Documento legal

Acordo de Tratamento de Dados (DPA)

Este Acordo é anexo aos Termos de Uso da ControllAI. Vale para os clientes empresariais que usam os agentes de WhatsApp ou enviam documentos com dados pessoais de terceiros.

Partes

CONTROLADOR: a empresa cliente identificada na proposta aceita ou no cadastro da plataforma ("Cliente").

OPERADOR: THE CONTROLLER ASSESSORIA EMPRESARIAL LTDA (The Controller Engenharia), CNPJ 14.673.048/0001-75, Av. das Américas, 3500, Bloco 2, Sala 402, Barra da Tijuca, Rio de Janeiro/RJ, CEP 22640-102, que opera a plataforma ControllAI ("ControllAI").

1. Objeto

Este Acordo regula o tratamento, pela ControllAI, dos dados pessoais que o Cliente insere na plataforma, em especial: - dados de colaboradores, prestadores e equipes de obra cadastrados nos agentes; - dados pessoais contidos nos documentos enviados.

O tratamento serve exclusivamente à prestação do serviço contratado (Anexo I).

2. Papéis

O Cliente é o controlador desses dados. Cabe a ele definir a base legal e informar os titulares.

A ControllAI é a operadora. Ela trata os dados somente conforme as instruções documentadas do Cliente: o contrato, este Acordo e as configurações feitas na plataforma.

3. Obrigações da ControllAI

3.1. Tratar os dados apenas para as finalidades do Anexo I.

3.2. Garantir a confidencialidade por parte de todos que acessam os dados.

3.3. Adotar as medidas de segurança do Anexo II.

3.4. Não usar os dados para fins próprios, inclusive para treinar modelos de IA.

3.5. Ajudar o Cliente a atender os pedidos dos titulares. Todo pedido recebido diretamente pela ControllAI é encaminhado ao Cliente em até 5 dias úteis.

3.6. Disponibilizar as informações necessárias para demonstrar o cumprimento deste Acordo.

4. Suboperadores

4.1. O Cliente autoriza os suboperadores do Anexo III.

4.2. A ControllAI avisará a inclusão ou a troca de suboperador com 15 dias de antecedência. O Cliente poderá se opor de forma fundamentada. Se não houver solução, poderá rescindir sem multa a parte do serviço afetada.

4.3. A ControllAI exigirá dos suboperadores obrigações de proteção de dados equivalentes às deste Acordo.

5. Transferência internacional

Alguns suboperadores processam dados fora do Brasil (por exemplo, nos Estados Unidos). Nesses casos, a transferência segue as hipóteses do art. 33 da LGPD e a regulamentação da ANPD, com cláusulas contratuais e garantias de proteção adequadas.

6. Incidentes de segurança

Havendo incidente que envolva os dados do Cliente, a ControllAI o comunicará sem demora injustificada e em até 48 horas depois de tomar conhecimento.

A comunicação traz as informações disponíveis: natureza do incidente, dados e titulares afetados e medidas adotadas. A ControllAI também coopera na comunicação à ANPD e aos titulares, quando cabível.

7. Auditoria

O Cliente pode pedir relatório ou resposta a questionário de segurança, com 30 dias de antecedência e no máximo 1 vez por ano. Auditorias presenciais, se previstas em contrato corporativo, correm por conta do Cliente.

8. Término

Encerrado o contrato, os dados ficam disponíveis ao Cliente só para consulta e download por 30 dias e são eliminados a partir de 180 dias do encerramento. A ControllAI confirma a eliminação por escrito, se o Cliente pedir. Fica ressalvada a guarda exigida por lei.

9. Responsabilidade

Cada parte responde pelos danos que causar por descumprimento da LGPD ou deste Acordo, nos termos dos arts. 42 a 45 da LGPD, observados os limites do contrato principal.

10. Vigência e prevalência

Este Acordo vigora enquanto houver tratamento de dados do Cliente. Em conflito com o contrato principal sobre proteção de dados, prevalece este Acordo.

Anexo I — Descrição do tratamento

Anexo II — Medidas de segurança (resumo)

• Criptografia em trânsito (HTTPS) em todos os acessos.
• Senhas e chaves guardadas no cofre do provedor de hospedagem, nunca em documentos ou mensagens.
• Acesso aos sistemas restrito à equipe autorizada.
• Separação dos dados de cada empresa cliente: o servidor confere a empresa e as permissões de quem pede antes de cada acesso.

Anexo III — Suboperadores autorizados

Sobre os suboperadores que tratam dados fora do Brasil, ver o item 5.