Acordo de Tratamento de Dados

O Controlador decide quais dados pessoais coloca no sistema e para quê. A Operadora trata esses dados somente para prestar o serviço contratado e segundo as instruções do Controlador (art. 39 da LGPD). As configurações que o Controlador faz no sistema são instruções para este acordo.

• Titulares: clientes do escritório, partes e terceiros dos processos, interessados (leads), contatos do WhatsApp e a equipe do escritório.
• Dados: identificação e contato, informações de processos e publicações, financeiro, documentos e mensagens.
• Pode haver dados sensíveis, como saúde em processos previdenciários. O Controlador é responsável pela base legal desse tratamento.

• Tratar os dados apenas para prestar o serviço, sem usá-los para fins próprios.
• Manter sigilo e exigir sigilo de quem trabalha com ela.
• Manter as medidas de segurança do art. 46 da LGPD: isolamento entre escritórios aplicado pelo banco de dados, conexão cifrada, credenciais cifradas, verificação em duas etapas, limite de tentativas, registro de auditoria, documentos em espaço privado com links temporários e cópia de segurança diária.
• Ajudar o Controlador a atender os titulares com as ferramentas do sistema: exportar os dados de um cliente, anonimizar, corrigir e registrar os pedidos feitos pelo portal.
• Guardar registro das operações de tratamento que realizar (art. 37 da LGPD).

O Controlador autoriza a Operadora a usar estes fornecedores para prestar o serviço:

• Supabase (banco de dados e arquivos, São Paulo);
• Vercel (hospedagem, São Paulo, com rede global);
• Anthropic (inteligência artificial, Estados Unidos);
• Resend (e-mails, São Paulo);
• Z-API (WhatsApp, Brasil, quando o Controlador liga o WhatsApp).

A inclusão ou troca de suboperador é avisada com 15 dias de antecedência. Se discordar, o Controlador pode cancelar o contrato sem multa. A Operadora exige dos suboperadores obrigações de proteção equivalentes às deste acordo.

Quando o Controlador usa os recursos de IA (leitura de publicações e de comprovantes, atendimento no WhatsApp e assistente), os trechos necessários são enviados à Anthropic, nos Estados Unidos, só para gerar a resposta. Pelos termos comerciais da Anthropic, esses dados não são usados para treinar modelos. A transferência segue o art. 33 da LGPD, com garantias contratuais. O Controlador pode desligar a IA de atendimento e o assistente nas configurações e pedir ao suporte para desligar os demais recursos de IA.

Se souber de um incidente que possa trazer risco ou dano relevante aos titulares, a Operadora avisa o Controlador em até 48 horas. O aviso informa, no que já se souber, o que aconteceu, quais dados e titulares foram afetados, as medidas tomadas e o que o Controlador pode fazer. Assim, o Controlador pode cumprir o art. 48 da LGPD.

Depois do cancelamento, o Controlador tem 30 dias para exportar os seus dados. Passado esse prazo, a Operadora elimina os dados do Controlador em até 90 dias, exceto o que a lei mandar guardar. As cópias de segurança expiram sozinhas em até 7 dias depois disso.

A pedido do Controlador, a Operadora fornece as informações razoáveis para comprovar o cumprimento deste acordo, como a descrição das medidas de segurança e a lista de suboperadores.

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD.

Encarregado da Operadora: [NOME DO ENCARREGADO] · privacidade@aurorajus.com.br.