Este documento estabelece a política interna de governança em proteção de dados pessoais da Durch Soluções em Desenvolvimento de Softwares LTDA ("Durch"), em conformidade com a Lei nº 13.709/2018 (LGPD). Diferentemente da Política de Privacidade, voltada aos titulares de dados, este documento orienta a atuação interna da empresa, de seus colaboradores e parceiros no tratamento de dados pessoais relacionados ao portal Durch e aos produtos Edificium, Cofre DF-e, DistribuiPro e ZappFood.
Esta política tem por objetivo estabelecer diretrizes, papéis, responsabilidades e procedimentos para garantir que o tratamento de dados pessoais realizado pela Durch, seja na condição de controladora, seja na condição de operadora, observe os princípios e as regras da LGPD. Aplica-se a todos os colaboradores, sócios, prestadores de serviço e fornecedores que tenham acesso a dados pessoais no exercício de suas funções.
| Papel | Responsável | Principais atribuições |
|---|---|---|
| Controlador (dados do portal Durch e clientes) | Durch Soluções em Desenvolvimento de Softwares LTDA | Define finalidades e meios do tratamento; responde perante titulares e ANPD. |
| Operador (dados inseridos pelos clientes nos SaaS) | Durch, conforme instruções do cliente contratante | Trata dados exclusivamente conforme instruções do controlador-cliente e o contrato firmado. |
| Encarregado (DPO) | Pessoa/área designada pela Sócia-Administração | Atua como canal de comunicação entre controlador, titulares e ANPD; orienta colaboradores; recebe reclamações e solicitações. |
| Sócio-Administrador | Pedro Henrique Diniz | Aprova a política, aloca recursos para compliance e responde institucionalmente pela empresa. |
A Durch mantém um registro das operações de tratamento de dados pessoais (Record of Processing Activities), contemplando, para cada atividade: finalidade, categorias de titulares e dados, base legal, prazo de retenção, medidas de segurança e eventuais terceiros envolvidos. Este inventário deve ser revisado sempre que houver alteração relevante nos produtos ou fluxos de dados, e ao menos uma vez ao ano.
Novos produtos, funcionalidades ou integrações que envolvam dados pessoais devem ser concebidos observando os princípios de Privacy by Design e Privacy by Default, incorporando controles de proteção de dados desde a fase de arquitetura. Medidas técnicas adotadas incluem, entre outras: controle de acesso por perfil de usuário, criptografia de dados sensíveis, segregação de ambientes, versionamento e trilhas de auditoria em bancos de dados (MongoDB Atlas) e rotinas de backup periódico da infraestrutura.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Durch adotará o seguinte procedimento:
Solicitações de titulares para exercício de seus direitos (acesso, correção, eliminação, portabilidade, entre outros previstos no art. 18 da LGPD) devem ser recebidas pelo canal oficial de privacidade e respondidas em prazo razoável, observando eventuais prazos regulamentares específicos. Quando a solicitação envolver dados tratados pela Durch na condição de operadora, a demanda será encaminhada ao cliente controlador responsável, com o suporte técnico necessário.
Contratações de fornecedores com processamento ou armazenamento de dados fora do Brasil devem ser precedidas de avaliação quanto às garantias exigidas pelos artigos 33 a 36 da LGPD, priorizando fornecedores que ofereçam cláusulas contratuais padrão, selos de conformidade ou garantias equivalentes reconhecidas pela ANPD.
Todo fornecedor ou parceiro que trate dados pessoais em nome da Durch (operador) deve firmar cláusulas contratuais específicas de proteção de dados, prevendo, no mínimo: finalidade e limites do tratamento, obrigações de confidencialidade, medidas de segurança exigidas, dever de notificação de incidentes e possibilidade de auditoria.
A Durch promoverá, periodicamente, ações de conscientização sobre proteção de dados pessoais e boas práticas de segurança da informação junto a colaboradores e prestadores de serviço com acesso a dados pessoais, especialmente aqueles envolvidos no desenvolvimento e na operação dos produtos SaaS.
O descumprimento da LGPD pode sujeitar a Durch às sanções administrativas previstas no art. 52 da lei, incluindo advertência, multa de até 2% do faturamento limitada a R$ 50.000.000,00 por infração, publicização da infração e bloqueio ou eliminação dos dados pessoais relacionados à infração. Internamente, o descumprimento desta política por colaboradores poderá ensejar as medidas disciplinares cabíveis.
Esta política será revisada periodicamente, e sempre que houver alteração relevante na legislação, em orientações da ANPD ou nos processos internos de tratamento de dados da Durch.