Adendo de Tratamento de Dados Pessoais (LGPD)

1. Objeto e escopo do tratamento

A Operadora tratará dados pessoais exclusivamente na medida necessária à prestação dos serviços contratados, com o escopo descrito a seguir:

2. Instruções do Controlador

A Operadora tratará dados pessoais somente conforme as instruções documentadas do Controlador, que são, para todos os fins: (a) os Termos de Uso; (b) este Adendo; (c) a documentação do produto; e (d) as ações que o Controlador e seus usuários executam nas funcionalidades da Plataforma, as quais equivalem a instruções.

Instruções fora desse escopo dependem de acordo prévio e por escrito e poderão ser recusadas ou implicar custos adicionais e ajuste de prazos.

A Operadora informará o Controlador caso, a seu juízo, uma instrução recebida viole a LGPD ou outra norma de proteção de dados, podendo suspender a execução até o esclarecimento, sem que isso configure inadimplemento contratual.

A Operadora poderá tratar dados pessoais além das instruções quando exigido por lei brasileira ou por ordem de autoridade competente, informando previamente o Controlador, salvo se a própria norma vedar tal comunicação.

3. Obrigações da Operadora

A Operadora obriga-se a:

1. tratar os dados pessoais exclusivamente para as finalidades deste Adendo, sem utilizá-los para finalidades próprias, comerciais ou de terceiros;
2. não vender, alugar, ceder ou compartilhar os dados do Controlador com terceiros, salvo aos suboperadores da Cláusula 7 e nas hipóteses legais expressas;
3. não utilizar o conteúdo do Controlador para treinar modelos de inteligência artificial, próprios ou de terceiros, e exigir compromisso equivalente dos provedores de modelos;
4. manter isolamento lógico entre contas, de modo que os dados de um Controlador não sejam acessíveis a outro;
5. adotar as medidas de segurança dos arts. 46 a 49 da LGPD, descritas na Política de Privacidade;
6. limitar o acesso a dados pessoais ao pessoal estritamente necessário, submetido a dever contratual de confidencialidade;
7. manter registro das operações de tratamento realizadas, nos termos do art. 37 da LGPD;
8. auxiliar o Controlador, na medida do razoável e considerando a natureza do tratamento, no atendimento aos direitos dos titulares, na elaboração de relatório de impacto e na resposta a requisições de autoridade;
9. comunicar o Controlador sobre incidentes de segurança, na forma da Cláusula 9;
10. disponibilizar ao Controlador recursos de exportação dos dados em formato estruturado e de uso comum;
11. eliminar ou devolver os dados ao término do tratamento, na forma da Cláusula 10.

4. Obrigações do Controlador

O Controlador é o responsável pelas decisões sobre os dados que insere na Plataforma e obriga-se a:

1. possuir e manter base legal adequada para cada tratamento que realizar por meio da Plataforma, nos termos dos arts. 7º e 11 da LGPD;
2. fornecer aos titulares informação clara sobre o tratamento, inclusive sobre o uso de operador, em cumprimento aos arts. 6º, VI, e 9º da LGPD;
3. inserir apenas os dados necessários e proporcionais à finalidade declarada, observando os princípios da necessidade e da minimização;
4. abster-se de inserir dados pessoais sensíveis, dados de crianças e adolescentes ou informações sujeitas a sigilo profissional, salvo quando estritamente necessário à sua atividade e amparado em base legal específica, assumindo integralmente o risco correspondente;
5. assegurar a exatidão e a atualização dos dados, especialmente dos e-mails utilizados para envio de mensagens;
6. configurar corretamente as permissões da equipe, revisá-las periodicamente e revogá-las de imediato no desligamento de qualquer usuário;
7. responder, como controlador, aos pedidos dos titulares e às requisições da ANPD;
8. não utilizar a Plataforma para envio de comunicações a quem não tenha base legal para recebê-las, nem a listas adquiridas, alugadas ou obtidas por raspagem;
9. manter suas próprias medidas de segurança quanto aos dispositivos, redes e pessoas sob seu controle.

5. Direitos dos titulares

Os pedidos de titulares relativos aos dados sob controle do Cliente devem ser dirigidos ao próprio Cliente, que é o controlador e o único competente para decidir sobre eles.

Recebendo diretamente pedido dessa natureza, a Operadora não o atenderá por conta própria: encaminhará ao Controlador sem demora injustificada e o auxiliará tecnicamente no atendimento, disponibilizando recursos de consulta, correção, exportação e eliminação na própria Plataforma.

Auxílio que exija desenvolvimento específico, extração não padronizada ou esforço técnico relevante poderá ser orçado à parte, mediante justificativa.

6. Confidencialidade e pessoal autorizado

A Operadora assegura que toda pessoa autorizada a tratar dados pessoais do Controlador está submetida a obrigação de confidencialidade, contratual ou legal, que subsiste ao término do vínculo.

O acesso técnico da Operadora aos dados da conta é restrito às hipóteses previstas nos Termos de Uso, é nominal e fica registrado em trilha de auditoria, inclusive quando realizado por meio de personificação de usuário para diagnóstico.

7. Suboperadores

O Controlador autoriza, de forma geral, a subcontratação de operadores pela Operadora para execução de partes específicas do serviço, nas categorias indicadas na Política de Privacidade — infraestrutura em nuvem, entrega de e-mail, mapas, provedores de modelos de inteligência artificial, observabilidade e cache. Não há operador de pagamento: a contratação e o pagamento são combinados diretamente entre o Controlador e a Operadora, fora da Plataforma.

A Operadora obriga-se a impor contratualmente a cada suboperador obrigações de proteção de dados não menos rigorosas que as deste Adendo, e responde perante o Controlador pelos atos dos suboperadores que contratar, nos limites da Cláusula 12.

A relação nominal atualizada de suboperadores é fornecida mediante solicitação ao Encarregado. Alterações que ampliem materialmente o escopo de tratamento serão comunicadas com antecedência razoável, facultando ao Controlador rescindir sem ônus caso apresente objeção fundamentada e não seja possível oferecer alternativa técnica equivalente.

8. Transferência internacional

Parte dos suboperadores processa dados fora do Brasil. Tais transferências observam os arts. 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024, mediante adoção de Cláusulas-Padrão Contratuais aprovadas pela ANPD, cláusulas equivalentes reconhecidas pela Autoridade, decisão de adequação ou outra hipótese legal aplicável.

A Operadora manterá documentação dos mecanismos adotados e a disponibilizará ao Controlador mediante solicitação, para instrução do seu próprio programa de governança em privacidade.

9. Incidentes de segurança

Tomando conhecimento de incidente de segurança que afete dados pessoais tratados por conta do Controlador, a Operadora o comunicará sem demora injustificada e, sempre que possível, em até 2 (dois) dias úteis, de modo a viabilizar o cumprimento do prazo de 3 (três) dias úteis previsto na Resolução CD/ANPD nº 15/2024.

A comunicação conterá, na medida das informações então disponíveis:

1. a descrição da natureza do incidente e dos dados pessoais afetados;
2. as categorias e o número aproximado de titulares atingidos;
3. as medidas técnicas e de segurança adotadas antes e depois do incidente;
4. os riscos identificados e as recomendações de mitigação;
5. o contato para obtenção de informações adicionais.

A comunicação à ANPD e aos titulares, quando cabível, é atribuição do Controlador, a quem compete a avaliação do risco relevante. A Operadora prestará o apoio técnico razoável para essa avaliação.

10. Término do tratamento, devolução e eliminação

Encerrada a relação contratual, o Controlador terá 30 (trinta) dias corridos para exportar os dados pelos recursos da Plataforma. Findo o prazo, a Operadora eliminará ou anonimizará os dados pessoais, inclusive nas cópias de segurança conforme o respectivo ciclo de rotação.

Ressalvam-se as retenções estritamente necessárias ao cumprimento de obrigação legal ou regulatória (art. 16, I, da LGPD), à guarda de registros de acesso a aplicações de internet (art. 15 da Lei nº 12.965/2014) e ao exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 16, III, da LGPD), hipóteses em que os dados permanecem bloqueados para qualquer outra finalidade.

Hipótese distinta é o encerramento da conta pedido pelo próprio Controlador na Plataforma. Nela, a instrução de eliminar é dada no ato do pedido, o acesso é bloqueado imediatamente e os 30 (trinta) dias seguintes são prazo de REVERSÃO, não de exportação: até o fim deles o Controlador desfaz o pedido entrando na conta, e depois a eliminação é definitiva. A eliminação alcança os dados pessoais que o Controlador registrou sobre os seus próprios clientes, sobre os quais a Operadora trata exclusivamente por conta dele.

Sobrevive ao encerramento, em forma anonimizada e sem dado que identifique pessoa, apenas a prova de aceite dos documentos legais (hash irreversível do e-mail, versão e data), retida por 5 (cinco) anos com fundamento no art. 16, I e II, da LGPD.

11. Demonstração de conformidade e auditoria

A Operadora disponibilizará ao Controlador, mediante solicitação fundamentada, as informações razoáveis para demonstrar o cumprimento deste Adendo, incluindo descrição de medidas de segurança, relação de suboperadores e mecanismos de transferência internacional.

Auditoria presencial ou por terceiro independente poderá ser realizada no máximo uma vez por ano, mediante aviso prévio de 30 (trinta) dias, em horário comercial, sem interrupção das operações, restrita ao escopo deste Adendo, condicionada à assinatura de acordo de confidencialidade e às expensas do Controlador. Auditoria motivada por incidente comprovadamente imputável à Operadora correrá às expensas desta.

A auditoria não alcançará dados de outros clientes, segredos de negócio, código-fonte, instruções internas de inteligência artificial ou informações que exponham a segurança da Plataforma.

12. Responsabilidade e regresso

Cada parte responde na medida da sua atuação, nos termos dos arts. 42 e 43 da LGPD. A Operadora responde solidariamente apenas nas hipóteses do art. 42, § 1º, I e II — quando descumprir as obrigações legais de operadora ou quando não seguir as instruções lícitas do Controlador.

Sendo a Operadora responsabilizada por dano decorrente de decisão, instrução, omissão ou tratamento irregular imputável ao Controlador — inclusive ausência de base legal, informação inadequada aos titulares, dados inexatos, envio de mensagens sem fundamento legal ou concessão indevida de permissões —, caberá regresso integral contra o Controlador, na forma do art. 42, § 4º, da LGPD.

Nenhuma das partes responde quando comprovar que não realizou o tratamento, que não houve violação à legislação, ou que o dano decorre de culpa exclusiva do titular ou de terceiro, nos termos do art. 43 da LGPD.

Aplicam-se a este Adendo os limites de responsabilidade previstos nos Termos de Uso, ressalvado o que a lei repute inafastável.

13. Vigência e disposições finais

Este Adendo entra em vigor com o aceite dos Termos de Uso e vigora enquanto houver tratamento de dados pessoais pela Operadora em favor do Controlador, sobrevivendo às obrigações de confidencialidade, eliminação e responsabilidade.

Havendo conflito entre este Adendo e os Termos de Uso quanto a matéria de proteção de dados pessoais, prevalece este Adendo.

Dúvidas e solicitações relativas a este Adendo devem ser dirigidas ao Encarregado pela Proteção de Dados: [· privacidade@dominio.com.br ·].