pela Política de Privacidade do SUIDChain.

5. Instruções documentadas

Serão consideradas instruções documentadas:

o Contrato Principal;
este DPA;
as configurações realizadas na plataforma;
os dados cadastrados pelo Cliente;
as solicitações enviadas por canais oficiais;
as autorizações de integração;
as ordens de serviço aceitas pelas Partes.

O SUIDChain poderá suspender ou recusar instruções que:

sejam manifestamente ilegais;
violem direitos de terceiros;
comprometam a segurança da plataforma;
envolvam dados excessivos ou incompatíveis;
exijam funcionalidade não contratada;
determinem a publicação indevida de dados;
impliquem tratamento de alto risco não previamente avaliado.

Alterações significativas na natureza, finalidade, volume ou risco do tratamento poderão depender de avaliação técnica e contratação adicional.

6. Obrigações do Cliente

O Cliente declara e garante que:

possui fundamento jurídico para tratar os dados;
os dados foram coletados de forma legítima;
os titulares foram devidamente informados;
as informações fornecidas ao SUIDChain são adequadas e necessárias;
possui autorização para utilizar imagens, depoimentos, histórias e informações profissionais;
observará os direitos de artesãos, produtores, colaboradores, fornecedores e demais titulares;
não utilizará a plataforma para discriminação, vigilância abusiva ou tratamento ilícito;
protegerá suas credenciais;
revisará periodicamente os acessos de seus usuários;
comunicará imediatamente qualquer suspeita de comprometimento da conta.

O Cliente não deverá cadastrar:

senhas de terceiros;
números completos de cartões;
dados bancários desnecessários;
documentos pessoais sem necessidade;
endereços residenciais completos em páginas públicas;
prontuários médicos;
dados biométricos;
informações sobre saúde;
dados de crianças ou adolescentes sem fundamento jurídico e avaliação específica;
dados sensíveis incompatíveis com os serviços.

7. Obrigações do SUIDChain

O SUIDChain deverá:

tratar dados somente para execução dos serviços;
assegurar que pessoas autorizadas estejam sujeitas à confidencialidade;
limitar os acessos segundo a necessidade profissional;
manter controles de autenticação e permissão;
proteger dados contra acessos não autorizados;
manter procedimentos de resposta a incidentes;
auxiliar o Cliente no atendimento aos titulares;
colaborar com avaliações de risco e relatórios de impacto;
comunicar incidentes ao Cliente;
manter registro dos suboperadores relevantes;
eliminar, devolver ou anonimizar os dados ao término dos serviços, observadas as hipóteses legais de conservação;
não vender dados pessoais tratados em nome do Cliente;
não compartilhar dados para finalidades incompatíveis com o Contrato Principal.

8. Confidencialidade

O SUIDChain permitirá o acesso aos dados pessoais apenas a empregados, prestadores e suboperadores que necessitem dessas informações para execução dos serviços.

Essas pessoas deverão:

estar sujeitas a obrigações de confidencialidade;
utilizar os dados somente para atividades autorizadas;
respeitar controles de acesso;
preservar credenciais;
comunicar suspeitas de incidentes;
observar as políticas internas de segurança.

As obrigações de confidencialidade permanecerão vigentes após o encerramento do vínculo profissional ou contratual.

9. Segurança da informação

O SUIDChain adotará medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.

As medidas poderão incluir:

controle de acesso baseado em funções;
identificação individual de usuários;
autenticação e gerenciamento de credenciais;
autenticação adicional para ambientes administrativos;
proteção dos dados em trânsito;
segregação lógica entre contas;
registros de atividades;
cópias de segurança;
monitoramento de disponibilidade;
atualização de sistemas;
correção de vulnerabilidades;
proteção da infraestrutura;
gestão de fornecedores;
continuidade de negócios;
recuperação de desastres;
procedimentos de resposta a incidentes;
processos de desenvolvimento seguro.

O SUIDChain não declara possuir certificações, selos ou auditorias que não tenham sido formalmente obtidos e documentados.

O Cliente reconhece que nenhum ambiente tecnológico é completamente imune a riscos e deverá adotar medidas adequadas em relação aos seus próprios dispositivos, redes, usuários e credenciais.

10. Incidentes de segurança

O SUIDChain deverá informar ao Cliente, sem demora injustificada, sobre incidente de segurança confirmado que envolva dados pessoais tratados em seu nome.

Sempre que razoavelmente possível, a comunicação inicial será realizada em até 24 horas após a confirmação do incidente.

Caso nem todas as informações estejam disponíveis, o SUIDChain poderá realizar comunicação preliminar e apresentar complementações conforme o avanço da investigação.

A comunicação deverá incluir, quando disponível:

descrição da natureza do incidente;
data ou período estimado da ocorrência;
data em que o SUIDChain tomou conhecimento;
categorias de dados afetados;
categorias e quantidade estimada de titulares;
sistemas ou serviços envolvidos;
possíveis consequências;
medidas de contenção;
medidas corretivas;
recomendações ao Cliente;
canal de contato para acompanhamento.

O Cliente, na qualidade de Controlador, será responsável por avaliar se o incidente poderá causar risco ou dano relevante e por realizar as comunicações à ANPD e aos titulares dentro dos prazos legais.

O SUIDChain fornecerá ao Cliente as informações razoavelmente necessárias para essas comunicações.

As Partes deverão preservar documentos, registros e evidências relacionados ao incidente.

A comunicação não representará reconhecimento automático de culpa ou responsabilidade.

11. Direitos dos titulares

O Cliente será o principal responsável por receber e responder às solicitações dos titulares relacionadas aos tratamentos realizados sob sua autoridade.

Considerando a natureza dos serviços, o SUIDChain auxiliará o Cliente no atendimento a solicitações de:

confirmação da existência de tratamento;
acesso;
correção;
atualização;
anonimização;
bloqueio;
eliminação;
portabilidade, quando aplicável;
informação sobre compartilhamentos;
oposição;
revogação de consentimento;
revisão de decisões automatizadas;
informação sobre os critérios utilizados em decisões automatizadas.

Caso o SUIDChain receba diretamente uma solicitação relacionada a dados tratados em nome do Cliente, poderá encaminhá-la ao Controlador, salvo quando houver obrigação legal de agir diretamente.

O SUIDChain não deverá responder em nome do Cliente sobre decisões que competem exclusivamente ao Controlador.

12. Relatório de impacto e cooperação regulatória

Mediante solicitação razoável, o SUIDChain fornecerá informações disponíveis para auxiliar o Cliente:

na elaboração de Relatório de Impacto à Proteção de Dados Pessoais;
na avaliação de riscos;
no atendimento à ANPD;
na descrição das medidas de segurança;
na identificação de suboperadores;
na análise de transferências internacionais;
na resposta a titulares;
na investigação de incidentes.

A decisão sobre a necessidade do relatório e a responsabilidade por seu conteúdo final caberão ao Cliente enquanto Controlador.

Atividades extraordinárias, auditorias extensas ou desenvolvimento específico poderão ser objeto de contratação adicional.

13. Suboperadores

O Cliente concede autorização geral para que o SUIDChain utilize suboperadores necessários à prestação dos serviços.

O SUIDChain deverá:

avaliar os fornecedores de acordo com os riscos envolvidos;
limitar o acesso aos dados necessários;
celebrar instrumentos contratuais com obrigações de proteção de dados;
exigir confidencialidade e medidas de segurança;
manter uma relação atualizada dos suboperadores relevantes.

A lista poderá ser disponibilizada em:

[INSERIR ENDEREÇO DA PÁGINA DE SUBOPERADORES]

Quando houver inclusão ou substituição de suboperador que possa alterar materialmente o tratamento, o SUIDChain procurará comunicar o Cliente com antecedência razoável.

O Cliente poderá apresentar objeção fundamentada em riscos concretos à proteção de dados.

As Partes buscarão uma solução que poderá incluir:

esclarecimentos adicionais;
medidas de segurança complementares;
configuração alternativa;
desativação da funcionalidade afetada;
encerramento da parte do serviço diretamente afetada.

Em situações emergenciais de segurança, indisponibilidade ou obrigação legal, um fornecedor poderá ser substituído sem aviso prévio, com comunicação posterior assim que possível.

14. Transferência internacional de dados

O Cliente reconhece que alguns fornecedores de infraestrutura, armazenamento, comunicação, suporte ou integração poderão realizar tratamento fora do Brasil.

O SUIDChain somente realizará transferências internacionais com fundamento em mecanismo autorizado pela LGPD e pela regulamentação da ANPD.

As transferências poderão utilizar, conforme aplicável:

decisão de adequação emitida pela ANPD;
cláusulas-padrão contratuais da ANPD;
cláusulas-padrão reconhecidas como equivalentes;
cláusulas contratuais específicas previamente aprovadas;
normas corporativas globais aprovadas;
cooperação jurídica internacional;
proteção da vida ou da integridade física;
execução de contrato ou procedimentos relacionados;
consentimento específico e destacado, quando juridicamente válido;
outra hipótese permitida pela legislação.

Quando forem utilizadas as cláusulas-padrão contratuais brasileiras, seu texto oficial será incorporado ao instrumento aplicável sem modificações incompatíveis.

O SUIDChain deverá fornecer informações claras sobre:

finalidade da transferência;
país ou região de destino;
categorias de dados;
duração;
responsabilidades dos agentes;
direitos dos titulares;
medidas de segurança;
canal de atendimento.

15. SUID Passes e informações públicas

O Cliente poderá utilizar a plataforma para criar páginas públicas associadas a produtos, lotes, coleções, organizações, artesãos ou produtores.

O Cliente será responsável por:

selecionar os campos públicos;
verificar as informações;
possuir base legal para a publicação;
obter autorizações de imagem e depoimento;
determinar quais informações profissionais podem ser divulgadas;
manter o conteúdo correto e atualizado;
atender pedidos de correção ou retirada.

Não deverão ser publicados em SUID Passes:

CPF;
RG ou passaporte;
endereço residencial completo;
informações bancárias;
telefone pessoal;
e-mail particular;
senhas;
dados de saúde;
dados sensíveis sem fundamento jurídico;
informações de crianças ou adolescentes;
documentos confidenciais;
segredos comerciais;
informações que exponham o titular a riscos.

O SUIDChain poderá suspender ou remover conteúdo que:

viole a legislação;
exponha indevidamente uma pessoa;
infrinja direitos de terceiros;
tenha sido publicado sem autorização;
comprometa a segurança;
contrarie os Termos de Uso.

16. Blockchain e registros de integridade

Quando forem utilizados recursos de blockchain ou registros distribuídos, deverão ser priorizados:

hashes;
identificadores técnicos;
referências de transação;
marcações de tempo;
provas de existência;
provas de integridade;
registros pseudonimizados.

Dados pessoais não deverão ser inseridos diretamente, em texto aberto, em blockchain pública ou imutável sem avaliação técnica e jurídica específica.

Quando uma prova técnica for registrada em ambiente imutável:

os dados originais deverão, sempre que possível, permanecer em base separada;
o conteúdo exibido poderá ser corrigido ou retirado;
a transação técnica já registrada poderá não ser apagada;
a prova não deverá revelar isoladamente o conteúdo original;
poderão ser adotadas medidas de desvinculação, anonimização ou restrição.

O Cliente deverá evitar inserir dados pessoais em campos destinados a registros permanentes.

17. Dados pessoais sensíveis

O tratamento de dados sensíveis não integra, como regra geral, o escopo padrão dos serviços.

O Cliente não deverá inserir dados sensíveis sem:

necessidade comprovada;
base legal específica;
avaliação de riscos;
autorização contratual;
definição de controles de acesso;
medidas adicionais de segurança;
prazo de retenção definido.

O SUIDChain poderá exigir avaliação técnica ou recusar o tratamento quando o risco for incompatível com a plataforma.

18. Crianças e adolescentes

O Cliente não deverá inserir dados de crianças ou adolescentes sem:

finalidade legítima;
fundamento jurídico adequado;
avaliação do melhor interesse;
informação apropriada aos responsáveis;
medidas reforçadas de segurança;
observância da LGPD, do Estatuto da Criança e do Adolescente e da legislação brasileira aplicável ao ambiente digital.

Dados de crianças ou adolescentes não deverão ser publicados em SUID Passes sem avaliação específica e autorização adequada.

O SUIDChain poderá bloquear ou remover informações inseridas em desacordo com esta cláusula.

19. Retenção, devolução e eliminação

Durante a vigência do contrato, os dados serão mantidos pelo período necessário para prestação dos serviços.

Após o encerramento, o Cliente poderá solicitar, dentro do prazo estabelecido no Contrato Principal:

exportação dos dados;
devolução de arquivos;
eliminação;
anonimização;
manutenção temporária para migração.

Decorrido o prazo de transição, o SUIDChain poderá eliminar ou anonimizar os dados, exceto quando a conservação for necessária para:

cumprimento de obrigação legal;
exercício regular de direitos;
prevenção a fraudes;
investigação de incidentes;
manutenção de registros financeiros;
defesa em processos administrativos, judiciais ou arbitrais.

Cópias residuais poderão permanecer temporariamente em backups protegidos até sua substituição pelos ciclos normais de retenção.

Durante esse período, não deverão ser utilizadas para outras finalidades.

Dados anonimizados e estatísticas agregadas poderão ser mantidos quando não permitirem a identificação de titulares por meios razoáveis.

20. Registros de acesso

Quando aplicável ao SUIDChain como provedor de aplicações de internet, os registros de acesso deverão ser mantidos sob sigilo, em ambiente controlado e seguro, pelo prazo exigido pelo Marco Civil da Internet.

O fornecimento desses registros somente ocorrerá nas hipóteses autorizadas pela legislação ou mediante ordem judicial válida.

21. Auditoria

Mediante solicitação razoável, o SUIDChain fornecerá informações necessárias para demonstrar o cumprimento deste DPA.

A demonstração poderá ocorrer por meio de:

políticas internas;
questionários;
descrição de controles;
documentos de fornecedores;
relatórios disponíveis;
reuniões técnicas;
certificados efetivamente obtidos;
evidências relacionadas ao serviço contratado.

Auditorias deverão:

ser solicitadas com antecedência mínima de 30 dias;
ocorrer em horário comercial;
ter escopo proporcional;
preservar segredos comerciais;
não comprometer a segurança;
não permitir acesso a dados de outros clientes;
ser realizadas por profissional independente sujeito à confidencialidade.

Salvo incidente relevante, determinação da ANPD ou indício concreto de descumprimento, o Cliente poderá solicitar uma auditoria por período de 12 meses.

Os custos serão suportados pelo Cliente, exceto quando a auditoria identificar descumprimento material diretamente atribuível ao SUIDChain.

22. Solicitações de autoridades

Caso o SUIDChain receba solicitação de autoridade pública relacionada aos dados do Cliente, deverá, quando legalmente permitido:

verificar a legitimidade do pedido;
comunicar o Cliente;
limitar o fornecimento ao estritamente exigido;
registrar a solicitação;
preservar informações protegidas por segredo comercial;
contestar pedidos manifestamente excessivos, quando juridicamente cabível.

Se a comunicação ao Cliente for proibida, o SUIDChain deverá cumprir a obrigação legal e registrar a restrição.

23. Responsabilidade

Cada Parte será responsável pelo cumprimento das obrigações que lhe forem atribuídas pela legislação, por este DPA e pelo Contrato Principal.

O Cliente será responsável por danos decorrentes de:

ausência de base legal;
coleta irregular;
dados cadastrados ilegalmente;
instruções ilícitas;
publicação indevida;
falta de autorização de imagem;
credenciais comprometidas sob sua responsabilidade;
uso indevido por seus usuários;
descumprimento das medidas de segurança recomendadas.

O SUIDChain responderá nos limites previstos pela LGPD quando:

descumprir obrigação legal própria;
realizar tratamento em desacordo com instruções lícitas;
atuar fora do escopo contratado;
deixar de adotar medidas de segurança assumidas neste DPA;
causar dano diretamente relacionado a conduta que lhe seja atribuível.

A responsabilidade solidária do Operador será aplicada nas hipóteses previstas pela LGPD, especialmente quando descumprir a legislação ou deixar de seguir as instruções lícitas do Controlador.

As limitações previstas no Contrato Principal serão aplicáveis somente quando não forem proibidas pela legislação.

24. Vigência

Este DPA entra em vigor com o aceite ou assinatura do Contrato Principal e permanecerá válido enquanto o SUIDChain tratar dados pessoais em nome do Cliente.

As obrigações de confidencialidade, segurança, cooperação, eliminação e responsabilidade permanecerão vigentes pelo período necessário após o encerramento.

25. Prevalência dos documentos

Em caso de conflito:

cláusulas obrigatórias da legislação ou da ANPD prevalecerão;
cláusulas-padrão de transferência internacional prevalecerão quanto à operação regulada;
este DPA prevalecerá sobre o Contrato Principal em matéria de tratamento de dados pessoais;
o Contrato Principal prevalecerá nas questões comerciais não relacionadas à proteção de dados.

26. Alterações

O SUIDChain poderá atualizar este DPA para refletir:

mudanças legais;
novas regulamentações da ANPD;
alterações nos serviços;
novos suboperadores;
melhorias de segurança;
alterações de infraestrutura.

Mudanças relevantes serão comunicadas ao Cliente por e-mail, aviso na plataforma ou outro canal contratual.

Alterações que reduzam materialmente a proteção dos dados não serão aplicadas retroativamente sem fundamento jurídico adequado.

27. Lei aplicável e foro

Este DPA será regido pela legislação brasileira.

Será aplicado o foro previsto no Contrato Principal.

Na ausência de indicação contratual, fica eleito o foro da Comarca de São Paulo, Estado de São Paulo, respeitadas as regras obrigatórias de competência e os direitos do consumidor, quando aplicáveis.

28. Comunicações

As comunicações relacionadas a este DPA deverão ser realizadas pelos seguintes canais:

SUIDChain — Privacidade e proteção de dados

Operadora: Sautlink Tecnologia da Informação e Comércio Eletrônico Imp. e Exp. Ltda.
CNPJ: 12.031.849/0001-01
E-mail: [CONFIRMAR: privacidade@suidchain.com]
Encarregado: [INSERIR NOME OU EMPRESA RESPONSÁVEL]
Endereço: [INSERIR ENDEREÇO EMPRESARIAL COMPLETO]

As comunicações ao Cliente serão enviadas para o endereço eletrônico informado no cadastro ou no Contrato Principal.

ANEXO I — Detalhes do tratamento

1. Objeto

Prestação dos serviços de identificação digital, rastreabilidade, geração de SUIDs, SUID Passes, QR Codes, armazenamento, integrações, relatórios e inteligência de dados.

2. Duração

Durante a vigência do Contrato Principal e pelo período adicional necessário para:

migração;
exportação;
cumprimento de obrigações legais;
execução dos ciclos de backup;
exercício regular de direitos.

3. Natureza das operações

As operações poderão incluir:

coleta;
recepção;
registro;
organização;
armazenamento;
consulta;
utilização;
atualização;
integração;
transmissão;
análise;
publicação autorizada;
exportação;
anonimização;
bloqueio;
eliminação.

4. Finalidades

prestar os serviços contratados;
administrar usuários;
registrar informações de rastreabilidade;
identificar produtos, lotes e coleções;
gerar SUIDs e QR Codes;
disponibilizar SUID Passes;
organizar evidências;
gerar relatórios e indicadores;
realizar integrações autorizadas;
prestar suporte;
garantir segurança;
cumprir instruções documentadas.

5. Categorias de titulares

Dependendo da utilização realizada pelo Cliente:

usuários da plataforma;
representantes do Cliente;
empregados;
artesãos;
produtores;
fornecedores;
membros de cooperativas;
membros de associações;
participantes de projetos;
colaboradores de organizações;
responsáveis por marcas ou produtos;
operadores logísticos;
consumidores, quando seus dados forem cadastrados;
pessoas mencionadas em documentos ou evidências.

6. Categorias de dados

nome;
e-mail;
telefone profissional;
cargo;
função;
organização;
identificador de usuário;
imagem autorizada;
perfil profissional;
território de atuação;
município, estado ou país;
participação em produtos, lotes ou projetos;
técnicas produtivas;
informações profissionais;
endereço IP;
navegador;
dispositivo;
eventos de utilização;
mensagens de suporte;
arquivos enviados;
dados relacionados a integrações autorizadas.

7. Dados sensíveis

Não integram o escopo padrão.

Seu tratamento dependerá de avaliação e autorização específica.

8. Frequência

O tratamento poderá ocorrer continuamente durante a utilização dos serviços.

ANEXO II — Medidas técnicas e administrativas

O SUIDChain adotará, de acordo com a natureza e o risco da operação:

Governança

políticas de segurança e privacidade;
definição de responsabilidades;
treinamento e conscientização;
gestão de acessos;
avaliação de riscos;
gestão de fornecedores;
resposta a incidentes.

Controle de acesso

identificação individual;
acesso baseado em necessidade;
revisão de permissões;
limitação de privilégios;
remoção de acessos desnecessários;
proteção de credenciais.

Proteção dos dados

proteção durante a transmissão;
segregação lógica;
minimização;
pseudonimização, quando aplicável;
cópias de segurança;
mecanismos de restauração;
eliminação segura.

Infraestrutura

monitoramento;
registros de eventos;
atualização de sistemas;
gestão de vulnerabilidades;
proteção de redes;
continuidade dos serviços;
recuperação de desastres.

Desenvolvimento

controle de alterações;
separação de ambientes;
testes antes da publicação;
proteção de credenciais técnicas;
tratamento de vulnerabilidades.

Incidentes

canal interno de comunicação;
triagem;
contenção;
investigação;
registro;
avaliação de impacto;
comunicação ao Cliente;
medidas corretivas;
documentação das ações adotadas.

ANEXO III — Relação de suboperadores

Esta relação deverá ser preenchida conforme os fornecedores efetivamente utilizados.

Suboperador	Serviço	Dados envolvidos	Localização
[PROVEDOR DE HOSPEDAGEM]	Hospedagem e infraestrutura	Dados da conta, rastreabilidade e registros técnicos	[PAÍS/REGIÃO]
[PROVEDOR DE BANCO DE DADOS]	Armazenamento	Dados tratados na plataforma	[PAÍS/REGIÃO]
[PROVEDOR DE E-MAIL]	Comunicações operacionais	Nome, e-mail e mensagens	[PAÍS/REGIÃO]
[PROVEDOR DE PAGAMENTO]	Pagamentos e assinaturas	Dados cadastrais e de cobrança	[PAÍS/REGIÃO]
[SERVIÇO DE ANALYTICS]	Análise de utilização	IP, dispositivo e eventos	[PAÍS/REGIÃO]
[SERVIÇO DE SUPORTE]	Atendimento ao Cliente	Cadastro e solicitações	[PAÍS/REGIÃO]
[PROVEDOR BLOCKCHAIN]	Provas de integridade	Hashes e identificadores técnicos	[PAÍS/REDE]
[INTEGRAÇÃO LOGÍSTICA]	Frete e etiquetas	Dados necessários ao envio	[PAÍS/REGIÃO]

ANEXO IV — Transferências internacionais

Quando houver transferência internacional:

deverá ser identificado o exportador;
deverá ser identificado o importador;
deverão ser descritas as categorias de dados;
deverão ser informados os titulares envolvidos;
deverão ser indicados os países de destino;
deverá ser definido o mecanismo jurídico utilizado;
deverão ser descritas as medidas de segurança;
deverão ser garantidos os direitos dos titulares.

Quando o mecanismo utilizado forem as cláusulas-padrão contratuais da ANPD, deverá ser incorporado ao contrato o texto oficial vigente, integralmente e sem modificações incompatíveis.

SUIDChain — Sustainable Unique Identifier

Identidade digital, rastreabilidade e inteligência para transformar origem, produção e impacto em evidências verificáveis.