Política de Privacidade

A NPXL TECNOLOGIA PROCESSOS SISTEMAS LTDA, CNPJ 68.432.190/0001-50, com sede em Ribeirão Preto/SP, atua em dois papéis distintos perante a Lei nº 13.709/2018 (LGPD), conforme o dado tratado.

Como controladora (art. 5º, VI), a NPXL decide a finalidade e a forma de tratamento dos dados da própria relação de uso do sistema: cadastro do usuário, credenciais de acesso, vínculo com a empresa contratante, registros de sessão, registros de acesso à aplicação e o registro de leitura e aceite destes documentos legais.

Como operadora (art. 5º, VII), a NPXL trata por conta e ordem da empresa contratante os dados de negócio que ela e os seus usuários inserem no sistema, sem decidir finalidade nem forma de tratamento desses dados. A controladora dos dados de negócio é a própria empresa contratante, não a NPXL.

No papel de controladora, a NPXL coleta apenas o necessário à operação da conta: identificação e contato do usuário, credenciais de acesso — armazenadas como hash, nunca em texto —, vínculo com a empresa contratante, registros de uso e de acesso ao sistema, e qual versão de cada documento legal (esta Política e os Termos de Uso) foi lida e aceita.

Quais dados de negócio existem no sistema — cadastros, informações financeiras, documentos e demais registros inseridos pela empresa contratante e por seus usuários — é decisão exclusiva da empresa contratante, controladora desses dados.

Os dados de conta são tratados para autenticar o acesso, operar as funcionalidades contratadas e garantir a segurança da plataforma. As bases legais aplicáveis são a execução de contrato (art. 7º, V), o cumprimento de obrigação legal (art. 7º, II) e o legítimo interesse em segurança da informação e prevenção a fraude (art. 7º, IX).

Os dados de negócio têm finalidade e base legal definidas pela empresa contratante, controladora desses dados. A NPXL não os utiliza para finalidade própria, não os comercializa e não os emprega em treinamento de modelos.

Não vendemos dados pessoais. O compartilhamento ocorre apenas com prestadores essenciais à operação, contratados como operadores e sujeitos a obrigações de confidencialidade equivalentes às aqui assumidas, ou por determinação legal ou judicial.

Prestadores subcontratados como operadores: [DEFINIR: lista dos operadores subcontratados, com finalidade de cada um].

País ou região de hospedagem dos dados: [DEFINIR: país/região de hospedagem].

Havendo transferência internacional de dados, ela observará um dos instrumentos do art. 33 da LGPD: [DEFINIR: instrumento do art. 33 adotado].

Adotamos criptografia em trânsito, controle de acesso por perfil e isolamento por empresa no banco de dados (Row Level Security), de modo que os dados de uma organização não são acessíveis a outra. Nenhum sistema é imune a incidentes; ocorrências relevantes serão comunicadas conforme a legislação.

Os prazos de retenção variam por categoria de dado:

Cadastro do usuário e vínculo com a empresa contratante: mantidos por [DEFINIR: prazo pós-encerramento] após o encerramento da relação.

Credenciais de acesso: eliminadas junto com a conta, sem guarda adicional.

Registros de sessão: a sessão expira em 8 horas, ou em 7 dias quando a opção "manter conectado" é utilizada; o registro histórico da sessão é mantido por [DEFINIR: prazo].

Registros de acesso à aplicação: mantidos por 6 (seis) meses, prazo mínimo exigido pelo art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), e por prazo adicional apenas mediante ordem judicial.

Registro de leitura e aceite destes documentos: mantido enquanto vigente o contrato com a empresa contratante e por [DEFINIR: prazo prescricional] após o seu término.

Dados de negócio: retidos conforme definição da empresa contratante, controladora desses dados.

Como titular de dados pessoais, você pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade e informação sobre com quem os dados são compartilhados, nos termos do art. 18 da LGPD.

O encaminhamento do pedido depende de quem é a controladora do dado: pedidos sobre dados de conta (cadastro, credenciais, registros de acesso, aceite dos documentos legais) são dirigidos ao encarregado da NPXL, pelo canal descrito na Cláusula 10. Pedidos sobre dados de negócio são dirigidos à empresa contratante, controladora desses dados; recebendo tal pedido, a NPXL o encaminha e presta apoio técnico, sem decidir por ela.

Hoje o atendimento a esses pedidos ocorre exclusivamente pelo canal indicado na Cláusula 10 — não há autoatendimento disponível na plataforma.

Utilizamos apenas cookies estritamente necessários ao funcionamento do sistema, próprios e sem finalidade de publicidade ou rastreamento por terceiros:

npxl_session — sustenta a sessão autenticada do usuário. Configurado como HttpOnly, Secure em produção e SameSite=Strict; expira em 8 horas, ou em 7 dias quando a opção "manter conectado" é utilizada.

Cookie de preferência de tema (claro/escuro) — grava a escolha visual do usuário no navegador. Configurado como SameSite=Lax, com duração de 1 (um) ano.

Ambos são necessários à prestação do serviço solicitado e, por isso, independem de consentimento (art. 7º, V, da LGPD). Bloquear o cookie de sessão impede o login no sistema.

Esta Política pode ser atualizada. Mudanças relevantes serão comunicadas por aviso no sistema e pelo canal descrito na Cláusula 10, com indicação da nova data de vigência. A versão vigente está publicada em https://www.epecistem.com.br/politica-de-privacidade.

Nos termos do art. 41 da LGPD, a NPXL mantém encarregado (DPO) responsável por receber comunicações de titulares de dados e da Autoridade Nacional de Proteção de Dados (ANPD), e por orientar os colaboradores da empresa quanto às práticas de proteção de dados pessoais.

Encarregado: [DEFINIR: nome da pessoa ou área].

Canal de contato: [DEFINIR: canal do encarregado].

Endereço postal, se distinto da sede da NPXL: [DEFINIR: endereço postal se distinto da sede].

O prazo de resposta é imediato quando a informação puder ser prestada em formato simplificado, ou de até 15 (quinze) dias para a declaração completa e clara sobre a origem, a existência de critérios e a finalidade do tratamento, nos termos do art. 19, II e §3º, da LGPD.