Instrumentos Operacionais Complementares

# Instrumentos Operacionais Complementares — Eco Tech Financial OS Versão 3.0 — vigência a partir da publicação canônica desta versão. ## 1. Finalidade Este instrumento consolida regras operacionais mínimas de proteção de dados para clientes, parceiros indicadores, agentes financeiros, fornecedores e administradores. Contratos e anexos específicos prevalecem quando estabelecerem controles adicionais. ## 2. Matriz de papéis Cada fluxo de tratamento ou compartilhamento deve identificar controlador, operador, eventual controladoria conjunta, titular, destinatários e suboperadores. Nenhuma parte será classificada genericamente para todos os fluxos. As instruções, finalidades e responsabilidades devem ser registradas por fluxo, com a operação relacionada quando houver. ## 3. Necessidade e menor privilégio O acesso é limitado ao necessário para função, cliente, produto, finalidade e etapa. Parceiros acessam somente carteiras e operações atribuídas; esse vínculo não substitui a autorização específica para conteúdo próprio compartilhado. Agentes financeiros e parceiros indicadores consultam somente as categorias e permissões escolhidas pelo cliente, durante o prazo autorizado. Documentos sensíveis mantêm seus requisitos próprios e devem ser disponibilizados em ambiente controlado, com permissão, expiração e registro de visualização ou download. ## 4. Compartilhamento e Data Room Todo compartilhamento deve identificar cliente ou titular, operação relacionada quando houver, destinatário específico e seu tipo, finalidade, base legal, dados, documentos ou categorias, autor, data, expiração e permissões independentes de download e análises derivadas. O cliente pode autorizar espontaneamente ou decidir sobre uma solicitação do destinatário; a solicitação não libera acesso. O destinatário não pode reutilizar os dados para finalidade incompatível, repassar a terceiros não autorizados ou manter cópias além do prazo aplicável. Uma mudança de destinatário, finalidade, categoria ou permissão exige nova autorização expressa, sem ampliar autorizações anteriores. ## 5. Fornecedores e suboperadores Fornecedores devem ser inventariados com serviço, dados tratados, país, local de processamento, papel, suboperadores, DPA, avaliação e status. Incidentes, solicitações de titulares e mudanças relevantes devem ser comunicados à Eco Tech nos prazos contratuais. ## 6. Segurança Aplicam-se segregação por tenant, menor privilégio, autenticação reforçada para perfis privilegiados, criptografia em trânsito e repouso quando suportada, URLs temporárias, logs, backups, versionamento, análise de arquivos e resposta a incidentes. Credenciais e chaves não podem ser compartilhadas ou armazenadas em código-fonte. ## 7. Retenção e término Cada categoria deve possuir finalidade, prazo, fundamento e destino. Encerrada a finalidade, os dados serão eliminados, anonimizados, bloqueados ou arquivados quando uma obrigação ou defesa de direito justificar conservação. ## 8. IA e automação Modelos recebem somente dados necessários, preferencialmente mascarados ou tokenizados. Devem ser registrados modelo, versão, categorias de entrada, fatores relevantes, resultado, necessidade de revisão humana e responsável pela revisão. Documentos completos não devem constar de logs ou prompts sem necessidade comprovada. A permissão de análises derivadas no compartilhamento é uma escolha separada do cliente para as categorias e a finalidade aceitas; não autoriza treinamento externo, nova finalidade, decisão financeira automática nem envio automático a provedor. ## 9. Incidentes e auditoria Eventos relevantes devem ser registrados de forma não alterável pelo usuário comum. Incidentes seguem detecção, contenção, avaliação de impacto, decisão de comunicação, remediação e relatório final, com preservação pelo prazo regulamentar aplicável. ## 10. Aceite e atualização Clientes e parceiros devem cumprir este instrumento e seus anexos específicos. Alterações relevantes serão versionadas e comunicadas. Dúvidas: compliance@ecotechsolucoes.com; privacidade: privacidade@ecotechsolucoes.com; segurança: suporte@ecotechsolucoes.com. ## 11. Destinatários: critérios e conteúdo autorizado O financiador usa os valores do cadastro vistos nos critérios apenas para analisar o crédito nos próprios produtos. É proibido reutilizar esses dados para outra finalidade, formar base própria fora da análise ou repassá-los a terceiros. As consultas são registradas. No compartilhamento específico do conteúdo próprio, o agente financeiro ou parceiro indicador utiliza somente as categorias autorizadas, para a finalidade determinada e durante o prazo aceito. Registros atuais, atualizações e novos registros e versões dessas mesmas categorias podem ser consultados nesse prazo. Download e análises derivadas são escolhas independentes, inicialmente desmarcadas. A seleção de todas as categorias não libera essas permissões nem dados independentes de outros titulares ou dossiês de outras empresas. A revogação gratuita ou o vencimento encerra novas consultas e downloads dependentes da autorização. Cópias já legitimamente baixadas não são recolhidas automaticamente; seu uso, eliminação, bloqueio ou conservação observam o fundamento próprio aplicável, sem retenção indefinida concedida pelo consentimento. A evidência e as versões anteriores são preservadas. O aceite geral do cadastro, o vínculo de carteira e o consentimento de marketing não substituem a autorização específica. O compartilhamento não aciona automaticamente consulta ou transmissão a fornecedores externos. ## 12. Integrações por API e webhooks O cliente integrador deve guardar chaves e segredos em cofre próprio, nunca em código-fonte; usar só destinos HTTPS sob seu controle; validar a assinatura e o horário de cada webhook; tratar entregas repetidas pelo identificador do evento; e comunicar à Eco Tech qualquer suspeita de vazamento de chave, que será revogada. ## 13. Parceiro Indicador com White Label O indicador com White Label usa a plataforma da Eco Tech com a própria marca. Ele não altera controles de segurança, permissões nem textos de privacidade, acessa apenas a própria carteira e comunica à Eco Tech solicitações de titulares e incidentes que receber. Os papéis de cada parte seguem a seção 2, definidos por fluxo.