Acordo de tratamento de dados da ArcSign API

MINUTA — o advogado revisa. Rascunho técnico da Arcsphera, no molde do acordo de tratamento de dados da plataforma, para os dados que passam pela ArcSign API. Ele vale como aceite registrado desta versão (dpa-api-minuta-2), e a versão revisada substitui esta para os aceites seguintes. Onde está [A DEFINIR], a decisão ainda não foi tomada.

1. Partes e papéis

A Integradora — a empresa que usa a ArcSign API — é a controladora dos dados de quem assina, ou a operadora do cliente dela, quando envia por conta dele (LGPD, art. 5º, VI e VII).

A Arcsphera (AUDITCHAIN LTDA, CNPJ 42.924.789/0001-17) é a operadora — ou a suboperadora, quando a Integradora é operadora do cliente dela —, e trata os dados segundo as instruções deste acordo (LGPD, art. 39).

O encarregado pelo tratamento de dados pessoais da AUDITCHAIN LTDA (LGPD, art. 41) atende em erik.immele@arcsphera.com: é o canal da Integradora e dos titulares para este acordo.

2. Os dados e as pessoas

Os de quem assina e de quem recebe cópia dos envelopes enviados pela API:

• nome e e-mail, como a Integradora os envia;
• o CPF que a pessoa digita ao assinar, e o CPF esperado, quando a Integradora o envia;
• o IP, o navegador e a hora de cada passo da assinatura;
• o conteúdo dos documentos enviados;
• e, quando a Integradora pede, o resultado da conferência do CPF ou do CNPJ na Receita.

3. As instruções

A Arcsphera trata esses dados só para circular o envelope, colher as assinaturas, selar o documento, guardar e entregar o resultado à Integradora. Ela não trata os dados para finalidade própria, inclusive treinar modelo de inteligência artificial, e não os cede a terceiro que não seja suboperador da cláusula 6.

4. O que a API devolve, e o que não

• O CPF de quem assina não sai na API; o aviso (webhook) é magro — o id do evento e do envelope, a fase e a hora, sem nome, e-mail nem CPF.
• A Integradora busca o resto pelo GET do envelope, com a chave dela.

5. Segurança

As medidas de segurança da plataforma estão na documentação de segurança da Arcsphera. As que valem especialmente para a API: a chave guardada só como resumo (HMAC); a organização vem da chave, e de nada mais (isolamento por RLS nas duas camadas); toda gravação na trilha encadeada; o antivírus em todo PDF recebido; o envio de e-mail só pelo domínio da Arcsphera.

6. Suboperadores

As categorias que a ArcSign API usa: hospedagem e banco; envio de e-mail; o carimbo do tempo do PDF selado; e o SERPRO, quando a Integradora pede a conferência na Receita.

[A DEFINIR] — a lista com o nome, a finalidade e o país de cada suboperador contratado na data da assinatura. A Arcsphera avisa com 30 dias de antecedência antes de incluir um novo.

7. Incidente

A Arcsphera comunica à Integradora todo incidente de segurança que alcance os dados dela. [A DEFINIR] — o prazo da comunicação.

8. Pedido de titular

O pedido de quem assina que chegar à Arcsphera — inclusive ao encarregado — é encaminhado à Integradora: a Arcsphera não decide sobre ele (LGPD, art. 18).

9. Guarda e eliminação

Durante o contrato, nada é eliminado sem instrução da Integradora. No encerramento, 30 dias para baixar os documentos e os certificados; depois, eliminação nos sistemas ativos em até 15 dias, e nos backups pela purga natural em até 35 dias — os prazos do acordo do produto.

10. Auditoria

A Integradora pode verificar o cumprimento deste acordo pela documentação de segurança e, uma vez por ano, com 30 dias de aviso, por auditor sob confidencialidade, sem acesso a dado de outros clientes.

11. Responsabilidade

As partes reconhecem a responsabilidade do art. 42, § 1º, da LGPD. [A DEFINIR] — a limitação de responsabilidade.