Política de privacidade do TAGY System

1. Quem é responsável pelos seus dados

A TAGY ([RAZÃO SOCIAL], CNPJ [●], [ENDEREÇO]) atua em dois papéis previstos na Lei 13.709/2018 (LGPD):

Quando a TAGY é operadora, as decisões sobre os seus dados (o que é coletado, por quanto tempo fica, quem vê) são da organização que lhe deu acesso. Por isso, pedidos sobre esses dados devem ser feitos a ela; a TAGY a ajuda a respondê-los.

2. Quais dados, para quê e com qual base legal

O Sistema não foi feito para dados pessoais sensíveis (saúde, biometria, religião etc.) e não os pede.

Nas linhas em que a TAGY é operadora (seção 1), a base legal é definida pelo controlador; a coluna indica a base usual.

A TAGY não usa os dados para publicidade, não os vende, não cria perfis de comportamento e não os usa para treinar modelos de inteligência artificial. O Sistema não toma decisões automatizadas sobre pessoas: as travas automáticas (prazos, requisitos) incidem sobre processos, e as decisões de certificação são de profissionais do OCP.

3. Cookies e registros de acesso

Um único cookie, o da sessão. O Sistema usa o cookie tagy_session para manter você conectado depois do login. Ele é estritamente necessário, inacessível a scripts da página, enviado só por conexão segura e apagado ao sair ou ao expirar a sessão. Por ser necessário ao funcionamento, não depende de consentimento.

O Sistema não usa cookies de publicidade, de análise de navegação ou de terceiros, nem pixels de rastreamento.

Registros de acesso. Como provedora de aplicação, a TAGY guarda os registros de acesso (endereço IP, data e hora) por no mínimo 6 meses, conforme o Marco Civil da Internet (Lei 12.965/2014, art. 15), e só os fornece por ordem judicial. As sessões registram também o navegador usado, para que o administrador da organização identifique acessos estranhos.

4. Com quem os dados são compartilhados

Dentro do Sistema, cada pessoa vê apenas o que o seu perfil permite. Os dados de uma organização ficam isolados das demais no banco de dados. Um cliente de OCP vê apenas os próprios processos.

Suboperadores que a TAGY contrata para operar o Sistema:

Transferência internacional. Para enviar um e-mail, a Brevo recebe o nome e o e-mail do destinatário e o texto do aviso. A transferência é amparada [nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024)]. Os documentos e os demais dados do Sistema não saem do Brasil.

Autoridades. A TAGY fornece dados a autoridades apenas por obrigação legal ou ordem judicial e, quando permitido, avisa a organização controladora. Comunicações ao Inmetro (Dconf, ProdCert) são feitas pelo OCP, não pela TAGY.

Operações societárias. Em fusão, aquisição ou venda da operação, os dados podem ser transferidos ao sucessor, que fica obrigado a esta Política e aos contratos vigentes.

5. Por quanto tempo os dados ficam guardados

Depois do fim do contrato, a guarda dos registros de certificação pelo prazo regulatório passa a ser feita pela própria organização, a partir da exportação completa que ela gera no Sistema.

6. Segurança e incidentes

Medidas em uso no Sistema:

• conexão sempre cifrada (HTTPS);
• dados de cada organização isolados no banco, com testes automáticos a cada mudança do Sistema;
• senhas guardadas apenas como hash (Argon2id) e segundo fator (MFA) disponível para todos;
• bloqueio da conta após tentativas inválidas e limite de tentativas por endereço de rede;
• arquivos conferidos no envio, guardados sem possibilidade de alteração e com impressão digital (SHA-256);
• trilha de auditoria encadeada, que revela qualquer alteração;
• backup diário com cópia externa cifrada e ensaios periódicos de restauração;
• acesso da equipe da TAGY aos dados limitado ao necessário para suporte e segurança.

Incidentes. Se um incidente de segurança puder afetar dados pessoais, a TAGY avisa a organização controladora em até 48 horas da ciência, para que ela comunique a ANPD e os titulares quando necessário. Quando a TAGY é controladora, ela mesma faz essas comunicações no prazo da regulamentação da ANPD.

Nenhum sistema é totalmente invulnerável. Encontrou uma falha? Escreva para [E-MAIL DE SEGURANÇA].

7. Seus direitos e como falar conosco

A LGPD (art. 18) garante: confirmação de que há tratamento; acesso aos dados; correção de dados incompletos ou errados; anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; portabilidade; informação sobre com quem os dados são compartilhados; e revisão de decisões automatizadas.

Como pedir:

1. Dados de um OCP ou fornecedor (processos, documentos, contatos): fale com a organização que lhe deu acesso, que é a controladora. Se o pedido chegar à TAGY, ela o encaminha à organização e a ajuda a responder.
2. Dados em que a TAGY é controladora (cadastro comercial, cobrança, suporte): escreva ao encarregado da TAGY. Respondemos em até 15 dias.

Alguns pedidos têm limites legais. Por exemplo, a eliminação de um registro de certificação não é possível enquanto a lei e as normas exigirem sua guarda (LGPD, art. 16, I). Nesse caso, explicamos o motivo.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Encarregado pelo tratamento de dados (DPO) da TAGY: [NOME], [E-MAIL DO ENCARREGADO].

Alterações. Esta Política pode mudar, por exemplo ao trocar um suboperador. A versão vigente fica sempre nesta página, com a data, e mudanças relevantes são avisadas no Sistema.