Contrato de Operador de Dados

1. Definições e Partes

Este Adendo de Proteção de Dados ("DPA") integra e complementa os Termos de Uso do CRM Studio e regula o tratamento de dados pessoais realizado por conta e ordem do Cliente, nos termos da Lei nº 13.709/2018 (LGPD). São partes: Edney Junior, atuando como EJ Labs, com sede em Madre de Deus/BA, doravante OPERADOR; e o Cliente identificado no cadastro da assinatura, doravante CONTROLADOR. Os termos dado pessoal, dado pessoal sensível, titular, tratamento, controlador, operador, encarregado, ANPD e incidente de segurança têm o significado atribuído pela LGPD. Havendo conflito entre este DPA e os Termos de Uso quanto a tratamento de dados pessoais, prevalece este DPA.

2. Objeto e papéis das partes

Este DPA estabelece as condições em que o Operador trata dados pessoais em nome do Controlador, exclusivamente para viabilizar a prestação da plataforma CRM Studio. O Controlador é responsável por definir as finalidades e os meios essenciais do tratamento, por possuir base legal adequada (arts. 7º e 11 da LGPD) para os dados que insere — inclusive dados sensíveis — e por cumprir seus deveres perante os titulares e a ANPD. O Operador trata os dados somente conforme as instruções documentadas do Controlador (Termos de Uso, este DPA e as configurações da plataforma), não os utilizando para finalidades próprias, salvo obrigação legal a que esteja sujeito.

3. Descrição do tratamento

Natureza e finalidade: armazenamento, organização, consulta, processamento e disponibilização dos dados inseridos pelo Controlador, para operação dos módulos contratados. Duração: enquanto vigorar o contrato de assinatura, observada a cláusula 9. Categorias de titulares: clientes, leads, contatos, fornecedores, partes processuais e funcionários do Controlador. Categorias de dados: dados cadastrais e de contato; dados financeiros e de negócio; dados processuais e documentos jurídicos, nos módulos de advocacia; e, nos módulos de gestão de pessoal, documentos de funcionário que podem incluir dados pessoais sensíveis, como atestados de saúde ocupacional.

4. Obrigações do Operador (LGPD, art. 39)

O Operador obriga-se a:

• Tratar os dados estritamente conforme as instruções documentadas do Controlador, comunicando-o caso entenda que alguma instrução viole a LGPD.
• Garantir que toda pessoa autorizada a tratar os dados esteja sujeita a obrigação de confidencialidade.
• Adotar e manter as medidas técnicas e administrativas de segurança da cláusula 6, conforme o art. 46 da LGPD.
• Auxiliar o Controlador, na medida do tecnicamente possível, a atender às requisições dos titulares no exercício de seus direitos (art. 18), por funcionalidades da plataforma e por suporte.
• Auxiliar o Controlador no cumprimento do dever de comunicação de incidentes de segurança (art. 48), na elaboração de relatórios de impacto e no atendimento a requisições da ANPD.
• Contratar suboperadores apenas conforme a cláusula 7 e responder perante o Controlador pelos atos deles.
• Manter registro das operações de tratamento que realiza (art. 37).

5. Dados pessoais sensíveis

Quando o Controlador inserir dados sensíveis — por exemplo, documentos de saúde de funcionários nos módulos de gestão de pessoal — declara possuir base legal adequada nos termos do art. 11 da LGPD, notadamente cumprimento de obrigação legal ou regulatória, tutela da saúde ou exercício regular de direitos. O Operador aplica a esses dados os mesmos controles de acesso restrito, isolamento entre contas e registro de acessos descritos na cláusula 6.

6. Medidas de segurança (LGPD, art. 46)

O Operador adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo, no mínimo:

• Controle de acesso baseado em credenciais individuais e autorização por perfil.
• Criptografia de dados em trânsito (TLS).
• Isolamento lógico entre contas (multi-tenancy), de modo que cada Controlador acesse apenas os próprios dados, reforçado por regras de segurança em nível de linha (RLS) no banco de dados.
• Registro de logs de acesso e de eventos relevantes.
• Cópias de segurança do banco de dados e dos arquivos armazenados, executadas quatro vezes por dia, mantidas fora do provedor de banco de dados, com retenção de 90 dias e procedimento de restauração documentado.
• Políticas internas de segurança e confidencialidade.

7. Suboperadores

O Controlador autoriza, de forma geral, a contratação dos suboperadores abaixo, necessários à operação da plataforma. O Operador lhes impõe, por contrato, obrigações de proteção de dados não menos protetivas que as deste DPA, e informará o Controlador com antecedência razoável sobre inclusão ou substituição de suboperador que trate dados pessoais, facultando-se ao Controlador objetar por motivo legítimo. Suboperadores atuais:

• Supabase — banco de dados, autenticação e armazenamento de arquivos. Estados Unidos (East US, Norte da Virgínia): transferência internacional.
• Vercel — hospedagem e entrega da aplicação web. Infraestrutura global: pode envolver processamento fora do Brasil.
• Asaas — processamento dos pagamentos da assinatura (dados do Controlador, não dos titulares dele). Brasil.
• Resend — envio de e-mails transacionais da plataforma. Estados Unidos: transferência internacional.
• Meta Platforms (WhatsApp Business Cloud API) — envio e recebimento de mensagens de WhatsApp, quando o módulo é utilizado pelo Controlador. Infraestrutura global.
• ZapSign — assinatura eletrônica de documentos, quando o recurso é utilizado. Brasil.
• Google — serviços de calendário e de reconhecimento de texto em imagem, quando os recursos são utilizados. Infraestrutura global.
• Anthropic — processamento por inteligência artificial nos recursos que dependem dela, quando utilizados. Estados Unidos: transferência internacional.

8. Transferência internacional (LGPD, art. 33)

Parte do tratamento envolve transferência internacional, conforme identificado na cláusula 7 — em especial o armazenamento do banco de dados e dos arquivos nos Estados Unidos. O Operador adota como fundamento dessa transferência as garantias contratuais de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD, assumidas pelos respectivos suboperadores, nos termos do art. 33, II, "a". O Operador acompanhará a regulamentação da ANPD sobre cláusulas-padrão contratuais e adequará o fundamento quando aplicável.

9. Retenção, devolução e eliminação

O Operador trata os dados apenas pelo tempo necessário à prestação do serviço durante a vigência do contrato. Ao término, disponibiliza a exportação dos dados em formato legível por máquina pelo prazo de 30 dias e, em seguida, procede à eliminação dos dados pessoais de seus ambientes de produção, e das cópias de segurança conforme o ciclo de retenção de 90 dias da cláusula 6, salvo obrigação legal de conservação. Quando a legislação exigir a conservação de determinados dados, eles são retidos pelo período legal, com tratamento limitado a essa finalidade.

10. Incidentes de segurança (LGPD, art. 48)

O Operador comunicará o Controlador em até 48 horas após tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, fornecendo as informações de que dispuser para que o Controlador cumpra seu dever de comunicação à ANPD e aos titulares. A comunicação conterá, na medida do disponível: a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança adotadas e as medidas de mitigação. O dever de comunicar a ANPD e os titulares recai sobre o Controlador; o Operador o auxilia.

11. Responsabilidade

Cada parte responde pelo descumprimento das obrigações que lhe cabem na LGPD e neste DPA. O Operador responde solidariamente nas hipóteses do art. 42, §1º, da LGPD — descumprimento da LGPD ou inobservância de instruções lícitas do Controlador. O Controlador mantém o Operador indene quanto a pretensões de titulares decorrentes da falta de base legal, da ilicitude ou da inexatidão dos dados que ele próprio inseriu. A limitação de responsabilidade prevista nos Termos de Uso aplica-se às relações entre as partes e não afasta a responsabilidade legal de qualquer delas perante o titular dos dados, que é inafastável por contrato.

12. Encarregado (DPO) e disposições finais

O Operador indica como Encarregado, nos termos do art. 41 da LGPD, Edney Junior, cujo canal oficial de contato é a página de Contato deste site. O Controlador deve indicar o próprio Encarregado, quando aplicável, sendo o responsável pela interface com os titulares dele. Este DPA vigora enquanto o Operador tratar dados pessoais por conta do Controlador. Aplicam-se subsidiariamente os Termos de Uso e a legislação brasileira, e o foro é o mesmo eleito nos Termos de Uso.