Anexo de tratamento de dados

1. Objeto e relação com o contrato

Este Anexo disciplina o tratamento de dados pessoais realizado pela Digi2b LTDA, CNPJ 37.475.281/0001-49, na prestação da IAra à pessoa jurídica identificada no contrato ou proposta aceita, denominada Contratante.

O Anexo integra a contratação quando incorporado por referência com identificação de sua versão ou quando formalmente aceito pelas partes. A existência de uma página pública não altera, por si só, contratos anteriormente celebrados.

As disposições de proteção de dados deste Anexo prevalecem sobre condições gerais incompatíveis relativas ao mesmo objeto, sem afastar normas imperativas ou instrumentos específicos de transferência internacional aplicáveis.

2. Papéis e delimitação

Para o conteúdo tratado segundo as finalidades e instruções da Contratante, esta atua como controladora e a Digi2b como operadora. Se a Contratante atuar em nome de outra controladora, deverá informar essa condição e demonstrar autorização suficiente para instruir o tratamento e a subcontratação.

A Digi2b poderá atuar como controladora em operações próprias, como gestão da relação comercial, faturamento, exercício de direitos e cumprimento de dever legal. Essas operações devem possuir finalidades, fundamentos e informação próprios; não autorizam a reutilização irrestrita das conversas da Contratante.

Os papéis decorrem das atividades efetivamente realizadas. Nenhuma cláusula afasta a responsabilidade de uma parte por sua própria atuação nem transforma todo fornecedor em operador para qualquer finalidade.

3. Descrição do tratamento

O quadro específico da contratação deve identificar as categorias utilizadas, integrações autorizadas, responsáveis por instruções, condições de acesso de suporte e as regras de retenção e exportação. Recursos não contratados ou não habilitados não se tornam autorizados por sua menção neste Anexo.

4. Instruções e responsabilidades da Contratante

Constituem instruções os atos do representante autorizado, as configurações disponibilizadas para a conta e os pedidos documentados compatíveis com o objeto contratado. A Digi2b não deverá executar instrução que identifique como contrária à legislação; deverá informar a Contratante e buscar ajuste antes de realizar o tratamento afetado, preservadas obrigações legais e medidas urgentes necessárias.

A Contratante deverá:

1. Definir finalidades e fundamentos, fornecer informações aos titulares e limitar os dados ao necessário.
2. Obter consentimento quando essa for a base adequada, sem tratar consentimento como exigência universal ou substituto de outras obrigações.
3. Garantir legitimidade das listas, conteúdos e integrações que inserir ou habilitar; manter atualizadas as instruções e os contatos de privacidade e segurança.
4. Indicar usuários autorizados, acompanhar suas permissões e comunicar encerramentos de acesso ou suspeitas de uso indevido.
5. Avaliar tratamentos de dados sensíveis, crianças/adolescentes e decisões automatizadas; comunicar as condições relevantes à Digi2b antes de submetê-los a novos recursos.

Esses deveres não afastam os deveres próprios da Digi2b quanto à segurança, à observância de instruções lícitas e à sua participação no tratamento.

5. Deveres da Digi2b como operadora

A Digi2b deverá tratar o conteúdo abrangido por este Anexo somente para prestar o serviço e cumprir instruções documentadas, salvo obrigação legal aplicável. Deverá limitar o acesso de pessoas autorizadas à necessidade da função e vinculá-las a dever de confidencialidade compatível com o acesso.

A Digi2b deverá prestar assistência razoável e adequada ao tratamento que realiza, inclusive para localizar operações, responder a direitos, avaliar incidentes e executar retorno, correção, bloqueio ou eliminação. Dificuldades técnicas não autorizam omissão: devem ser comunicadas com seu impacto e as alternativas cabíveis.

O conteúdo de uma conta não poderá ser deliberadamente usado pela Digi2b como base de conhecimento de outra conta ou para treinamento geral de modelos sem uma finalidade própria devidamente definida, fundamento, informação e autorização contratual exigíveis. Este Anexo não fornece essa autorização.

6. Inteligência artificial e fornecedores

A consulta ao histórico e à base de conhecimento tem a finalidade de contextualizar as respostas da conta. Não é autorização para fine-tuning. A utilização de APIs pagas em contas da Digi2b deve observar o recurso efetivamente contratado, as configurações e os instrumentos aplicáveis ao fornecedor.

A Digi2b deverá manter relação dos suboperadores aplicáveis, indicando identidade, serviço, categorias pertinentes e localização ou países de tratamento conhecidos. A autorização da Contratante abrange os suboperadores identificados e necessários ao objeto; não constitui autorização ilimitada para destinatários ou finalidades desconhecidos.

Antes de acrescentar ou substituir suboperador com acesso ao conteúdo, a Digi2b deverá informar a Contratante com antecedência razoável e elementos para avaliar o impacto. Havendo objeção fundamentada em proteção de dados, as partes buscarão alternativa compatível; se não houver solução lícita e viável, deverão tratar a suspensão ou o encerramento do recurso afetado conforme o contrato e a legislação, sem afastar direitos aplicáveis.

A Digi2b deverá impor obrigações compatíveis com sua participação na cadeia e responder pelo que lhe couber. Fornecedores que atuem como controladores em finalidades próprias devem ser identificados como tais, sem serem apresentados indistintamente como suboperadores.

O WAHA utilizado na infraestrutura da Digi2b deve integrar o inventário de acessos, logs, cópias e eliminação correspondente. Canais externos escolhidos pela Contratante devem ser avaliados separadamente; a exclusão na IAra não apaga automaticamente dados de todos os participantes de uma comunicação.

7. Transferências internacionais

Antes de realizar transferência internacional abrangida por este Anexo, as partes deverão identificar os fluxos, os papéis de exportador/importador e o mecanismo permitido pela LGPD e pela regulamentação aplicável. A obrigação abrange as transferências posteriores pertinentes.

Quando adotadas cláusulas-padrão brasileiras, deverá ser incorporado o instrumento integral aplicável e preenchida a descrição da transferência. Este Anexo não substitui essas cláusulas, não presume aprovação da ANPD nem converte cláusulas estrangeiras em mecanismo brasileiro.

As partes deverão cumprir as obrigações de informação, cooperação e disponibilização dos instrumentos que lhes couberem. Se uma alteração inviabilizar o mecanismo aplicável, deverão corrigir ou interromper o fluxo afetado antes de continuar um tratamento irregular.

8. Segurança, evidências e assistência

Cada parte deverá adotar medidas técnicas e administrativas adequadas ao risco e ao seu âmbito de atuação. As condições específicas da contratação devem descrever as medidas efetivamente oferecidas e suas responsabilidades, sem utilizar certificação de fornecedor como certificação automática de toda a IAra.

A Digi2b deverá disponibilizar à Contratante informações pertinentes para avaliar o cumprimento das obrigações deste Anexo, resguardados segredos comercial e industrial, segurança dos sistemas e dados de outros clientes. Solicitações de verificação devem ter objeto e forma proporcionais e não autorizam acesso indiscriminado à infraestrutura ou às bases de terceiros.

Compromissos adicionais de segurança e continuidade deverão constar das condições específicas da contratação e corresponder às medidas efetivamente oferecidas.

9. Direitos dos titulares

Pedidos recebidos por uma parte deverão ser encaminhados à responsável pela decisão, quando necessário, sem demora injustificada. A Digi2b prestará assistência quanto aos dados que opera; a Contratante deverá fornecer instruções tempestivas e claras.

As partes deverão adotar verificação proporcional de identidade e representação, preservar dados de terceiros e registrar as providências e as razões de eventual conservação. Não será cobrado do titular pelo exercício dos direitos previstos na LGPD.

Correções, bloqueios e eliminações devem alcançar os destinatários pertinentes, nos limites legais e com comunicação das restrições justificadas. Uma janela contratual de exportação não suspende o dever de atender a pedidos válidos ou determinações legais.

10. Incidentes

Ao tomar conhecimento de incidente com dados pessoais operados em nome da Contratante, a Digi2b deverá avisá-la sem demora injustificada, mesmo que a apuração ainda não esteja concluída. A comunicação deverá trazer as informações disponíveis e ser complementada conforme o avanço da investigação.

As partes deverão cooperar para identificar dados e titulares afetados, consequências, contenção, preservação de evidências e medidas de resposta. A comunicação preliminar não dependerá de conclusão definitiva sobre causa ou responsabilidade.

Cabe à controladora avaliar as comunicações à ANPD e aos titulares, sem prejuízo de obrigações próprias de outros agentes. No regime geral, incidentes comunicáveis estão sujeitos ao prazo regulamentar de três dias úteis, considerado seu marco inicial e eventuais normas específicas. Esse prazo não autoriza a operadora a aguardar três dias úteis para informar a controladora.

O canal da Digi2b para incidentes é [email protected]. Os contatos da Contratante e as formas de acionamento devem integrar o quadro da contratação.

11. Retorno, exclusão e conservação

As condições específicas de saída deverão definir o início e a duração da janela de exportação, os dados e formatos abrangidos, o procedimento autenticado de entrega, a eliminação das bases ativas e o ciclo das cópias de segurança. A regra deve ser compatível com os sistemas efetivamente utilizados, inclusive filas, índices, resumos, anexos e integrações sob controle da Digi2b.

A Contratante poderá dar instrução válida de eliminação antes do encerramento, observadas as hipóteses legais e as consequências informadas para a prestação. Eliminação de fonte e de suas cópias derivadas deve ser tratada de forma coordenada.

Qualquer conservação residual deverá ter finalidade, fundamento, escopo e duração próprios. Cópias conservadas para recuperação não deverão ser reutilizadas para atendimento ordinário; se restauradas, deverão receber as exclusões aplicáveis. A Digi2b deverá informar restrições justificadas e o atendimento realizado, sem prometer eliminação de dados mantidos de forma independente por terceiros fora de sua cadeia de instruções.

12. Responsabilidade e término

Cada parte responderá por sua participação no tratamento conforme a legislação. O contrato não afasta direitos dos titulares, poderes da autoridade ou hipóteses legais de responsabilidade. As obrigações de confidencialidade e proteção pertinentes permanecem enquanto houver dados conservados.

O encerramento comercial não constitui quitação automática de obrigações de proteção de dados. Da mesma forma, este Anexo não altera preços, multa de cancelamento ou descontos definidos nos instrumentos comerciais.