Termo de Tratamento de Dados Pessoais

1. Objeto e a quem se aplica

Este termo vale para toda empresa que contrata qualquer sistema do ecossistema IndustrialMais, incluindo imais$ERP, imais$CRM, imais$VENDAS, imais$PDV, imais$PRODUÇÃO, imais$CONNECT e os demais módulos licenciados, em qualquer forma de instalação contratada.

Ele descreve como a IndustrialMais trata os dados pessoais que a sua empresa insere, importa, gera ou movimenta dentro desses sistemas, e complementa o contrato de licenciamento e prestação de serviços. Em caso de conflito, prevalece a cláusula que oferecer mais proteção ao titular dos dados.

A IndustrialMais é marca da UNC Software, empresa brasileira de tecnologia para a indústria, e figura neste termo como operadora dos dados tratados nos sistemas contratados. A qualificação completa das partes, com razão social, CNPJ e endereço, consta do contrato de licenciamento firmado com a sua empresa.

Se você chegou aqui procurando o tratamento dos dados que digitou em um formulário do nosso site ou do nosso blog, o documento certo é a Política de Privacidade.

2. O papel de cada parte

A LGPD (Lei nº 13.709/2018) separa quem decide sobre o tratamento de quem executa o tratamento. Essa separação define exatamente o que cada lado responde:

Existe uma exceção que vale registrar: sobre os dados de relacionamento comercial e de conta (o contato de quem assina o contrato, os dados de faturamento da mensalidade, os registros de chamado no suporte), a IndustrialMais atua como controladora, porque essas decisões são nossas. Esse tratamento está descrito na Política de Privacidade.

3. Dados que tratamos por conta do cliente

A tabela abaixo mostra o que normalmente circula nos sistemas de gestão industrial. O conteúdo real depende do que a sua empresa cadastra e dos módulos que ela contratou:

Não tratamos, por conta do cliente, dado de saúde, biometria, origem racial, convicção religiosa, opinião política ou qualquer outro dado sensível previsto no artigo 5º, II da LGPD, salvo se a sua empresa contratar módulo específico que exija isso e essa necessidade for formalizada por escrito.

4. Limites de uso: o que não fazemos

Estes compromissos valem durante todo o contrato e continuam valendo depois dele:

• Não usamos a base do cliente para prospectar os clientes dele, nem para prospectar para nós.
• Não vendemos, alugamos, cedemos nem compartilhamos os dados com terceiros para finalidade comercial.
• Não cruzamos a base de um cliente com a base de outro cliente. Cada ambiente é logicamente segregado.
• Não enviamos dados pessoais da base do cliente para treinar modelos de inteligência artificial de terceiros. Se algum recurso do sistema usar IA, isso é informado no próprio recurso e depende de habilitação pela sua empresa.
• Não transferimos a base para fora do sistema, exceto quando a sua empresa pedir (exportação, migração, integração autorizada) ou quando houver ordem judicial ou obrigação legal.

O que podemos usar são estatísticas agregadas e anonimizadas sobre o funcionamento do produto: volume de uso, tempo de resposta, erro em tela, adoção de módulo. Dado anonimizado não permite identificar pessoa nem empresa e serve para manter e melhorar o sistema.

5. Dados sensíveis e uso correto dos campos

Cada campo do sistema existe para uma finalidade. Campos livres, como observação de pedido e anotação de atendimento, são o ponto onde mais aparece dado que não deveria estar ali.

A sua empresa se compromete a orientar a equipe para:

• Não registrar em campo livre informação de saúde, restrição judicial, dado de familiar, foto de documento ou qualquer conteúdo sensível.
• Não usar campo de cadastro para finalidade diferente da prevista, o que quebra a rastreabilidade e dificulta atender pedido de titular.
• Manter o cadastro atualizado e eliminar registro que não tenha mais finalidade.
• Avisar a IndustrialMais antes de iniciar qualquer tratamento de dado sensível ou de dado de criança e adolescente dentro do sistema, para avaliarmos juntos as medidas adicionais necessárias.

6. Sigilo e pessoas autorizadas

O acesso da nossa equipe à base do cliente segue quatro regras:

• Só quem precisa. Acesso concedido por perfil, no nível mínimo necessário para a função, sempre com usuário nominal. Não usamos login compartilhado para acessar base de cliente.
• Só por motivo legítimo. Implantação, migração de dados, atendimento de chamado aberto pela sua empresa, correção de erro, execução de rotina contratada ou cumprimento de obrigação legal.
• Sempre registrado. Quem acessou, quando e a que propósito ficam registrados e podem ser informados à sua empresa quando ela solicitar.
• Encerrado quando termina. O acesso é revogado no desligamento do colaborador ou no encerramento da atividade que o justificava.

Todo profissional da IndustrialMais, empregado ou terceiro, assume obrigação de confidencialidade por escrito. Essa obrigação permanece depois do fim do vínculo.

7. Segurança da informação

Aplicamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda, alteração e destruição indevida:

• Tráfego cifrado entre o dispositivo do usuário e o sistema (HTTPS/TLS).
• Senha armazenada com algoritmo de hash, nunca em texto legível. Nem a nossa equipe consegue ler a senha de um usuário.
• Controle de acesso por perfil e permissão, definido pela sua empresa dentro do próprio sistema.
• Trilha de auditoria das operações relevantes, com identificação de usuário e data e hora.
• Rotina de backup periódica, com teste de restauração.
• Ambientes separados para produção, homologação e desenvolvimento.
• Dados de produção não são usados em teste sem mascaramento ou autorização expressa da sua empresa.
• Aplicação de correção de segurança nos componentes de infraestrutura e nas bibliotecas do sistema.

Estas são as medidas vigentes na data desta versão. Podem ser substituídas por medidas equivalentes ou superiores, nunca inferiores.

Parte da segurança fica do lado da sua empresa e não conseguimos suprir por ela: definir corretamente o perfil de cada usuário, revogar o acesso de quem sai, evitar senha compartilhada, manter o dispositivo do time protegido e controlar quem exporta relatório com dado pessoal.

8. Suboperadores

Para operar o sistema, contratamos fornecedores que participam de parte do tratamento. Eles atuam como suboperadores, sob a nossa responsabilidade:

A relação nominal e atualizada dos suboperadores, com a identificação de cada empresa e a localização do tratamento, é fornecida à sua empresa mediante solicitação pelo canal do item 15, e também sempre que ela precisar responder a auditoria ou a questionário de segurança de um cliente dela.

Com cada um deles mantemos contrato que exige confidencialidade, tratamento restrito à finalidade contratada e medidas de segurança compatíveis com este termo.

Antes de incluir suboperador novo que trate dado pessoal do cliente, avisamos com 30 dias de antecedência pelo canal de relacionamento. A sua empresa pode se opor por motivo fundamentado de proteção de dados. Se não houver alternativa técnica viável, qualquer uma das partes pode encerrar o contrato sem multa em relação ao módulo afetado.

9. Transferência internacional

A nossa preferência é manter o tratamento em infraestrutura no Brasil. Quando algum suboperador tratar dados fora do país, exigimos garantia compatível com o artigo 33 da LGPD, por cláusula contratual específica ou por operação em país com nível de proteção adequado, e informamos essa situação na relação nominal de suboperadores.

10. Incidentes de segurança

Incidente de segurança é qualquer evento que possa gerar risco ou dano relevante ao titular: acesso não autorizado, vazamento, perda de dado, alteração indevida ou indisponibilidade que comprometa a integridade da base.

Se acontecer, a nossa obrigação é:

• Comunicar a sua empresa em até 48 horas depois de tomarmos conhecimento, pelo contato que ela indicar para esse fim.
• Informar, na medida do que já se souber: a natureza do incidente, quais dados e quais categorias de titulares foram afetados, o número aproximado de registros, as medidas técnicas de proteção que estavam em uso, o risco envolvido e o que já foi feito para conter e reverter.
• Conter o incidente, preservar evidência e enviar atualização até o encerramento da investigação.
• Apoiar a sua empresa na comunicação à ANPD e aos titulares, com as informações que só nós temos.

A decisão de comunicar a ANPD e os titulares é da sua empresa, porque essa obrigação é do controlador. Nós não fazemos essa comunicação em nome dela, salvo se ela pedir por escrito.

11. Direitos dos titulares

Quem tem dado pessoal no sistema pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento, nos termos do artigo 18 da LGPD.

Esse pedido deve ser feito à sua empresa, que é a controladora e conhece a finalidade de cada cadastro. Se o titular procurar a IndustrialMais diretamente, nós não respondemos o mérito: encaminhamos o pedido para a sua empresa em até 5 dias úteis e avisamos o titular de que o pedido foi redirecionado.

Para que a sua empresa consiga atender esses pedidos, o sistema oferece recurso de consulta, correção, exportação e exclusão de cadastro nas próprias telas. Quando o pedido exigir operação que não existe em tela, atendemos por chamado em até 10 dias úteis, sem custo adicional, dentro do que for tecnicamente possível.

Há pedidos de eliminação que não podemos executar por completo: registro exigido por obrigação fiscal, contábil ou tributária, e dado necessário para defesa em processo. Nesses casos, informamos a base legal que sustenta a manutenção.

12. Comprovação e auditoria

A sua empresa precisa conseguir demonstrar conformidade à ANPD e aos próprios clientes. Para isso:

• Respondemos questionário de segurança e de proteção de dados enviado pela sua empresa ou pelo cliente dela, dentro de prazo razoável.
• Fornecemos as informações sobre o tratamento que estão sob o nosso controle, para compor o relatório de impacto e o registro de operações da sua empresa.
• Aceitamos auditoria, presencial ou remota, mediante aviso de 30 dias, em horário comercial, limitada a uma vez por ano (salvo em caso de incidente confirmado), sob acordo de confidencialidade, custeada pela sua empresa e sem acesso a dado de outros clientes nem a informação que comprometa a segurança do ambiente compartilhado.

13. Retenção, devolução e eliminação

• Durante o contrato: os dados ficam disponíveis enquanto a sua empresa quiser, com backup dentro do ciclo de retenção vigente.
• Ao encerrar o contrato: a sua empresa tem 30 dias corridos de acesso para exportar a base em formato de uso comum. Se pedir apoio nessa extração, atendemos como serviço.
• Eliminação: encerrado esse prazo, a base de produção é eliminada ou anonimizada em até 90 dias. Os backups que ainda contiverem a base expiram no ciclo normal de retenção, em até 12 meses, sem novo uso.
• Exceções: mantemos apenas o que a lei obrigar (documento fiscal e contábil) e o que for necessário para defesa em processo, sempre com acesso restrito e sem uso para outra finalidade.
• Registro de acesso: guardamos os registros técnicos de acesso ao sistema pelo prazo mínimo de 6 meses exigido pelo Marco Civil da Internet (Lei nº 12.965/2014).

A sua empresa pode pedir, por escrito, declaração de eliminação depois de cumpridos esses prazos.

14. Responsabilidades de cada parte

A sua empresa responde por: escolher a base legal de cada tratamento, informar os titulares, garantir que os dados inseridos são exatos e necessários, cadastrar e revogar usuários, definir perfil de acesso, orientar a equipe sobre uso correto dos campos e responder aos pedidos de titular.

A IndustrialMais responde por: tratar os dados apenas conforme este termo e as instruções da sua empresa, manter as medidas de segurança do item 7, controlar os suboperadores do item 8, comunicar incidente no prazo do item 10 e apoiar a sua empresa nas obrigações que dependem de informação nossa.

A responsabilidade de cada parte segue os artigos 42 a 45 da LGPD. Se a IndustrialMais deixar de cumprir a instrução lícita da sua empresa ou este termo, responde pelo dano na medida da sua conduta. Nenhuma das partes responde por dano causado exclusivamente pela outra ou pelo próprio titular.

15. Encarregado e canal de contato

Assuntos de proteção de dados relacionados aos sistemas contratados devem ser tratados pelo canal abaixo. Ele atende pedido de titular encaminhado pela sua empresa, questionário de segurança, comunicação de incidente e dúvida sobre este termo.

16. Alterações, vigência e lei aplicável

A versão vigente deste termo é sempre a publicada nesta página. Quando houver mudança relevante, avisamos com 30 dias de antecedência por e-mail ao contato do contrato ou por aviso dentro do sistema. Ajuste de redação e correção que não altere obrigação entram em vigor na publicação.

O termo vigora enquanto existir contrato ativo com a sua empresa. As obrigações de sigilo, de eliminação e de responsabilidade sobrevivem ao encerramento, pelo prazo necessário ao seu cumprimento.

Aplicam-se a Lei nº 13.709/2018 (LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet), o Código Civil e a legislação brasileira. Fica eleito o foro previsto no contrato de licenciamento para resolver o que não for resolvido entre as partes.

Versão 1.0 Vigente desde 18 de agosto de 2026 Documento público: industrialmais.com.br/termo-lgpd