Acordo de tratamento de dados (DPA controlador-operador)

1.1. [objeto]

1.2. O CONTRATANTE atua como controlador e o CONTRATADO como operador, nos termos do art. 5º, VI e VII, da LGPD.

1.3. Escopo do tratamento: [escopo].

2.1. O operador tratará os dados exclusivamente conforme instruções documentadas do controlador, sendo vedado uso próprio, comercialização ou enriquecimento de base.

2.2. Se entender que uma instrução viola a legislação, o operador comunicará o controlador e poderá suspender a execução até esclarecimento.

2.3. O operador que tratar dados fora das instruções recebidas assume a condição de controlador e responde nessa qualidade, na forma do art. 42 da LGPD.

3.1. O controlador autoriza os seguintes suboperadores: [lista].

3.2. Novos suboperadores serão comunicados com 30 (trinta) dias de antecedência, podendo o controlador se opor de forma fundamentada. O operador responde pelos atos de seus suboperadores como se próprios fossem.

4.1. O operador auxiliará o controlador no atendimento a requisições de titulares em até 5 (cinco) dias úteis, no atendimento a autoridades e na elaboração de relatório de impacto, quando aplicável.

5.1. O operador comunicará o controlador em até 24 (vinte e quatro) horas da ciência de incidente envolvendo dados pessoais, informando natureza, dados afetados, número aproximado de titulares, medidas adotadas e contato para esclarecimentos.

5.2. O prazo existe para viabilizar a comunicação do controlador à ANPD e aos titulares em até 3 (três) dias úteis, conforme a Resolução CD/ANPD nº 15/2024.

5.3. A decisão sobre comunicar cabe ao controlador, salvo obrigação legal própria do operador.

6.1. O controlador poderá auditar o cumprimento deste acordo uma vez por ano, mediante aviso de 30 dias, em horário comercial, sem acesso a dados de outros clientes do operador. Relatórios de certificação vigentes substituem a auditoria presencial quando cobrirem o escopo.

7.1. Havendo tratamento fora do Brasil, o operador adotará salvaguardas compatíveis com o art. 33 da LGPD, preferencialmente as cláusulas-padrão aprovadas pela Resolução CD/ANPD nº 19/2024.

8.1. O operador manterá registro das operações de tratamento realizadas, na forma do art. 37 da LGPD, e o disponibilizará ao controlador mediante solicitação.

9.1. Encerrado o contrato principal, o operador devolverá ou eliminará os dados pessoais em até 30 (trinta) dias, mediante confirmação escrita, ressalvada guarda exigida por lei.

10.1. O CONTRATADO manterá controle de acesso individualizado, autenticação em duas etapas nos sistemas críticos, criptografia em trânsito e em repouso para dados sensíveis, rotina de backup testada e trilha de auditoria dos acessos.

10.2. É vedado copiar, extrair ou manter bases de dados do CONTRATANTE fora dos ambientes autorizados, bem como utilizar dados de produção em desenvolvimento sem anonimização prévia.

10.3. É vedada a inserção de dados do CONTRATANTE em ferramentas de inteligência artificial de terceiros não homologadas por escrito.

11.1. As partes obrigam-se a manter sigilo sobre toda informação a que tiverem acesso em razão deste contrato, incluindo código, arquitetura, dados de clientes, estratégia comercial, preços e informações financeiras, usando-as exclusivamente para a execução do objeto.

11.2. A obrigação permanece durante a vigência e por 5 (cinco) anos após o término, e não alcança informação pública, previamente conhecida sem dever de sigilo, ou exigida por autoridade competente — hipótese em que a parte notificará a outra antes da divulgação, quando legalmente possível.

11.3. Informação que constitua segredo de empresa, protegida pelo art. 195 da Lei nº 9.279/96, permanece confidencial enquanto mantiver essa natureza.

12.1. A responsabilidade de cada parte limita-se aos danos diretos comprovadamente causados e, no conjunto, ao valor efetivamente pago nos 12 (doze) meses anteriores ao evento que originou o pedido.

12.2. Nenhuma das partes responde por lucros cessantes, perda de receita, de dados ou de oportunidade comercial da outra.

12.3. O limite não se aplica a violação de confidencialidade, violação de propriedade intelectual, dolo, culpa grave ou infração à legislação de proteção de dados.

12.4. Esta limitação pressupõe relação entre empresas e não se aplica a eventual relação de consumo, diante da vedação do art. 51, I, do Código de Defesa do Consumidor.

13.1. Este contrato e seus anexos substituem quaisquer entendimentos anteriores sobre o mesmo objeto. Alterações só valem por termo aditivo escrito e assinado.

13.2. A tolerância quanto ao descumprimento de qualquer cláusula é mera liberalidade e não implica novação nem renúncia.

13.3. A nulidade de qualquer cláusula não contamina as demais, que permanecem em vigor.

13.4. Nenhuma parte cederá este contrato a terceiros sem anuência escrita da outra, salvo em reorganização societária dentro do mesmo grupo econômico.

13.5. As comunicações serão feitas por escrito aos endereços do preâmbulo ou aos e-mails informados pelas partes, sendo o e-mail meio hábil de notificação para todos os fins deste contrato.

13.6. As partes reconhecem a validade da assinatura eletrônica, nos termos do art. 10, § 2º, da MP 2.200-2/2001 e da Lei nº 14.063/2020, dispensando-se testemunhas quando adotada plataforma com registro de autoria e integridade.

14.1. Fica eleito o foro da comarca de [cidade], que corresponde ao domicílio de uma das partes ou ao local de cumprimento da obrigação, na forma do art. 63 do Código de Processo Civil com a redação da Lei nº 14.879/2024.

14.2. As partes buscarão solução consensual, inclusive por mediação, antes do ajuizamento de qualquer medida.