Acordo de Processamento de Dados (DPA) — Relaciona AI

Este Acordo de Processamento de Dados ("DPA") integra e complementa os Termos de Uso e a Política de Privacidade da Relaciona AI. Ele rege o tratamento de dados pessoais realizado pela Relaciona AI em nome da empresa usuária, no contexto da utilização da Plataforma, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Em caso de conflito sobre proteção de dados, prevalece este DPA.

Aplicam-se as definições da LGPD. Para os fins deste DPA: "Controlador" é a empresa usuária que decide sobre o tratamento dos dados dos seus contatos/leads; "Operador" é a Eixo X Soluções Inteligentes LTDA (Relaciona AI), que trata os dados em nome do Controlador; "Suboperador" é o terceiro contratado pelo Operador para auxiliar no tratamento; "Titular" é a pessoa natural a quem os dados se referem.

Quanto aos dados dos contatos/leads inseridos ou integrados na Plataforma, a empresa usuária atua como CONTROLADORA e a Relaciona AI como OPERADORA. Quanto aos dados de cadastro e uso da própria conta da empresa usuária, a Relaciona AI atua como Controladora, conforme a Política de Privacidade.

• Natureza e finalidade: prestar os serviços da Plataforma — relacionamento, atendimento e vendas via canais de mensageria — incluindo envio e recebimento de mensagens, organização de contatos, campanhas e recursos de IA;
• Duração: enquanto vigente a contratação, observado o disposto na cláusula de término;
• Tipos de dados: dados de identificação e contato (nome, telefone, identificadores de WhatsApp), conteúdo de mensagens, mídias e metadados de envio/entrega;
• Categorias de titulares: contatos, leads e clientes da empresa usuária.

A Relaciona AI compromete-se a:

• tratar os dados apenas conforme as instruções documentadas do Controlador e nos limites da LGPD;
• não utilizar os dados para finalidades próprias diversas da prestação do serviço, nem comercializá-los ou cedê-los a terceiros para fins alheios ao contrato;
• garantir que as pessoas autorizadas ao tratamento estejam sujeitas a obrigação de confidencialidade;
• adotar medidas técnicas e organizacionais de segurança proporcionais ao risco (cláusula 7);
• auxiliar o Controlador no cumprimento de suas obrigações perante os Titulares e a ANPD (cláusulas 9 e 10);
• notificar o Controlador em caso de incidente de segurança, nos termos da cláusula 10.

O Controlador é responsável por possuir base legal adequada para o tratamento dos dados de seus Titulares e por instruir o Operador de forma lícita. A utilização da Plataforma e suas configurações constituem as instruções documentadas do Controlador. O Operador informará o Controlador caso, em sua avaliação, uma instrução viole a LGPD, abstendo-se de executá-la até que a divergência seja resolvida.

O Operador adota medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, perda, alteração ou destruição, incluindo: criptografia em trânsito (TLS) e em repouso; controle de acesso baseado em função; isolamento de dados por cliente (multi-tenant); registro de eventos de acesso e alteração; e práticas de desenvolvimento seguro (SSDLC). As medidas são proporcionais ao risco do tratamento e revisadas periodicamente.

O Controlador autoriza o Operador a contratar suboperadores para a prestação do serviço, mediante contrato que imponha obrigações de proteção de dados equivalentes às deste DPA. O Operador permanece responsável perante o Controlador pelos atos e omissões de seus suboperadores.

Os suboperadores que processam conteúdo de conversas ou dados de identificação dos Titulares do Controlador são:

Demais suboperadores (infraestrutura de nuvem, processamento de pagamentos e observabilidade) não acessam conteúdo de conversas nem dados de identificação dos Titulares do Controlador.

O Operador notificará o Controlador com antecedência mínima de 30 (trinta) dias antes de adicionar ou substituir qualquer suboperador que processe conteúdo de conversas ou dados de identificação. O Controlador poderá objetar à mudança por escrito dentro desse prazo; na ausência de objeção, a mudança considera-se aprovada.

A Plataforma oferece funcionalidades que envolvem o tratamento de dados por sistemas de inteligência artificial, incluindo análise de conversas, simulação de atendimento e agente autônomo de vendas.

O Controlador é responsável por:

• avaliar a adequação do uso dessas funcionalidades para o seu caso de uso;
• possuir base legal para o tratamento de dados de seus Titulares por meio de IA;
• informar os Titulares sobre o uso de funcionalidades de IA ou obter seu consentimento prévio, quando exigido pela legislação aplicável.

Os resultados gerados pelas funcionalidades de IA possuem caráter analítico e probabilístico, podendo conter imprecisões. Não substituem o julgamento humano nem devem ser utilizados como única base para decisões que afetem direitos dos Titulares.

Os dados de conversas tratados pelas funcionalidades de IA não serão utilizados por nenhum provedor de modelo de linguagem para treinar seus modelos ou para qualquer finalidade além da prestação dos serviços contratados. O Operador exige essa restrição contratualmente de todos os seus suboperadores de IA. Adicionalmente, antes de enviar conteúdo ao provedor de IA, o Operador aplica pseudonimização automática para remover identificadores estruturados (CPF, CNPJ, telefone, e-mail, CEP), conforme o Art. 13 da LGPD.

O Operador auxiliará o Controlador, na medida do razoavelmente possível, a responder às solicitações de Titulares previstas no Art. 18 da LGPD (acesso, correção, eliminação, portabilidade, revogação de consentimento, entre outros), por meio de recursos da Plataforma ou mediante solicitação ao Encarregado. Pedidos de exclusão seguem a página de Exclusão de Dados.

O Operador notificará o Controlador em até 3 (três) dias úteis após confirmar a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, nos termos da Resolução CD/ANPD nº 15/2024. A notificação conterá, na medida das informações disponíveis: (a) natureza do incidente; (b) categorias e estimativa de Titulares afetados; (c) medidas adotadas ou em adoção para mitigar os efeitos. O Operador auxiliará o Controlador no cumprimento de suas obrigações de comunicação à ANPD e aos Titulares.

Alguns suboperadores operam fora do território nacional, principalmente nos EUA. Tais transferências são realizadas com base em um ou mais dos seguintes mecanismos, conforme o Art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024:

• decisão de adequação emitida pela ANPD, quando disponível para o país de destino;
• cláusulas contratuais padrão aprovadas pela ANPD nos termos da Resolução CD/ANPD nº 19/2024;
• garantias contratuais específicas com o suboperador, incluindo restrição de uso dos dados, proibição de treinamento de modelos de IA e, quando aplicável, direito de auditoria.

Durante a vigência, o Operador retém os dados pessoais pelo período necessário à prestação dos serviços. Após o término contratual, o Operador disponibilizará os dados para exportação pelo Controlador por até 60 (sessenta) dias, após os quais procederá à eliminação segura.

Ficam ressalvadas as hipóteses de retenção por obrigação legal:

• registros fiscais e contábeis: até 5 (cinco) anos (legislação tributária);
• registros de acesso à aplicação: mínimo de 6 (seis) meses (Marco Civil da Internet, Art. 15);
• logs de segurança e auditoria: até 1 (um) ano.

O Operador disponibilizará ao Controlador, mediante solicitação razoável e prévia com antecedência mínima de 15 (quinze) dias, as informações necessárias para demonstrar o cumprimento das obrigações deste DPA, preservando a confidencialidade de dados de outros clientes. Auditorias por terceiros podem ser realizadas mediante acordo prévio entre as partes quanto a escopo, prazo e custeio.

O Operador responderá por incidentes de segurança ou violações deste DPA comprovadamente decorrentes de sua ação ou omissão dolosa ou culposa. Em hipóteses de responsabilidade solidária com o Controlador, cada parte responderá exclusivamente na medida de sua participação efetiva no evento danoso.

A responsabilidade agregada do Operador decorrente deste DPA não excederá o valor pago pelo Controlador à Relaciona AI nos 12 (doze) meses anteriores ao evento gerador, exceto em casos de dolo ou violação intencional. Não se aplica qualquer limitação de responsabilidade a violações dos direitos dos Titulares previstos no Art. 18 da LGPD ou a multas administrativas impostas pela ANPD em decorrência de conduta exclusiva do Operador.

Este DPA vigora enquanto houver tratamento de dados pessoais pelo Operador em nome do Controlador e é regido pelas leis da República Federativa do Brasil.

Para exercer direitos previstos neste DPA ou na LGPD, comunicar incidentes ou tratar de qualquer questão de proteção de dados, o Controlador pode contatar o Encarregado (DPO) da Relaciona AI pelo e-mail privacidade@kerossolucoes.com.br.