01 Quem somos

Esta Política de Privacidade aplica-se aos dados pessoais coletados pela EDMA Group (”EDMA”, ”nós”) por meio do aplicativo TradeOS, do Trade Marketplace, de nossos sites edma.trade e edma.co e dos serviços relacionados.

Para a maioria dos tratamentos descritos nesta política, a EDMA é a controladora. Quando a EDMA trata dados pessoais em nome de um Cliente que utiliza o TradeOS (por exemplo, dados sobre seus próprios funcionários, fornecedores, clientes ou financiadores), a EDMA atua como operadora e o Cliente é o controlador. Os termos do Acordo de Processamento de Dados regem as relações de operação.

Nossa sede registrada e os dados de contato para assuntos de privacidade estão no final desta página.

02 O que coletamos

Coletamos dados pessoais nas seguintes categorias.

Dados de conta e identidade

nome, e-mail, cargo, organização, país
credenciais de acesso (as senhas são armazenadas em hash; não armazenamos senhas em texto claro)
imagem de perfil, se enviada

Dados de uso e técnicos

endereço IP, string user-agent, tipo de dispositivo, idioma do navegador, fuso horário
páginas visitadas, funcionalidades utilizadas, ações dentro do produto, registros de data e hora
logs de erro e relatórios de falha
metadados de requisições API (endpoints, códigos de status, latência)

Dados empresariais e comerciais

registros operacionais inseridos pelo Cliente no TradeOS, que podem incluir dados pessoais de funcionários, fornecedores, clientes e financiadores do Cliente (controlados pelo Cliente; processados por nós)
metadados de comunicação (remetente, destinatário, registro de data e hora, canal) referentes a mensagens trocadas pelos portais TradeOS
uploads de documentos e seus metadados

Marketing e correspondência

mensagens enviadas pelos nossos formulários de contato (edma.trade/contact)
status de assinatura do boletim informativo para operadores
inscrições em eventos de marketing e agendamentos de demonstração

Cookies e tecnologias similares

Consulte a Política de Cookies para ver os cookies que utilizamos, suas finalidades e como gerenciá-los.

03 Como utilizamos os dados pessoais

Utilizamos dados pessoais para:

Fornecer o Serviço — autenticar usuários, entregar os dados corretos ao tenant correto, encaminhar Documentos e notificações entre contrapartes, calcular cascatas de liquidação e operar o Trade Marketplace.
Aprimorar o Serviço — analisar padrões de uso agregados, identificar falhas, priorizar funcionalidades e treinar modelos de IA internos exclusivamente com dados agregados e anonimizados (não treinamos provedores externos de IA com Dados do Cliente; ver §5).
Proteger o Serviço — detectar e prevenir abusos, fraudes, violações de sanções, malware, scraping e acessos não autorizados; investigar incidentes.
Responder a consultas e fornecer suporte — responder a mensagens enviadas por formulários de contato ou para [email protected]; encaminhar consultas à equipe interna responsável.
Enviar comunicações operacionais e de marketing — avisos de serviço, avisos de segurança, avisos de cobrança e (com consentimento ou onde permitido por lei) a newsletter de briefing para operadores.
Cumprir obrigações legais — atender a obrigações fiscais, contábeis, de sanções, de prevenção à lavagem de dinheiro e de proteção de dados; responder a solicitações legítimas de autoridades.

04 Bases legais (GDPR)

Quando o GDPR se aplica, nosso tratamento se baseia em uma ou mais das seguintes bases:

Execução de contrato — para fornecer o Serviço ao qual o Cliente se inscreveu e para operar o Marketplace.
Interesse legítimo — para proteger o Serviço, prevenir fraudes e abusos, aprimorar o produto e conduzir operações comerciais. Equilibramos nossos interesses com seus direitos e liberdades.
Consentimento — para cookies não essenciais, comunicações de marketing às quais você opta e qualquer outro tratamento para o qual o consentimento seja a base adequada. Você pode retirar o consentimento a qualquer momento.
Obrigação legal — para cumprir a legislação fiscal, contábil, de sanções, AML e de proteção de dados.

Você tem o direito de se opor ao tratamento baseado em interesse legítimo. Consulte o §8 para saber como exercer esse direito.

05 Com quem compartilhamos dados

Compartilhamos dados pessoais apenas nas situações descritas abaixo.

Prestadores de serviço (suboperadores)

Utilizamos um conjunto limitado de suboperadores verificados para hospedar o Serviço, entregar e-mails e fornecer funcionalidades específicas. A lista atualizada de suboperadores é mantida no Acordo de Processamento de Dados. Os suboperadores estão vinculados por acordos escritos que atendem aos requisitos do Artigo 28 do GDPR. Notificamos os Clientes sobre novos suboperadores com pelo menos trinta (30) dias de antecedência ao início do tratamento dos Dados do Cliente.

Provedores de IA

Atlas Document Intelligence, o Accounting AI, o Bot Studio e funcionalidades similares utilizam um ou mais provedores de IA terceiros (p. ex. Anthropic, OpenAI, Google) por requisição. Transmitimos apenas os dados mínimos necessários para a tarefa solicitada; onde disponíveis, utilizamos endpoints corporativos com zero retenção de dados, de modo que as solicitações não sejam armazenadas nem usadas para treinamento. O Cliente pode desativar provedores de IA externos em favor do modelo Gemma hospedado localmente nos níveis Sovereign e Air-Gapped.

Contrapartes do Marketplace

Quando um Cliente (Operador) publica um anúncio no Marketplace, dados resumidos e anonimizados ficam visíveis para Financiadores verificados. Detalhes de identificação (nome do operador, nomes das contrapartes, localização da fábrica) são revelados somente após o Operador aprovar explicitamente a solicitação de um Financiador específico, conforme o protocolo de divulgação em duas etapas descrito em edma.trade/network/how-financing-works.

Autoridades

Divulgamos dados pessoais a tribunais, órgãos reguladores ou autoridades policiais quando exigido por processo legal válido ou para proteger nossos direitos. Na medida em que a lei permitir, notificamos previamente os Clientes afetados.

Transações societárias

Caso a EDMA passe por uma fusão, aquisição, reestruturação ou venda de ativos, os dados pessoais poderão ser transferidos para a entidade sucessora. A nova entidade estará vinculada a esta Política de Privacidade ou a uma sucessora com proteções materialmente equivalentes.

Não vendemos nem alugamos dados pessoais.

06 Transferências internacionais

A EDMA opera em múltiplas jurisdições, incluindo o Espaço Econômico Europeu, o Reino Unido e outras regiões. Os dados pessoais podem ser transferidos para países diferentes daquele em que foram coletados e neles tratados.

Quando dados pessoais são transferidos para fora do EEE ou do Reino Unido para um país que não oferece proteção adequada, baseamo-nos em salvaguardas apropriadas, incluindo as Cláusulas Contratuais Padrão da Comissão Europeia (e o equivalente britânico), medidas técnicas suplementares (criptografia em trânsito e em repouso) e medidas contratuais suplementares com o operador receptor.

A lista de regiões em que os Dados do Cliente são hospedados está documentada no DPA.

07 Retenção

Retemos dados pessoais apenas pelo tempo necessário para as finalidades descritas no §3, após o qual os excluímos ou anonimizamos. Especificamente:

Dados da conta — pelo período de vigência da conta, acrescido de um prazo razoável de arquivamento para fins de reivindicações legais.
Dados do Cliente no TradeOS — pelo Prazo de Assinatura mais uma janela de exportação de 30 dias, após a qual os excluímos (ressalvadas as obrigações de retenção impostas por lei ao Cliente, por exemplo, registros fiscais).
Logs de uso & logs de segurança — normalmente 12 meses, por mais tempo quando necessário para investigações.
Dados de marketing — até o cancelamento da assinatura pelo subscritor, acrescido de uma lista de supressão para respeitar o cancelamento.
Registros financeiros & faturas — pelo período exigido pela legislação fiscal e contábil (normalmente de 6 a 10 anos, dependendo da jurisdição).

08 Seus direitos

Se o GDPR ou legislação equivalente se aplicar a você, você possui os seguintes direitos em relação aos dados pessoais que mantemos sobre você:

Acesso — solicitar uma cópia dos dados pessoais que mantemos sobre você.
Retificação — solicitar que corrijamos dados inexatos ou incompletos.
Eliminação — solicitar que excluamos dados pessoais quando não houver base legal prevalente para mantê-los.
Limitação — solicitar que suspendamos o tratamento enquanto uma disputa estiver sendo resolvida.
Portabilidade — solicitar uma cópia legível por máquina dos dados que você forneceu, em formato estruturado e de uso comum.
Objeção — opor-se ao tratamento baseado em interesse legítimo, incluindo perfilamento e marketing direto.
Retirada de consentimento — quando o tratamento for baseado em consentimento, você pode retirá-lo a qualquer momento sem afetar a licitude do tratamento anterior.
Reclamação — registrar uma reclamação junto à sua autoridade supervisora competente. Ver §14.

Para exercer esses direitos, escreva para [email protected] com o assunto [Privacy]. Respondemos em trinta (30) dias. Podemos solicitar comprovação de identidade antes de atender a uma solicitação. Quando os dados forem Dados do Cliente (tratados por nós em nome de um Cliente), encaminharemos sua solicitação ao Cliente-controlador pertinente.

09 CCPA / Avisos conforme leis estaduais dos EUA

Se você é residente na Califórnia, o California Consumer Privacy Act (CCPA) e o California Privacy Rights Act (CPRA) conferem a você direitos adicionais:

Direito de saber quais categorias de dados pessoais coletamos sobre você, as fontes, as finalidades e a quem os divulgamos.
Direito de exclusão de dados pessoais, sujeito às exceções aplicáveis.
Direito de correção de dados pessoais imprecisos.
Direito de recusar a ”venda” ou o ”compartilhamento” de dados pessoais. Não vendemos nem compartilhamos dados pessoais conforme esses termos são definidos pela CCPA/CPRA.
Direito de limitar o uso de dados pessoais sensíveis, quando aplicável.
Direito à não discriminação pelo exercício desses direitos.

Para exercer esses direitos, entre em contato conosco conforme indicado no §8. Não coletamos intencionalmente dados pessoais de consumidores menores de 16 anos.

Se você é residente na Virgínia, Colorado, Connecticut, Utah, Texas ou em outro estado dos EUA com legislação abrangente de privacidade, você possui direitos substancialmente semelhantes aos descritos acima. Aplicamos os mesmos procedimentos independentemente da jurisdição.

10 Cookies & rastreamento

Utilizamos um número reduzido de cookies e tecnologias similares em nossos sites e no Serviço. Consulte a Política de Cookies para o inventário completo e instruções de gerenciamento.

Não utilizamos cookies de publicidade de terceiros. Não participamos de redes de publicidade entre sites.

11 Segurança

Protegemos os dados pessoais com salvaguardas administrativas, técnicas e físicas adequadas ao risco, incluindo criptografia em trânsito (TLS 1.2+) e em repouso, controle de acesso baseado em funções, acesso à produção com privilégio mínimo, registro de auditoria, gestão de vulnerabilidades, procedimentos de backup e recuperação de desastres, e treinamento de pessoal. As medidas técnicas e organizacionais que aplicamos estão detalhadas no DPA.

Nenhum sistema é perfeitamente seguro. Se você tomar conhecimento de uma vulnerabilidade ou suspeitar de uma violação, escreva para [email protected] com o assunto [Security].

12 Menores

O Serviço é destinado ao uso empresarial por adultos. Não coletamos conscientemente dados pessoais de pessoas com menos de 16 anos. Se você acredita que um menor nos forneceu dados pessoais, entre em contato conosco e nós os excluiremos.

13 Alterações

Podemos atualizar esta Política de Privacidade periodicamente. A versão vigente está sempre disponível em edma.trade/legal/privacy com a data de ”Última atualização” no topo. Alterações relevantes — aquelas que reduzem significativamente seus direitos ou acrescentam novas categorias de tratamento — serão notificadas aos administradores de conta por e-mail com pelo menos 30 dias de antecedência.

14 Contato e reclamações

Para dúvidas, solicitações ou reclamações sobre privacidade, entre em contato conosco em [email protected] com o assunto [Privacy]. Respondemos com um primeiro acuse de recebimento em até um dia útil e com resolução substantiva em até trinta (30) dias.

Se você estiver no EEE, no Reino Unido ou na Suíça e não estiver satisfeito com nossa resposta, você tem o direito de registrar uma reclamação junto à autoridade supervisora local de proteção de dados.