Contrato de tratamento de dados

A operadora trata os dados só para prestar o serviço, conforme as instruções do controlador, que são as configurações e ações feitas na plataforma e as instruções por escrito. A operadora não usa os dados para finalidade própria, não os vende e não os usa para treinar modelos de IA.

• Titulares que fazem pedidos: identificação, contato, conteúdo do pedido e documentos de verificação.
• Colaboradores, terceiros e fornecedores citados no mapeamento, riscos, incidentes, treinamentos e consentimentos.
• Pessoas que relatam ou são citadas no canal de denúncia, que pode incluir dados sensíveis.
• Membros das equipes do cliente.

O controlador decide o que inserir e responde pela base legal de cada tratamento.

A operadora mantém, no mínimo:

• separação entre organizações no banco de dados (cada consulta só enxerga a organização ativa), testada a cada versão;
• cifragem em trânsito e em repouso, e cifragem por campo, com chave por organização, de nome, e-mail, relato do titular, descrição de incidente, relato e anexos do canal de denúncia e chaves de IA;
• senha com hash forte, segundo fator obrigatório para papéis com acesso amplo e limite de tentativas;
• trilha de auditoria somente de inserção, sem dados pessoais nos registros técnicos;
• remoção de metadados (autor, local, aparelho) dos anexos do canal de denúncia.

O controlador autoriza os suboperadores abaixo. A operadora avisa com [30] dias de antecedência antes de incluir ou trocar um, e o controlador pode se opor.

• [Hospedagem da aplicação, no Brasil]
• [Banco de dados gerenciado, no Brasil]
• [Envio de e-mail]

Os provedores de IA (Anthropic, OpenAI, Google, DeepSeek) não são suboperadores da operadora: são contratados pelo controlador, com a chave dele, e só recebem dados quando ele liga o recurso. O DeepSeek, por levar dados à China, vem desligado e exige liberação expressa de transferência internacional.

Os dados ficam em território brasileiro. Transferência internacional só acontece quando o próprio controlador liga um provedor de IA fora do país, sob sua responsabilidade e com as garantias dos arts. 33 a 36 da LGPD.

Quem trabalha para a operadora com acesso a dados assina compromisso de confidencialidade e só acessa o necessário para suporte ou correção, com registro. O canal de denúncia não é acessível à equipe da operadora pelas telas.

A plataforma oferece as ferramentas para o controlador atender os pedidos dos titulares. Se um titular procurar a operadora diretamente, ela encaminha o pedido ao controlador sem responder no mérito. A operadora apoia o controlador em relatórios de impacto e em pedidos da ANPD, na medida das informações que tiver.

A operadora comunica ao controlador incidente de segurança que envolva seus dados em até [24 horas] depois de confirmá-lo, com o que se sabe: natureza, dados e titulares afetados, medidas tomadas e contato. A comunicação à ANPD e aos titulares cabe ao controlador.

O controlador pode pedir, uma vez por ano ou após incidente, as evidências das medidas de segurança (relatórios, políticas, resultados de testes). Auditoria presencial depende de acordo prévio sobre escopo, data e confidencialidade.

Ao fim do contrato, a operadora mantém os dados disponíveis para exportação pelo prazo da tela de encerramento e depois os elimina, inclusive das cópias de segurança no ciclo seguinte delas, salvo o que a lei obrigar a guardar. [Prazos exatos a definir com a decisão DP07.]

Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato, nos termos do art. 42 da LGPD. [Limites e regras de regresso a redigir pelo jurídico.]