Acordo de Tratamento de Dados Pessoais (DPA)

1.1.São partes deste Acordo a ROSS SOLUTIONS LTDA, denominada Prestadora ou It’sCom, e a pessoa física ou jurídica que contrata os serviços, denominada Contratante.

1.2.O objeto consiste em disciplinar as operações de tratamento de dados pessoais realizadas no contexto dos serviços contratados.

1.3.Este Acordo abrange exclusivamente os tratamentos efetivamente relacionados à prestação dos serviços e descritos nos respectivos instrumentos contratuais e anexos.

1.4.Este DPA não substitui as obrigações legais próprias de cada parte.

2.1.Aplicam-se as definições estabelecidas pela Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais — LGPD.

2.2.Controlador: agente responsável pelas decisões referentes ao tratamento de dados pessoais.

2.3.Operador: agente que realiza o tratamento de dados pessoais em nome do controlador.

2.4.Titular: pessoa natural a quem se referem os dados pessoais.

2.5.Suboperador: fornecedor contratado pelo operador para realizar operações de tratamento em apoio à prestação dos serviços.

2.6.Incidente de segurança: evento que comprometa ou possa comprometer a confidencialidade, integridade ou disponibilidade de dados pessoais.

2.7.Instruções documentadas: orientações legítimas do controlador sobre operações de tratamento realizadas em seu nome.

2.8.Dados pessoais sensíveis: dados definidos como sensíveis pela legislação aplicável.

3.1.Nas operações em que o Contratante determina as finalidades e os meios essenciais do tratamento de dados de seus contatos, clientes, pacientes ou usuários, o Contratante atuará, em regra, como controlador.

3.2.Nessas operações, a It’sCom poderá atuar como operadora, tratando os dados em nome do Contratante e conforme instruções legítimas.

3.3.A It’sCom poderá atuar como controladora independente em operações próprias, como administração contratual, faturamento, segurança institucional, cumprimento de obrigações legais e gestão de sua relação comercial com o Contratante.

3.4.A utilização da mesma plataforma não determina, por si só, a existência de controladoria conjunta.

3.5.A qualificação jurídica deverá considerar a realidade das operações, independentemente da denominação adotada neste Acordo.

4.1.A It’sCom tratará os dados pessoais na condição de operadora conforme as instruções documentadas e legítimas do Contratante, observadas as obrigações legais aplicáveis.

4.2.Poderão constituir instruções documentadas as configurações realizadas na plataforma, os fluxos autorizados, os instrumentos contratuais e as solicitações registradas por canais oficiais.

4.3.O Contratante deverá assegurar que suas instruções possuam fundamento jurídico adequado.

4.4.A It’sCom poderá solicitar esclarecimentos sobre instruções ambíguas ou que apresentem risco relevante.

4.5.Quando identificar instrução aparentemente incompatível com a legislação, a Prestadora poderá informar o Contratante e adotar as providências cabíveis.

4.6.A It’sCom não estará obrigada a executar instruções manifestamente ilícitas.

5.1.As operações poderão envolver:

1. a)Cadastro e gestão de contatos;
2. b)Organização de relacionamentos comerciais;
3. c)Atendimento por mensagens;
4. d)Agendamentos;
5. e)Automações;
6. f)Atendimento telefônico;
7. g)Gravações e transcrições, quando habilitadas;
8. h)Agentes de inteligência artificial;
9. i)Integrações com sistemas autorizados;
10. j)Suporte técnico;
11. k)Outras operações contratadas.

5.2.As finalidades específicas determinadas pelo Contratante deverão observar a legislação e as configurações dos serviços.

5.3.O tratamento para finalidades próprias da It’sCom será disciplinado também pela Política de Privacidade.

6.1.Poderão ser tratados dados de clientes, potenciais clientes, pacientes, representantes, colaboradores, fornecedores e outros contatos do Contratante.

6.2.As categorias efetivamente envolvidas dependerão das atividades do Contratante.

6.3.O Contratante deverá avaliar previamente a necessidade de tratamento de dados de crianças, adolescentes e pessoas em situação de vulnerabilidade.

7.1.Conforme os recursos utilizados, poderão ser tratados:

1. a)Nome e dados de identificação;
2. b)Telefones e endereços eletrônicos;
3. c)Informações de cadastro;
4. d)Histórico de atendimento;
5. e)Mensagens e arquivos;
6. f)Dados de agendamento;
7. g)Informações comerciais;
8. h)Registros de interações;
9. i)Áudios e transcrições;
10. j)Dados inseridos em campos personalizados;
11. k)Dados processados em integrações autorizadas.

7.2.A efetiva coleta dependerá da configuração dos serviços.

7.3.O Contratante deverá observar o princípio da necessidade.

8.1.Nas operações em que atuar como controlador, o Contratante será responsável por identificar a base legal apropriada.

8.2.O consentimento não será presumido como fundamento universal para todas as operações.

8.3.A It’sCom deverá observar as bases legais aplicáveis às operações em que atuar como controladora.

8.4.A execução técnica de uma instrução não substitui a análise de sua legitimidade.

9.1.O tratamento de dados pessoais sensíveis deverá observar as hipóteses legais específicas e as medidas de proteção adequadas.

9.2.O Contratante deverá avaliar a necessidade e a proporcionalidade do tratamento antes de inserir dados sensíveis nos serviços.

9.3.A utilização de recursos de CRM ou inteligência artificial não assegura, por si só, adequação a requisitos regulatórios setoriais.

9.4.O Contratante deverá restringir o acesso às informações sensíveis conforme as necessidades de suas atividades.

9.5.A It’sCom deverá observar as obrigações de segurança e confidencialidade que lhe couberem.

10.1.Clientes da área de saúde poderão utilizar a plataforma para atividades administrativas e outras operações legitimamente contratadas.

10.2.O tratamento de dados de saúde exigirá fundamento jurídico e salvaguardas adequados.

10.3.O Contratante deverá observar as obrigações profissionais, sanitárias e de sigilo aplicáveis.

10.4.A It’sCom não declara conformidade automática com normas setoriais ou certificações específicas não verificadas.

10.5.A utilização de recursos clínicos deverá ser precedida de avaliação técnica e jurídica compatível com os riscos envolvidos.

11.1.Os recursos de inteligência artificial poderão envolver processamento de dados pessoais por sistemas e fornecedores tecnológicos.

11.2.O Contratante deverá avaliar quais dados serão submetidos aos agentes e quais finalidades serão atendidas.

11.3.A It’sCom deverá observar as condições contratuais aplicáveis ao processamento realizado por seus fornecedores.

11.4.As políticas de retenção e eventual utilização de dados para treinamento dependerão das condições efetivamente aplicáveis a cada fornecedor e configuração.

11.5.Não se presume que todos os provedores de IA adotem políticas idênticas de retenção ou treinamento.

11.6.O Contratante deverá evitar inserir informações desnecessárias ou sem fundamento jurídico nos agentes.

11.7.Os Termos Específicos de Inteligência Artificial complementarão esta seção.

12.1.O tratamento de dados por WhatsApp, SMS, RCS, e-mail e telefonia poderá envolver provedores externos.

12.2.O Contratante deverá observar as bases legais e os requisitos de autorização aplicáveis às comunicações.

12.3.As políticas dos provedores poderão estabelecer condições adicionais.

12.4.A It’sCom deverá observar suas obrigações contratuais e legais nas operações sob sua responsabilidade.

12.5.A Política de Comunicações Eletrônicas complementará este Acordo.

13.1.As partes deverão adotar medidas apropriadas para proteger informações confidenciais e dados pessoais.

13.2.O acesso deverá ser limitado às pessoas que necessitem das informações para finalidades legítimas.

13.3.Pessoas autorizadas a tratar dados deverão estar sujeitas a deveres adequados de confidencialidade.

13.4.O dever de confidencialidade permanecerá aplicável após o encerramento contratual, nos limites legais e contratuais pertinentes.

14.1.A It’sCom deverá adotar medidas técnicas e administrativas apropriadas aos riscos das operações sob sua responsabilidade.

14.2.As medidas efetivamente implementadas deverão ser descritas no Anexo III ou em documentação técnica correspondente.

14.3.O Contratante será responsável pela administração de acessos e permissões sob seu controle.

14.4.As partes deverão cooperar na prevenção de acessos não autorizados e outras ocorrências de segurança.

14.5.Nenhuma disposição representa garantia de segurança absoluta.

14.6.A Prestadora não declara possuir certificações que não tenham sido efetivamente obtidas e verificadas.

15.1.O acesso aos dados pessoais deverá observar critérios de necessidade e autorização.

15.2.O Contratante deverá gerenciar os usuários, perfis e permissões disponíveis em sua conta.

15.3.Credenciais deverão ser protegidas contra uso indevido.

15.4.O compartilhamento de acessos deverá observar as regras de segurança aplicáveis.

15.5.A It’sCom deverá aplicar controles compatíveis com suas responsabilidades e com as funcionalidades efetivamente disponíveis.

16.1.A It’sCom poderá utilizar fornecedores tecnológicos para viabilizar os serviços contratados.

16.2.Esses fornecedores poderão incluir prestadores de infraestrutura, comunicação, inteligência artificial, armazenamento, suporte e integrações.

16.3.Quando atuar como operadora, a It’sCom deverá observar as condições legais e contratuais aplicáveis à contratação de suboperadores.

16.4.O Anexo II deverá identificar os suboperadores relevantes, suas funções e as informações necessárias à transparência do tratamento.

16.5.A It’sCom deverá estabelecer obrigações apropriadas de proteção de dados com os suboperadores, conforme a natureza das operações.

16.6.A contratação de suboperadores não afasta as responsabilidades legais e contratuais da Prestadora.

17.1.A relação de suboperadores poderá sofrer alterações por motivos técnicos, operacionais ou comerciais.

17.2.Alterações relevantes deverão observar os mecanismos de informação e autorização previstos nos instrumentos aplicáveis.

17.3.Quando houver autorização geral para utilização de suboperadores, o procedimento deverá prever comunicação de alterações e oportunidade razoável de objeção, conforme as condições acordadas.

17.4.A objeção deverá ser analisada de boa-fé, considerando a natureza do tratamento e as alternativas disponíveis.

17.5.A impossibilidade de utilização de determinado fornecedor poderá afetar funcionalidades dependentes de sua infraestrutura.

17.6.A It’sCom deverá observar os direitos contratuais e legais do Contratante em caso de alteração material.

18.1.A prestação dos serviços poderá envolver tratamento ou acesso a dados pessoais fora do Brasil.

18.2.As transferências internacionais deverão observar os requisitos da LGPD e da regulamentação aplicável.

18.3.Quando exigido, deverão ser utilizados mecanismos válidos de transferência internacional, incluindo cláusulas-padrão contratuais aprovadas pela autoridade competente ou outro mecanismo legalmente admitido.

18.4.Este DPA, isoladamente, não substitui cláusulas-padrão ou outros instrumentos específicos quando necessários.

18.5.Os países, fornecedores e mecanismos efetivamente aplicáveis deverão ser identificados ou disponibilizados conforme as exigências legais.

18.6.A It’sCom não declara que todos os dados pessoais sejam armazenados exclusivamente no Brasil.

19.1.Os titulares poderão exercer os direitos previstos na legislação aplicável.

19.2.O Contratante, quando controlador, será responsável por avaliar e responder às solicitações relativas aos tratamentos sob sua responsabilidade.

19.3.A It’sCom deverá prestar assistência razoável e tecnicamente viável ao Contratante, conforme suas obrigações legais e contratuais.

19.4.Quando receber solicitação relativa a tratamento realizado em nome do Contratante, a Prestadora poderá encaminhá-la ao responsável apropriado, observadas as exigências legais.

19.5.As partes deverão adotar medidas adequadas para verificar a legitimidade das solicitações.

20.1.As partes deverão adotar procedimentos proporcionais para identificação, análise e tratamento de incidentes de segurança.

20.2.Quando identificar incidente envolvendo dados pessoais tratados em nome do Contratante, a It’sCom deverá comunicá-lo sem demora injustificada, após tomar conhecimento suficiente para caracterizar a ocorrência, observados os prazos contratuais e legais aplicáveis.

20.3.A comunicação inicial poderá ser complementada à medida que novas informações forem confirmadas.

20.4.A comunicação deverá conter, na medida das informações disponíveis, a natureza do incidente, os dados potencialmente afetados, os impactos conhecidos e as medidas adotadas ou planejadas.

20.5.O Contratante, quando controlador, será responsável por avaliar suas obrigações de comunicação à ANPD e aos titulares, observadas as regras aplicáveis.

20.6.A It’sCom deverá prestar cooperação razoável para o cumprimento dessas obrigações.

20.7.Quando atuar como controladora, a It’sCom responderá diretamente pelas obrigações de comunicação que lhe couberem.

21.1.As partes deverão manter registros das operações de tratamento quando exigidos pela legislação.

21.2.A It’sCom poderá manter registros técnicos necessários à segurança, ao suporte e à execução contratual.

21.3.A disponibilidade e a granularidade desses registros dependerão das funcionalidades e da infraestrutura efetivamente utilizadas.

21.4.Os registros deverão ser protegidos e conservados conforme finalidades e períodos legítimos.

22.1.As partes deverão cooperar, dentro de suas respectivas responsabilidades, para o cumprimento das obrigações de proteção de dados.

22.2.O Contratante deverá avaliar os riscos associados às finalidades e às configurações que determinar.

22.3.Quando aplicável, a It’sCom prestará informações razoavelmente disponíveis para apoiar avaliações de impacto e análises de conformidade.

22.4.A assistência poderá depender da natureza da solicitação, da disponibilidade técnica e das condições contratuais.

22.5.A prestação de informações não transfere automaticamente à It’sCom as obrigações próprias do controlador.

23.1.A It’sCom deverá disponibilizar informações apropriadas para demonstrar o cumprimento das obrigações que lhe couberem, conforme os requisitos legais e contratuais.

23.2.Solicitações de auditoria deverão observar confidencialidade, proporcionalidade e proteção de outros clientes.

23.3.O acesso a sistemas, instalações ou documentos internos dependerá de procedimento previamente acordado e das restrições legítimas de segurança.

23.4.Poderão ser utilizados relatórios, evidências documentais ou outros meios adequados de comprovação.

23.5.Este Acordo não declara a existência de auditorias independentes ou certificações não verificadas.

24.1.Os dados pessoais deverão ser conservados pelo período necessário às finalidades legítimas e às obrigações legais aplicáveis.

24.2.Os períodos concretos de retenção dependerão da categoria de dados, da operação e das condições técnicas e contratuais.

24.3.O Contratante deverá observar suas próprias obrigações de conservação de registros.

24.4.A exclusão de dados poderá estar sujeita a obrigações legais, necessidades de segurança e limitações técnicas legítimas.

24.5.Não será presumido um prazo uniforme de exclusão para todos os dados e fornecedores.

25.1.Após o encerramento da prestação dos serviços, os dados pessoais tratados em nome do Contratante deverão receber destinação compatível com as instruções válidas, o contrato e a legislação.

25.2.Poderão ser disponibilizados mecanismos de exportação conforme as funcionalidades contratadas.

25.3.A devolução, exclusão ou conservação residual deverá observar os prazos e procedimentos efetivamente aplicáveis.

25.4.Dados cuja conservação seja legalmente obrigatória poderão permanecer armazenados pelo período necessário.

25.5.O Contratante deverá providenciar a exportação dos dados disponíveis dentro das condições e dos prazos validamente informados.

26.1.Os provedores utilizados pela It’sCom poderão alterar infraestrutura, políticas, funcionalidades e condições técnicas.

26.2.Essas alterações poderão exigir adaptações nas operações de tratamento de dados.

26.3.A It’sCom deverá avaliar as implicações relevantes dessas alterações para suas obrigações de proteção de dados.

26.4.Mudanças de fornecedores que afetem materialmente as condições de tratamento deverão observar os mecanismos de transparência e autorização aplicáveis.

26.5.Alterações comerciais dos provedores serão disciplinadas pelos instrumentos comerciais pertinentes, sem afastar as obrigações deste DPA.

27.1.Cada parte responderá pelas obrigações que lhe couberem conforme a legislação aplicável.

27.2.A responsabilidade será apurada considerando as operações efetivamente realizadas, as instruções, as condutas e os deveres de cada agente.

27.3.A utilização de suboperadores não afasta automaticamente a responsabilidade da It’sCom.

27.4.Nenhuma disposição limita direitos ou responsabilidades que não possam ser legalmente afastados.

27.5.Eventuais regras de responsabilidade previstas nos Termos Gerais serão aplicáveis apenas na medida em que sejam compatíveis com a legislação de proteção de dados.

28.1.Este Acordo poderá ser atualizado por razões legais, regulatórias, técnicas ou operacionais.

28.2.Cada versão deverá possuir identificação e data.

28.3.Alterações materiais deverão observar os requisitos contratuais e legais de informação e aceite.

28.4.A simples publicação de nova versão não substituirá manifestação específica quando esta for exigida.

28.5.As versões anteriores deverão ser preservadas quando necessárias à comprovação das condições aplicáveis.

29.1.Este Acordo será interpretado conforme a legislação brasileira aplicável, especialmente a LGPD e a regulamentação da ANPD.

29.2.O GDPR e outras normas estrangeiras serão observados quando efetivamente aplicáveis às operações.

29.3.Integram o conjunto documental relacionado:

1. a)Termos e Condições Gerais de Serviço;
2. b)Política de Privacidade;
3. c)Política de Privacidade e Segurança;
4. d)Política de Créditos, Consumos e Repasses;
5. e)Termos Específicos de Inteligência Artificial;
6. f)Política de Comunicações Eletrônicas;
7. g)Outros instrumentos específicos validamente celebrados.

30.1.Este DPA produzirá efeitos conforme sua incorporação válida à relação contratual.

30.2.Suas disposições serão aplicáveis durante a realização das operações de tratamento abrangidas, inclusive após o encerramento contratual quando necessário ao cumprimento de obrigações remanescentes.

30.3.A invalidade de uma disposição não prejudicará as demais, quando possível preservar sua finalidade legítima.

30.4.Nenhuma disposição afasta direitos previstos em normas obrigatórias.

30.5.Os anexos integram este Acordo e deverão refletir as operações efetivamente realizadas.

A.Objeto

B.Natureza das operações

C.Finalidades

D.Categorias de titulares

E.Categorias de dados

F.Dados sensíveis

G.Duração

H.Instruções

I.Informações específicas da contratação

A.Transparência sobre fornecedores

B.Informações mínimas do cadastro de suboperadores

• Nome jurídico do fornecedor;
• Serviço prestado;
• Categorias de dados tratados;
• Papel no tratamento;
• Países de tratamento ou acesso, quando aplicável;
• Mecanismo de transferência internacional, quando necessário;
• Referência à documentação de proteção de dados;
• Data da última verificação.

C.Cadastro operacional

D.Transferências internacionais

E.Alterações

A.Princípios

B.Medidas sujeitas à comprovação técnica

• Gestão de acessos e permissões;
• Autenticação de usuários;
• Proteção de credenciais;
• Controles de segregação de contas;
• Proteção de dados em trânsito e armazenamento;
• Registros técnicos;
• Gestão de vulnerabilidades;
• Procedimentos de resposta a incidentes;
• Rotinas de continuidade e recuperação;
• Gestão de fornecedores;
• Políticas de retenção e exclusão;
• Treinamento e confidencialidade das pessoas autorizadas.

C.Procedimento de incidentes

• Adotar medidas iniciais proporcionais de contenção;
• Avaliar as informações disponíveis;
• Identificar os serviços e dados potencialmente afetados;
• Comunicar o Contratante sem demora injustificada, conforme os requisitos aplicáveis;
• Prestar atualizações quando necessário;
• Cooperar com a investigação e a mitigação;
• Preservar registros pertinentes, quando disponíveis e legalmente apropriado.

D.Comunicação regulatória

E.Informações operacionais pendentes