Como a Munitax atua como operadora do Município no tratamento de dados tributários, e quais são os limites desse tratamento.
Esta é a leitura que a Munitax faz das suas obrigações sob a Lei nº 13.709/2018 (LGPD) no tratamento de dados realizado na Plataforma por conta do Município. Destina-se à procuradoria, à controladoria interna e ao Encarregado do Município que avaliam a Munitax na condição de operadora.
Não substitui a Política de privacidade, que é o documento dirigido ao titular de dados pessoais, nem as cláusulas de proteção de dados do Contrato Administrativo. Havendo divergência entre esta página e o Contrato Administrativo, prevalece o contrato.
Serviço, Município, Usuário Autorizado, Dados do Município, Dados Pessoais, Credenciais, Contrato Administrativo, Plataforma, Incidente de Segurança e Encarregado têm aqui o sentido fixado em Termos e condições de uso.
1.1No tratamento de dados pessoais realizado na Plataforma, o Município é o controlador.
1.2Cabe a ele definir as finalidades e os meios do tratamento e responder por ele perante os titulares e a Autoridade Nacional de Proteção de Dados (art. 5º, VI, da Lei nº 13.709/2018).
1.3A Munitax é a operadora dos arts. 5º, VII, e 39 da Lei nº 13.709/2018: trata os Dados do Município exclusivamente conforme as instruções do Município, formalizadas no Contrato Administrativo, no termo de referência e nos chamados de suporte.
1.4A Munitax não utiliza os dados tributários para finalidade própria. Também não os comercializa, cede a terceiro estranho à prestação ou emprega no desenvolvimento de produto para outro cliente.
1.5O compartilhamento com os operadores necessários à prestação está descrito na Política de privacidade.
1.6Quanto ao Site e ao contato comercial, a Munitax atua como controladora. A separação entre as duas superfícies e as suas consequências práticas estão detalhadas na Política de privacidade.
1.7O art. 42, § 1º, I, da Lei nº 13.709/2018 responsabiliza solidariamente a operadora que descumprir as obrigações da legislação de proteção de dados ou deixar de seguir as instruções lícitas do controlador. Esta página não afasta nem limita essa responsabilidade.
Pedido de titular relativo a dado tratado na Plataforma (cadastro fiscal, lançamento, débito, processo administrativo ou execução) deve ser dirigido ao Município, que é o controlador. A Munitax não tem competência para decidi-lo por conta própria e encaminhará ao Município o pedido que receber.
2.1O tratamento de dados pessoais na administração tributária municipal apoia-se nas hipóteses do art. 7º, II e III, da Lei nº 13.709/2018: cumprimento de obrigação legal ou regulatória pelo controlador e execução de políticas públicas previstas em leis e regulamentos.
2.2O dado pessoal sensível eventualmente necessário ao tratamento tributário observa o art. 11, II, b, da Lei nº 13.709/2018, que dispensa o consentimento do titular quando o tratamento é indispensável à execução de políticas públicas previstas em leis ou regulamentos.
2.3O consentimento do contribuinte não é a base legal do tratamento tributário.
2.4A sua ausência ou a sua revogação não obsta o lançamento, a cobrança, a inscrição em dívida ativa nem a execução do crédito tributário. Não existe, portanto, consentimento a revogar sobre esses dados.
2.5O uso compartilhado de dados pelo Poder Público e a eventual comunicação a pessoas de direito privado observam os arts. 26 e 27 da Lei nº 13.709/2018. O tratamento atende à finalidade pública, na persecução do interesse público, com informação clara sobre a hipótese legal e a finalidade, como exigem os arts. 23 e 26 da mesma lei.
2.6Os princípios do art. 6º da Lei nº 13.709/2018 — finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização — orientam a construção do Serviço. A necessidade se materializa em duas decisões de arquitetura: o Usuário Autorizado enxerga apenas os dados do município ao qual está vinculado e, dentro dele, apenas o que o seu papel autoriza.
2.7Os recursos de análise automatizada do Serviço produzem apoio à decisão sobre séries agregadas de arrecadação por tributo, e não sobre cadastros de contribuintes identificados. Esses recursos não praticam ato administrativo: o lançamento, a inscrição em dívida ativa e os atos do processo continuam sendo do Município e dos seus agentes competentes, revisáveis segundo a legislação tributária e o art. 20 da Lei nº 13.709/2018.
3.1O sigilo fiscal é a obrigação central desta relação. O art. 198, caput, do Código Tributário Nacional (Lei nº 5.172/1966) veda à Fazenda Pública e aos seus servidores divulgar informação obtida em razão do ofício sobre a situação econômica ou financeira do sujeito passivo ou de terceiros e sobre a natureza e o estado dos seus negócios ou atividades.
3.2A Munitax e o seu pessoal, ao operar o Serviço, ficam sujeitos ao mesmo dever de sigilo. O dever subsiste após o encerramento do Contrato Administrativo e após o desligamento do pessoal envolvido.
3.3As exceções ao sigilo são apenas as previstas em lei:
3.4No Serviço, o sigilo se materializa em controles verificáveis: o acesso é individual e nominal e uma conta só opera depois de aprovada; a segregação por município é aplicada na navegação e reavaliada no servidor a cada requisição protegida; as consultas à pesquisa de contribuintes e os acessos a documentos são registrados; e o acesso do pessoal da Munitax a Dados do Município limita-se ao necessário para suporte e para resposta a incidente. O detalhe técnico está em Segurança.
A informação protegida por sigilo fiscal não é informação de acesso público. O pedido fundado na Lei nº 12.527/2011 não é via para obtê-la: os arts. 6º, III, e 31 dessa lei resguardam as informações pessoais e as protegidas por sigilo legal, e o art. 25 impõe o dever de controle de acesso sobre elas.
4.1Os direitos do art. 18 da Lei nº 13.709/2018 aplicam-se aos dados tratados na Plataforma e são exercidos perante o Município, na qualidade de controlador. O procedimento para exercê-los está em Política de privacidade.
4.2Em matéria tributária, parte desses direitos encontra limites que decorrem da lei, e não de escolha da Munitax ou do Município.
| Direito | Como se aplica no tratamento tributário | Fundamento |
|---|---|---|
| Confirmação e acesso | Aplicam-se ao titular quanto aos seus próprios dados. Não alcançam dado de terceiro protegido por sigilo fiscal nem elemento de processo cuja publicidade a lei restrinja enquanto pendente. | Art. 18, I e II, da Lei nº 13.709/2018; art. 198 do Código Tributário Nacional |
| Correção | Aplica-se ao dado cadastral inexato, incompleto ou desatualizado. Não substitui a impugnação do lançamento nem os recursos do processo administrativo fiscal. | Art. 18, III, da Lei nº 13.709/2018 |
| Anonimização, bloqueio ou eliminação | Alcançam o dado desnecessário, excessivo ou tratado em desconformidade. Não alcançam o dado cuja guarda é exigida por obrigação legal ou é necessária ao exercício do crédito tributário. | Arts. 18, IV, e 16, I, da Lei nº 13.709/2018 |
| Portabilidade | Aplica-se aos dados do próprio titular. Não é via de obtenção de dado fiscal de terceiro nem de extração da base do Município. | Art. 18, V, da Lei nº 13.709/2018 |
| Informação sobre compartilhamento | Aplica-se. Os operadores envolvidos na prestação estão relacionados na Política de privacidade. | Art. 18, VII, da Lei nº 13.709/2018 |
| Revogação do consentimento | Inaplicável. O tratamento tributário não se funda em consentimento. | Art. 7º, II e III, da Lei nº 13.709/2018 |
| Revisão de decisão automatizada | Aplica-se. Os atos administrativos são praticados por agentes do Município, e a legislação tributária rege a sua revisão. | Art. 20 da Lei nº 13.709/2018 |
4.3O art. 18, § 1º, da Lei nº 13.709/2018 faculta ao titular peticionar contra o controlador perante a Autoridade Nacional de Proteção de Dados.
5.1Os prazos de guarda dos dados tributários são definidos pelo Município, na qualidade de controlador, e acompanham os prazos de decadência e de prescrição do crédito tributário. A Munitax os implementa conforme instrução contratual.
| Categoria | Prazo de guarda | Fundamento |
|---|---|---|
| Dados de constituição do crédito tributário | 5 anos, contados segundo a lei, e enquanto pendente o crédito | Art. 173 do Código Tributário Nacional |
| Dados de cobrança e de execução fiscal | 5 anos, contados da constituição definitiva do crédito, e enquanto pendente a execução | Art. 174 do Código Tributário Nacional |
| Livros e documentos fiscais | Até a prescrição dos créditos tributários decorrentes das operações a que se refiram | Art. 195, parágrafo único, do Código Tributário Nacional |
| Registros de acesso à aplicação | 6 meses | Art. 15 da Lei nº 12.965/2014 |
| Trilhas de auditoria do Serviço | Pelo prazo necessário à comprovação de regularidade e à fiscalização, na forma do Contrato Administrativo | Art. 37 da Lei nº 13.709/2018 |
5.2Ao término do tratamento, os dados pessoais são eliminados, ressalvadas as hipóteses de conservação do art. 16 da Lei nº 13.709/2018: cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro observados os requisitos legais e uso exclusivo do controlador com dados anonimizados.
5.3Encerrado o Contrato Administrativo, os Dados do Município são disponibilizados para extração e devolvidos como preveem os Termos e condições de uso. Concluída a devolução, são eliminados ou anonimizados, ressalvadas as hipóteses do parágrafo anterior.
5.4A Munitax mantém rotina de cópia de segurança dos dados da Plataforma e procedimentos de restauração; a frequência, a janela e a retenção das cópias constam do Contrato Administrativo. As cópias são expurgadas conforme o ciclo de retenção das próprias cópias, permanecem sujeitas aos mesmos controles de acesso e sigilo aplicáveis aos dados de produção e não ficam acessíveis à operação.
6.1A Munitax mantém o registro das operações de tratamento de dados pessoais que realiza na condição de operadora, exigido pelo art. 37 da Lei nº 13.709/2018.
6.2Além desse registro, o Serviço produz trilhas que atribuem cada acesso a uma pessoa identificada:
6.3Esses registros servem à responsabilização e à apuração de uso indevido, e são disponibilizados ao Município quando solicitado, observado o Contrato Administrativo.
6.4O art. 13 do Decreto nº 8.771/2016 impõe guarda sob sigilo, em ambiente controlado e de segurança, com controle estrito de acesso, mecanismos de autenticação e inventário dos acessos; os registros de acesso à aplicação observam essas exigências. O seu conteúdo só é disponibilizado a terceiros mediante ordem judicial (arts. 10, § 1º, e 22 da Lei nº 12.965/2014).
7.1A Munitax adota as medidas de segurança, técnicas e administrativas do art. 46 da Lei nº 13.709/2018, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Essa obrigação subsiste após o término do tratamento, por força do art. 47 da mesma lei.
7.2Os sistemas empregados no tratamento são estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos no art. 49 da Lei nº 13.709/2018. As práticas estão descritas em Segurança.
7.3O Município pode verificar as medidas adotadas pelos meios previstos no Contrato Administrativo.
7.4Detectado um Incidente de Segurança, a Munitax contém o evento, avalia o risco aos titulares, comunica o Município sem demora injustificada, preserva as evidências e registra as medidas corretivas. A comunicação ao Município contém os elementos do art. 48, § 1º, da Lei nº 13.709/2018: descrição dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança adotadas, riscos relacionados e medidas de reversão ou mitigação.
7.5A comunicação à Autoridade Nacional de Proteção de Dados e aos titulares cabe ao Município, na qualidade de controlador; a Munitax fornece as informações necessárias para que ele a faça. Os prazos de comunicação entre as partes constam do Contrato Administrativo. A comunicação ao titular nos tratamentos em que a Munitax é controladora está tratada na Política de privacidade.
8.1A Munitax pode contratar operadores para a prestação do Serviço. Cada operador fica vinculado a obrigações de confidencialidade e de segurança equivalentes às assumidas pela Munitax e limitado às instruções recebidas (art. 39 da Lei nº 13.709/2018).
8.2A relação dos operadores está na Política de privacidade. Havendo transferência internacional de dados, observam-se as hipóteses do art. 33 da Lei nº 13.709/2018 e adotam-se as garantias contratuais correspondentes.
8.3A Munitax informa o Município sobre alteração relevante no quadro de operadores, pelo procedimento previsto no Contrato Administrativo.
8.4A Munitax fornece ao Município as informações necessárias à elaboração do relatório de impacto à proteção de dados pessoais do art. 38 da Lei nº 13.709/2018, quando o Município o elaborar ou quando a Autoridade Nacional de Proteção de Dados o determinar.
8.5A Munitax coopera com o Município nas auditorias previstas no Contrato Administrativo, na resposta a requisições de autoridade competente e no encaminhamento de pedidos de titular endereçados por engano à Munitax.
9.1A Munitax mantém Encarregado pelo tratamento de dados pessoais.
9.2Cabem-lhe as atribuições do art. 41, § 2º, da Lei nº 13.709/2018: aceitar reclamações e comunicações de titulares, prestar esclarecimentos, adotar providências e receber comunicações da Autoridade Nacional de Proteção de Dados.
9.3O contato é suporte@munitax.com.br, com a indicação Encarregado no assunto, ou a página de contato.
9.4O canal atende dúvidas do Município sobre este documento e sobre as cláusulas de proteção de dados do Contrato Administrativo, pedidos de informação de procuradoria, controladoria e encarregado municipal, comunicações relativas a Incidente de Segurança e solicitações da Autoridade Nacional de Proteção de Dados.
9.5O canal não decide pedido de titular relativo a dado tratado na Plataforma por conta do Município.