Esta Política de Privacidade explica quais dados pessoais são tratados no XSE Global Trade, para quê, com quem são compartilhados, por quanto tempo ficam guardados e como os titulares exercem os seus direitos. Ela segue a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e as resoluções da Autoridade Nacional de Proteção de Dados (ANPD).
1. Quem trata os dados
- Controladora: a empresa contratante, identificada no contrato comercial. É a empresa que usa o XSE Global Trade para controlar as suas importações, decide quais dados entram nele e para quê, e responde aos pedidos dos titulares.
- Operadora: XSE Systems, que desenvolve e licencia o XSE Global Trade. Trata dados em nome da controladora só quando presta suporte, manutenção e implantação ou guarda as cópias de segurança contratadas, conforme as instruções da controladora e o contrato (art. 39 da LGPD).
- Encarregado pelo tratamento de dados pessoais da controladora: a ser indicado pela controladora — enquanto isso, procure o administrador do sistema.
O XSE Global Trade funciona nos servidores da controladora ou em servidores contratados por ela. No uso normal, nenhum dado do sistema é enviado automaticamente à operadora.
2. Dados tratados
Das pessoas que usam o sistema (usuários)
- Identificação e contato: nome, login, e-mail, WhatsApp (opcional), perfis de acesso e gestor.
- Senha: guardada só como resumo criptográfico irreversível (hash); ninguém consegue lê-la, nem o administrador.
- Registros de acesso e uso: data e hora de entrada, endereço IP, navegador, as ações feitas no sistema (auditoria) e os aceites destes documentos.
- Preferências e treinamento: tema, menu e o progresso nos vídeos de treinamento.
De fornecedores, prestadores e contatos da controladora (cadastrados na tela, vindos do ERP pelo Gateway XSE Global Trade ou de planilhas)
- Cadastro: nome ou razão social, CNPJ ou identificação fiscal estrangeira, endereço, país, e os nomes, cargos, e-mails, telefones e WhatsApp dos contatos de fornecedores, agentes de carga, despachantes, corretoras de câmbio e transportadoras.
- Processos de importação: pedidos e ordens de compra, faturas e listas de embarque (PI, CI, PL), conhecimentos de embarque, declarações de importação (DUIMP), câmbio, custos, prazos e o histórico de cada etapa.
- Documentos anexados aos processos e aos desenvolvimentos de produto, que podem trazer nomes e assinaturas de pessoas.
- Comunicação: e-mails e mensagens de WhatsApp preparados e enviados pelo sistema, com destinatários, anexos e data.
O XSE Global Trade não foi feito para dados pessoais sensíveis (como saúde, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, dados genéticos ou biométricos) nem para dados de crianças e adolescentes: eles não devem ser cadastrados, anexados nem importados.
3. Finalidades e bases legais
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Dar acesso ao sistema, autenticar e controlar perfis e permissões | Dados dos usuários | Execução de contrato e legítimo interesse da controladora (art. 7º, V e IX) |
| Segurança, prevenção de fraudes e auditoria das ações | Registros de acesso e uso | Legítimo interesse, cumprimento de obrigação legal e exercício regular de direitos (art. 7º, IX, II e VI) |
| Controlar processos de importação, documentos, custos, câmbio, prazos e o desenvolvimento de produtos | Dados de fornecedores, prestadores, contatos e dos processos | Execução de contrato, cumprimento de obrigação legal ou regulatória (tributária, aduaneira e cambial) e legítimo interesse (art. 7º, V, II e IX) |
| Comunicar-se com fornecedores, prestadores e a equipe por e-mail e WhatsApp | Contatos, mensagens e anexos | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Receber dados do ERP pelo Gateway XSE Global Trade e de planilhas | Os dados de cada cadastro e documento | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Suporte, manutenção, atualizações e cópias de segurança | Os dados necessários a cada atendimento | Execução do contrato entre controladora e operadora e legítimo interesse (art. 7º, V e IX) |
| Registrar a ciência e o aceite destes documentos | Usuário, versão, data, hora, IP e navegador | Cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI) |
Quando o tratamento se baseia no legítimo interesse, a controladora considera as legítimas expectativas dos titulares e os seus direitos e liberdades fundamentais (art. 10 da LGPD), e o titular pode se opor pelo canal do encarregado. A ciência desta Política não é o consentimento do art. 7º, I: as bases legais de cada tratamento são as indicadas acima.
4. Cálculos automáticos e revisão por uma pessoa
O XSE Global Trade calcula custos de importação, tributos, câmbio, preços de venda sugeridos, prazos e sugestões de compra a partir dos dados e das regras cadastrados pela controladora. Esses resultados são apoio à decisão: compras, preços e prazos são definidos e aprovados por pessoas da controladora. Se o titular entender que uma decisão que afeta os seus interesses foi tomada unicamente com base em tratamento automatizado, pode pedir a revisão e informações sobre os critérios usados (art. 20 da LGPD), respeitados os segredos comercial e industrial.
5. Compartilhamento
Os dados só são compartilhados na medida do necessário:
- Operadora (XSE Systems): para suporte, manutenção e cópias de segurança, sob contrato e dever de sigilo. As cópias de segurança enviadas à operadora são cifradas (AES-256) antes de sair do servidor.
- Fornecedores e prestadores da controladora (fornecedores no Brasil e no exterior, agentes de carga, despachantes, corretoras de câmbio, transportadoras e bancos): o que cada etapa da importação precisa, enviado pelos usuários por e-mail, WhatsApp ou documentos.
- Serviços de comunicação escolhidos pela controladora: o servidor de e-mail e o WhatsApp (a API oficial da Meta ou o WhatsApp aberto pelo próprio usuário), só com o necessário para entregar cada mensagem.
- Sistemas da própria controladora (como o ERP), pelo Gateway XSE Global Trade e pelas integrações configuradas pelo administrador.
- Autoridades públicas (como a Receita Federal e o Banco Central), quando houver obrigação legal ou regulatória ou ordem judicial.
Os dados não são vendidos, alugados nem usados para publicidade de terceiros.
6. Transferência internacional
A importação envolve, por natureza, a comunicação com fornecedores, agentes e prestadores fora do Brasil. Essas transferências são feitas quando necessárias à execução dos contratos de compra, transporte e câmbio (art. 33, IX, combinado com o art. 7º, V, da LGPD). Alguns provedores escolhidos pela controladora (como os de e-mail e de WhatsApp) também podem tratar dados fora do Brasil; essas transferências seguem o art. 33 da LGPD e o Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024), com países de nível adequado de proteção ou com as cláusulas-padrão contratuais aprovadas pela ANPD (ou outro mecanismo previsto na lei) nos contratos com os provedores.
7. Por quanto tempo os dados ficam guardados
- Usuários: enquanto a pessoa tiver acesso. Quando ela deixa de precisar dele, o acesso é desativado e o cadastro fica, sem acesso, para manter o registro de quem fez o quê, pelo prazo necessário ao exercício regular de direitos.
- Registros de auditoria: pelo prazo definido pela controladora, nunca menos de seis meses para os registros de acesso (art. 15 do Marco Civil da Internet).
- Processos de importação, documentos fiscais, aduaneiros e de câmbio: pelo prazo exigido pela legislação tributária, aduaneira e cambial e, depois, pelo necessário ao exercício regular de direitos.
- Aceites destes documentos: enquanto durar a licença e, depois, pelo prazo de prescrição aplicável.
- Cópias de segurança: conforme a rotina de backup contratada.
Terminado o tratamento ou o contrato, os dados são eliminados ou anonimizados, salvo as hipóteses de guarda do art. 16 da LGPD (como o cumprimento de obrigação legal e o exercício regular de direitos). A controladora pode exportar os seus dados antes do encerramento.
8. Segurança
Medidas técnicas e administrativas adotadas no XSE Global Trade (art. 46 da LGPD):
- conexão cifrada (HTTPS) e senhas guardadas com hash forte, com bloqueio por tentativas erradas;
- perfis de acesso e permissões conferidos no servidor a cada operação; anexos abertos só com login e com a permissão do processo;
- senhas e chaves de integração (servidor de e-mail, WhatsApp, token do gateway) guardadas cifradas, sem voltar para a tela; o gateway lê o ERP só para leitura e envia os dados por HTTPS;
- auditoria das alterações e dos eventos de segurança, aviso de acessos negados e cópias de segurança com acesso restrito.
Nenhum sistema é totalmente imune a falhas. Cada usuário também protege os dados: senha só sua, sessão encerrada ao sair e aviso imediato ao administrador em caso de suspeita.
9. Incidentes de segurança
Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, a controladora comunica a ANPD e os titulares afetados, nos termos do art. 48 da LGPD e do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), em regra em até três dias úteis do conhecimento. A operadora avisa a controladora sem demora assim que souber de um incidente que envolva o XSE Global Trade, e os usuários avisam o administrador.
10. Direitos dos titulares
O titular pode pedir à controladora, a qualquer momento e sem custo (art. 18 da LGPD):
- confirmação de que há tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- portabilidade dos dados, conforme a regulamentação da ANPD;
- eliminação dos dados tratados com consentimento, salvo as hipóteses de guarda da lei;
- informação sobre com quem os dados foram compartilhados;
- informação sobre a possibilidade de não consentir e as consequências da negativa;
- revogação do consentimento e oposição a tratamento feito em desacordo com a lei;
- revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).
Os pedidos são feitos pelo canal do encarregado (a ser indicado pela controladora — enquanto isso, procure o administrador do sistema). A confirmação e o acesso em formato simplificado são atendidos de imediato; a declaração completa, em até 15 dias (art. 19 da LGPD). O titular também pode peticionar à ANPD (www.gov.br/anpd).
11. Cookies e armazenamento no navegador
O XSE Global Trade usa só cookies essenciais ao funcionamento: o da sessão (mantém o usuário conectado) e o de proteção contra requisições forjadas (CSRF). O navegador também guarda preferências de tela. Não há cookies de publicidade, de rastreamento ou de terceiros.
12. Compromissos de quem usa o sistema
- Usar os dados só para as atividades de trabalho e dentro do perfil de acesso recebido.
- Não compartilhar login e senha, não exportar nem copiar dados pessoais além do necessário e guardar com segurança os arquivos baixados.
- Não cadastrar nem anexar dados pessoais sensíveis.
- Avisar o administrador imediatamente em caso de perda da senha, acesso indevido ou suspeita de incidente.
13. Alterações desta Política
Esta Política pode ser atualizada por mudanças na lei, no XSE Global Trade ou na forma de tratar os dados. Cada versão fica registrada com a data em que passou a valer; quando a mudança é relevante, o sistema pede uma nova ciência no próximo acesso.
14. Contato
Dúvidas e pedidos sobre dados pessoais: encarregado da controladora — a ser indicado pela controladora — enquanto isso, procure o administrador do sistema. Dúvidas sobre o funcionamento do XSE Global Trade: o administrador do sistema na empresa.