🏢 1. Contexto — SimulaAudit como Operador
Quando empresas contratam o SimulaAudit (clientes B2B), elas atuam como controladores dos dados de seus usuários finais (colaboradores, auditores, etc.), e o SimulaAudit atua como operador — processando dados a mando e em benefício do controlador.
Na relação operador-controlador, o operador tem obrigação legal de informar o controlador sobre qualquer incidente de segurança que afete os dados tratados por conta daquele controlador, para que o controlador possa cumprir suas próprias obrigações perante a ANPD e perante seus titulares.
⏰ Prazo crítico: 24 horas
A notificação ao cliente B2B (controlador) deve ser feita em até 24 horas após a detecção do incidente — independentemente de ter havido tempo para análise completa. Uma notificação preliminar pode e deve ser enviada mesmo que as informações ainda sejam parciais, com complementação posterior.
📧 2. Template de Email — Notificação Inicial
Campos em destaque âmbar tracejado devem ser substituídos com dados reais do incidente e do cliente.
Prezado(a) [Nome do responsável],
Comunicamos formalmente que identificamos, em [data e hora da detecção], um incidente de segurança na plataforma SimulaAudit que pode ter afetado dados pessoais de usuários vinculados à conta de [nome da empresa cliente].
Esta notificação é enviada em cumprimento às nossas obrigações como operador de dados conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, Art. 48) e ao Contrato de Serviços firmado entre as partes.
Natureza do incidente: [descrever: acesso não autorizado / vazamento / perda / alteração indevida]
Data estimada do incidente: [data/hora do incidente ou intervalo estimado]
Data de detecção: [data/hora em que o SimulaAudit identificou o incidente]
Categorias de dados envolvidos: [listar: ex: nome, email corporativo, cargo, resultados de simulação]
Volume estimado de usuários afetados da sua conta: [número ou intervalo estimado]
Dados sensíveis afetados (LGPD Art. 11): [Sim/Não — se sim, quais]
Imediatamente após a detecção, adotamos as seguintes medidas de contenção:
[listar ações tomadas: ex: acesso bloqueado, credenciais revogadas, sistema isolado, logs preservados]
Status atual da remediação: [causa raiz identificada/em investigação; correção implementada/em andamento]
Como controlador dos dados de seus usuários, informamos que você pode ter obrigações próprias de notificação à ANPD e a seus titulares. Recomendamos que consulte seu DPO ou advogado LGPD sobre essas obrigações.
O SimulaAudit [notificou/notificará] a ANPD em [data] conforme exige a Resolução CD/ANPD nº 15/2024.
Enviaremos atualizações à medida que a investigação avançar. Estamos à disposição para fornecer qualquer informação adicional que você precise para cumprir suas obrigações legais como controlador.
Para informações adicionais ou para agendar uma ligação de alinhamento, entre em contato com nossa DPO:
Thaís Kurünzi — DPO, SimulaAudit
Email: lgpd@simulaaudit.com.br
WhatsApp: (11) 94204-1993
Thaís Kurünzi
Encarregada de Proteção de Dados (DPO)
CX Cellerate Ltda · SimulaAudit
lgpd@simulaaudit.com.br · (11) 94204-1993
Esta mensagem e seus anexos são de caráter confidencial e destinam-se exclusivamente ao destinatário indicado. Se você recebeu esta mensagem por engano, favor notificar o remetente e apagar imediatamente.
💬 3. Template de Mensagem WhatsApp — Aviso Inicial Urgente
Usar o WhatsApp para o contato inicial, especialmente se o incidente for grave e o email puder não ser lido rapidamente. O WhatsApp não substitui o email formal — é complementar.
[Enviar para o número de contato principal da empresa cliente registrado no contrato]
Olá, [Nome]! Aqui é a Thaís Kurünzi, DPO do SimulaAudit.
Preciso comunicar formalmente um incidente de segurança que pode ter afetado dados de usuários da [empresa do cliente] em nossa plataforma.
Encaminhei um email detalhado para [email]. Peço que leia com prioridade — há prazos legais envolvidos.
Estou disponível para falar agora se precisar. Pode retornar aqui ou ligar para este número.
— Thaís Kurünzi · DPO SimulaAudit · (11) 94204-1993
⚠️ 4. Obrigações do Cliente como Controlador
Ao receber nossa notificação de incidente, o cliente B2B — na qualidade de controlador de dados de seus usuários — tem obrigações próprias que não dependem de nós como operadores. É importante comunicar isso claramente na notificação para que o cliente não assuma que o SimulaAudit "cuidará de tudo".
- Avaliar o impacto para seus titulares (usuários internos que usam o SimulaAudit): quantos foram afetados, quais dados, quais riscos
- Decidir se precisa notificar a ANPD como controlador (obrigação independente da notificação do SimulaAudit como operador)
- Notificar seus próprios titulares (usuários) caso o incidente represente risco relevante a eles
- Consultar seu DPO ou advogado LGPD para avaliação jurídica das obrigações aplicáveis
- Documentar internamente o recebimento da notificação do SimulaAudit e as decisões tomadas
ℹ️ Importante: O SimulaAudit não pode assumir as obrigações legais do controlador. Nossa notificação viabiliza que o cliente exerça suas obrigações — mas não as substitui. Isso deve estar claro no contrato de serviços (DPA — Data Processing Agreement).
✅ 5. Checklist — Antes de Enviar ao Cliente B2B
- Estou dentro do prazo de 24h a partir da detecção do incidente
- Identifiquei o contato correto do responsável LGPD / gestor de conta do cliente
- Preenchi todos os campos do template com dados específicos do incidente e do cliente
- Descrevi as medidas de contenção já tomadas pelo SimulaAudit
- Mencionei o status da notificação à ANPD pelo SimulaAudit
- Incluí contato da DPO para dúvidas e alinhamento
- Enviei o aviso prévio via WhatsApp (se gravidade alta)
- Salvei cópia do email enviado para documentação interna (registrar data e hora do envio)
- Confirmei o recebimento do cliente (se possível, aguardar confirmação de leitura)
- Programei envio de atualização ao cliente conforme investigação avançar
⚖️ 6. Base Legal
- LGPD Art. 48: Controlador e operador devem comunicar incidentes à autoridade nacional e ao titular
- LGPD Art. 39: O operador deverá realizar o tratamento de dados pessoais conforme as instruções do controlador e somente nas hipóteses previstas por esta lei
- LGPD Art. 46: O operador deve adotar medidas de segurança para proteger os dados pessoais tratados em nome do controlador
- Contrato de Serviços / DPA: O contrato firmado entre SimulaAudit e cliente B2B deve incluir cláusula de notificação de incidentes com prazo de 24h — revisar se esta cláusula está presente