ACORDO DE TRATAMENTO DE DADOS PESSOAIS

Documentando — DPA

Versão: 2
Data: 15 de outubro de 2026

Este Acordo de Tratamento de Dados Pessoais (“DPA”) integra os Termos de Serviço aplicáveis ao Documentando e disciplina o Tratamento de Dados Pessoais realizado pela BLUE MATTER SOFTWARE LTDA., inscrita no CNPJ sob nº 64.816.848/0001-76, com sede na Avenida Paulista, 777, 15º andar, Conj. 15, Sala 2289, Bela Vista, São Paulo/SP, CEP 01311-914 (“Operadora”), em nome da pessoa jurídica brasileira ou do empresário individual brasileiro, inclusive MEI, que contrata ou utiliza o Documentando (“Organização” ou “Controlador”).

Ao aceitar este DPA em nome de uma Organização, o usuário declara possuir poderes para vinculá-la a este Acordo.

1. Objeto e escopo

1.1. Este DPA aplica-se exclusivamente às operações de Tratamento em que a Operadora trata Dados Pessoais em nome da Organização no contexto das Solicitações criadas e administradas por meio do Documentando.

1.2. Para esses Tratamentos, salvo quando as circunstâncias concretas determinarem classificação jurídica diferente:

a Organização atua como Controlador; e
a Operadora atua como Operador.

1.3. Este DPA não se aplica, nessa qualidade de relação Controlador–Operador, aos Tratamentos realizados pela Operadora para suas próprias finalidades legítimas e independentes, incluindo, conforme aplicável, cadastro e autenticação de usuários, segurança da plataforma, prevenção de abuso, relacionamento comercial, faturamento, administração do Serviço, determinados registros técnicos e atividades de suporte.

1.4. Os Tratamentos referidos na cláusula 1.3 serão regidos pela legislação aplicável, pela Política de Privacidade do Documentando e pelos demais documentos contratuais pertinentes.

1.5. Em caso de conflito entre este DPA e disposições gerais dos Termos de Serviço especificamente quanto ao Tratamento de Dados Pessoais realizado pela Operadora em nome da Organização, prevalecerá este DPA quanto à matéria específica de proteção de dados.

2. Definições

2.1. Para fins deste DPA:

“Dados Pessoais” significa informação relacionada a pessoa natural identificada ou identificável, nos termos da legislação aplicável.

“Dados Pessoais Sensíveis” possui o significado estabelecido pela Lei nº 13.709/2018 (“LGPD”).

“Titular” significa a pessoa natural a quem se referem os Dados Pessoais objeto de Tratamento.

“Controlador” significa quem possui competência para tomar as decisões referentes ao Tratamento de Dados Pessoais.

“Operador” significa quem realiza o Tratamento de Dados Pessoais em nome do Controlador.

“Suboperador” significa terceiro contratado pela Operadora para realizar, em seu nome, atividades de Tratamento abrangidas por este DPA.

“Tratamento” possui o significado atribuído pela LGPD e inclui, entre outras operações, coleta, recepção, acesso, armazenamento, processamento, transmissão, disponibilização, arquivamento e eliminação.

“Incidente de Segurança” significa evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de Dados Pessoais, conforme a legislação aplicável.

“Solicitação” significa o fluxo criado por uma Organização no Documentando para solicitar e receber documentos, arquivos, informações ou respostas.

“Contato” significa a pessoa externa à Organização que acessa uma Solicitação e fornece informações, respostas ou arquivos.

“Legislação de Proteção de Dados” significa a LGPD e demais leis, regulamentos e normas aplicáveis ao Tratamento objeto deste DPA.

3. Instruções da Organização

3.1. A Operadora tratará os Dados Pessoais abrangidos por este DPA de acordo com as instruções documentadas da Organização e na medida necessária à prestação do Serviço.

3.2. Constituem instruções documentadas, entre outras:

este DPA e os Termos de Serviço;
as configurações realizadas pela Organização no Documentando;
a criação e configuração das Solicitações;
a definição dos campos, documentos, informações, Contatos e canais de comunicação utilizados;
as ações realizadas pelos usuários autorizados da Organização por meio das funcionalidades do Serviço; e
instruções adicionais legítimas e tecnicamente viáveis acordadas entre as partes.

3.3. A Organização é responsável por determinar:

quais Dados Pessoais serão solicitados;
de quais Titulares os dados serão coletados;
as finalidades do Tratamento;
o fundamento jurídico aplicável;
a necessidade e proporcionalidade da coleta;
a duração pela qual necessita dos dados;
o uso posterior das informações; e
o atendimento das obrigações de transparência perante os Titulares.

3.4. A Operadora não realiza análise jurídica prévia de cada Solicitação criada pela Organização e não verifica, como condição de uso do Serviço, se a Organização possui fundamento jurídico para cada dado, documento ou informação que decida solicitar.

3.5. A Organização não deverá instruir a Operadora a realizar Tratamento manifestamente contrário à Legislação de Proteção de Dados.

3.6. Caso a Operadora identifique que uma instrução específica é manifestamente ilícita ou incompatível com suas obrigações legais, poderá deixar de executá-la e solicitar esclarecimentos ou adequações, sem prejuízo das medidas previstas nos Termos de Serviço.

3.7. Uso de conteúdo e inteligência artificial. A Operadora não utilizará os Dados Pessoais, respostas, arquivos ou demais conteúdos privados tratados em nome da Organização para treinar, ajustar, aprimorar ou desenvolver modelos de inteligência artificial próprios ou de terceiros, nem para publicidade, criação de perfis ou finalidades comerciais independentes.

3.8. Eventuais funcionalidades futuras de inteligência artificial, OCR, extração automática ou validação inteligente que processem conteúdo das Solicitações somente serão utilizadas conforme as instruções aplicáveis da Organização, a documentação contratual vigente e a Legislação de Proteção de Dados. A adoção de tais funcionalidades não autoriza, por si só, o uso do conteúdo privado das Solicitações para treinamento de modelos.

4. Características do Tratamento

4.1. A natureza, finalidade, categorias de Titulares e categorias de Dados Pessoais abrangidas pelo Tratamento estão descritas no Anexo I.

4.2. A Organização reconhece que o Documentando é uma plataforma de uso genérico e que, conforme a configuração de cada Solicitação, poderão ser tratados Dados Pessoais Sensíveis, dados relativos a crianças ou adolescentes, dados financeiros, documentos de identificação e outras categorias de informação definidas pela própria Organização.

4.3. A possibilidade técnica de inserir determinada categoria de dado no Serviço não significa que seu Tratamento seja juridicamente adequado em todos os contextos.

5. Confidencialidade e acesso

5.1. A Operadora adotará medidas razoáveis para restringir o acesso aos Dados Pessoais às pessoas que necessitem desse acesso para atividades autorizadas relacionadas à prestação, segurança, manutenção ou suporte do Serviço.

5.2. O Documentando não é projetado para permitir que funcionários ou operadores naveguem normalmente pelo conteúdo privado das Organizações e não dispõe de painel administrativo destinado à leitura rotineira das respostas e documentos armazenados nas Solicitações.

5.3. O acesso administrativo ao conteúdo privado não integra a experiência ordinária do Serviço. Quando acesso excepcional for tecnicamente necessário e juridicamente permitido, ele deverá ficar restrito a pessoas autorizadas, ao escopo necessário e à finalidade legítima correspondente.

5.4. Situações que podem justificar esse acesso excepcional incluem, conforme aplicável:

cumprimento de obrigação legal ou ordem válida de autoridade competente;
investigação ou resposta a Incidente de Segurança;
recuperação técnica excepcional;
manutenção ou resolução de problema técnico que não possa ser solucionado razoavelmente sem esse acesso; ou
outra finalidade previamente autorizada pela Organização ou permitida por lei.

5.5. As pessoas autorizadas a realizar Tratamento deverão estar sujeitas a deveres adequados de confidencialidade.

6. Segurança da informação

6.1. A Operadora adotará medidas técnicas e administrativas destinadas a proteger os Dados Pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou Tratamento inadequado ou ilícito, considerando a natureza do Serviço e os riscos envolvidos.

6.2. As principais medidas atualmente aplicáveis encontram-se descritas no Anexo II.

6.3. A Organização reconhece que nenhuma medida técnica ou administrativa é capaz de eliminar integralmente todos os riscos inerentes ao Tratamento de Dados Pessoais.

6.4. A Organização é responsável pela segurança de seus próprios ambientes, equipamentos, credenciais, contas de usuário, colaboradores e controles internos de acesso ao Serviço.

6.5. A Organização deverá manter adequadamente configurados os papéis e permissões de seus membros e remover tempestivamente o acesso de pessoas que deixarem de estar autorizadas.

7. Suboperadores

7.1. A Organização concede autorização geral para que a Operadora utilize Suboperadores quando isso for necessário para a prestação do Serviço.

7.2. Os principais fornecedores que atualmente podem participar das operações abrangidas por este DPA estão identificados no Anexo III.

7.3. A Operadora deverá exigir dos Suboperadores obrigações de proteção de Dados Pessoais compatíveis com a natureza dos serviços por eles prestados e com as obrigações aplicáveis à Operadora.

7.4. A contratação de Suboperador não exime a Operadora das responsabilidades que lhe sejam atribuídas pela legislação aplicável em relação às atividades que realiza como Operador.

7.5. Alterações materiais na cadeia de Suboperadores que afetem de forma relevante o Tratamento abrangido por este DPA serão comunicadas à Organização por meio adequado, inclusive por atualização da documentação aplicável ou comunicação eletrônica.

7.6. A Organização poderá apresentar objeção fundamentada à contratação de novo Suboperador quando possuir razões razoáveis relacionadas à proteção de Dados Pessoais. A objeção deverá ser apresentada no prazo razoável indicado na comunicação e conter elementos suficientes para permitir sua avaliação.

7.7. Recebida uma objeção válida, as partes buscarão, de boa-fé, solução razoável, que poderá incluir esclarecimentos adicionais, medidas mitigadoras ou alternativa tecnicamente viável. Caso não seja possível resolver a objeção de forma razoável, a Organização poderá encerrar o Serviço afetado antes do início do Tratamento pelo novo Suboperador, observadas as regras aplicáveis de encerramento, exportação e retenção de dados.

7.8. O procedimento das cláusulas 7.6 e 7.7 não impede substituição ou contratação imediata quando necessária para atender obrigação legal, responder a risco relevante de segurança ou preservar a continuidade essencial do Serviço. Nesses casos, a Operadora comunicará a alteração à Organização sem demora injustificada, na medida legal e tecnicamente possível.

8. Transferências internacionais

8.1. A infraestrutura principal e o armazenamento principal do conteúdo das Solicitações são projetados para permanecer no Brasil.

8.2. A Organização reconhece, contudo, que fornecedores globais podem participar da prestação do Serviço e que determinadas operações de infraestrutura, rede, comunicação, suporte ou mensageria podem envolver Tratamento de Dados Pessoais ou metadados em outros países.

8.3. Quando uma operação caracterizar transferência internacional de Dados Pessoais sujeita à LGPD, a Operadora avaliará e tratará o fluxo conforme a legislação aplicável, a regulamentação da ANPD e os instrumentos jurídicos aplicáveis à operação concreta.

8.4. A Operadora acompanhará mudanças relevantes em seus fornecedores e nos instrumentos aplicáveis às transferências internacionais e atualizará suas práticas ou documentação quando necessário.

8.5. Informações sobre os principais fornecedores que podem participar dos Tratamentos abrangidos por este DPA constam do Anexo III. Informações adicionais sobre transferências internacionais poderão ser fornecidas à Organização quando razoavelmente necessárias para o cumprimento de suas obrigações de proteção de dados, observados os limites legais, de segurança e de confidencialidade.

9. Direitos dos Titulares

9.1. A Organização é responsável por avaliar e responder às solicitações dos Titulares relacionadas aos Dados Pessoais cujo Tratamento controla.

9.2. Caso a Operadora receba diretamente pedido de Titular relacionado ao conteúdo de uma Solicitação, poderá:

identificar, quando possível, a Organização responsável;
orientar o Titular a contatar a Organização;
encaminhar ou comunicar o pedido à Organização; e
colaborar com a Organização conforme instrução legítima e tecnicamente viável.

9.3. Salvo quando exigido por lei, a Operadora não deverá tomar, por conta própria, decisões que competem à Organização quanto ao exercício dos direitos relacionados aos Dados Pessoais tratados em nome dela.

9.4. Mediante solicitação razoável da Organização, a Operadora prestará assistência tecnicamente disponível para permitir o atendimento de direitos dos Titulares relacionados aos dados mantidos no Serviço. A assistência realizada por meio das funcionalidades ordinárias do Serviço integra a prestação normal do Serviço.

9.5. Solicitações que exijam desenvolvimento específico, extrações personalizadas, atividades manuais extraordinárias ou alocação de recursos desproporcional ao uso normal do Serviço poderão estar sujeitas à análise de viabilidade técnica e operacional e a custos razoáveis previamente informados e acordados com a Organização. Essa previsão não afasta obrigações legais próprias da Operadora nem se aplica a medidas necessárias para corrigir descumprimento imputável à própria Operadora.

9.6. A Organização reconhece que Dados Pessoais anteriormente exportados, copiados ou transferidos pela própria Organização para sistemas externos deixam de estar sob controle técnico da Operadora, e sua exclusão do Documentando não implica exclusão automática dessas cópias externas.

10. Incidentes de Segurança

10.1. Caso a Operadora tome conhecimento de Incidente de Segurança relevante envolvendo Dados Pessoais tratados em nome da Organização, notificará a Organização sem demora injustificada.

10.2. A comunicação poderá ser complementada progressivamente conforme novas informações se tornem disponíveis.

10.3. Na medida em que as informações estejam disponíveis e sejam pertinentes, a Operadora buscará fornecer elementos que auxiliem a Organização a avaliar:

a natureza e extensão do Incidente;
as categorias de dados envolvidas;
os Titulares potencialmente afetados;
as medidas adotadas ou planejadas;
os riscos identificados;
a causa, quando conhecida; e
as ações de contenção, correção ou mitigação.

10.4. Quando a Organização atuar como Controlador, caberá a ela avaliar e realizar as comunicações à ANPD, aos Titulares ou a outras autoridades que sejam legalmente exigidas.

10.5. A Operadora prestará cooperação razoável para permitir que a Organização cumpra suas obrigações legais relacionadas ao Incidente.

10.6. A Operadora buscará fornecer as informações disponíveis em tempo hábil para apoiar a Organização no cumprimento de suas obrigações legais de comunicação, considerando a natureza do Incidente, as informações disponíveis e a necessidade de apuração progressiva.

10.7. A comunicação de um Incidente não constitui, por si só, reconhecimento de culpa, responsabilidade ou violação legal por qualquer das partes.

11. Retenção, devolução e exclusão

11.1. Os Dados Pessoais abrangidos por este DPA serão mantidos enquanto necessário à prestação do Serviço e conforme as instruções da Organização, as funcionalidades disponíveis, a política de retenção aplicável e as obrigações legais pertinentes.

11.2. Solicitações em andamento poderão permanecer armazenadas enquanto estiverem ativas. Arquivos removidos, substituídos, abandonados ou associados à exclusão de Solicitações ativas poderão ser eliminados pelos processos técnicos da aplicação.

11.3. Solicitações concluídas poderão permanecer disponíveis à Organização enquanto forem mantidas no Serviço, sem que isso implique compromisso de retenção eterna. Versões históricas e tentativas anteriores de respostas poderão ser eliminadas quando a Solicitação for concluída.

11.4. A Organização poderá utilizar os mecanismos de exportação disponibilizados pelo Serviço e, quando aplicável, solicitar ao suporte exportação assistida das Solicitações, respostas e arquivos relacionados, sujeita à viabilidade técnica e operacional.

11.5. Um Membro com papel Proprietário ou Administrador poderá excluir Solicitação concluída pela interface. A Solicitação excluída deixa de ser acessível ao Contato e permanece restaurável pela Organização por 30 (trinta) dias contados da exclusão. Encerrado esse prazo, ou antes dele, mediante exclusão permanente pela Organização, as respostas, as mensagens e os nomes dos arquivos enviados são eliminados e a restauração deixa de ser possível; os arquivos relacionados são eliminados pelos mecanismos técnicos de armazenamento em até aproximadamente 30 (trinta) dias contados da exclusão. A exclusão de Solicitações ativas não passa pela lixeira e é definitiva.

11.6. Mediante instrução válida de exclusão ou após o término efetivo da relação contratual, observados os períodos aplicáveis de acesso ou exportação previstos nos documentos contratuais, a Operadora adotará as medidas de eliminação ou indisponibilização previstas em seus procedimentos e política de retenção, ressalvadas:

informações cuja conservação seja exigida por lei, ordem válida, litígio ou legal hold aplicável;
registros mínimos necessários para comprovar operações de exclusão, segurança ou cumprimento de obrigações;
audit logs sujeitos a prazo próprio de retenção;
cópias residuais em backups até o encerramento de seu ciclo normal de retenção; e
cópias ou versões residuais mantidas em mecanismos técnicos de versionamento ou recuperação enquanto sujeitas aos procedimentos e fundamentos de retenção aplicáveis.

11.7. Dados deliberadamente excluídos dos sistemas ativos não serão normalmente restaurados de backups apenas para reintroduzir individualmente a informação excluída.

11.8. Caso uma restauração integral de ambiente por desastre reintroduza dados anteriormente excluídos, as deleções pertinentes deverão ser reaplicadas quando tecnicamente e razoavelmente necessário.

12. Registros e auditoria

12.1. A Operadora manterá registros das operações de Tratamento na medida exigida pela legislação aplicável.

12.2. O Serviço mantém determinados eventos de auditoria e registros de acesso destinados à segurança, investigação de incidentes e auditoria operacional. Esses registros podem abranger eventos de acesso relevantes e o estabelecimento de conexões utilizadas pelo Serviço.

12.3. Esses registros não constituem trilha completa de cada ação de interface. Navegações, cliques e autosaves realizados dentro de conexão já estabelecida podem não gerar eventos individuais.

12.4. Os audit logs, incluindo os logs de acesso, serão mantidos por 1 (um) ano contado da ocorrência do evento, salvo necessidade de retenção superior por incidente de segurança, obrigação legal, ordem válida, litígio ou legal hold aplicável. A exclusão de registros operacionais relacionados não implica exclusão antecipada dos logs durante esse prazo próprio.

12.5. Mediante solicitação razoável, a Operadora fornecerá à Organização informações disponíveis e pertinentes para demonstrar o cumprimento das obrigações assumidas neste DPA.

12.6. O dever de cooperação desta cláusula não obriga a Operadora a:

revelar informações confidenciais de outras Organizações;
comprometer a segurança de seus sistemas;
fornecer código-fonte, segredos comerciais ou informações cuja divulgação possa criar risco de segurança;
permitir acesso irrestrito à infraestrutura de produção; ou
produzir informações que não mantenha e que não seja legalmente obrigada a manter.

12.7. Solicitações de auditoria ou informação deverão observar critérios razoáveis de necessidade, proporcionalidade, confidencialidade e segurança. Sempre que razoavelmente possível, a verificação deverá ser atendida primeiro por meio de informações, documentos, evidências ou relatórios já disponíveis.

12.8. Caso essas informações sejam razoavelmente insuficientes e a Organização demonstre necessidade legítima relacionada ao cumprimento da Legislação de Proteção de Dados, poderá solicitar auditoria adicional, sujeita a escopo previamente acordado entre as partes.

12.9. Qualquer auditoria adicional deverá: (a) ser precedida de aviso prévio razoável; (b) ocorrer em horário comercial e de forma a minimizar impactos sobre a operação do Serviço; (c) ser conduzida pela própria Organização ou por auditor independente sujeito a deveres adequados de confidencialidade e que não seja concorrente direto da Operadora; e (d) limitar-se às informações e ambientes estritamente necessários à finalidade declarada.

12.10. Auditorias não autorizam testes de penetração, varreduras automatizadas de vulnerabilidades, testes de carga ou estresse, exploração de falhas, acesso irrestrito à infraestrutura de produção, acesso a dados de outras Organizações ou qualquer atividade capaz de comprometer a segurança, integridade ou disponibilidade do Serviço, salvo autorização prévia e expressa da Operadora.

12.11. Salvo quando a auditoria decorrer de obrigação legal diretamente aplicável à Operadora ou de descumprimento material deste DPA imputável à Operadora, os custos e despesas da auditoria solicitada pela Organização, inclusive honorários de auditores externos, correrão por conta da Organização. Eventual trabalho extraordinário solicitado à Operadora poderá estar sujeito a custos razoáveis previamente informados e acordados.

12.12. A Operadora poderá propor método alternativo de verificação que forneça segurança razoavelmente equivalente quanto ao objeto da auditoria, especialmente quando a forma solicitada puder comprometer segurança, confidencialidade, disponibilidade ou direitos de terceiros.

13. Cooperação regulatória

13.1. A Operadora cooperará de forma razoável com a Organização em questões relacionadas ao Tratamento abrangido por este DPA quando essa colaboração for necessária para cumprimento da Legislação de Proteção de Dados.

13.2. Caso uma autoridade competente solicite diretamente à Operadora informações relacionadas aos Dados Pessoais de uma Organização, a Operadora poderá cumprir a solicitação quando legalmente obrigada.

13.3. Quando legalmente permitido e apropriado, a Operadora poderá informar a Organização acerca da solicitação.

13.4. Solicitações excessivas ou juridicamente questionáveis poderão ser avaliadas ou contestadas pela Operadora quando isso for juridicamente possível e razoável.

13.5. Mediante solicitação razoável, a Operadora poderá fornecer informações técnicas e operacionais disponíveis sob seu controle que sejam pertinentes à elaboração, pela Organização, de Relatório de Impacto à Proteção de Dados Pessoais (RIPD) relacionado aos Tratamentos abrangidos por este DPA. A Organização permanece responsável pela elaboração, avaliação e conteúdo de seu RIPD. Essa cooperação não obriga a Operadora a produzir informações que não mantenha, revelar dados de outras Organizações, expor segredos comerciais ou comprometer a segurança do Serviço.

14. Responsabilidades da Organização

14.1. Sem prejuízo de outras obrigações previstas nos Termos de Serviço, compete à Organização:

utilizar o Serviço em conformidade com a legislação;
possuir fundamento jurídico aplicável para o Tratamento que determinar;
fornecer aos Titulares as informações e avisos de transparência exigidos;
assegurar que os Dados Pessoais solicitados sejam adequados, pertinentes e limitados ao necessário para suas finalidades;
estabelecer regras adequadas de retenção para seus dados;
administrar seus usuários, permissões e credenciais;
responder pelos Tratamentos realizados após exportar ou copiar dados para fora do Documentando;
avaliar os requisitos específicos relacionados ao Tratamento de Dados Pessoais Sensíveis ou dados de crianças e adolescentes;
caso decida direcionar uma Solicitação diretamente a criança ou adolescente, avaliar e cumprir as exigências legais aplicáveis ao caso concreto, inclusive a LGPD e, quando aplicável, a Lei nº 15.211/2025 (ECA Digital); e
não utilizar o Serviço para coleta manifestamente ilegal de Dados Pessoais.

15. Responsabilidades da Operadora

15.1. A Operadora será responsável pelas obrigações que a Legislação de Proteção de Dados lhe atribuir na condição de Operador.

15.2. A Operadora não será responsável pelas decisões tomadas exclusivamente pela Organização quanto às finalidades da coleta, seleção dos Dados Pessoais solicitados, fundamento jurídico utilizado ou uso dos dados após sua disponibilização à Organização, exceto na medida em que dano ou infração seja atribuível à própria conduta da Operadora.

15.3. As limitações de responsabilidade estabelecidas nos Termos de Serviço aplicam-se a este DPA na máxima extensão permitida pela legislação, sem limitar direitos dos Titulares, competências de autoridades públicas ou responsabilidades que não possam ser contratualmente limitadas.

16. Vigência e término

16.1. Este DPA entra em vigor quando aceito pela Organização e permanecerá aplicável enquanto a Operadora tratar Dados Pessoais em nome da Organização.

16.2. As obrigações que, por sua natureza, devam sobreviver ao término da relação contratual permanecerão aplicáveis enquanto a Operadora conservar Dados Pessoais sujeitos a este DPA.

17. Alterações

17.1. Este DPA possuirá identificação de versão e data.

17.2. Alterações materiais serão comunicadas à Organização por meio adequado.

17.3. Quando a natureza da alteração exigir novo consentimento contratual ou novo aceite, a Operadora poderá exigir ação afirmativa do representante autorizado da Organização.

18. Comunicações

18.1. Comunicações relacionadas a privacidade e proteção de dados poderão ser encaminhadas para:

[email protected]

18.2. Nos Tratamentos em que a Operadora atua como Operador em nome da Organização, a indicação de encarregado pelo Operador é facultativa nos termos da Resolução CD/ANPD nº 18/2024. Durante o beta, o Documentando não mantém encarregado formalmente indicado para esse escopo e disponibiliza o canal acima para comunicações relacionadas à proteção de dados.

18.3. Comunicações relacionadas a Incidentes de Segurança poderão ser encaminhadas para:

[email protected]

18.4. Comunicações gerais relacionadas ao Serviço poderão ser encaminhadas para:

[email protected]

19. Lei aplicável e foro

19.1. Este DPA será interpretado de acordo com as leis da República Federativa do Brasil, especialmente a LGPD.

19.2. Para controvérsias decorrentes deste DPA, fica eleito o foro da Comarca de São Paulo/SP, ressalvadas as hipóteses de competência legal obrigatória.

ANEXO I — DETALHES DO TRATAMENTO

1. Objeto

Prestação de plataforma SaaS B2B para criação, envio, preenchimento, acompanhamento, revisão, correção, conclusão, armazenamento e exportação de Solicitações de documentos e informações.

2. Duração

Durante a vigência da relação contratual e posteriormente pelo período necessário ao cumprimento das instruções de retenção e exclusão, ciclos técnicos de backup e obrigações legais aplicáveis.

3. Finalidades do Tratamento realizado em nome da Organização

A Operadora poderá tratar Dados Pessoais para:

disponibilizar Solicitações aos Contatos;
receber e armazenar respostas;
receber e armazenar arquivos;
permitir autosave e envio de respostas;
possibilitar revisão, aprovação, rejeição e correção;
manter o histórico operacional necessário ao fluxo;
enviar notificações transacionais relacionadas à Solicitação;
disponibilizar informações e documentos aos membros autorizados da Organização;
permitir exportação de Solicitações;
executar operações de armazenamento, processamento, transmissão e eliminação necessárias à prestação do Serviço; e
prestar suporte técnico relacionado a uma Solicitação quando solicitado e na medida necessária.

4. Categorias de Titulares

Conforme determinado pela Organização, poderão incluir:

Contatos;
representantes, funcionários, clientes, fornecedores ou contratados da Organização;
sócios, administradores ou representantes de pessoas jurídicas;
familiares e outras pessoas relacionadas ao Contato;
crianças e adolescentes;
terceiros cujos dados estejam contidos em documentos ou informações enviados à Solicitação; e
outras pessoas naturais cujos Dados Pessoais sejam inseridos pela Organização ou por Contatos.

5. Categorias de Dados Pessoais

Conforme a configuração da Solicitação, poderão incluir, entre outros:

nome e informações de identificação;
CPF, RG, CNH, passaporte e outros documentos;
endereço;
telefone e e-mail;
data de nascimento;
estado civil e informações familiares;
profissão e informações trabalhistas;
renda, salário e holerites;
declarações tributárias;
dados financeiros e bancários;
contratos e certidões;
fotografias;
informações inseridas em campos de texto;
arquivos enviados pelo Contato;
Dados Pessoais Sensíveis;
dados de saúde;
informações relacionadas a deficiência;
dados relativos a crianças e adolescentes; e
dados de terceiros constantes dos documentos fornecidos.

Esta relação é exemplificativa. A Organização define o conteúdo efetivamente solicitado em cada Solicitação.

ANEXO II — MEDIDAS TÉCNICAS E ADMINISTRATIVAS

Sem constituir SLA ou garantia absoluta de segurança, a Operadora mantém medidas técnicas e administrativas compatíveis com a natureza do Serviço e os riscos do Tratamento. As medidas são organizadas nas seguintes categorias:

Criptografia e proteção de dados: mecanismos de criptografia para dados em trânsito e em repouso, conforme aplicável à categoria de informação e ao componente utilizado.
Controle de acesso: autenticação, autorização, gestão de permissões e restrição de acessos administrativos a pessoas autorizadas conforme necessidade operacional.
Segregação entre Organizações: controles lógicos destinados a impedir acesso não autorizado entre ambientes de diferentes Organizações.
Proteção de armazenamento e entrega: armazenamento privado, controles contra exposição pública indevida e utilização de mecanismos temporários ou controlados para acesso a arquivos privados.
Integridade e recuperação: mecanismos destinados a reduzir riscos de perda, sobrescrita ou exclusão acidental, incluindo controles de integridade, versionamento ou recursos de recuperação conforme a etapa do ciclo de vida dos dados.
Monitoramento e auditoria: registros e mecanismos de monitoramento destinados a segurança, investigação de incidentes e auditoria operacional, observada a granularidade efetivamente implementada.
Segregação de ambientes e operação segura: separação dos ambientes operacionais relevantes e controles destinados a evitar utilização indevida de dados reais fora de produção.
Segurança administrativa e continuidade: controles de acesso privilegiado, autenticação multifator em serviços administrativos relevantes, rotinas de backup para dados aplicáveis e procedimentos de recuperação compatíveis com a operação atual.

As medidas concretas podem evoluir ao longo do tempo para acompanhar alterações tecnológicas, riscos e boas práticas, desde que o nível geral de proteção aplicável ao Tratamento não seja materialmente reduzido de forma incompatível com este DPA ou com a legislação.

Nenhuma medida técnica ou administrativa elimina integralmente todos os riscos inerentes ao Tratamento.

ANEXO III — FORNECEDORES E SUBOPERADORES

Os fornecedores abaixo podem participar da prestação do Serviço e, conforme o fluxo concreto, tratar Dados Pessoais em nome da Organização. A participação de cada fornecedor depende das funcionalidades efetivamente utilizadas.

1. Amazon Web Services — AWS

Finalidade: infraestrutura, armazenamento, processamento, gerenciamento de chaves, entrega de conteúdo e serviços relacionados à operação do Documentando.

O armazenamento principal do conteúdo das Solicitações é realizado na região de São Paulo, Brasil. Determinadas operações de rede, administração ou suporte de fornecedor global podem envolver processamento internacional.

2. Cloudflare

Finalidade: serviços de rede, DNS, proxy, entrega de tráfego, segurança e analytics de infraestrutura.

Pode tratar informações técnicas, como endereço IP e headers, e também Dados Pessoais contidos no tráfego da aplicação, inclusive em requisições e respostas, na medida necessária à entrega, proteção e operação do Serviço. O processamento pode ocorrer em infraestrutura global.

3. Resend

Finalidade: envio de e-mails transacionais relacionados às Solicitações.

Pode receber, conforme necessário, endereço de e-mail, nome do Contato, nome da Organização, conteúdo da notificação e link da Solicitação. O processamento pode ocorrer fora do Brasil.

4. Meta / WhatsApp

Finalidade: envio de notificações utilitárias relacionadas às Solicitações por meio do WhatsApp.

Pode receber, conforme necessário, número de telefone, nome do Contato, nome da Organização, conteúdo da mensagem e link da Solicitação. O processamento pode ocorrer fora do Brasil.

5. Proton

Finalidade: e-mail institucional e atendimento pelos canais de suporte, privacidade e segurança.

O Proton não integra o fluxo normal de armazenamento das Solicitações, mas pode tratar dados relacionados a uma Solicitação quando essas informações forem encaminhadas aos canais institucionais. Nesses casos, poderá atuar como fornecedor/suboperador aplicável ao fluxo de suporte. O processamento pode ocorrer fora do Brasil.

Os canais institucionais não são destinados ao envio rotineiro de documentos de Solicitações, links secretos, credenciais ou dados pessoais sensíveis. Quando a prestação de suporte exigir informações relacionadas a uma Solicitação, deverá ser utilizado apenas o conteúdo necessário ao atendimento.

6. Outros fornecedores

Outros fornecedores serão considerados Suboperadores deste DPA quando efetivamente realizarem Tratamento de Dados Pessoais em nome da Organização no escopo deste Acordo. Fornecedores utilizados exclusivamente em atividades nas quais a Operadora atua como Controlador para finalidades próprias não integram este Anexo apenas por participarem da cadeia geral de serviços do Documentando.