Privacidade, Segurança da Informação e Governança de Dados

1.1.Esta Política estabelece diretrizes relacionadas à privacidade, à segurança da informação, à governança de dados e à utilização responsável dos recursos da plataforma It’sCom.

1.2.Aplica-se às operações sob responsabilidade da ROSS SOLUTIONS LTDA e, no que couber, às relações contratuais com os usuários e Contratantes da plataforma.

1.3.Abrange informações tratadas nos serviços de CRM, comunicações, automações, IA, telefonia, agendamentos, integrações e demais funcionalidades contratadas.

1.4.A responsabilidade pela segurança será distribuída conforme as atividades efetivamente desempenhadas pela Prestadora, pelos Contratantes e pelos fornecedores tecnológicos envolvidos.

1.5.Esta Política deverá ser interpretada em conjunto com os Termos de Serviço, a Política de Privacidade e o Acordo de Tratamento de Dados Pessoais.

2.1.As atividades de segurança da informação serão orientadas pelos princípios de confidencialidade, integridade e disponibilidade.

2.2.Confidencialidade: proteção contra acesso, utilização ou divulgação não autorizados.

2.3.Integridade: proteção contra alteração, destruição ou modificação indevida das informações.

2.4.Disponibilidade: adoção de medidas proporcionais para manter os recursos acessíveis conforme as condições técnicas e contratuais.

2.5.Também deverão ser observados os princípios de necessidade, finalidade, adequação, prevenção, responsabilização e prestação de contas previstos na legislação de proteção de dados.

2.6.A adoção desses princípios não representa garantia de que todos os riscos tecnológicos possam ser integralmente eliminados.

3.1.A ROSS SOLUTIONS LTDA será responsável pelas decisões de segurança relativas aos ambientes, configurações, acessos e processos sob seu efetivo controle.

3.2.Os Contratantes serão responsáveis pela administração de seus usuários, permissões, conteúdos, integrações e configurações sob seu controle.

3.3.Os fornecedores tecnológicos responderão pelas obrigações correspondentes aos serviços que efetivamente prestarem, conforme seus instrumentos contratuais e a legislação aplicável.

3.4.A It’sCom poderá estabelecer políticas internas, procedimentos operacionais, registros de incidentes e processos de avaliação de riscos.

3.5.A existência e a execução desses procedimentos deverão ser demonstráveis por documentação ou evidências adequadas.

3.6.A distribuição de responsabilidades não afastará obrigações legais atribuídas a qualquer das partes.

4.1.O acesso às informações deverá observar critérios de necessidade, legitimidade e autorização.

4.2.Os usuários deverão utilizar credenciais individuais quando disponibilizadas pela plataforma.

4.3.O compartilhamento indevido de credenciais poderá comprometer a segurança dos dados e é vedado pelas condições de utilização.

4.4.O Contratante deverá conceder permissões compatíveis com as atividades dos usuários.

4.5.Recomenda-se a utilização de autenticação multifator sempre que tecnicamente disponível.

4.6.O Contratante deverá revisar permissões e desativar acessos que não sejam mais necessários.

4.7.A It’sCom poderá aplicar restrições de acesso proporcionais diante de suspeitas fundamentadas de comprometimento de credenciais ou de utilização indevida.

4.8.Recursos específicos de autenticação e controle de permissões somente serão apresentados como disponíveis quando efetivamente habilitados.

5.1.A plataforma permite a utilização de ambientes vinculados aos respectivos Contratantes.

5.2.A administração desses ambientes deverá observar mecanismos de autorização e separação lógica compatíveis com a arquitetura efetivamente disponibilizada.

5.3.Usuários de um Contratante não deverão receber autorização para acessar informações de outro Contratante sem fundamento legítimo.

5.4.A It’sCom deverá avaliar riscos relacionados à concessão de acessos administrativos e à utilização de integrações.

5.5.O acesso técnico por pessoal autorizado poderá ocorrer quando necessário ao suporte, à manutenção, à segurança ou ao cumprimento de obrigações legítimas.

5.6.A segregação lógica não deverá ser descrita como isolamento físico ou criptográfico exclusivo sem comprovação técnica.

6.1.A disponibilização dos serviços poderá envolver infraestrutura própria ou de fornecedores especializados.

6.2.A infraestrutura poderá compreender servidores, serviços em nuvem, bancos de dados, redes, sistemas de comunicação, armazenamento e componentes de processamento.

6.3.A It’sCom deverá avaliar as responsabilidades contratuais e técnicas dos fornecedores relevantes.

6.4.A localização do processamento e do armazenamento poderá variar conforme o serviço contratado e a arquitetura utilizada.

6.5.A It’sCom não declara que todos os dados permanecem exclusivamente no Brasil.

6.6.As medidas de segurança específicas da infraestrutura deverão corresponder às condições efetivamente implementadas pelos responsáveis.

7.1.A proteção dos dados deverá considerar os riscos de interceptação, alteração, acesso indevido e exposição.

7.2.Poderão ser utilizados mecanismos de comunicação segura e proteção de dados, conforme as funcionalidades e a infraestrutura efetivamente disponibilizadas.

7.3.A existência, abrangência e configuração de mecanismos de criptografia deverão ser confirmadas tecnicamente antes de sua divulgação como garantia contratual.

7.4.O Contratante deverá evitar o compartilhamento desnecessário de informações sensíveis por canais inadequados.

7.5.Chaves de API, tokens, senhas e outras credenciais deverão receber tratamento compatível com seu grau de sensibilidade.

7.6.Não se presume que todos os conteúdos de todos os canais possuam o mesmo padrão de proteção.

8.1.A segurança dos serviços poderá envolver a geração e a análise de registros técnicos de autenticação, acesso, utilização e funcionamento.

8.2.Esses registros poderão ser utilizados para prevenção de fraudes, investigação de incidentes, suporte, auditoria e cumprimento de obrigações legais.

8.3.O tratamento dos registros deverá observar as finalidades legítimas, a necessidade e os prazos aplicáveis.

8.4.A disponibilidade, o detalhamento e a retenção dos logs poderão variar conforme os recursos efetivamente oferecidos.

8.5.A It’sCom não garante a existência de registros de eventos que não sejam produzidos pela infraestrutura utilizada.

8.6.Os registros deverão ser protegidos contra acessos e alterações indevidos, conforme as medidas tecnicamente disponíveis e as obrigações aplicáveis.

9.1.A segurança tecnológica exige avaliação e tratamento proporcionais de vulnerabilidades.

9.2.A It’sCom deverá estabelecer procedimentos compatíveis com os riscos e com as responsabilidades técnicas sob seu controle.

9.3.Vulnerabilidades identificadas poderão exigir atualização, alteração de configuração, restrição de acesso ou atuação conjunta com fornecedores.

9.4.Quando a correção depender de fornecedor externo, a It’sCom deverá adotar as medidas de acompanhamento e mitigação que estiverem ao seu alcance.

9.5.Testes de invasão, auditorias independentes ou avaliações periódicas somente serão declarados como realizados quando existirem evidências correspondentes.

10.1.A continuidade dos serviços poderá depender de mecanismos de redundância, backup, recuperação e disponibilidade de fornecedores externos.

10.2.As políticas de backup deverão ser verificadas conforme a infraestrutura e os serviços efetivamente contratados.

10.3.A existência de cópias de segurança não representa garantia de recuperação integral de todos os conteúdos em qualquer circunstância.

10.4.Prazos de recuperação, frequência de backup e objetivos de continuidade somente serão assumidos quando formalmente definidos e tecnicamente comprovados.

10.5.O Contratante deverá adotar medidas proporcionais de preservação das informações críticas de sua própria operação.

10.6.A It’sCom deverá informar limitações relevantes de exportação ou recuperação de dados quando contratualmente ou legalmente exigido.

11.1.Considera-se incidente de segurança qualquer evento que comprometa ou possa comprometer a confidencialidade, integridade ou disponibilidade das informações.

11.2.Incidentes poderão envolver acesso indevido, exposição de informações, indisponibilidade, alteração não autorizada ou outras ocorrências relevantes.

11.3.A It’sCom deverá avaliar os incidentes conhecidos, considerando sua natureza, origem, extensão e riscos.

11.4.Conforme o caso, poderão ser adotadas medidas de contenção, investigação, correção e prevenção de recorrência.

11.5.Quando atuar como operadora de dados pessoais, a It’sCom deverá informar o controlador conforme as obrigações legais e contratuais aplicáveis.

11.6.Quando atuar como controladora, deverá observar as obrigações de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, nas hipóteses legalmente exigidas.

11.7.A comunicação de incidentes observará os prazos legais, os papéis das partes e as informações efetivamente disponíveis.

11.8.Os Contratantes deverão comunicar prontamente incidentes ou suspeitas relevantes identificados em seus ambientes.

12.1.A It’sCom deverá observar a Lei nº 13.709/2018 e as demais normas aplicáveis ao tratamento de dados pessoais.

12.2.A ROSS SOLUTIONS LTDA poderá atuar como controladora ou operadora, conforme as decisões e atividades efetivamente desempenhadas.

12.3.O Contratante deverá identificar as bases legais para os tratamentos que determinar.

12.4.Quando atuar como operadora, a It’sCom deverá observar as instruções legítimas do controlador e as obrigações legais aplicáveis.

12.5.Os direitos dos titulares serão atendidos conforme os papéis das partes, a legislação e os procedimentos previstos na Política de Privacidade.

12.6.O tratamento de dados sensíveis exigirá avaliação e medidas compatíveis com os riscos envolvidos.

12.7.A existência de funcionalidades tecnológicas não dispensa a realização das avaliações jurídicas e operacionais necessárias.

13.1.A plataforma poderá ser utilizada por organizações que tratem dados pessoais sensíveis, inclusive clínicas e estabelecimentos de saúde.

13.2.O Contratante deverá verificar a adequação dos recursos utilizados às suas obrigações legais, profissionais e setoriais.

13.3.Informações clínicas e outros dados sensíveis deverão receber restrições de acesso proporcionais à sua natureza.

13.4.O Contratante deverá evitar o compartilhamento desnecessário desses dados em automações, mensagens, integrações e agentes de IA.

13.5.A It’sCom não declara conformidade automática com todos os requisitos setoriais de saúde ou de outras atividades reguladas.

13.6.Funcionalidades específicas de prontuário, telemedicina ou tratamento de dados clínicos poderão exigir instrumentos e controles adicionais.

14.1.Os serviços de comunicação poderão utilizar WhatsApp, SMS, RCS, e-mail, telefonia e outros canais integrados.

14.2.Cada canal poderá possuir características técnicas, requisitos e riscos específicos.

14.3.A proteção e a entrega das comunicações poderão depender de provedores e redes externas.

14.4.O Contratante deverá observar as regras de autorização, privacidade e segurança aplicáveis aos destinatários.

14.5.A It’sCom poderá adotar medidas proporcionais para prevenir uso abusivo, fraudes ou comprometimento de canais.

14.6.A utilização de um canal não significa que todas as mensagens possuam criptografia de ponta a ponta ou proteção equivalente em todas as etapas de processamento.

14.7.O Contratante deverá avaliar a adequação do canal antes de transmitir informações confidenciais ou sensíveis.

15.1.As funcionalidades de IA poderão processar informações fornecidas pelos Contratantes e pelos participantes das interações.

15.2.Esses tratamentos poderão envolver serviços tecnológicos externos.

15.3.O Contratante deverá configurar os agentes de IA de maneira compatível com as finalidades legítimas de sua operação.

15.4.Recomenda-se restringir o acesso dos agentes aos dados estritamente necessários.

15.5.A utilização de IA poderá envolver riscos de respostas incorretas, exposição indevida de dados, instruções maliciosas e automações inadequadas.

15.6.O Contratante deverá estabelecer supervisão proporcional ao impacto das decisões e ações automatizadas.

15.7.As condições de retenção e utilização de dados pelos fornecedores de IA deverão ser avaliadas conforme os serviços efetivamente utilizados.

15.8.A It’sCom não garante que toda resposta gerada por IA seja correta, segura ou adequada a decisões de alto impacto.

15.9.Os Termos Específicos de Inteligência Artificial complementarão esta Política.

16.1.A plataforma poderá permitir integrações com aplicações externas por APIs, webhooks e outros mecanismos.

16.2.O Contratante deverá avaliar as permissões concedidas às aplicações conectadas.

16.3.Credenciais, tokens e chaves de integração deverão ser protegidos contra divulgação indevida.

16.4.As integrações deverão ser utilizadas exclusivamente para finalidades legítimas.

16.5.O Contratante deverá desativar integrações que não sejam mais necessárias.

16.6.A It’sCom poderá restringir integrações que apresentem riscos relevantes de segurança, conforme as condições contratuais e legais.

16.7.A segurança dos sistemas externos também dependerá dos responsáveis por esses sistemas.

17.1.A execução dos serviços poderá envolver fornecedores de infraestrutura, comunicação, inteligência artificial, armazenamento, pagamentos e suporte tecnológico.

17.2.A It’sCom deverá avaliar os riscos e as obrigações pertinentes aos fornecedores sob sua responsabilidade contratual.

17.3.Quando houver tratamento de dados pessoais em nome de Contratantes, deverão ser observadas as disposições aplicáveis à contratação de operadores e suboperadores.

17.4.Alguns fornecedores poderão atuar como controladores independentes em determinadas atividades.

17.5.As transferências internacionais deverão observar os mecanismos legalmente exigidos.

17.6.A relação de fornecedores relevantes deverá ser mantida de acordo com as exigências legais e contratuais aplicáveis.

17.7.A substituição de fornecedores deverá observar as condições pactuadas, inclusive requisitos de comunicação quando aplicáveis.

18.1.Dados pessoais poderão ser tratados ou acessados fora do território brasileiro em razão dos serviços tecnológicos utilizados.

18.2.Essas operações deverão observar os requisitos legais de transferência internacional.

18.3.Quando aplicável, serão necessários mecanismos como cláusulas-padrão contratuais ou outras garantias legalmente reconhecidas.

18.4.A It’sCom deverá avaliar a pertinência das normas brasileiras e estrangeiras conforme as operações concretas.

18.5.A aplicação do GDPR será considerada quando presentes seus requisitos territoriais e materiais.

18.6.A It’sCom não declara armazenamento ou processamento exclusivamente nacional sem comprovação técnica.

19.1.A It’sCom buscará considerar os riscos de privacidade e proteção de dados no planejamento e na configuração dos serviços sob seu controle.

19.2.A adoção de medidas de privacidade deverá ser proporcional às características das operações.

19.3.Poderão ser considerados critérios de minimização de dados, restrição de acessos, limitação de finalidades e prevenção de exposição indevida.

19.4.Os Contratantes deverão observar esses princípios ao configurar campos personalizados, formulários, campanhas e automações.

19.5.A referência a privacidade desde a concepção não representa certificação de conformidade de todos os componentes da plataforma.

20.1.A conservação de dados deverá observar as finalidades legítimas, as instruções aplicáveis e os prazos legais.

20.2.O Contratante deverá avaliar suas obrigações de retenção e eliminação de dados.

20.3.A It’sCom deverá disponibilizar os procedimentos de exportação e encerramento previstos nas condições contratuais.

20.4.A exclusão de informações poderá depender das características técnicas dos serviços, dos prazos de retenção e das obrigações legais.

20.5.O encerramento contratual não implica necessariamente eliminação instantânea de registros sujeitos à conservação legítima.

20.6.A Prestadora não deverá prometer recuperação de dados já eliminados ou indisponíveis.

20.7.Regras detalhadas de devolução e eliminação poderão ser estabelecidas no Acordo de Tratamento de Dados.

21.1.A plataforma poderá registrar informações relativas a assinaturas, pagamentos, créditos pré-pagos e consumo de serviços.

21.2.Os processos financeiros deverão observar controles proporcionais de acesso, conferência e prevenção a fraudes.

21.3.Os registros de créditos e consumo deverão permitir individualização por Contratante, conforme as condições operacionais aplicáveis.

21.4.A segurança financeira não altera a natureza jurídica ou tributária dos valores recebidos.

21.5.A Política de Créditos, Consumos e Repasses disciplinará as condições comerciais e financeiras específicas.

21.6.Dados financeiros e documentos fiscais deverão ser conservados conforme as obrigações legais aplicáveis.

22.1.O Contratante deverá administrar seus usuários, permissões, integrações e dados de maneira segura.

22.2.Deverá adotar medidas adequadas à sensibilidade das informações utilizadas.

22.3.Compete ao Contratante:

1. a)Proteger credenciais;
2. b)Revisar acessos;
3. c)Evitar compartilhamento indevido de informações;
4. d)Configurar corretamente os canais;
5. e)Observar a legislação de proteção de dados;
6. f)Supervisionar automações e agentes de IA;
7. g)Comunicar incidentes relevantes;
8. h)Preservar informações críticas conforme suas necessidades;
9. i)Verificar a legitimidade de suas bases de contatos;
10. j)Avaliar os riscos das integrações habilitadas.

22.4.O descumprimento dessas obrigações poderá comprometer a segurança da operação.

22.5.A responsabilidade será apurada conforme as condutas e obrigações efetivas das partes.

23.1.A demonstração de conformidade poderá envolver políticas, registros, relatórios, contratos, avaliações e outras evidências pertinentes.

23.2.A It’sCom deverá preservar os registros necessários ao cumprimento de suas obrigações legais e contratuais.

23.3.Solicitações de auditoria ou informações técnicas poderão ser avaliadas considerando a legitimidade, proporcionalidade, confidencialidade e segurança.

23.4.O fornecimento de informações não deverá comprometer dados de outros Contratantes ou segredos comerciais protegidos.

23.5.Auditorias independentes e certificações somente serão divulgadas quando efetivamente existentes e verificáveis.

24.1.A It’sCom buscará manter seus serviços disponíveis conforme as condições técnicas e contratuais aplicáveis.

24.2.Poderão ocorrer interrupções decorrentes de manutenção, falhas técnicas, eventos externos ou indisponibilidade de fornecedores.

24.3.A Prestadora adotará medidas razoáveis de acompanhamento e restabelecimento dentro de sua esfera de atuação.

24.4.Garantias específicas de disponibilidade dependerão de compromisso expresso.

24.5.Esta Política não constitui acordo autônomo de nível de serviço nem estabelece garantia de disponibilidade ininterrupta.

24.6.Nenhuma disposição afasta responsabilidades legais aplicáveis.

25.1.Suspeitas de vulnerabilidades, acessos indevidos ou incidentes relevantes poderão ser encaminhadas ao canal oficial de segurança.

Canal

[E-mail de segurança a ser inserido]

25.2.As comunicações deverão conter, quando possível, descrição objetiva da ocorrência e informações necessárias à análise.

25.3.Não deverão ser enviados dados pessoais sensíveis ou credenciais completas sem necessidade e sem canal apropriado.

25.4.A investigação será conduzida conforme a gravidade, os riscos e os recursos disponíveis.

25.5.Esta disposição não autoriza testes invasivos ou acesso não autorizado aos sistemas.

26.1.Esta Política poderá ser revisada em razão de alterações legais, operacionais, contratuais ou tecnológicas.

26.2.Cada versão deverá possuir identificação e data.

26.3.Alterações relevantes serão comunicadas conforme as obrigações aplicáveis.

26.4.A atualização documental deverá refletir as práticas efetivamente implementadas.

26.5.Quando houver alteração material de obrigações contratuais, deverão ser observados os procedimentos de comunicação e aceite legalmente exigidos.

27.1.Esta Política deverá ser interpretada conforme a legislação brasileira aplicável, especialmente:

1. a)Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais;
2. b)Lei nº 12.965/2014 — Marco Civil da Internet, quando aplicável;
3. c)Regulamentos e orientações pertinentes da Autoridade Nacional de Proteção de Dados;
4. d)Outras normas setoriais aplicáveis às atividades efetivamente realizadas.

27.2.Também deverão ser considerados os compromissos contratuais assumidos com os Contratantes.

27.3.Integram o conjunto documental relacionado:

1. a)Termos e Condições de Serviço;
2. b)Política de Privacidade;
3. c)Acordo de Tratamento de Dados Pessoais;
4. d)Termos Específicos de Inteligência Artificial;
5. e)Política de Comunicações Eletrônicas;
6. f)Política de Créditos, Consumos e Repasses.

28.1.Para esclarecimentos relacionados à segurança da informação e à proteção de dados:

Razão social

ROSS SOLUTIONS LTDA

Marca comercial

It’sCom

CNPJ

40.179.326/0001-42 — confirmar no cadastro oficial

Website

https://itscom.ai

Contato de privacidade

juridico@itscom.ai

Contato de segurança

juridico@itscom.ai

Endereço

Rua Primavera, nº 231, Cilla Corporate Tower, bairro Cidade dos Lagos, Guarapuava – PR, CEP 85051-070.