Acordo de Tratamento de Dados Pessoais (DPA)

Anexo aos Termos de Uso da Plataforma NotificAI — Versão 1.1

Este Acordo integra e é parte indissociável dos Termos de Uso e disciplina o tratamento de dados pessoais realizado pela NotificAI por conta e ordem do cliente, na forma dos arts. 5º, VI e VII, 37, 39 e 46 a 49 da Lei nº 13.709/2018 (LGPD).

CONTROLADOR: o cliente identificado no cadastro da conta — escritório de advocacia, condomínio, administradora, departamento de recursos humanos ou outra pessoa jurídica ou profissional que contrata a plataforma.

OPERADORA: [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO].

Em caso de conflito entre este Acordo e os Termos de Uso quanto a matéria de proteção de dados pessoais, prevalece este Acordo.

1. Definições

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado", "anonimização", "eliminação" e "incidente de segurança" têm o significado que lhes atribui o art. 5º da LGPD.

"Suboperador" é o terceiro contratado pela Operadora para tratar dados pessoais em seu nome, no cumprimento deste Acordo.

"Dados Tratados" são os dados pessoais que o Controlador insere, gera ou transmite pela plataforma e que a Operadora trata por sua conta e ordem.

2. Objeto, natureza, finalidade e duração

2.1. Objeto e finalidade. A Operadora tratará os Dados Tratados exclusivamente para prestar os serviços contratados: composição, revisão, postagem, transmissão e rastreamento de comunicações escritas pelos Correios; produção e guarda do dossiê de prova; execução do módulo de cálculo; geração de relatórios; e integração por API, na medida do plano contratado.

2.2. Natureza das operações. Coleta, recepção, produção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, avaliação, controle, comunicação, transferência, difusão, extração e eliminação.

2.3. Categorias de titulares. Destinatários das comunicações (pessoas naturais ou representantes de pessoas jurídicas); usuários da conta do Controlador; e terceiros mencionados no conteúdo das mensagens ou nos documentos anexados.

2.4. Categorias de dados. Nome e qualificação; CPF ou CNPJ; endereço postal completo; telefone e e-mail; conteúdo integral da mensagem enviada, que pode conter informação sobre dívida, contrato, relação de emprego ou pretensão jurídica; comprovantes e eventos de rastreio devolvidos pelos Correios, inclusive nome de quem recebeu o objeto e data e hora da entrega; e arquivos anexados pelo Controlador.

2.5. Dados sensíveis. A plataforma não se destina ao tratamento de dados pessoais sensíveis (art. 5º, II) nem de dados de crianças e adolescentes. Se o Controlador inseri-los no conteúdo de uma mensagem ou em anexo, fá-lo por sua conta e risco e responde integralmente pela base legal e pelas salvaguardas adicionais exigidas pelos arts. 11 a 14 da LGPD.

2.6. Duração. Este Acordo vigora enquanto durar a relação contratual e, quanto às obrigações de guarda, sigilo e eliminação, pelos prazos das cláusulas 9 e 10.

3. Papéis e responsabilidades

3.1. O Controlador decide as finalidades e os meios essenciais do tratamento: a quem notificar, com qual conteúdo, com qual fundamento e por quanto tempo. Cabe a ele, exclusivamente:

• definir e demonstrar a base legal de cada tratamento (art. 7º ou art. 11 da LGPD);
• assegurar que os dados dos destinatários foram obtidos de forma lícita e são adequados, pertinentes e não excessivos para a finalidade (art. 6º, III);
• prestar a informação ao titular (art. 9º) e responder pelo atendimento dos seus direitos (art. 18);
• manter registro das operações de tratamento (art. 37) e, quando cabível, o relatório de impacto (art. 38);
• não inserir na plataforma dado desnecessário à comunicação pretendida.

3.2. A Operadora executa o tratamento segundo as instruções documentadas do Controlador e responde pelas obrigações desta condição, na forma dos arts. 39 e 42 da LGPD.

3.3. A Operadora não trata os Dados Tratados para finalidade própria, não os comercializa, não os cede, não os cruza entre clientes e não os utiliza para publicidade ou treinamento de modelos. A produção de estatísticas agregadas e anonimizadas (art. 12) sobre o uso da plataforma não é vedada por esta cláusula.

3.4. Se a Operadora vier a determinar por conta própria a finalidade ou os meios essenciais de um tratamento, assumirá quanto a ele a condição de controladora e as responsabilidades correspondentes.

4. Instruções do Controlador

4.1. Instruções documentadas são, cumulativamente: (i) os Termos de Uso e este Acordo; (ii) as ações executadas pelo Controlador na própria plataforma — criar um envio, importar uma planilha, gerar um dossiê, emitir um relatório, chamar a API, apagar um contato, exportar dados; (iii) as instruções escritas encaminhadas ao canal do Encarregado.

4.2. A Operadora tratará os Dados Tratados somente conforme essas instruções, salvo quando obrigada por lei brasileira, hipótese em que informará o Controlador previamente, exceto se a própria lei vedar a informação.

4.3. A Operadora informará o Controlador, sem demora, se entender que uma instrução recebida viola a LGPD ou outra norma de proteção de dados, podendo suspender a execução daquela instrução até o esclarecimento.

4.4. A Operadora não é obrigada a examinar o conteúdo de cada mensagem quanto à sua licitude; a conferência prévia do conteúdo é dever do Controlador.

5. Medidas de segurança

5.1. A Operadora mantém, no mínimo, as medidas técnicas e administrativas abaixo, que refletem controles efetivamente implementados na plataforma (art. 46 da LGPD):

Isolamento e controle de acesso

• Segregação lógica entre clientes por política de acesso em nível de linha (RLS) no banco de dados, avaliada pelo próprio banco a cada consulta — o isolamento não depende da interface nem do código da aplicação.
• Identidade verificada no servidor a cada requisição, com validação do token de sessão contra o provedor de autenticação; nunca por cookie autodeclarado.
• Controle de acesso por papel (proprietário, administrador, operador, leitor) e por etiqueta de processo, aplicado no servidor mesmo quando a interface já oculta a função.
• Escrita em áreas sensíveis (movimentação de carteira, registro de aceite, registro de dossiê) apenas por funções de banco de dados com privilégio definido e verificação interna de autorização — jamais por escrita direta do cliente.
• Segundo fator de autenticação obrigatório para os administradores da plataforma; sessões administrativas monitoradas.
• Chaves de API armazenadas apenas como hash com segredo adicional (pepper), exibidas uma única vez no momento da emissão e revogáveis pelo Controlador.

Criptografia e integridade

• Criptografia em trânsito (TLS) em todo o tráfego entre o titular, a plataforma, os suboperadores e os Correios.
• Criptografia em repouso no banco de dados, no armazenamento de arquivos e nas cópias de segurança.
• Hash SHA-256 do conteúdo de cada dossiê, comprovante e PDF de cálculo, com página pública de verificação — qualquer alteração de um byte é detectável.
• Imutabilidade dos dossiês, dos comprovantes e das versões publicadas dos documentos legais.

Registro e rastreabilidade

• Trilha de auditoria com autor, ação, recurso afetado e horário de cada operação relevante, acessível ao Controlador na plataforma e não editável por ele.
• Registro do aceite de cada versão dos documentos legais, com data, hora, IP e user agent.
• Registro de acesso a aplicações mantido na forma do art. 15 do Marco Civil da Internet.

Higidez de entrada e de saída

• Validação de arquivos por conteúdo real (assinatura binária), recodificação obrigatória de imagens, bloqueio de PDF com conteúdo ativo e varredura antivírus quando habilitada.
• Neutralização de fórmulas em importação de planilha e limites de tamanho, de linhas e de colunas.
• Proteção contra requisição forjada a destinos internos nos webhooks de saída, com validação e fixação do endereço IP de destino.
• Limite distribuído de requisições e verificação obrigatória de configuração de segurança no início da execução em produção, que impede a subida da aplicação com adaptadores simulados ou segredos ausentes.

5.2. A Operadora poderá substituir qualquer medida por outra de eficácia equivalente ou superior, sem redução do nível de proteção.

5.3. O pessoal da Operadora com acesso aos Dados Tratados está sujeito a obrigação contratual de confidencialidade, e o acesso é concedido pelo princípio do menor privilégio e do estrito necessário.

6. Suboperadores

6.1. O Controlador autoriza de forma geral a contratação dos suboperadores relacionados na Política de Privacidade, item 5 — atualmente Correios (ECT), Supabase, Vercel, Amazon Web Services, Asaas, Resend e Upstash —, cada qual com o papel, as categorias de dados e o local de processamento ali descritos.

6.2. A Operadora impõe contratualmente a cada suboperador obrigações de proteção de dados não menos protetivas do que as deste Acordo e permanece integralmente responsável perante o Controlador pelos atos e omissões dos suboperadores.

6.3. A inclusão ou a substituição de suboperador será comunicada ao Controlador, por e-mail e por aviso na plataforma, com antecedência mínima de 30 (trinta) dias. O Controlador poderá opor-se de forma fundamentada dentro desse prazo; não sendo possível acomodar a objeção, o Controlador poderá rescindir sem ônus a parcela dos serviços afetada, com devolução proporcional dos valores pagos e não utilizados.

7. Transferência internacional

7.1. As transferências internacionais decorrentes do uso dos suboperadores observam o art. 33 da LGPD, com fundamento em cláusulas contratuais específicas e padrões contratuais firmados com cada fornecedor (art. 33, II, "d") e, quando aplicável, na necessidade para a execução do contrato (art. 33, V).

7.2. A Operadora priorizará, sempre que houver alternativa técnica e comercial equivalente, o processamento e o armazenamento em território nacional, especialmente quanto aos dossiês, aos comprovantes e ao conteúdo das comunicações.

8. Incidentes de segurança

8.1. A Operadora comunicará o Controlador em até 2 (dois) dias úteis contados do momento em que tomar conhecimento de incidente de segurança que envolva os Dados Tratados.

8.2. A comunicação conterá, na medida do conhecido: a descrição da natureza dos dados afetados; as categorias e o número aproximado de titulares envolvidos; a data e a duração do incidente; as medidas técnicas de segurança que protegiam os dados; os riscos prováveis; as medidas de contenção e mitigação já adotadas; e o contato para esclarecimentos. Informações ainda desconhecidas serão complementadas assim que apuradas, sem aguardar a conclusão da investigação.

8.3. A comunicação à ANPD e aos titulares, quando o incidente envolver os Dados Tratados, cabe ao Controlador, na qualidade de responsável pela decisão do tratamento. A Operadora prestará toda a cooperação e as informações necessárias, tempestivamente e sem custo adicional.

8.4. A Operadora manterá registro interno de todos os incidentes, ainda que não comunicáveis, e o disponibilizará ao Controlador mediante solicitação.

8.5. A Operadora não fará, em nome do Controlador, comunicação pública sobre incidente que envolva os Dados Tratados sem prévio alinhamento, salvo quando obrigada por lei ou por determinação de autoridade.

9. Auxílio ao Controlador e direitos dos titulares

9.1. Considerada a natureza do tratamento, a Operadora auxiliará o Controlador no atendimento dos pedidos de titulares (art. 18), disponibilizando na própria plataforma os recursos de consulta, correção, exportação e eliminação dos dados que o Controlador gerencia, além de responder a solicitações pontuais em até 10 (dez) dias corridos.

9.2. Recebendo diretamente pedido de titular relativo aos Dados Tratados, a Operadora não responderá em nome do Controlador: encaminhará o pedido ao Controlador em até 5 (cinco) dias corridos e informará o titular sobre quem é o controlador competente.

9.3. A Operadora auxiliará o Controlador, na medida do razoável, na elaboração de relatório de impacto (art. 38), no atendimento a requisições da ANPD e na demonstração de conformidade.

9.4. Limite de eliminação. O pedido de eliminação não alcança os dossiês, os comprovantes, o hash de conteúdo e a trilha de auditoria, retidos para o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI, e art. 16, III, da LGPD) pelo prazo do item 7.2 da Política de Privacidade. A recusa será sempre motivada e comunicada.

10. Término: devolução e eliminação

10.1. Encerrada a relação contratual por qualquer causa, o Controlador terá 30 (trinta) dias corridos, contados do encerramento, para exportar os seus dados pela plataforma, em formato estruturado e de uso comum.

10.2. Findo esse prazo e mediante instrução do Controlador, a Operadora eliminará ou devolverá os Dados Tratados, à escolha do Controlador. Não havendo instrução no prazo, a Operadora procederá à eliminação.

10.3. Ressalva. Permanecerão retidos, e não serão eliminados a pedido, os dados cuja guarda seja exigida por lei ou necessária ao exercício regular de direitos, nos termos do art. 16 da LGPD — em especial os dossiês, os comprovantes, os registros de faturamento e a trilha de auditoria, pelos prazos do item 7.2 da Política de Privacidade. Sobre esses dados a Operadora continua obrigada por este Acordo, sem qualquer novo tratamento além da guarda e da eventual apresentação em processo.

10.4. A eliminação é definitiva e alcança as cópias de segurança no ciclo seguinte de rotação. Mediante solicitação, a Operadora emitirá declaração escrita de eliminação.

11. Auditoria e demonstração de conformidade

11.1. A Operadora disponibilizará ao Controlador, mediante solicitação, as informações necessárias para demonstrar o cumprimento deste Acordo, inclusive: descrição das medidas de segurança vigentes; lista atualizada de suboperadores; relatórios de avaliação de segurança de que disponha; e evidências da trilha de auditoria da conta do Controlador.

11.2. O Controlador poderá realizar auditoria uma vez por ano civil, ou a qualquer tempo após incidente de segurança que afete os seus dados, mediante aviso prévio de 30 (trinta) dias, em dia útil e horário comercial, por si ou por auditor independente que não seja concorrente da Operadora e que assine termo de confidencialidade.

11.3. A auditoria observará os limites necessários à proteção do sigilo dos demais clientes, da segurança da plataforma e dos segredos de negócio da Operadora: não abrange acesso a dados de outros clientes, ao código-fonte ou a ambientes de produção em operação.

11.4. Os custos da auditoria correm por conta do Controlador, salvo se dela resultar apuração de descumprimento relevante deste Acordo, hipótese em que serão suportados pela Operadora.

11.5. A Operadora poderá satisfazer o pedido de auditoria mediante a apresentação de relatório de auditoria independente atualizado que cubra o escopo solicitado.

12. Responsabilidade

12.1. Cada parte responde nos termos dos arts. 42 a 45 da LGPD.

12.2. A Operadora responde solidariamente apenas nas hipóteses do art. 42, §1º, I, da LGPD — quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do Controlador.

12.3. O Controlador responde perante os titulares e as autoridades pela licitude da decisão de tratar, pela base legal escolhida, pela exatidão dos dados inseridos e pelo conteúdo das comunicações, e indenizará regressivamente a Operadora por perdas, multas e condenações decorrentes de instrução ilícita ou de conteúdo por ele determinado.

12.4. As limitações de responsabilidade dos Termos de Uso não se aplicam à violação de dever legal de proteção de dados pessoais imputável à Operadora.

13. Encarregado e comunicações

13.1. Canal do Encarregado da Operadora (art. 41 da LGPD): [E-MAIL DO ENCARREGADO].

13.2. O Controlador indicará seu próprio encarregado ou canal de contato, mantendo-o atualizado no cadastro da conta.

13.3. Toda notificação relativa a este Acordo será feita por escrito, ao canal do Encarregado da Operadora e ao e-mail cadastrado do Controlador.

14. Disposições finais

14.1. Este Acordo é versionado em conjunto com os Termos de Uso; cada versão publicada é imutável e permanece consultável na plataforma, e alterações relevantes observam o item 14 dos Termos de Uso.

14.2. A invalidade de qualquer cláusula não afeta as demais.

14.3. Aplica-se a legislação brasileira e o foro do item 16 dos Termos de Uso.

Operadora: [RAZÃO SOCIAL] — CNPJ [CNPJ] — [ENDEREÇO]

Encarregado: [E-MAIL DO ENCARREGADO]