Política de privacidade do MaxalERP

1. Resumo

Esta Política segue a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD) e vale para o MaxalERP: o instalador, o sistema instalado no computador do estabelecimento e a conferência da licença. A visita ao site maxal.com.br e o formulário de contato seguem a Política de Privacidade da Maxal.

2. Quem é o responsável

Maxal é a marca dos sistemas oferecidos por Maxlane Pereira Ataide. O canal para qualquer assunto sobre dados pessoais é sistema@maxal.com.br.

3. Dois tipos de dado, dois responsáveis

Se você é cliente de um bar ou restaurante que usa o MaxalERP — por exemplo, tem cadastro no estabelecimento —, quem decide sobre os seus dados é o estabelecimento, e é com ele que você fala. Nós não temos acesso a esses dados.

4. O que fica no seu computador

O MaxalERP grava no banco de dados instalado no computador do estabelecimento as vendas, mesas, comandas, produtos, estoque, caixas, clientes, usuários (com as senhas guardadas de forma irreversível), o certificado digital e as notas fiscais emitidas. Nada disso é enviado à Maxal. O aceite destes documentos no instalador também fica registrado só no computador.

Ficam no computador, e merecem menção separada:

• O CPF ou CNPJ e o nome de quem pede nota fiscal — o “CPF na nota” do caixa, e os dados do cliente empresa na NF-e, com endereço. São dados pessoais de terceiros, e quem responde por eles é o estabelecimento.
• O certificado digital A1 e a senha dele, porque é com eles que a nota é assinada. Quem tem acesso de administrador à máquina tem acesso a eles.
• Os XML das notas, dos cancelamentos e das cartas de correção, que a lei manda guardar por cinco anos.
• As cópias de segurança, na pasta ou no pen drive que o estabelecimento escolher. Elas contêm o banco inteiro — um pen drive esquecido no balcão é a base de dados na mão de quem o pegar.
• O registro técnico do servidor (o “log”), com as mensagens e os erros do programa. Ele pode conter trechos de dados que estavam sendo processados quando um erro aconteceu.

Por ficarem no computador do estabelecimento, a guarda, a segurança, as cópias de segurança e a eliminação desses dados são responsabilidade dele, como explicam os Termos de Uso do MaxalERP.

5. O que chega à Maxal

Na conferência da licença

Ao cadastrar a empresa e, depois, periodicamente, o sistema consulta o nosso servidor para confirmar que a instalação pode funcionar. Nessa consulta, recebemos:

• CNPJ e razão social da empresa, informados no cadastro dentro do sistema. Com o CNPJ, consultamos na BrasilAPI o nome fantasia, o município e a UF.
• O nome do computador no Windows — ou, se o Windows não o informar, o nome do usuário do Windows —, para que o suporte reconheça a máquina. Se esse nome for o de uma pessoa, ele é um dado pessoal, e o tratamos como tal.
• A versão do sistema e a data da conferência. O endereço IP de cada conferência fica nos registros técnicos do servidor, como numa visita ao site.
• A chave própria da instalação, que guardamos de forma irreversível.

Nenhum dado de venda, de produto, de cliente do estabelecimento ou de nota fiscal vai nessa consulta. Se a empresa for de um empreendedor individual (MEI), a razão social e o CNPJ podem identificar a pessoa, e por isso seguem as mesmas regras desta Política.

Quando o suporte abre o Terminal de Operações

Toda tentativa de abrir o Terminal — as que dão certo e as que são recusadas — é registrada nos nossos servidores com a instalação, a empresa, a data e a hora, e se foi liberada. A senha digitada não é guardada, nem em texto nem de outra forma. Esse registro existe para que se possa responder quem abriu o quê e quando; o estabelecimento pode pedi-lo a qualquer momento. Veja a seção 7.

Se a empresa contratar

• Razão social, CNPJ, endereço, telefones e e-mails administrativo e financeiro, e o nome e o contato do responsável.
• Plano, faturas, cobranças e pagamentos. Não recebemos nem guardamos número de cartão.
• Chamados de suporte e as conversas de atendimento.

6. Com quem o sistema se conecta

Além da Maxal, o computador do estabelecimento se conecta diretamente a estes serviços. Esses dados não passam por nós, e cada serviço segue a própria política:

7. O acesso do suporte da Maxal

O sistema instala um ícone ao lado do relógio do Windows. Ele mostra se o servidor está no ar, abre o sistema, mostra o endereço para entrar pelo celular e avisa quando há versão nova — nada disso mostra dado do estabelecimento, e qualquer pessoa na máquina pode usar.

Esse ícone também abre o Terminal de Operações, que é a ferramenta do nosso suporte e é protegida por uma senha nossa, conferida nos nossos servidores a cada uso.

O que o suporte consegue ver

• o registro técnico do servidor, com as mensagens e os erros do programa — ele pode conter trechos de dados que estavam sendo processados quando um erro aconteceu;
• a configuração da instalação, inclusive a senha do banco de dados.

Dito sem rodeio: com a senha do banco de dados é possível abrir esse banco por fora do sistema e ler, alterar ou apagar todos os dados do estabelecimento — vendas, clientes, notas fiscais. Por isso este acesso tem seção própria, e não uma linha no meio de outra.

O que nos obrigamos a fazer

• Só na própria máquina. O Terminal recusa qualquer tentativa que não venha do computador onde o sistema está instalado — nem pela rede da loja, nem pela internet, nem com a senha certa.
• Só com autorização. Pedimos que alguém abra o Terminal durante um atendimento, explicando para quê. O estabelecimento pode recusar e pode encerrar fechando a janela.
• Só o necessário. Não usamos esse acesso para consultar a operação do estabelecimento, nem para finalidade comercial, estatística ou de treinamento. Não copiamos nem extraímos dados.
• Fica registrado. Toda abertura e toda tentativa recusada ficam gravadas com a instalação, a empresa, a data e a hora. A senha digitada não é guardada. O estabelecimento pode pedir esse registro quando quiser.
• Senha revogável. Ela é da Maxal, não é de ninguém em particular, e é trocada quando alguém deixa a equipe — trocá-la vale para todas as instalações na mesma hora.
• Sem internet, por pouco tempo. Para o suporte funcionar quando a internet do estabelecimento cai, a última senha aceita continua valendo naquela máquina por até 7 dias.

O que o estabelecimento pode fazer

• trocar a senha do banco de dados pelo próprio Terminal depois de um atendimento;
• pedir o registro dos acessos;
• nos instruir, por escrito, a não usar o Terminal em nenhuma hipótese. O atendimento passa a depender do que ele conseguir descrever ou enviar, e costuma ficar mais lento — mas é uma escolha legítima, e nós a cumprimos.

A base legal desse tratamento é a execução do contrato (art. 7º, V da LGPD): é o suporte que o estabelecimento contratou. Ele acontece sob as instruções dele, que segue sendo o controlador dos dados do seu negócio.

8. Para que usamos e com qual base legal

Não usamos dados pessoais para publicidade, não formamos perfis e não vendemos nem alugamos dados a ninguém.

O acesso do suporte ao Terminal de Operações tem base na execução do contrato (art. 7º, V): é o suporte contratado, prestado sob as instruções do estabelecimento. O registro desses acessos tem base no legítimo interesse (art. 7º, IX) de ambos: ele existe para que se possa saber quem entrou no sistema de um cliente e quando.

9. Com quem compartilhamos

Os dados que chegam à Maxal são compartilhados só com quem precisa deles para o serviço funcionar:

Além deles, autoridades públicas, quando houver obrigação legal ou ordem judicial, e uma sucessora da Maxal, se a atividade passar a ser exercida por uma pessoa jurídica ou for incorporada por outra empresa, com as mesmas garantias desta Política. Alguns desses fornecedores podem guardar dados fora do Brasil — é o caso da cópia de segurança cifrada —, sempre nas hipóteses do art. 33 da LGPD.

10. Por quanto tempo guardamos

11. Como protegemos

• A conferência da licença é feita por HTTPS e não leva nenhum dado de venda.
• A chave de cada instalação é guardada no nosso servidor de forma irreversível.
• No computador do estabelecimento, o instalador protege o banco de dados com uma senha própria, restringe a pasta de dados ao sistema e aos administradores do Windows e libera o acesso só pela rede local — nada fica aberto para a internet.
• As senhas dos usuários do sistema são guardadas de forma irreversível.
• Verificação em duas etapas obrigatória para toda a nossa equipe no painel onde ficam os registros de licença.

Sobre o acesso do suporte (seção 7):

• A senha do Terminal não existe dentro do programa instalado: ela fica nos nossos servidores, guardada de forma irreversível, e é conferida a cada uso. Nenhuma cópia do sistema carrega segredo que sirva em outra instalação.
• O Terminal recusa qualquer pedido que não venha do próprio computador, conferindo o endereço de origem da conexão — que não se forja — e não um dado que o chamador escreva.
• Tentar a senha é limitado a cinco vezes por minuto por instalação e por origem.
• A folga sem internet guarda um resumo irreversível da última senha aceita, misturado com a chave daquela instalação: o arquivo copiado para outra máquina não serve, e não dá para comparar dois clientes e descobrir que a senha é a mesma.

A segurança física do computador, do Windows, da rede e das cópias de segurança é do estabelecimento. Se acontecer um incidente de segurança com os dados que estão conosco que possa trazer risco ou dano relevante, avisaremos as empresas afetadas e, quando for o caso, a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares, como a lei determina.

12. Seus direitos

A LGPD (art. 18) garante a você, entre outros, os direitos de confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei, pedir a portabilidade, saber com quem foram compartilhados e se opor a um tratamento.

• Se você é cliente ou funcionário de um estabelecimento que usa o MaxalERP, faça o pedido ao estabelecimento: os dados estão no computador dele, e nós não temos acesso a eles.
• Sobre os dados da licença e da assinatura, escreva para sistema@maxal.com.br. Podemos pedir informações para confirmar a sua identidade antes de atender, e respondemos em até 15 dias.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

13. Mudanças nesta política

Podemos atualizar esta Política. A versão e a data de vigência ficam sempre no alto desta página, e mudanças relevantes são avisadas às empresas clientes antes de entrarem em vigor.

14. Contato

Maxlane Pereira Ataide — Maxal
Dados pessoais e assuntos gerais: sistema@maxal.com.br
Suporte a clientes: suporte@maxal.com.br