Política de Privacidade

1. Introdução

A presente Política de Privacidade (“Política”) descreve como a SIGMA LABS TECNOLOGIA DA INFORMAÇÃO LTDA., inscrita no CNPJ sob o nº 54.782.822/0001-09, com sede na Alameda Rio Claro, 241, Andar 11, Sala/Conjunto 11-102, Bela Vista, CEP 01332-907, São Paulo/SP, Brasil, atuando sob a marca NORMA, trata Dados Pessoais no contexto de seu website, plataformas, produtos, canais de atendimento e demais serviços de tecnologia aplicados à área tributária e fiscal.

O tratamento de Dados Pessoais pela NORMA é realizado de acordo com a Lei Federal nº 13.709/2018, mais conhecida como Lei Geral de Proteção de Dados Pessoais (“LGPD”), e com a regulamentação aplicável, inclusive aquela emitida pela Agência Nacional de Proteção de Dados (“ANPD”). Nesta Política, os termos “Dados Pessoais”, “Dados Pessoais Sensíveis”, “tratamento”, “controlador”, “operador” e “Titular” possuem os significados estabelecidos pela LGPD.

A NORMA oferece, entre outras soluções, a Conciliação da Apuração e o SOS Reforma, o Norma Agent e ferramentas de classificação, análise e automação fiscal, além de canais de relacionamento e suporte. Essas soluções, em conjunto com o website, as integrações e os serviços correlatos, são denominadas, nesta Política, “Plataformas e Serviços”.

Esta Política aplica-se, conforme o contexto, a: (i) visitantes do website; (ii) leads; (iii) representantes e usuários de empresas clientes; (iv) fornecedores e parceiros comerciais; (v) participantes de reuniões e atendimentos; e (vi) pessoas naturais cujos Dados Pessoais constem de documentos fiscais, cadastros ou registros processados por meio das Plataformas e Serviços. Essas pessoas são denominadas, em conjunto, “Titulares”.

Além disso, esta Política destina-se ao público externo. O tratamento de Dados Pessoais de empregados, estagiários e demais integrantes da equipe da NORMA, decorrente de relações de trabalho ou de prestação de serviços, é disciplinado pela Política de Privacidade Interna da NORMA e pelos demais documentos aplicáveis.

A posição da NORMA como agente de tratamento varia de acordo com a atividade realizada e com a finalidade do tratamento:

• como controladora, quando determina as finalidades e os meios essenciais do tratamento, por exemplo, para: (i) gestão de contas de usuários; (ii) relacionamento comercial; (iii) operação do website e utilização de cookies; (iv) gestão de contratos e faturamento; (v) comunicações e suporte; e (vi) segurança e manutenção de registros de acesso; e
• como operadora, quando trata Dados Pessoais em nome de uma empresa cliente e de acordo com suas instruções, por exemplo, para: (i) receber e processar documentos fiscais; (ii) executar análises e conciliações tributárias; (iii) realizar classificações fiscais; (iv) coletar documentos em portais autorizados; ou (v) disponibilizar funcionalidades de inteligência artificial contratadas pelo cliente.

Quando a NORMA atua como operadora, a empresa cliente atua como controladora e é responsável por determinar as finalidades, as hipóteses legais e as instruções aplicáveis ao tratamento. Nesses casos, as solicitações dos Titulares relacionadas a esses tratamentos devem ser direcionadas prioritariamente à empresa cliente, sem prejuízo da cooperação da NORMA nos termos da legislação e dos contratos aplicáveis.

2. Dados Pessoais coletados e tratados

Os tipos de Dados Pessoais tratados pela NORMA dependem da forma como o Titular se relaciona com as Plataformas e Serviços, das funcionalidades utilizadas e do conteúdo disponibilizado pela empresa cliente. A NORMA poderá tratar as categorias descritas abaixo:

a) Dados cadastrais, profissionais e de contato

Podem incluir nome, e-mail, telefone, empresa, cargo, área de atuação, endereço profissional, dados de representantes, procuradores, responsáveis financeiros, signatários e demais informações fornecidas em formulários, cadastros, reuniões, contratos, demonstrações, solicitações comerciais ou atendimentos.

b) Dados de conta, autenticação e uso das Plataformas e Serviços

Podem incluir identificação do usuário e da organização, e-mail de acesso, credenciais protegidas, perfis e permissões, registros de login, autenticação, atividades executadas, preferências, histórico de uso, consumo de planos e funcionalidades, informações de suporte e dados necessários à administração da conta.

c) Dados fiscais, cadastrais e constantes de documentos

As empresas clientes podem disponibilizar documentos fiscais, escriturações, arquivos eletrônicos, relatórios, cadastros e outras informações necessárias à prestação dos serviços, inclusive XML de documentos fiscais eletrônicos, arquivos do SPED, dados relacionados à apuração de tributos e informações obtidas em portais públicos ou governamentais autorizados pelo cliente.

Esses documentos e registros podem conter, de forma necessária ou incidental, Dados Pessoais como nome, CPF, endereço, telefone, e-mail, dados de consumidores, fornecedores, sócios, representantes, contabilistas, transportadores, destinatários, remetentes e outras pessoas relacionadas à operação registrada. Campos de texto livre ou anexos também podem conter informações adicionais inseridas pela empresa cliente ou por terceiros.

A NORMA não determina, quando atua como operadora, quais Dados Pessoais serão incluídos pela empresa cliente nesses documentos. O cliente deve observar os princípios da necessidade, adequação e finalidade ao disponibilizar informações para tratamento.

d) Dados de interações com recursos de inteligência artificial

Podem incluir perguntas, comandos, instruções, documentos, anexos, parâmetros, respostas geradas, avaliações, registros técnicos e informações relacionadas à execução de funcionalidades, como os recursos assistidos por inteligência artificial. Esses conteúdos poderão conter Dados Pessoais se forem inseridos pelo usuário ou estiverem presentes nos documentos processados.

e) Dados de navegação, dispositivos, cookies e registros técnicos

Quando o Titular acessa o website ou utiliza as Plataformas e Serviços, poderão ser tratados endereço IP, data e hora de acesso, identificadores de dispositivo e sessão, sistema operacional, navegador, páginas visitadas, eventos de navegação, origem do acesso, funcionalidades utilizadas, registros de erro, desempenho, segurança e outros dados técnicos necessários à operação, proteção e melhoria dos ambientes digitais.

Informações adicionais sobre o uso de cookies e tecnologias semelhantes estão disponíveis na Seção 3 desta Política.

f) Dados de comunicações, atendimentos, reuniões e gravações

Podem incluir conteúdo de e-mails, mensagens e chamados de suporte, contatos por WhatsApp ou outros canais, nome e identificação de participantes, voz, imagem, transcrição, atas, resumos, gravações de tela e gravações de reuniões, quando esses recursos forem utilizados e houver informação adequada aos participantes.

g) Dados contratuais, financeiros e de faturamento

Podem incluir dados de representantes e signatários, informações constantes de contratos e propostas, histórico de contratação, valores, forma e situação de pagamento, notas fiscais, dados bancários ou outros dados necessários à formalização, cobrança, faturamento, conciliação e cumprimento de obrigações legais e contratuais. Dados completos de cartão de pagamento, quando aplicáveis, são normalmente tratados por prestadores especializados e não pela NORMA.

h) Dados provenientes de terceiros e fontes públicas

A NORMA poderá receber Dados Pessoais de empresas clientes, usuários autorizados, parceiros, prestadores de serviços, integrações contratadas, portais públicos ou governamentais e bases públicas de dados cadastrais, inclusive para consulta e enriquecimento de informações vinculadas a CNPJ, CNAE e demais elementos necessários às funcionalidades fiscais. O tratamento será limitado às finalidades compatíveis com a relação estabelecida e com a legislação aplicável.

Dados Pessoais Sensíveis

As Plataformas e Serviços não são concebidos para a coleta rotineira de Dados Pessoais Sensíveis. Contudo, esses dados podem aparecer de forma incidental em documentos, anexos, campos livres, comunicações ou registros disponibilizados por clientes e usuários. A NORMA recomenda que não sejam enviados Dados Pessoais Sensíveis que não sejam estritamente necessários à finalidade pretendida.

Quando a NORMA atuar como controladora e o tratamento de Dados Pessoais Sensíveis for necessário, será observada uma das hipóteses previstas no artigo 11 da LGPD. Quando atuar como operadora, a NORMA tratará esses dados de acordo com as instruções lícitas da empresa cliente e com os controles contratuais e técnicos aplicáveis.

Dados de crianças e adolescentes

As Plataformas e Serviços são direcionados a empresas e profissionais e não são destinados a crianças ou adolescentes. A NORMA não busca coletar diretamente Dados Pessoais de menores de idade para fins comerciais ou de criação de contas.

Dados de crianças ou adolescentes podem, entretanto, constar de forma incidental em documentos fiscais ou outros registros enviados por empresas clientes, por exemplo, quando um CPF aparece em documento fiscal. Nessas situações, a empresa cliente deve avaliar a necessidade e a base legal do tratamento. A NORMA, quando operadora, seguirá as instruções lícitas do cliente e, quando controladora, observará o melhor interesse da criança ou do adolescente e as demais exigências da LGPD.

3. Cookies e tecnologias semelhantes

O website e as páginas públicas da NORMA utilizam cookies e tecnologias semelhantes, como tags e pixels, para viabilizar seu funcionamento, proteger os ambientes digitais, compreender como os visitantes utilizam as páginas e avaliar a efetividade de campanhas.

Cookies são pequenos arquivos armazenados no dispositivo do usuário durante a navegação. Dependendo de sua finalidade, podem permitir a coleta de informações como endereço IP, identificadores do dispositivo ou navegador, páginas acessadas, data e horário dos acessos, origem da navegação e interações realizadas no website.

A NORMA poderá utilizar as seguintes categorias de cookies:

• cookies necessários: utilizados para permitir funções básicas do website, preservar sua segurança e estabilidade, prevenir usos indevidos e registrar as preferências de privacidade do usuário. Esses cookies são ativados automaticamente, pois são indispensáveis ao funcionamento adequado e seguro das páginas;
• cookies analíticos ou de desempenho: utilizados para medir a audiência, identificar padrões de navegação, compreender o desempenho das páginas e aprimorar o website e a experiência dos usuários, inclusive por meio de ferramentas como o Google Analytics; e
• cookies de publicidade: utilizados para avaliar campanhas, medir conversões e apresentar ou direcionar conteúdos publicitários, inclusive por meio de ferramentas como o Google Ads.

Os cookies estritamente necessários são utilizados com fundamento no legítimo interesse da NORMA em manter o funcionamento, a segurança e a integridade de seu website, sempre limitados ao mínimo necessário para essas finalidades.

Os cookies analíticos e de publicidade somente serão ativados mediante o consentimento do usuário. Esses cookies permanecerão desativados por padrão até que o usuário manifeste uma escolha positiva por meio do banner ou do painel de preferências. A continuidade da navegação, o silêncio ou a ausência de interação com o banner não serão considerados consentimento.

No primeiro acesso, o usuário poderá: (i) aceitar todos os cookies; (ii) rejeitar os cookies não necessários; ou (iii) configurar suas preferências por categoria. As opções de aceitar, rejeitar e configurar serão apresentadas de forma clara e acessível, sem opções previamente selecionadas ou destaque que prejudique a liberdade de escolha.

O painel de preferências informará, conforme aplicável, o nome ou provedor do cookie, sua categoria, finalidade e prazo de duração. As escolhas realizadas poderão ser registradas para que a NORMA respeite as preferências do usuário e possa demonstrar a obtenção do consentimento quando necessário.

O usuário poderá alterar suas escolhas ou revogar o consentimento a qualquer momento por meio da opção “Configurações de Cookies”, disponibilizada no website. A revogação não afetará a licitude do tratamento realizado anteriormente, mas impedirá a ativação futura dos cookies abrangidos pela escolha.

A desativação dos cookies não necessários não impedirá o acesso às funções essenciais do website. A desativação de cookies necessários diretamente nas configurações do navegador, contudo, poderá comprometer o funcionamento de determinadas páginas ou funcionalidades.

Alguns cookies poderão ser disponibilizados por terceiros responsáveis por serviços de análise de audiência, publicidade, segurança ou infraestrutura. Nessas situações, poderá ocorrer o compartilhamento ou a transferência internacional de Dados Pessoais, conforme descrito nas seções sobre compartilhamento e transferência internacional desta Política.

4. Finalidades do tratamento

A NORMA trata Dados Pessoais para finalidades determinadas, legítimas e compatíveis com a relação mantida com o Titular ou com a empresa cliente. Conforme o contexto, o tratamento poderá ocorrer para:

• cadastrar e administrar empresas, usuários, perfis, permissões, planos, consumo e acessos às Plataformas e Serviços;
• prestar, operar, disponibilizar, manter e dar suporte às Plataformas e Serviços contratados;
• receber, organizar, armazenar e processar documentos fiscais e tributários disponibilizados pelas empresas clientes;
• realizar análises de oportunidades tributárias, conciliações de apuração, conferências, classificações fiscais, cálculos, relatórios, simulações e outras funcionalidades contratadas;
• coletar documentos e informações em portais públicos ou governamentais, mediante autorização e credenciais fornecidas ou disponibilizadas pela empresa cliente, quando aplicável;
• consultar, validar ou enriquecer informações cadastrais empresariais, inclusive dados relacionados a CNPJ e CNAE, para viabilizar análises e conciliações;
• fornecer recursos de assistência por inteligência artificial e automação relacionados às atividades fiscais, tributárias, de suporte e de uso da plataforma;
• responder solicitações, prestar atendimento, conduzir demonstrações, reuniões, treinamentos e comunicações com clientes, usuários, leads, fornecedores e parceiros;
• elaborar, negociar, celebrar, executar e administrar contratos, propostas, cobranças, faturamento e relacionamento com clientes e parceiros;
• divulgar conteúdos, produtos, eventos e comunicações institucionais ou comerciais, observadas as preferências do destinatário e o direito de oposição quando aplicável;
• medir audiência, compreender a navegação, avaliar campanhas e melhorar o website, mediante consentimento do usuário para a utilização de cookies não necessários;
• proteger as Plataformas e Serviços, prevenir fraudes e usos indevidos, investigar incidentes, manter registros de segurança, diagnosticar falhas e assegurar a continuidade dos ambientes;
• cumprir obrigações legais, regulatórias, fiscais, contábeis e ordens de autoridades competentes;
• exercer direitos em processos judiciais, administrativos ou arbitrais e proteger direitos e interesses legítimos da NORMA, de seus clientes e de terceiros; e
• desenvolver, testar e aperfeiçoar produtos, funcionalidades, modelos e processos, preferencialmente com dados agregados, anonimizados ou pseudonimizados, observadas as limitações aplicáveis aos Dados Pessoais tratados em nome das empresas clientes, descritas abaixo.

Quando a NORMA atuar como operadora, as finalidades específicas do tratamento serão determinadas pela empresa cliente e refletidas nos contratos, configurações e instruções aplicáveis. A NORMA não utilizará os Dados Pessoais tratados em nome do cliente para finalidades próprias incompatíveis com essas instruções.

Reiteramos que a NORMA não comercializa Dados Pessoais. O uso de ferramentas de publicidade ou medição não significa venda de Dados Pessoais e está sujeito às escolhas do Titular e às regras aplicáveis a cookies e tecnologias semelhantes.

5. Uso de inteligência artificial

A NORMA utiliza recursos de inteligência artificial e aprendizado de máquina em determinadas Plataformas e Serviços, inclusive para apoiar classificação fiscal, análise de documentos, geração de respostas, organização de informações, automação de tarefas e suporte aos usuários. Também poderá utilizar ferramentas de inteligência artificial em atividades internas de produtividade, atendimento e desenvolvimento tecnológico.

Para viabilizar essas funcionalidades, comandos, documentos, anexos e outros conteúdos poderão ser enviados a modelos ou prestadores de tecnologia contratados pela NORMA. O acesso e o tratamento são limitados ao necessário para a funcionalidade utilizada, de acordo com contratos, configurações e medidas de segurança aplicáveis.

Usuários e empresas clientes devem evitar inserir em comandos ou campos livres Dados Pessoais, Dados Pessoais Sensíveis, segredos de negócio ou informações confidenciais que não sejam necessários à finalidade da funcionalidade. A empresa cliente é responsável por orientar seus usuários e por assegurar que os conteúdos enviados à NORMA possam ser tratados de forma lícita.

Resultados gerados por inteligência artificial podem conter imprecisões e devem ser avaliados por profissional qualificado antes de serem utilizados para decisões tributárias, fiscais, contábeis, jurídicas ou de negócio. As funcionalidades da NORMA não são destinadas a tomar, de forma exclusivamente automatizada, decisões sobre pessoas naturais que produzam efeitos jurídicos ou as afetem significativamente de modo semelhante.

Se uma funcionalidade vier a envolver decisão baseada unicamente em tratamento automatizado de Dados Pessoais com efeitos relevantes para o Titular, a NORMA ou a empresa cliente responsável, conforme o caso, fornecerá informações adequadas e observará os direitos previstos na LGPD, inclusive o direito de solicitar revisão nos termos da legislação aplicável.

6. Bases legais

Quando atua como controladora, a NORMA fundamenta o tratamento de Dados Pessoais em uma ou mais hipóteses previstas na LGPD, conforme a finalidade e o contexto. Entre as bases legais que podem ser aplicáveis estão:

• execução de contrato e procedimentos preliminares relacionados a contrato, para cadastrar usuários, disponibilizar e administrar serviços, prestar suporte, celebrar contratos, realizar cobranças e cumprir obrigações assumidas com o Titular ou com a empresa que ele representa;
• cumprimento de obrigação legal ou regulatória, para atender deveres fiscais, contábeis, regulatórios, de guarda de registros e determinações de autoridades competentes;
• exercício regular de direitos, para constituir, exercer ou defender direitos da NORMA, de clientes ou de terceiros em processos judiciais, administrativos ou arbitrais;
• legítimo interesse, para finalidades como relacionamento com clientes e leads, segurança, prevenção de fraudes, melhoria dos serviços, comunicações comerciais pertinentes e proteção de direitos, após avaliação da necessidade, das legítimas expectativas dos Titulares e das salvaguardas aplicáveis;
• consentimento, quando essa for a base adequada, inclusive para determinados cookies não essenciais e comunicações opcionais; e
• proteção da vida ou da incolumidade física, em situações excepcionais em que essa hipótese seja aplicável.

Para Dados Pessoais Sensíveis, quando houver tratamento sob responsabilidade da NORMA como controladora, será utilizada uma das bases legais previstas no artigo 11 da LGPD, de acordo com a finalidade concreta.

Quando atua como operadora, a NORMA realiza o tratamento em nome da empresa cliente e segundo suas instruções documentadas. A definição da base legal aplicável cabe à empresa cliente, na condição de controladora, sem prejuízo do dever da NORMA de comunicar instruções que considere contrárias à legislação e de adotar as medidas cabíveis no âmbito de sua atuação.

7. Compartilhamento de Dados Pessoais

A NORMA poderá compartilhar Dados Pessoais apenas quando necessário para as finalidades descritas nesta Política, para executar contratos, cumprir instruções de empresas clientes, atender obrigações legais ou proteger direitos. Sendo assim, o compartilhamento poderá ocorrer com as seguintes categorias de destinatários:

• empresas clientes e usuários autorizados, dentro dos limites de seus perfis, permissões, contratos e responsabilidades;
• provedores de computação em nuvem, hospedagem, banco de dados, armazenamento, backup, autenticação, segurança, monitoramento e infraestrutura, necessários à operação e proteção das Plataformas e Serviços;
• fornecedores de inteligência artificial, desenvolvimento e tecnologia, quando necessários para processar comandos, documentos, códigos ou outros conteúdos relacionados às funcionalidades utilizadas;
• prestadores de comunicação, atendimento, CRM, e-mail, mensagens, videoconferência, transcrição e gravação, para viabilizar relacionamento, suporte, reuniões e registros autorizados;
• provedores de análise de audiência e publicidade, como serviços de métricas e anúncios, de acordo com as preferências de cookies e a legislação aplicável;
• prestadores de assinatura eletrônica, gestão financeira, faturamento, contabilidade, auditoria e apoio administrativo, quando necessários à formalização e gestão da relação comercial;
• consultores, advogados, auditores, seguradoras e outros assessores profissionais, sujeitos a deveres de confidencialidade e às limitações aplicáveis;
• autoridades públicas, órgãos reguladores e terceiros legalmente legitimados, quando houver obrigação legal, ordem válida, necessidade de cooperação ou exercício regular de direitos; e
• potenciais compradores, investidores ou sucessores, em operações societárias, reorganizações, investimentos, aquisição, fusão ou transferência de ativos, observados deveres de confidencialidade e proteção de dados.

Alguns destinatários poderão atuar como operadores da NORMA; outros poderão atuar como controladores independentes, de acordo com a natureza do serviço e com as decisões que tomarem sobre o tratamento. A NORMA busca contratar prestadores que ofereçam garantias compatíveis com a legislação e limitar o compartilhamento ao necessário.

8. Segurança, conservação e eliminação

A NORMA adota e busca aprimorar medidas técnicas, administrativas e organizacionais adequadas à natureza dos Dados Pessoais, ao contexto do tratamento e aos riscos envolvidos. Essas medidas podem incluir controles de acesso, autenticação, gestão de permissões, proteção de credenciais, criptografia quando apropriada, registros de atividade, backups, monitoramento, gestão de vulnerabilidades, compromissos de confidencialidade, treinamentos e avaliação de fornecedores.

Nenhum ambiente é absolutamente imune a incidentes. Por isso, a NORMA mantém procedimentos para identificar, analisar, conter e remediar eventos de segurança e, quando aplicável, cooperar com empresas clientes e realizar comunicações à ANPD e aos Titulares, conforme a legislação e a regulamentação vigentes.

Os Dados Pessoais são conservados pelo período necessário ao cumprimento das finalidades informadas, das obrigações contratuais e legais, ao exercício regular de direitos e aos prazos de retenção aplicáveis. Os critérios considerados podem incluir a duração da relação com a empresa cliente ou com o Titular, as características do serviço, as instruções do controlador, os prazos legais e regulatórios, a necessidade de prevenção de fraudes e de defesa de direitos.

Quando atua como operadora, a NORMA conserva e elimina ou devolve os Dados Pessoais conforme os contratos, as instruções documentadas da empresa cliente e as hipóteses legais de conservação. Após o término da finalidade e dos prazos aplicáveis, os Dados Pessoais serão eliminados, anonimizados ou mantidos de forma legítima nas hipóteses autorizadas pela LGPD.

Dados presentes em cópias de segurança poderão permanecer por período adicional até que os ciclos de substituição ou eliminação sejam concluídos, sujeitos a controles de acesso e à limitação de uso.

9. Direitos dos Titulares

Nos termos da LGPD e observadas as condições aplicáveis a cada solicitação, o Titular poderá requerer:

• confirmação da existência de tratamento;
• acesso aos Dados Pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de Dados Pessoais desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos Dados Pessoais, observadas a regulamentação e a proteção de segredos comercial e industrial;
• eliminação dos Dados Pessoais tratados com consentimento, ressalvadas as hipóteses legais de conservação;
• informações sobre as entidades públicas e privadas com as quais houve uso compartilhado de Dados Pessoais;
• informações sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento e oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento, quando cabível;
• revisão de decisões tomadas unicamente com base em tratamento automatizado de Dados Pessoais que afetem seus interesses, bem como informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial; e
• peticionamento perante a ANPD e os órgãos de defesa do consumidor, quando aplicável.

A NORMA poderá solicitar informações razoáveis para confirmar a identidade do solicitante e prevenir fraudes. Dependendo do pedido, poderão existir limitações decorrentes de obrigação legal, proteção de direitos de terceiros, segredos comercial e industrial, segurança dos sistemas ou outras hipóteses previstas em lei. Nesses casos, a NORMA informará a justificativa aplicável.

Quando a NORMA atuar como operadora, a solicitação deverá ser apresentada à empresa cliente que controla os Dados Pessoais. Se receber diretamente um pedido relacionado a dados tratados em nome de cliente, a NORMA poderá encaminhá-lo ao controlador responsável e prestará a assistência cabível, respeitados os contratos e a legislação.

Para exercer seus direitos em tratamentos nos quais a NORMA atua como controladora, o Titular poderá entrar em contato com o Encarregado pelo Tratamento de Dados Pessoais nos canais indicados na Seção 11. A NORMA responderá nos prazos e formatos previstos na legislação e na regulamentação aplicáveis.

10. Transferência internacional de Dados Pessoais

A NORMA utiliza prestadores de tecnologia e infraestrutura que podem estar localizados ou armazenar e tratar informações fora do Brasil, inclusive nos Estados Unidos e em outros países onde esses fornecedores ou seus suboperadores mantenham operações. Nessas situações, poderá ocorrer transferência internacional de Dados Pessoais.

A NORMA adota os mecanismos previstos na LGPD e na regulamentação da ANPD aplicável às transferências internacionais, conforme as características de cada operação. As principais informações sobre essas transferências estão resumidas a seguir:

A. Forma da transferência

A transferência internacional de Dados Pessoais poderá ser realizada com fundamento nos mecanismos previstos no artigo 33 da LGPD e na regulamentação aplicável, notadamente as cláusulas-padrão contratuais aprovadas pela ANPD, incorporadas aos contratos celebrados com os respectivos destinatários. Caso outro mecanismo venha a ser utilizado, esta Política será atualizada para indicá-lo.

B. Duração da transferência

A transferência internacional poderá ocorrer enquanto for necessária para as finalidades descritas nesta Política. Quando a NORMA atuar como operadora, a duração do tratamento observará os contratos e as instruções documentadas da empresa cliente. Os Dados Pessoais também poderão ser conservados pelo período necessário ao cumprimento de obrigações legais ou regulatórias, ao exercício regular de direitos e aos prazos de retenção aplicáveis.

C. Finalidade específica

A transferência internacional de Dados Pessoais poderá ocorrer para: (i) hospedar, armazenar, processar e proteger dados nas Plataformas e Serviços; (ii) receber e processar documentos fiscais e demais informações fornecidas pelas empresas clientes; (iii) realizar análises, conciliações e classificações tributárias; (iv) disponibilizar funcionalidades de inteligência artificial; (v) operar integrações, ferramentas de atendimento, suporte, comunicação e relacionamento comercial; (vi) administrar contas de usuários, contratos, faturamento e cobranças; (vii) realizar monitoramento de segurança, prevenção de fraudes, diagnóstico de falhas e manutenção de registros técnicos; e (viii) analisar a utilização do website e avaliar campanhas, observadas as preferências de cookies e a legislação aplicável.

D. País de destino

Os Dados Pessoais poderão ser transferidos para os países em que estejam localizados os provedores, parceiros e infraestruturas tecnológicas utilizados pela NORMA, atualmente Estados Unidos. Informações adicionais sobre os países envolvidos nas transferências poderão ser solicitadas por meio do canal indicado ao final desta Política.

E. Destinatário dos dados e uso compartilhado

A NORMA poderá compartilhar Dados Pessoais com empresas clientes e usuários autorizados, bem como com prestadores de computação em nuvem, hospedagem, armazenamento, banco de dados, segurança, monitoramento, inteligência artificial, desenvolvimento tecnológico, comunicação, atendimento, CRM, e-mail, videoconferência, transcrição, assinatura eletrônica, faturamento, gestão financeira, análise de audiência e publicidade.

Esses destinatários utilizarão os Dados Pessoais na medida necessária para viabilizar as Plataformas e Serviços, cumprir as instruções das empresas clientes, prestar suporte, administrar a relação comercial, proteger os ambientes tecnológicos e atender às demais finalidades descritas nesta Política. O compartilhamento observará os contratos aplicáveis, as medidas de segurança adotadas e o papel desempenhado por cada destinatário na respectiva atividade de tratamento.

F. Responsabilidades e medidas de segurança

A NORMA adotará medidas técnicas, administrativas e contratuais adequadas para proteger os Dados Pessoais objeto de transferência internacional, incluindo, conforme aplicável, controles de acesso, mecanismos de autenticação, criptografia, monitoramento, obrigações de confidencialidade e procedimentos de prevenção e resposta a incidentes. Os destinatários dos Dados Pessoais estarão sujeitos às responsabilidades aplicáveis de acordo com seu papel na respectiva atividade de tratamento e com o mecanismo utilizado para a transferência.

G. Direitos dos titulares e meios para exercício

Os titulares poderão exercer os direitos previstos na legislação aplicável, conforme descrito na Seção 9 desta Política. As solicitações poderão ser encaminhadas ao Encarregado da NORMA pelo e-mail dpo@norma.com.br.

Informações adicionais sobre mecanismos específicos de transferência, fornecedores ou salvaguardas poderão ser fornecidas mediante solicitação legítima, observados segredos comercial e industrial, deveres de confidencialidade, segurança e direitos de terceiros.

11. Contato, reclamações e atualizações desta Política

O Encarregado pelo Tratamento de Dados Pessoais da NORMA atua como canal de comunicação com os Titulares e com a ANPD e poderá ser contatado pelos seguintes canais:

• Encarregado pelo Tratamento de Dados Pessoais: Vinícius Lula Mariano
• E-mail para privacidade e proteção de dados: dpo@norma.com.br

A NORMA incentiva o contato prévio para que possa analisar e responder à questão de forma adequada, assim, o Titular também poderá apresentar reclamação à ANPD ou aos órgãos de defesa do consumidor.

Esta Política poderá ser atualizada para refletir alterações nas Plataformas e Serviços, nas atividades de tratamento, nos fornecedores, na legislação ou nas orientações das autoridades competentes. A versão vigente será disponibilizada no website ou nas Plataformas e Serviços, com indicação da data da última atualização. Quando as alterações forem relevantes, a NORMA poderá adotar meios adicionais de comunicação aos Titulares ou às empresas clientes.

A continuidade do uso das Plataformas e Serviços após a disponibilização de uma nova versão não substitui o consentimento quando essa base legal for exigida. Se uma alteração depender de novo consentimento, ele será solicitado de forma específica e destacada.