Dados Pessoais: Qualquer informação relacionada a uma pessoa identificada ou identificável. Processador: Entidade que processa dados pessoais em nome do controlador, conforme definido pelo GDPR e pela LGPD. Controlador: Pessoa natural ou jurídica responsável pela coleta e pelas decisões referentes ao tratamento dos dados pessoais.
A Nexu atua exclusivamente como processadora de dados, fornecendo e mantendo uma plataforma SaaS. A Nexu não possui autonomia para coletar, modificar, excluir ou tomar decisões sobre o tratamento dos dados pessoais armazenados no sistema, sendo essas responsabilidades atribuídas ao controlador. O compromisso da Nexu está em garantir que os dados permaneçam protegidos, acessíveis apenas para finalidades de suporte operacional e em conformidade com os regulamentos de proteção de dados aplicáveis.
A Nexu atua exclusivamente como processadora de dados, fornecendo e mantendo uma plataforma SaaS. A Nexu não possui autonomia para coletar, modificar, excluir ou tomar decisões sobre o tratamento dos dados pessoais armazenados no sistema, sendo essas responsabilidades atribuídas ao controlador. O compromisso da Nexu está em garantir que os dados permaneçam protegidos, acessíveis apenas para finalidades de suporte operacional e em conformidade com os regulamentos de proteção de dados aplicáveis.
Para garantir a segurança e integridade dos dados armazenados no ambiente tecnológico, a Nexu implementa mecanismos rigorosos de controle de acesso, tais como: Princípio do privilégio mínimo: Somente profissionais estritamente necessários para suporte operacional possuem acesso ao sistema. Autenticação Multifator (MFA): Todo acesso ao ambiente requer autenticação reforçada para mitigar riscos de acessos não autorizados. Registros de auditoria (logs): Todas as atividades relacionadas ao acesso e à interação com os dados são registradas e monitoradas, garantindo rastreabilidade e possibilitando auditorias periódicas. Revisão de acessos: As permissões de acesso são revisadas regularmente para evitar acessos desnecessários ou indevidos.
Os profissionais da Nexu não estão autorizados a modificar, extrair, copiar ou excluir qualquer dado pessoal armazenado em seus sistemas, a menos que haja uma solicitação formal e documentada do controlador. Caso seja necessário realizar suporte operacional que envolva o acesso aos dados, a Nexu seguirá os seguintes passos: Solicitação formal do controlador, devidamente documentada. Registro da ação, garantindo rastreabilidade sobre o motivo e os responsáveis pelo acesso. Execução das atividades estritamente necessárias, respeitando as diretrizes do controlador. Encerramento e auditoria, assegurando que nenhuma modificação indevida foi realizada.
A Nexu adota medidas rigorosas para garantir que as informações permaneçam protegidas contra acessos indevidos e vazamentos: Obrigações de confidencialidade: Todos os profissionais com acesso ao ambiente estão sujeitos a obrigações formais de confidencialidade, estabelecidas contratualmente ou por meio de instrumento específico. Criptografia: Os dados armazenados e transmitidos são protegidos por criptografia, garantindo que apenas partes autorizadas possam acessá-los. Monitoramento contínuo: A Nexu utiliza ferramentas de monitoramento para detectar acessos não autorizados e atividades suspeitas.
Caso ocorra incidente de segurança que comprometa dados pessoais, a Nexu notificará o controlador em até 24 horas após a confirmação do incidente. O controlador será responsável por comunicar as autoridades competentes nos prazos regulatórios aplicáveis, incluindo: ANPD: prazo orientado de 2 dias úteis para incidentes graves, conforme a LGPD. Autoridade supervisora europeia: até 72 horas, conforme o Art. 33 do GDPR, quando aplicável. O plano de resposta a incidentes da Nexu contempla as seguintes etapas: Identificação e contenção do incidente, evitando propagação ou agravamento dos danos. Notificação ao controlador dentro do prazo estabelecido. Investigação detalhada para compreender a origem e o impacto do incidente. Adoção de medidas corretivas para evitar recorrências.
A Nexu promove ações regulares de conscientização para garantir que os profissionais compreendam os riscos e as responsabilidades associadas ao acesso aos dados. Entre as iniciativas estão: Divulgação periódica de materiais sobre segurança da informação e boas práticas no manuseio de dados. Treinamentos formais, realizados ao menos anualmente. Revisão das políticas e procedimentos operacionais para garantir a aplicação contínua das melhores práticas.
Os dados pessoais armazenados serão mantidos pelo período estritamente necessário à prestação dos serviços. Ao término da relação contratual ou mediante solicitação formal do controlador, a Nexu adotará os seguintes procedimentos: Devolução dos dados: Os dados poderão ser exportados em formato estruturado e legível, dentro do prazo estabelecido contratualmente. Exclusão segura: Após confirmação do controlador ou decorrido o prazo contratual, os dados serão excluídos de forma segura e irreversível, incluindo cópias de backup. Certificado de exclusão: Mediante solicitação, a Nexu emitirá documento formal atestando a exclusão dos dados. Registros operacionais, como logs de auditoria, poderão ser retidos pelo período mínimo exigido pela legislação aplicável.
A Nexu não utiliza subprocessadores para o tratamento dos dados pessoais armazenados na plataforma. Todo o processamento é realizado internamente, por profissionais autorizados e sujeitos às obrigações descritas nesta política.
Caso os dados pessoais sejam armazenados ou processados fora do Brasil ou da União Europeia, a Nexu adotará salvaguardas adequadas para garantir nível de proteção equivalente ao exigido pela LGPD e pelo GDPR, incluindo: Utilização de fornecedores que adotem Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia ou mecanismo equivalente. Verificação de adequação do país de destino, conforme avaliação da ANPD ou da Comissão Europeia, quando aplicável. Documentação das transferências realizadas, disponível para verificação mediante solicitação.
A Nexu, na qualidade de processadora, não mantém relacionamento direto com os titulares dos dados. No entanto, compromete-se a apoiar o controlador no atendimento das requisições dos titulares, incluindo: Acesso: Fornecimento das informações técnicas necessárias para localização e apresentação dos dados ao titular. Correção: Suporte técnico para ajustes nos dados, mediante solicitação formal documentada do controlador. Exclusão: Execução da exclusão dos dados indicados pelo controlador, seguindo o procedimento descrito na seção Manipulação e Tratamento de Dados. Portabilidade: Exportação dos dados em formato estruturado e interoperável, conforme solicitação do controlador. Oposição e restrição: Aplicação de bloqueios ou restrições de acesso aos dados conforme orientação formal do controlador. O atendimento às requisições será realizado dentro dos prazos contratualmente estabelecidos, observando os limites de 15 dias úteis previstos na LGPD e de 30 dias previstos no GDPR.
A Nexu designou um Encarregado de Dados (Data Protection Officer – DPO), responsável por atuar como canal de comunicação entre a empresa, os controladores e as autoridades de proteção de dados, bem como por orientar internamente o cumprimento das normas de privacidade aplicáveis. Para dúvidas, solicitações ou comunicações relacionadas à proteção de dados pessoais, o DPO pode ser contactado pelo seguinte canal: E-mail: dpo@nexu.ca