Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados (“DPA”) integra os Termos de Uso e disciplina exclusivamente a hipótese em que a Conversa Labs LTDA, inscrita no CNPJ 67.791.399/0001-47 (“Conversa Labs”, “operadora”), trata dados pessoais por conta e sob instrução do assinante (“controlador”) — a saber, quando a nossa equipe acessa uma account em razão do add-on de assistência humana.

Fora dessa hipótese, os papéis são outros e estão descritos na Política de Privacidade: somos controladores dos dados do próprio assinante, e o assinante é controlador dos dados dos clientes dele. Este DPA não altera esses papéis.

1. Definições

Aplicam-se as definições da Lei nº 13.709/2018 (LGPD). “Dados pessoais”, “titular”, “tratamento”, “controlador”, “operador”, “encarregado” e “incidente de segurança” têm o sentido do art. 5º. “Account” tem o sentido dos Termos de Uso.

2. Objeto, natureza e finalidade do tratamento

O objeto é a prestação do serviço de assistência humana em uma account nomeada pelo controlador. A natureza do tratamento é o acesso técnico de leitura e, quando necessário à solução solicitada, de configuração dentro daquela account.

A finalidade é estrita: investigar e resolver o chamado aberto pelo controlador. Não realizamos tratamento para finalidade própria, não elaboramos perfis, não treinamos modelos com esses dados e não os utilizamos para marketing, análise de produto ou qualquer outro fim.

3. Duração

O tratamento ocorre durante e apenas durante cada sessão de acesso registrada, e enquanto vigorar o add-on de assistência sobre aquela account. Cancelado o add-on, cessa a autorização e cessa o acesso.

4. Tipos de dados e categorias de titulares

O controlador é quem determina o que existe dentro da sua account. Ao acessá-la, podemos ter contato incidental com: dados cadastrais e de contato dos clientes do controlador (nome, telefone, e-mail), conteúdo de conversas, anexos, dados de atendimento (etiquetas, notas, histórico) e configurações operacionais. As categorias de titulares são os clientes, contatos e colaboradores do controlador.

Não solicitamos e não temos necessidade de dados pessoais sensíveis (art. 5º, II) nem de dados de crianças e adolescentes. Se o controlador os mantiver na account, permanece dele a responsabilidade pela base legal e pelas salvaguardas aplicáveis.

5. Instrução do controlador e autorização específica

Atuamos estritamente sob a instrução do controlador (art. 39 da LGPD). A instrução é formalizada em dois níveis:

• Autorização prévia por account: o aceite do Termo de Autorização de Acesso, vinculado ao identificador daquela account específica. A autorização dada para uma account não se estende a nenhuma outra.
• Chamado que origina cada acesso: cada sessão é aberta a partir de uma solicitação identificável do controlador, cuja referência é registrada na trilha.

Se entendermos que uma instrução do controlador viola a LGPD, informaremos o controlador e não a executaremos até que seja sanada.

6. Registro das operações (art. 37)

Mantemos registro inalterável e apenas-anexar de cada acesso, contendo: identificação do profissional que acessou, data e hora de início e de término, identificador da account, referência do chamado e motivo. O registro não pode ser editado nem apagado após criado — a restrição é aplicada no banco de dados, não apenas na aplicação.

O controlador pode consultar essa trilha a qualquer tempo na área do assinante e solicitar cópia, inclusive para instruir resposta a titular ou a autoridade.

7. Confidencialidade e pessoal autorizado

O acesso é limitado aos profissionais que dele necessitem para atender ao chamado, todos submetidos a obrigação de confidencialidade que subsiste ao término do vínculo. Não utilizamos credenciais compartilhadas: cada profissional possui identidade própria, e é ela que consta da trilha — um registro que não identifica uma pessoa não é registro.

8. Segurança

Adotamos medidas técnicas e administrativas compatíveis com o risco, entre elas: transporte cifrado (TLS), autenticação individual, controle de acesso por privilégio mínimo, segregação de ambientes, registro de auditoria e revisão periódica de credenciais. Nenhuma medida elimina integralmente o risco, e não prometemos segurança absoluta.

9. Subprocessadores

O controlador autoriza, de forma geral, o uso dos subprocessadores necessários à operação do serviço, indicados de forma nominal na Política de Privacidade. Comunicaremos com antecedência mínima de 30 (trinta) dias a inclusão ou substituição de subprocessador que trate dados pessoais em nome do controlador; havendo oposição fundamentada, o controlador poderá rescindir o add-on sem ônus.

Respondemos perante o controlador pelos atos dos subprocessadores que contratarmos, nos mesmos termos deste acordo.

10. Transferência internacional

Havendo tratamento fora do Brasil por subprocessador, ele se dará nas hipóteses do art. 33 da LGPD e mediante garantias contratuais adequadas. A relação atualizada e a localização de cada subprocessador constam da Política de Privacidade.

11. Direitos dos titulares

O atendimento aos titulares é obrigação do controlador, que detém o vínculo com eles. Se recebermos diretamente uma solicitação de titular relativa a dados existentes dentro de uma account, não a responderemos por conta própria: encaminharemos ao controlador sem demora e prestaremos a assistência técnica razoável para que ele responda no prazo legal.

12. Incidentes de segurança

Comunicaremos ao controlador, sem demora injustificada e em até 48 (quarenta e oito) horas da ciência, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares e que envolva dados tratados por nós em seu nome. A comunicação conterá a natureza do incidente, os dados afetados, as medidas adotadas e as recomendações. A comunicação à autoridade nacional e aos titulares, na forma do art. 48, cabe ao controlador, com o nosso apoio.

13. Devolução e eliminação

Não retemos cópias do conteúdo das accounts. Encerrado o add-on ou o contrato, o controlador segue com os seus dados na sua própria instalação e pode exportá-los na forma dos Termos de Uso. Os registros da trilha de acesso são conservados pelo prazo necessário ao cumprimento das nossas próprias obrigações legais de prestação de contas (art. 37), ainda que o add-on tenha sido cancelado — eliminá-los destruiria a prova que protege as duas partes.

14. Auditoria e demonstração de conformidade

Disponibilizamos ao controlador, mediante solicitação e no prazo de 30 (trinta) dias, as informações necessárias para demonstrar o cumprimento deste acordo, inclusive a íntegra da trilha de acesso relativa às suas accounts. Auditorias presenciais poderão ser acordadas caso a caso, com aviso prévio razoável, no horário comercial e sem comprometer o sigilo de terceiros.

15. Responsabilidade

Cada parte responde pelas obrigações que a LGPD lhe atribui em razão do seu papel. Este acordo não transfere ao controlador as responsabilidades que a lei nos impõe como operadores, nem nos transfere as que a lei impõe ao controlador. Aplica-se, no que couber, o regime de responsabilidade dos arts. 42 a 45 da LGPD.

16. Encarregado e contato

Contato do encarregado pelo tratamento de dados (DPO): contato@conversalabs.com.br. Solicitações relativas a este acordo devem ser enviadas por esse canal.

17. Vigência e prevalência

Este DPA vigora enquanto houver add-on de assistência ativo sobre qualquer account do controlador. Em caso de conflito entre este acordo e os Termos de Uso quanto ao tratamento de dados pessoais em nome do controlador, prevalece este acordo.