2.1 Aplicação

As disposições desta Política aplicam-se a todos os dados pessoais tratados pela AR ONLINE no âmbito de seus serviços, site e canais de relacionamento.

2.2 Os dois papéis da AR ONLINE

Para fins desta Política e da LGPD, a AR ONLINE atua em dois papéis distintos, com responsabilidades também distintas:

Nos casos em que atua como operadora, o cliente contratante é o controlador dos dados pessoais dos destinatários das mensagens, sendo o responsável legal por:

• Determinar a finalidade e a base legal do tratamento;
• Garantir a licitude da comunicação enviada;
• Atender aos titulares de dados quanto aos direitos previstos na LGPD relativos ao conteúdo das mensagens.

A AR ONLINE, como operadora, atua exclusivamente conforme as instruções documentadas do cliente contratante.

2.3 Canal de Privacidade

Para dúvidas, solicitações de exercício de direitos ou comunicação relativa a esta Política, utilize:

4.1 Dados tratados como Controladora

4.2 Dados tratados como CONTROLADORA

Para a prestação dos serviços de envio de notificações, comunicações e correspondências eletrônicas, a AR ONLINE recebe de seus clientes contratantes (controladores) dados pessoais dos destinatários das mensagens, que podem incluir, entre outros, conforme definido pelo cliente:

• Nome, CPF/CNPJ, e-mail, telefone e endereço dos destinatários;
• Conteúdo da mensagem a ser enviada, integralmente definido pelo cliente contratante, que pode conter dados pessoais e, eventualmente, dados pessoais sensíveis (LGPD art. 5º, II) relacionados ao destinatário ou a terceiros (p.ex., dados de processos judiciais, dados financeiros, informações de cobrança);
• Metadados técnicos do envio (data, hora, status de entrega, evidências de recebimento e leitura).

A AR ONLINE responde pela segurança técnica e administrativa dos dados sob sua guarda enquanto operadora, nos termos do art. 39 da LGPD e do DPA firmado com cada cliente contratante.

4.3 Disposições gerais

• Alguns serviços dependem do fornecimento de dados específicos. A recusa em fornecê-los pode impossibilitar a prestação total ou parcial dos serviços.
• Você é responsável pela veracidade dos dados fornecidos.
• A AR ONLINE não é obrigada a processar dados se houver indícios de que tal tratamento possa configurar infração legal, ou se os serviços estiverem sendo utilizados para finalidades ilícitas ou contrárias à moralidade.

5.1 Provedores de infraestrutura e tecnologia (suboperadores)

Hospedagem em nuvem, gateways de SMS, provedores de WhatsApp Business API, processadores de e-mail, autoridades certificadoras ICP-Brasil, ferramentas de monitoramento, processadores de pagamento. Esses terceiros atuam sob obrigação contratual de confidencialidade e proteção de dados.

5.2 Autoridades governamentais

Para cumprir determinações legais, judiciais, administrativas e ofícios de autoridades competentes, bem como para defender direitos previstos nesta Política ou em processos judiciais e administrativos.

5.3 Parceiros de negócios

Para execução, aprimoramento ou ampliação dos serviços, sempre dentro dos limites desta Política.

5.4 Movimentações societárias

Em hipóteses de fusão, aquisição, incorporação ou reorganização envolvendo a AR ONLINE, com comunicação prévia quando legalmente exigida.

5.5 Clientes contratantes (controladores)

Quando atuamos como operadora, devolvemos ao cliente contratante os dados tratados em seu nome (evidências de envio, comprovantes, relatórios), conforme contrato e DPA.

6.1 Localização atual

Os dados pessoais tratados pela AR ONLINE são armazenados em infraestrutura de provedor de nuvem/data center contratado com cláusulas contratuais de confidencialidade, segurança e proteção de dados.

6.2 Transferência internacional

A AR ONLINE poderá realizar transferência internacional de dados pessoais para provedores de infraestrutura, ferramentas de tecnologia ou parceiros localizados fora do Brasil, sempre que necessária à prestação dos serviços ou ao seu aprimoramento.

Toda transferência internacional observa um dos mecanismos de adequação previstos no art. 33 da LGPD, com prioridade para:

• Cláusulas contratuais específicas e/ou cláusulas-padrão contratuais, conforme regulamentação da ANPD;
• Países com nível de proteção de dados pessoais adequado ao previsto na LGPD;
• Demais hipóteses legais aplicáveis.

6.3 Mudanças de infraestrutura

A AR ONLINE poderá, a seu critério e mediante atualização desta Política, modificar seus provedores de infraestrutura, inclusive contratando provedores internacionais (p.ex., Amazon Web Services, Google Cloud, Microsoft Azure), sempre mantendo os mecanismos de adequação previstos nesta seção.

7.1 Medidas técnicas

Entre outras, a AR ONLINE adota:

• Criptografia em trânsito (TLS) em todas as plataformas web
• Criptografia em repouso para dados sensíveis [CONFIRMAR — depende de configuração atual]
• Autenticação multifator (MFA) nos sistemas administrativos e de gestão
• Controles de acesso baseados em perfil (RBAC) com revisão periódica
• Trilhas de auditoria de ações administrativas relevantes
• Backup com rotina de teste de restauração
• Hardening de DNS, SPF/DKIM/DMARC em domínios próprios

7.2 Medidas administrativas

• Política de Segurança da Informação aprovada pela Diretoria
• Treinamento periódico de SI e LGPD para colaboradores
• Procedimento formal de gestão de incidentes, incluindo fluxo específico para incidentes envolvendo dados pessoais
• Acordos de confidencialidade com colaboradores e fornecedores

7.3 Incidentes de segurança envolvendo dados pessoais

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a AR ONLINE:

• Comunicará a ANPD em prazo razoável conforme regulamentação vigente (art. 48 da LGPD);
• Comunicará os titulares afetados, quando aplicável;
• Comunicará os clientes contratantes (quando o incidente afetar dados tratados em sua qualidade de operadora), conforme previsto no DPA.

7.4 Limitação de responsabilidade

A AR ONLINE não responde por incidentes decorrentes de:

• Conduta exclusiva de terceiros que subvertam controles de segurança (ataques cibernéticos, fraude);
• Conduta exclusiva do titular ou do cliente (compartilhamento indevido de credenciais, configurações de segurança inadequadas no ambiente do cliente);
• Caso fortuito ou força maior.