POLÍTICA DE PRIVACIDADE

VERDETHOS BRAZIL LTDA (“Verdethos”), pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 61.220.766/0001-76, com sede na R. Caldas Novas, 50 – Sala 85 – Bethaville I, Barueri – SP, 06404-301, disponibiliza uma plataforma SaaS multitenant. Em relação ao conteúdo fornecido pelos tenants e processado na plataforma, a Verdethos atua como Operadora e cada tenant atua como Controlador, definindo as finalidades e os meios do tratamento. A Verdethos atua como Controladora apenas em relação aos dados limitados de operação do serviço necessários à condução de nosso negócio (por exemplo, administração de contas, logs de autenticação e segurança, faturamento/cobrança e telemetria de site/aplicação, quando permitido por lei).

A Verdethos reconhece a importância da privacidade e da proteção de dados pessoais e adota todas as medidas necessárias para garantir o tratamento lícito, justo, transparente e seguro das informações, em conformidade com a Lei Brasileira nº 13.709/2018 (LGPD – Lei Geral de Proteção de Dados Pessoais) e demais regulamentações aplicáveis.

Esta Política de Privacidade (“Política”) tem por objetivo estabelecer e comunicar de forma clara aos nossos Tenants como suas informações e dados são coletados, utilizados, armazenados, tratados e protegidos no contexto do uso de nosso site, aplicativo móvel e plataforma.

Esta Política se estende ao tratamento de dados pessoais realizado por meio de nosso site, plataforma SaaS, aplicativo móvel, canais de atendimento ao cliente, redes sociais (como LinkedIn, Instagram e Facebook), ferramentas de comunicação (incluindo, mas não se limitando a, WhatsApp, Google Meet, Zoom e Microsoft Teams), bem como dados coletados por meio de serviços integrados e sistemas de terceiros, como WordPress Engine e HubSpot.

Reservamo-nos o direito de modificar esta Política de Privacidade a qualquer momento e sempre que necessário, a fim de cumprir atualizações legislativas e continuar oferecendo o mais alto nível de segurança e conveniência. Por isso, recomendamos que você revise esta Política periodicamente. Ao continuar acessando ou utilizando nossos serviços após a entrada em vigor de tais revisões, você concorda em se vincular aos termos revisados.

Em caso de dúvidas, você poderá sempre entrar em contato conosco por meio de nossos canais de suporte.

1. Glossário

“Verdethos” refere-se à Verdethos Brazil LTDA, responsável pelo desenvolvimento e pela operação da plataforma. A Verdethos atua como Operadora em relação ao conteúdo dos tenants e como Controladora apenas em relação aos dados de operação do serviço descritos nesta Política, bem como em relação a outras empresas do mesmo grupo responsáveis pelo desenvolvimento, operação e manutenção da plataforma Verdethos, a qual é dedicada à gestão e à rastreabilidade de cadeias de suprimentos sustentáveis, assim como à implementação e à supervisão das práticas de privacidade e segurança de dados descritas nesta Política.

“Tenant” refere-se a qualquer pessoa física ou representante de pessoa jurídica que acesse, utilize, interaja com ou forneça dados à Verdethos por meio de seus aplicativos, portais, APIs ou outros meios, incluindo produtores, exportadores, importadores, auditores, operadores logísticos, autoridades regulatórias e clientes corporativos.

“Política de Privacidade” refere-se a este documento, que estabelece as regras e os princípios aplicáveis à coleta, ao uso, ao armazenamento, ao compartilhamento e à proteção de dados pessoais no contexto das atividades da Verdethos, em conformidade com as leis de proteção de dados aplicáveis no Brasil e no exterior.

“Dados Pessoais” ou “Dados” referem-se a qualquer informação relacionada a uma pessoa natural identificada ou identificável, direta ou indiretamente.

“Dados Sensíveis” referem-se a categorias especiais de dados pessoais que revelem origem racial ou étnica, convicções religiosas, opiniões políticas, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos, os quais não são tratados pela Verdethos, exceto em situações estritamente necessárias e amparadas por uma base legal.

“Tratamento” refere-se a qualquer operação realizada com dados pessoais, incluindo, mas não se limitando a, coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência e extração de dados.

“Cookies” são pequenos arquivos de texto armazenados no dispositivo do Tenant, utilizados para coletar informações sobre preferências, navegação e desempenho da plataforma, permitindo a personalização da experiência do Tenant, a otimização do desempenho do sistema e a geração de métricas analíticas de uso.

“Plataforma” refere-se ao ambiente digital mantido pela Verdethos que possibilita a integração, a rastreabilidade e a automação das operações da cadeia de suprimentos, incluindo interfaces web, aplicativos móveis, APIs, dashboards e demais sistemas associados à prestação de seus serviços.

“Serviços” correspondem às funcionalidades e soluções tecnológicas oferecidas pela Verdethos aos seus Tenants, tais como rastreabilidade de produtos, publicação e consulta de dados ESG, automação de processos de importação e exportação, geração de relatórios e integração de informações entre as partes envolvidas nas transações.

“Conta” refere-se ao registro eletrônico individualizado criado pelo Tenant para acesso autenticado à plataforma Verdethos, permitindo a personalização de permissões, a visualização de dados, o histórico de transações e a gestão das preferências de privacidade e comunicação.

“Terceiros” referem-se a pessoas físicas ou jurídicas que não fazem parte da estrutura societária da Verdethos, mas que podem interagir com a plataforma ou receber dados pessoais em conexão com a prestação dos serviços, tais como fornecedores de tecnologia, empresas de armazenamento em nuvem, auditores independentes, importadores, parceiros comerciais e autoridades governamentais.

“Informações Confidenciais” referem-se a todas as informações técnicas, comerciais, estratégicas, operacionais, contratuais, financeiras ou quaisquer outras obtidas ou compartilhadas no contexto das atividades da Verdethos que não sejam públicas e cuja divulgação não autorizada possa comprometer os interesses legítimos da Verdethos, de seus Tenants ou parceiros. Tais informações devem ser tratadas de forma restrita, em conformidade com as políticas internas de segurança e confidencialidade.

2. Quais Dados e Informações Coletamos e Para Qual Finalidade?

Escopo dos papéis nesta seção. Em relação aos Dados Operacionais e da Cadeia de Suprimentos, a Verdethos atua como Operadora e cada tenant é o Controlador. Em relação aos itens de Conta/Uso/Segurança/Faturamento, a Verdethos atua como Controladora dos dados de operação do serviço.

A Verdethos coleta e trata dados pessoais em estrita conformidade com a Lei nº 13.709/2018 (LGPD – Lei Geral de Proteção de Dados Pessoais), o Regulamento Geral de Proteção de Dados da União Europeia (GDPR) e demais normas internacionais aplicáveis.

Todos os dados são tratados de forma confidencial, para finalidades legítimas, específicas e transparentes, e são utilizados exclusivamente para as finalidades descritas nesta Política ou mediante o consentimento expresso do titular dos dados.

Os dados são coletados tanto quando voluntariamente fornecidos pelo Tenant quanto automaticamente por meio da interação com nossas plataformas, sites, APIs e serviços integrados. Isso inclui informações coletadas por meio de nosso site e canais de redes sociais (como LinkedIn, Instagram e Facebook) para fins de desenvolvimento de negócios e geração de leads. Tais dados poderão ser compartilhados entre a Verdethos Inc. e a Verdethos Brazil e também poderão ser coletados ou rastreados por meio de aplicativos de terceiros, como WordPress Engine (site), HubSpot (CRM) e ferramentas de comunicação, incluindo WhatsApp, Google Meet, Zoom e Microsoft Teams.

Dados Coletados e Finalidades

Categoria de Dados	Descrição / Exemplos	Finalidade do Tratamento	Base Legal (LGPD)
Dados Pessoais de Cadastro	Nome completo, e-mail corporativo, número de telefone, empresa, cargo, país de atuação, idioma preferencial.	Identificar e autenticar o Tenant; possibilitar o cadastro e o acesso à plataforma Verdethos; permitir contato técnico ou comercial; enviar comunicações institucionais e de conformidade.	Execução de contrato (art. 7º, V); Consentimento (art. 7º, I).
Dados de Uso e Navegação	Endereço IP, logs de acesso e atividade, tipo e versão do navegador, sistema operacional, dados do dispositivo, cookies, geolocalização aproximada e comportamento de navegação.	Aprimorar a experiência do Tenant; personalizar conteúdo; garantir a segurança da sessão; realizar métricas de desempenho; prevenir fraudes e acessos não autorizados.	Legítimo interesse (art. 7º, IX); Consentimento quando envolver cookies não essenciais (art. 7º, I).
Dados Operacionais e da Cadeia de Suprimentos	Nome e dados de contato de produtores, operadores logísticos, motoristas, exportadores, importadores e responsáveis técnicos; informações contidas em documentos de embarque, faturas e certificados de origem.	Possibilitar funcionalidades e integrações da plataforma exclusivamente sob as instruções do tenant, incluindo rastreabilidade, gestão de documentos e fluxos de trabalho regulatórios; a Verdethos trata tais dados na qualidade de Operadora.	Tratamento sob as instruções do Controlador (tenant) e do contrato; Verdethos como Operadora. Os tenants determinam suas bases legais (por exemplo, art. 7º, II; V; IX).
Dados Financeiros e de Pagamento	Dados bancários, informações de faturamento, histórico de transações e registros contábeis vinculados à conta corporativa.	Processar pagamentos, emitir faturas e realizar repasses contratuais; cumprir obrigações financeiras e tributárias.	Cumprimento de obrigação legal (art. 7º, II); Execução de contrato (art. 7º, V).
Dados de Suporte e Comunicação	Mensagens enviadas por e-mail, chat, formulário de contato, API de suporte ou ferramenta de helpdesk.	Registrar solicitações de atendimento; prestar suporte técnico; aprimorar os serviços e a segurança da plataforma.	Execução de contrato (art. 7º, V); Legítimo interesse (art. 7º, IX).

Finalidades Secundárias e Uso Complementar

Em relação ao conteúdo dos tenants, qualquer uso secundário é determinado pelo tenant (Controlador); a Verdethos não reutiliza o conteúdo dos tenants além das instruções documentadas do tenant e do contrato.

A Verdethos poderá utilizar dados pessoais para finalidades compatíveis com os objetivos originais da coleta e dentro das legítimas expectativas do titular dos dados, tais como:

• Cumprimento de auditorias, investigações ou solicitações de autoridades competentes (nacionais ou estrangeiras);
• Geração de relatórios e indicadores de sustentabilidade (ESG);
• Aprimoramento das funcionalidades e da segurança da plataforma;
• Desenvolvimento de novas soluções e integrações regulatórias.

Qualquer tratamento que ultrapasse essas finalidades será realizado somente mediante o consentimento específico e informado do titular dos dados.

Transparência e Controle

As solicitações relacionadas ao conteúdo dos tenants devem ser direcionadas ao respectivo tenant (Controlador). A Verdethos apoiará a resposta do tenant de acordo com nosso contrato.

As solicitações relacionadas aos dados de operação do serviço da Verdethos podem ser enviadas para privacy@verdethos.io e serão respondidas dentro dos prazos exigidos por lei.

3. Como a Verdethos Utiliza Cookies

Ao acessar o site, o aplicativo ou qualquer ambiente digital mantido pela Verdethos, cookies e tecnologias similares (como web beacons, tags e armazenamento local) poderão ser utilizados para otimizar a navegação, garantir a segurança da sessão e proporcionar uma experiência personalizada e eficiente ao Tenant.

Cookies são pequenos arquivos de texto que contêm identificadores únicos e são armazenados no dispositivo do Tenant (computador, tablet, smartphone, etc.) ao acessar a Plataforma. Esses arquivos permitem que o sistema reconheça o Tenant, registre preferências e compreenda como os serviços são utilizados, contribuindo, assim, para o aprimoramento contínuo do desempenho e da usabilidade.

Tipos de Cookies Utilizados

A Verdethos poderá utilizar cookies necessários, funcionais, analíticos e de terceiros, conforme descrito a seguir:

Tipo de Cookie	Descrição	Finalidade
Cookies Estritamente Necessários	Garantem o funcionamento básico do site e a autenticação segura do Tenant. Incluem tokens de sessão (JWTs via AWS Cognito), controles de acesso (Controle de Acesso Baseado em Funções – RBAC) e logs de auditoria.	Garantir o funcionamento técnico da plataforma e a autenticação do Tenant. Base legal: legítimo interesse (art. 7º, IX, LGPD) e execução de contrato (art. 7º, V).
Base legal: legítimo interesse (art. 7º, IX, LGPD) e execução de contrato (art. 7º, V).
Cookies Funcionais ou de Preferência	Registram as escolhas do Tenant, como idioma, unidade de medida ou país de atuação, mantendo configurações personalizadas para futuras visitas.	Aprimorar a experiência do Tenant e facilitar interações recorrentes.
Base legal: consentimento (art. 7º, I, LGPD).
Cookies Analíticos e de Desempenho	Coletam informações sobre o uso da plataforma (páginas visitadas, tempo de permanência, erros de navegação) para análise estatística interna por meio de ferramentas seguras e auditáveis.	Apoiar o aprimoramento contínuo dos serviços e da experiência do Tenant.
Base legal: consentimento (art. 7º, I, LGPD).
Cookies de Terceiros (Integradores ou Provedores de Nuvem)	Definidos por parceiros de tecnologia que fornecem funcionalidades de hospedagem, segurança e autenticação, como AWS, CloudFront e reCAPTCHA. Esses cookies não permitem acesso direto a dados pessoais sem autorização.	Garantir segurança, desempenho e proteção contra fraudes.
Base legal: legítimo interesse (art. 7º, IX, LGPD).

Gestão e Controle pelo Tenant

O Tenant poderá gerenciar cookies não essenciais nas configurações de seu navegador/dispositivo e, quando disponível, por meio de controles dentro do próprio aplicativo. Quando exigido por lei, obtemos consentimento para cookies/SDKs não essenciais (por exemplo, os analíticos).

A Verdethos recomenda que o Tenant mantenha os cookies estritamente necessários habilitados, pois o bloqueio desses cookies pode comprometer funcionalidades essenciais, como login seguro, registro de sessão e acesso autenticado a dashboards e relatórios.

Compartilhamento e Retenção

Os logs técnicos de acesso (por exemplo, IP, UserID, TenantID, data e hora, tipo de evento) são retidos por pelo menos 6 meses, conforme exigido pela legislação brasileira, e poderão ser retidos por período mais longo quando necessário para cumprir obrigações legais ou para constituir, exercer ou defender direitos em processos judiciais ou administrativos.

Transparência e Consentimento

Detalhes sobre cookies não essenciais e suas finalidades estão disponíveis em nossa documentação. Você pode gerenciar o consentimento por meio das configurações do seu navegador ou dispositivo e, quando disponível, por meio de controles no aplicativo.

4. Em Quais Casos Compartilhamos Dados Pessoais?

O compartilhamento de dados pessoais poderá ocorrer somente nas circunstâncias descritas a seguir, devidamente amparado por uma base legal e sujeito a salvaguardas técnicas e contratuais apropriadas:

Cenários de Compartilhamento de Dados

 

a) Cumprimento de Obrigações Legais ou Regulatórias

A Verdethos poderá divulgar dados pessoais a autoridades públicas, órgãos reguladores e entidades de fiscalização, nacionais ou estrangeiros, quando necessário para:

• Cumprir obrigações legais, tributárias, regulatórias ou ambientais (por exemplo, EUDR – Regulamento Europeu contra o Desmatamento, Divulgação de Carbono Escopo 3 da SEC);
• Responder a solicitações formais, ordens judiciais ou determinações administrativas;
• Exercer ou defender direitos em processos judiciais, administrativos ou arbitrais.

Base legal: art. 7º, II, e art. 11, II, “a”, da LGPD.

b) Compartilhamento de Dados e Uso de Operadores

Na qualidade de Operadora em relação ao conteúdo dos tenants, a Verdethos contrata suboperadores, tais como provedores de hospedagem, autenticação, monitoramento e serviços correlatos, para operar a plataforma, mediante contratos que exigem salvaguardas apropriadas, obrigações de confidencialidade e medidas de segurança compatíveis com a LGPD.

Além disso, a plataforma poderá compartilhar dados com outros participantes da cadeia de suprimentos, como parceiros comerciais, exportadores, importadores e agentes a montante (incluindo fazendas e produtores). Tal compartilhamento ocorre exclusivamente sob as instruções do tenant, permanecendo o tenant como Controlador de todas essas atividades de tratamento.

Quando os participantes optarem por fornecer voluntariamente informações pessoais, narrativas, histórias de origem ou outros detalhes identificáveis, como nome, imagem ou informações sobre sua fazenda, para fins de storytelling, contextualização de produto ou engajamento de mercado, tal tratamento e divulgação ocorrerão somente mediante o consentimento livre, informado e inequívoco do titular dos dados, conforme exigido pela LGPD. O tenant, na qualidade de Controlador, é responsável por obter e registrar tal consentimento.

Base legal: art. 7º, V (execução de contrato), art. 8º (consentimento do titular, quando aplicável) e art. 39 (responsabilidade solidária) da LGPD.

c) Transferência Internacional de Dados Pessoais

A Verdethos opera globalmente, conectando exportadores, importadores e indústrias em múltiplos países. Por essa razão, determinados dados pessoais poderão ser transferidos internacionalmente, em conformidade com os artigos 33 a 36 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) e com o Regulamento de Transferência Internacional de Dados aprovado pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024.

I – Forma, Duração e Finalidade da Transferência

As transferências poderão ocorrer de forma contínua por meio da plataforma ou de integrações. Os prazos de retenção são definidos pelo Controlador competente e pela lei ou contrato aplicáveis.

II – Países de Destino

Os dados poderão ser transferidos a países onde estejam localizados importadores, processadores, indústrias ou os parceiros comerciais do exportador. Em todos os casos, a Verdethos assegurará que o país de destino proporcione um nível de proteção de dados pessoais reconhecido como adequado pela ANPD, ou que estejam vigentes cláusulas contratuais padrão ou outros mecanismos válidos de salvaguarda. As transferências baseiam-se em mecanismos permitidos pela LGPD (por exemplo, cláusulas contratuais padrão), com salvaguardas apropriadas.

III – Uso Compartilhado de Dados e Finalidades

Os dados poderão ser compartilhados com fornecedores de tecnologia, plataformas de nuvem (AWS, CloudFront), parceiros de autenticação e segurança (AWS Cognito, MFA), importadores, fabricantes, processadores e auditores independentes, sempre para as seguintes finalidades legítimas:

• cumprimento de obrigações legais ou regulatórias internacionais;
• viabilização da rastreabilidade e da verificação de origem;
• auditorias, certificações e comunicação segura entre as partes contratantes;
• hospedagem e processamento em nuvem, sem acesso não autorizado por terceiros.

IV – Responsabilidades e Medidas de Segurança

Tanto a Verdethos quanto todos os agentes envolvidos na transferência (controladores, operadores e
suboperadores) comprometem-se a:

• tratar os dados exclusivamente de acordo com as instruções documentadas da Verdethos;
• adotar medidas técnicas e organizacionais apropriadas (por exemplo, criptografia, controle de acesso, MFA, logs de segurança) e tratar os dados somente de acordo com instruções documentadas;
• não utilizar ou divulgar dados pessoais para suas próprias finalidades;
• assegurar a rastreabilidade e o monitoramento contínuo, com auditorias internas e externas regulares.

V – Segurança e Conformidade com os Princípios

Todas as transferências são realizadas de forma segura, rastreável e auditável, em conformidade com os princípios de limitação de finalidade, necessidade, transparência, segurança e responsabilização (accountability),
nos termos dos artigos 6º e 46 da LGPD e do artigo 2º da Resolução CD/ANPD nº 19/2024, assegurando um nível equivalente de proteção para os dados transferidos, independentemente do local de tratamento.

Base legal: arts. 33 (incisos I e II) e 34 da Lei nº 13.709/2018 (LGPD); arts. 9º e 15 a 21 da Resolução CD/ANPD nº 19/2024.

d) Operações Societárias

Em caso de fusão, aquisição, incorporação, cisão, venda de ativos ou reorganização societária, os dados pessoais poderão ser compartilhados estritamente para fins de avaliação e para assegurar a continuidade das atividades empresariais, desde que:

• o novo controlador mantenha o mesmo nível de proteção de dados;
• os titulares dos dados sejam informados sobre a transferência de controle, nos termos do artigo 20 da LGPD.

Base legal: art. 7º, inciso IX, da LGPD (legítimo interesse).

5. Quais São os Direitos dos Titulares de Dados Pessoais?

A Verdethos assegura que a todos os titulares de dados pessoais, sejam Tenants individuais, representantes de pessoas jurídicas, produtores, importadores ou operadores logísticos, seja garantido o pleno exercício de seus direitos, conforme previsto na Lei Geral de Proteção de Dados (LGPD) e nas regulamentações complementares emitidas pela Autoridade Nacional de Proteção de Dados (ANPD).

Esses direitos poderão ser exercidos a qualquer momento, de forma gratuita, transparente e segura, por meio de solicitação enviada ao nosso canal oficial de privacidade: privacy@verdethos.io.

Direitos Garantidos ao Titular

Direito	Descrição e Escopo
Confirmação e Acesso	Direito de obter confirmação sobre se a Verdethos trata seus dados pessoais e, em caso afirmativo, de acessar informações sobre a origem, a finalidade, os critérios de uso e as categorias de dados tratados.
Correção e Atualização	Direito de solicitar a correção de dados incompletos, inexatos ou desatualizados, assegurando a precisão e a confiabilidade das informações armazenadas.
Anonimização, Bloqueio ou Eliminação	Direito de solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, sujeito a exceções legais (por exemplo, cumprimento de obrigações legais, exercício de direitos em processos judiciais ou auditorias).
Portabilidade de Dados	Direito de solicitar a transferência de seus dados pessoais a outro fornecedor de serviço ou produto, mediante solicitação expressa e observada a proteção dos segredos comercial e industrial da Verdethos.
Eliminação de Dados Tratados com Consentimento	Direito de solicitar a eliminação de dados tratados com base no consentimento, exceto quando a retenção for exigida por lei.
Informação sobre Compartilhamento de Dados	Direito de ser informado sobre as entidades públicas ou privadas com as quais a Verdethos compartilha seus dados pessoais.
Revogação do Consentimento	Direito de revogar o consentimento anteriormente concedido a qualquer momento, de forma simples e gratuita, mediante solicitação expressa. A revogação não afeta o tratamento realizado anteriormente à solicitação.
Oposição ao Tratamento	Direito de se opor a tratamento realizado com base em uma das hipóteses legais que dispensam o consentimento (art. 7º, IX, LGPD), quando houver indícios de irregularidade ou incompatibilidade com a finalidade declarada.
Revisão de Decisões Automatizadas	Direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, tais como decisões relacionadas a elegibilidade, risco ou perfilamento.
Restrição do Tratamento	Direito de solicitar a restrição do tratamento quando a exatidão dos dados for contestada, quando o tratamento for ilícito ou desnecessário, ou quando houver oposição formal apresentada.

Princípios que Regem o Tratamento de Dados

A Verdethos assegura que todo o tratamento de dados pessoais cumpra os princípios fundamentais da LGPD, que orientam nossas operações tecnológicas, contratuais e de conformidade:

• Finalidade: tratamento para finalidades legítimas e específicas, claramente informadas ao titular dos dados;
• Adequação: compatibilidade do tratamento com a finalidade informada e com o contexto;
• Necessidade (Minimização de Dados): coleta limitada ao mínimo necessário para as finalidades operacionais;
• Transparência: acesso facilitado a informações sobre as práticas de tratamento e compartilhamento de dados;
• Segurança e Integridade: adoção de medidas técnicas e administrativas apropriadas (criptografia, RBAC, logs de segurança e autenticação multifator);
• Prevenção: ações proativas para mitigar riscos de segurança e incidentes de violação de dados;
• Responsabilização (Accountability): demonstração contínua de conformidade e de práticas de governança de dados;
• Exatidão: manutenção de dados corretos, atualizados e verificáveis;
• Limitação de Armazenamento: retenção apenas pelo período necessário às finalidades declaradas, em conformidade com as políticas internas de retenção e os requisitos legais (por exemplo, auditorias, relatórios ESG e EUDR).

Como Exercer Seus Direitos

Os titulares de dados poderão exercer seus direitos por meio de:

• Envio de solicitações relacionadas ao conteúdo dos tenants ao respectivo tenant (Controlador); a Verdethos apoia a resposta do tenant de acordo com nosso contrato e a legislação aplicável.
• Envio de solicitações relacionadas aos dados de operação do serviço da Verdethos para privacy@verdethos.io.
• Respondemos dentro dos prazos exigidos por lei. Poderemos verificar a identidade; solicitações apresentadas por representante autorizado exigem comprovação apropriada.

As solicitações serão tratadas pela Equipe de Privacidade e Conformidade da Verdethos, sob a supervisão do Encarregado pelo Tratamento de Dados (DPO). Comprovação adicional de identidade poderá ser exigida quando necessário para garantir a segurança do titular dos dados.

6. Quais Medidas de Segurança de Dados Adotamos?

A Verdethos aplica medidas administrativas, técnicas e organizacionais proporcionais ao risco para proteger os dados pessoais, incluindo criptografia em trânsito e em repouso quando apropriado, controles de acesso, monitoramento e resposta a incidentes.

Comprometemo-nos a aplicar medidas técnicas, administrativas e organizacionais para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência contínua das informações
sob nossa responsabilidade, em conformidade com os padrões da Lei nº 13.709/2018 (LGPD), as melhores práticas da ANPD e as normas ISO/IEC 27001, 27002 e 27701.

Arquitetura de Segurança e Controle de Acesso

A Verdethos utiliza infraestrutura de nuvem certificada (AWS Cloud) com múltiplas camadas de controle para
garantir que apenas Tenants devidamente autorizados tenham acesso aos dados e às funcionalidades da plataforma.
As principais medidas incluem:

• Controle de Acesso Baseado em Funções (RBAC): assegura que cada Tenant acesse apenas as informações e funcionalidades estritamente necessárias à sua função. Os perfis de acesso (por exemplo, Publisher, Receiver, Compliance, Finance) são atribuídos e periodicamente revisados pelos administradores de cada conta (tenant).
• Autenticação Segura e MFA (Autenticação Multifator): todos os acessos são validados por meio de tokens JWT (AWS Cognito), e a autenticação multifator é exigida para perfis sensíveis, reduzindo significativamente o risco de acesso não autorizado ou uso indevido de credenciais.

Proteção Criptográfica e Armazenamento Seguro

• Criptografia de Dados em Trânsito e em Repouso: todos os dados pessoais e documentos são protegidos por criptografia AES-256 durante o armazenamento e TLS 1.2+ durante a transmissão.
• Publicação e Compartilhamento Controlados: os documentos são compartilhados por meio de acesso de uso único.
• Armazenamento Seguro e Redundância: os dados são hospedados em servidores com alta disponibilidade e redundância geográfica, localizados no Brasil (São Paulo/SP), e poderão, quando necessário, ser replicados de forma segura para outros países, em conformidade com os requisitos de transferência internacional de dados da LGPD.

Auditoria, Monitoramento e Rastreabilidade

• Logs de Segurança e Trilhas de Auditoria: toda ação de visualização, download, publicação ou modificação de dados é registrada com UserID, TenantID, endereço IP, data e hora e tipo de evento, e armazenada em logs (PublicationAccessLog, InquiryAccessLog). Esses registros possibilitam a auditoria forense, a detecção de incidentes e a demonstração de conformidade regulatória (EUDR, SEC, LGPD).
• Monitoramento Contínuo e Alertas de Segurança: a Verdethos realiza detecção automatizada de anomalias, monitorando tentativas de acesso não autorizado e falhas de autenticação, com alertas em tempo real enviados à equipe de segurança.
• Auditorias e Avaliações Periódicas: auditorias internas e externas regulares são conduzidas com base nas políticas de governança de dados e no Plano de Resposta a Incidentes (IRP), assegurando a melhoria contínua do sistema de segurança.

Gestão de Incidentes e Notificação à ANPD

Em conformidade com o artigo 48 da LGPD, a Verdethos mantém um Plano de Resposta a Incidentes de Segurança (SIRP) que prevê:

• detecção e registro imediatos de incidentes de segurança;
• contenção, investigação e análise de causa raiz;
• caso um incidente afete o conteúdo dos tenants, a Verdethos notificará o tenant (Controlador) sem demora injustificada e apoiará quaisquer notificações que o tenant deva realizar nos termos da LGPD/ANPD. Caso um incidente envolva os dados de operação do serviço da Verdethos (como Controladora), a Verdethos notificará conforme exigido pela LGPD/ANPD.

Todos os incidentes serão documentados e tratados de forma transparente, com registros das ações corretivas e preventivas.

Cultura de Privacidade e Conformidade

A Verdethos mantém um programa interno de conscientização e treinamento contínuo para colaboradores, prestadores de serviços e parceiros, promovendo o uso ético e seguro das informações.

Todos os contratos celebrados com terceiros incluem cláusulas específicas de proteção de dados, confidencialidade e segurança da informação, em conformidade com o artigo 46, §2º, da LGPD.

Contato e Suporte

Em caso de dúvidas sobre as práticas de segurança de dados da Verdethos ou caso deseje exercer qualquer um de seus direitos como titular de dados, entre em contato com nosso Encarregado pelo Tratamento de Dados
(DPO): privacy@verdethos.io.

A Verdethos permanece à disposição para prestar esclarecimentos, receber solicitações e assegurar a transparência em todas as etapas do tratamento de dados pessoais.

 

 

 

Última atualização: 12 de dezembro de 2025.