Compêndio Legal, Privacidade e Governança de Dados

1. Resumo executivo

Este Compêndio Legal reúne, em um único documento navegável, os Termos de Uso, a Política de Privacidade, o Aditivo de Tratamento de Dados Pessoais (DPA), as regras de retenção e expurgo, as diretrizes de segurança e os canais de atendimento a titulares aplicáveis à plataforma assine.btor.ia (assinatura eletrônica, análise e guarda de documentos).

Este documento não substitui contratos comerciais específicos firmados entre a Btor e seus clientes. Em caso de conflito, prevalece o contrato específico no que for mais detalhado, respeitada a legislação aplicável.

2. Escopo e papéis

Aplica-se às páginas públicas, ao aplicativo autenticado, às APIs públicas de integração (inclusive o conector com o CRM Expert), ao fluxo de assinatura por link individual, ao módulo de termos e aceites e à verificação pública de documentos e aceites.

A Btor atua como Controladora dos dados cadastrais dos usuários da plataforma, de segurança, faturamento e auditoria. Atua como Operadora dos documentos, signatários e conteúdos inseridos pelo cliente, tratados conforme suas instruções. Suboperadores são utilizados apenas para hospedagem, envio de comunicações e infraestrutura, sob obrigações compatíveis de confidencialidade e segurança.

3. Termos de uso

Ao utilizar a plataforma, o usuário declara que leu e concorda com estes termos. A plataforma destina-se a assinatura eletrônica de documentos, análise e extração de dados, gestão de vigência contratual e guarda probatória.

É proibido: inserir dados pessoais sem base legal; tentar burlar controles de segurança, autenticação ou segregação por conta; utilizar os canais de notificação para comunicações ilícitas, abusivas ou não solicitadas.

O cliente é responsável pela origem, licitude e base legal dos dados e documentos que inserir, bem como pelo conteúdo dos envelopes, mensagens e políticas de aceite que publicar.

4. Validade jurídica das assinaturas

As assinaturas eletrônicas seguem o art. 10, §2º, da MP 2.200-2/2001 e a Lei 14.063/2020, com níveis de garantia crescentes: aceite autenticado, assinatura eletrônica avançada, avançada reforçada e ICP-Brasil.

Cada assinatura é vinculada a hash SHA-256 do documento fechado, identificação das partes, manifestação de vontade com data/hora, IP e dispositivo, trilha de eventos encadeada e imutável, certificado de evidências com QR Code e verificação pública por código. Validade e força probatória são conceitos distintos: a plataforma foi construída para maximizar ambos, e atos de risco elevado devem usar o nível ICP-Brasil.

5. Política de privacidade e bases legais

O tratamento de dados ocorre com fundamento em execução de contrato, cumprimento de obrigação legal, legítimo interesse, exercício regular de direitos e consentimento, conforme o caso concreto, nos termos da Lei 13.709/2018 (LGPD).

Observamos os princípios da finalidade, adequação, necessidade, transparência, segurança, prevenção, livre acesso, qualidade, responsabilização e prestação de contas. Aceites de políticas coletados pela plataforma são versionados, imutáveis e vinculados ao hash da versão exibida, com finalidades separadas (aceite de termo ≠ consentimento LGPD).

6. Dados tratados

Dados cadastrais (nome, e-mail, telefone, empresa, documento quando necessário) para identificação e operação; dados dos documentos e signatários (nome, e-mail, CPF/CNPJ, IP, user-agent, data/hora) para execução da assinatura e composição da prova; logs técnicos e de auditoria para segurança, prevenção à fraude e defesa em processos.

Cookies: a plataforma não utiliza cookies de rastreamento ou publicidade. Há apenas armazenamento funcional de sessão e preferências, dispensado de consentimento prévio por ser estritamente necessário ao serviço solicitado.

7. Segurança da informação

Criptografia em trânsito (TLS 1.3 com HSTS) e em repouso; isolamento de dados por conta com políticas de acesso em nível de linha; segredos e chaves de integração armazenados apenas no servidor; cabeçalhos de proteção (CSP, nosniff, frame-ancestors, referer e permissions policy); limitação de taxa e validação rigorosa de entradas nas APIs públicas.

A guarda de documentos assinados é WORM (não editável, não apagável antes do prazo), com integridade SHA-256, cadeia de custódia e trilha de auditoria append-only, alinhada aos controles A.5.15, A.8.15, A.8.24 e A.5.33 da ISO/IEC 27001.

8. Retenção, expurgo e descarte

Cada documento recebe uma classe de retenção com prazo definido (ex.: 5, 10 ou 20 anos) conforme a natureza do ato e obrigações legais. Ao final do prazo, o expurgo é automático: a plataforma identifica os documentos com retenção vencida, registra o evento na trilha de auditoria, remove o arquivo do armazenamento e anonimiza os dados pessoais associados, preservando apenas o hash e o certificado de evidências para comprovação histórica.

Dados de usuários são mantidos enquanto a conta estiver ativa e pelo prazo necessário a obrigações legais. Logs técnicos são eliminados ou anonimizados conforme política operacional. O proprietário do documento é avisado antes do expurgo quando o prazo estiver próximo.

9. Carimbo de tempo confiável (TSA)

O carimbo de tempo é a prova de que o documento e suas assinaturas existiam, na forma exata atual, em determinada data e hora. A plataforma registra data/hora com fuso em todos os eventos e no selo de integridade.

No roadmap de conformidade está a integração com uma Autoridade de Carimbo do Tempo (TSA) habilitada na ICP-Brasil (RFC 3161), que vincula o hash do documento a uma fonte de tempo confiável, elevando o pacote de evidências ao padrão PAdES-LTA para validade probatória de longo prazo.

10. Direitos dos titulares

Nos termos da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade quando aplicável, informação sobre compartilhamento e revogação de consentimento.

Canal oficial do Encarregado de Proteção de Dados (DPO): dpo@btor.com.br. Para segurança, poderá ser exigida validação de identidade antes do atendimento. Quando a Btor atuar como operadora, a solicitação poderá ser direcionada ao cliente controlador, com apoio técnico da Btor conforme contrato e DPA.

11. Aditivo de tratamento de dados (DPA)

Quando atua como operadora, a Btor trata dados pessoais somente conforme instruções documentadas do controlador, adota medidas técnicas e organizacionais de segurança, restringe acesso a pessoas autorizadas sob dever de confidencialidade, apoia o atendimento a titulares e incidentes, e exclui, devolve ou anonimiza os dados ao término contratual, respeitadas obrigações legais.

O cliente controlador é responsável por definir base legal e finalidade dos dados inseridos, manter avisos de privacidade próprios e responder pelos documentos, envelopes e aceites que criar.

12. Incidentes de segurança

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a Btor realizará avaliação técnica e jurídica, adotará medidas de contenção e comunicará clientes, titulares e autoridades competentes conforme exigência legal, considerando natureza e volume dos dados, categorias de titulares, medidas de proteção existentes e capacidade de mitigação.

13. Verificação de integridade e versão

Este compêndio possui hash SHA-256 do conteúdo jurídico, exibido abaixo, para apoiar verificação de integridade, controle de versão e detecção de alterações não autorizadas — o mesmo mecanismo probatório aplicado aos documentos da plataforma.

Versão 1.0.0 — 01/09/2026 — criação do compêndio legal do assine.btor.ia, alinhado ao compêndio institucional do CRM Expert Btor.