Adendo de Tratamento de Dados (DPA)

CONTROLADOR: o Cliente, a quem competem as decisões sobre o tratamento dos dados de seus clientes-finais.

OPERADORA: a Plataforma, que trata esses dados EM NOME e SOB AS INSTRUÇÕES do Controlador, exclusivamente para prestar o serviço.

A Operadora tratará os dados pessoais estritamente para operar o atendimento e as funções contratadas, conforme as instruções documentadas do Controlador — a configuração e o uso da Plataforma constituem tais instruções.

A Operadora não usará os dados para finalidades próprias alheias à prestação do serviço.

Garantir base legal para todo tratamento (art. 7 e 11) e, quando exigido, o consentimento dos titulares, inclusive o opt-in do canal de mensagens.

Fornecer instruções lícitas e responder, na qualidade de controlador, perante os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

NÃO inserir na Plataforma dados pessoais sensíveis (art. 5, II) sem base legal específica e ciência do risco.

Tratar os dados somente conforme este Adendo e as instruções do Controlador e manter confidencialidade.

Adotar medidas de segurança compatíveis com o risco (art. 46): isolamento por locatário, cifragem, controle de acesso e trilha de auditoria.

Auxiliar o Controlador, na medida do serviço, no atendimento a titulares e nas obrigações de segurança e de comunicação de incidentes.

O Controlador autoriza a Operadora a contratar subprocessadores necessários à prestação, sob obrigações equivalentes de proteção de dados. Os subprocessadores atuais são: (a) OpenAI, L.L.C. — modelo de linguagem e transcrição de áudio (Whisper), com tratamento nos Estados Unidos; (b) Meta Platforms, Inc. / WhatsApp — canal de mensagem (WhatsApp Cloud API), com tratamento nos Estados Unidos; e (c) [PROVEDOR DE INFRA] — hospedagem e infraestrutura (VPS/nuvem).

Nas hipóteses de tratamento fora do Brasil (por exemplo, OpenAI e Meta Platforms, nos Estados Unidos), a transferência internacional observa o art. 33 da LGPD, amparada em cláusulas contratuais padrão e nas garantias adequadas de proteção mantidas por esses subprocessadores. A Operadora comunicará o Controlador em caso de alteração ou inclusão de subprocessador, para que este possa se opor por motivo legítimo.

A Operadora disponibiliza ferramentas para que o Controlador atenda solicitações de titulares (art. 18), incluindo acesso e eliminação, e repassa ao Controlador as solicitações recebidas diretamente.

Ciente de incidente que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará o Controlador sem demora indevida, com as informações disponíveis, para que este cumpra o art. 48 perante a ANPD e os titulares.

Encerrado o contrato, a Operadora, conforme instrução do Controlador, eliminará ou devolverá os dados pessoais tratados, salvo guarda exigida por lei.

Cada parte responde por suas obrigações na forma da LGPD (art. 42). O Controlador é o responsável primário pela licitude do tratamento que determina e pela base legal dos dados que traz à Plataforma.