Acordo de tratamento de dados (DPA)

Versão 2026-10-08 · aceito pela empresa cliente no painel de administração

1. Partes e objeto

Este acordo integra o contrato entre a empresa cliente (controladora) e [a preencher], n.º [a preencher] (operadora/subcontratante), para a prestação do serviço Canopo, e regula o tratamento de dados pessoais feito pela operadora em nome da controladora (LGPD, arts. 37 a 40; RGPD, art. 28.º, conferir na fonte).

2. Natureza, finalidade e duração

Natureza: hospedagem, processamento e transmissão aos suboperadores necessários para responder às perguntas das pessoas autorizadas, gerar documentos, aplicar regras de acesso e manter o registro. Finalidade: exclusivamente a prestação do serviço. Duração: a do contrato, mais o prazo de devolução e eliminação previsto no item 9.

3. Categorias de titulares e de dados

Titulares: as pessoas da empresa com acesso à plataforma e terceiros cujos dados apareçam nas conversas, anexos ou fontes consultadas. Dados: identificação e acesso, conteúdo das conversas e anexos, registro de atividades e dados das fontes da empresa. A controladora orienta as pessoas a não inserir dados sensíveis desnecessários e dispõe da marca sigiloso para anexos.

4. Obrigações da operadora

• Tratar os dados só conforme as instruções documentadas da controladora (o contrato, este acordo e as configurações que ela faz no painel).
• Garantir confidencialidade das pessoas autorizadas a tratar os dados.
• Manter as medidas de segurança do item 6.
• Não usar os dados para treinar modelos nem para outra finalidade, e não os compartilhar com outros clientes.
• Apoiar a controladora no atendimento aos titulares, inclusive com a exportação e a eliminação de dados disponíveis no painel.
• Comunicar à controladora, sem demora indevida, incidentes de segurança que afetem os dados, com as informações disponíveis, para que ela cumpra os prazos legais de comunicação (RGPD, art. 33.º; regulamento da ANPD sobre comunicação de incidentes, conferir na fonte).
• Disponibilizar as informações necessárias para demonstrar o cumprimento deste acordo e permitir auditorias razoáveis, com aviso prévio.

5. Suboperadores

A controladora autoriza os suboperadores listados em suboperadores. A operadora avisará com antecedência razoável a inclusão ou troca de um suboperador, e a controladora poderá se opor por motivo fundamentado. A operadora impõe aos suboperadores obrigações de proteção equivalentes às deste acordo.

6. Medidas de segurança

• Transmissão cifrada (TLS) e segredos, chaves de API e segundo fator cifrados em repouso.
• Autenticação individual, senhas guardadas só como resumo (scrypt), verificação em duas etapas, limite de tentativas e encerramento de sessões.
• Isolamento lógico entre empresas, com teto de acesso por empresa e por pessoa, e testes automáticos de isolamento a cada alteração; instância dedicada sob pedido.
• Somente leitura nas fontes de dados pela plataforma web.
• Registro de atividades por empresa e auditoria técnica do servidor.
• Cópias de segurança cifradas, guardadas fora do servidor principal, com restauração testada.

7. Transferência internacional

Transferências para suboperadores fora do Brasil e do Espaço Económico Europeu se apoiam em cláusulas contratuais-padrão ou outro mecanismo legal aplicável. Instância dedicada na União Europeia sob pedido da controladora.

8. Assistência e registros

A operadora mantém registro das operações de tratamento que realiza e auxilia a controladora em avaliações de impacto e consultas às autoridades, quando necessário.

9. Fim do contrato

Ao fim do contrato, a controladora pode exportar os dados pelo painel. Em até 30 dias, a operadora elimina os dados da controladora dos sistemas ativos; as cópias de segurança expiram no ciclo de retenção delas, salvo obrigação legal de guarda.

10. Contato

Encarregado de proteção de dados da operadora: [a preencher].