Anexo I — Tratamento de Dados Pessoais

Este anexo integra os Termos de Serviço do Proacta CRM e disciplina o tratamento de dados pessoais entre as partes, nos termos da Lei nº 13.709/2018 (LGPD).

1. Definições e papéis dos agentes de tratamento

Para os fins desta cláusula, "CONTRATANTE" designa a pessoa jurídica que adere aos presentes Termos de Serviço, identificada pelos dados de cadastro fornecidos no momento da contratação, e "OPERADORA" designa a AVF Serviços Tecnológicos, inscrita no CNPJ nº 10.393.653/0001-31, responsável pelo serviço Proacta CRM. As expressões "dado pessoal", "tratamento", "controlador", "operador", "titular", "encarregado" e "ANPD" têm o significado que lhes atribui o art. 5º da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD).

Na execução do serviço, a OPERADORA atua em duas posições distintas: na condição de controladora em relação aos dados da conta do CONTRATANTE, assim compreendidos o nome, o e-mail, os dados de cadastro e de cobrança e os registros de acesso a aplicações de internet, sobre os quais decide as finalidades e os meios de tratamento; e na condição de operadora em relação aos dados pessoais inseridos pelo CONTRATANTE no sistema, assim compreendidos os dados de clientes, contatos, sócios, pessoas prospectadas, empresas e negociações da sua carteira, os quais são tratados exclusivamente conforme as instruções do CONTRATANTE, na qualidade de controlador, e para a prestação do serviço contratado, nos termos do art. 5º, VI e VII, e do art. 39 da LGPD.

2. Objeto e finalidades do tratamento

O tratamento de dados pessoais realizado pela OPERADORA na condição de operadora tem por finalidade exclusiva a prestação do serviço de CRM contratado, incluindo o armazenamento, a organização, a consulta, o processamento, a exportação e a eliminação dos dados conforme as instruções do CONTRATANTE e as funcionalidades do sistema. A OPERADORA não utilizará os dados tratados na condição de operadora para finalidades próprias, incompatíveis ou não relacionadas à execução do contrato, e não os compartilhará, venderá, cederá ou os utilizará para prospecção própria. Qualquer tratamento que exceda as instruções do CONTRATANTE ou as hipóteses legais aplicáveis será de responsabilidade exclusiva da OPERADORA, que se equipara ao controlador nessa hipótese, nos termos do art. 42, § 1º, da LGPD.

3. Instruções de tratamento e escopo de atuação

As instruções do CONTRATANTE à OPERADORA são as estabelecidas nestes Termos de Serviço, na Política de Privacidade do Proacta CRM, em suas versões vigentes, e nas comunicações escritas que o CONTRATANTE dirija à OPERADORA no uso normal do serviço, incluindo comandos de exportação, suspensão, reativação, correção e eliminação de dados executados por meio do próprio sistema. A OPERADORA tratará os dados pessoais apenas para executar essas instruções, observadas as obrigações legais a que esteja sujeita. Caso a OPERADORA entenda que uma instrução viola a legislação de proteção de dados, informará o CONTRATANTE antes de executá-la, sem prejuízo do cumprimento das obrigações legais próprias.

4. Período de tratamento e eliminação ao término da relação

O tratamento durará enquanto a conta estiver ativa e, após o cancelamento da assinatura, pelo período de encerramento descrito neste item, que constitui instrução documentada do CONTRATANTE à OPERADORA, nos termos do art. 39 da LGPD, e observa a regra de eliminação após o término do tratamento prevista no art. 15 e as hipóteses de conservação do art. 16 da LGPD. Contados os prazos a partir da data do cancelamento:

Encerrado o período de teste gratuito sem contratação, o acesso ao sistema é encerrado na data de término do teste e os dados inseridos permanecem preservados, sem processamento. O CONTRATANTE pode, a qualquer momento e pelo canal indicado em Contato do encarregado, ao final deste Anexo, pedir a exportação de todos os dados que inseriu — inclusive mediante reativação temporária da conta para esse fim exclusivo — ou a eliminação imediata deles. Não havendo contratação nem qualquer pedido, a OPERADORA envia aviso ao e-mail do titular da conta no 7º dia contado do término do teste, informando a data da exclusão, e elimina os dados no 30º dia, de forma definitiva e irreversível, nos mesmos termos e limites técnicos do último item da lista abaixo. Os prazos da lista aplicam-se ao cancelamento de assinatura contratada e correm a partir da solicitação.

• o acesso ao sistema permanece até o fim do período já pago, sem qualquer eliminação de dados;
• até o 30º dia, o CONTRATANTE pode exportar todos os dados que inseriu no sistema, em formato estruturado e de uso comum;
• do 31º ao 60º dia, a conta permanece suspensa, sem acesso e sem processamento, com os dados preservados, sendo a reativação nesse prazo capaz de restabelecer integralmente a conta;
• no 70º dia, a OPERADORA envia aviso ao e-mail do titular da conta informando que a exclusão ocorrerá em 20 dias;
• no 90º dia, os dados são excluídos de forma definitiva e irreversível, no âmbito e nos limites técnicos das atividades, incluída a eliminação ou sobrescrita dos dados nos sistemas de produção e o alinhamento dos ciclos de backup à referida exclusão.

O CONTRATANTE pode solicitar a exclusão imediata dos dados a qualquer momento durante o período de encerramento, sem aguardar o prazo final, bem como solicitar a reativação temporária para fins exclusivos de exportação durante o período de suspensão.

Pedido de exportação, correção ou eliminação recebido antes da data de exclusão suspende a contagem do prazo até o seu integral atendimento. Encerrado o teste, a conta não abre sozinha, e o atendimento do pedido depende de contato humano — sem esta suspensão, um pedido feito perto do fim do prazo poderia vencer antes de ser atendido.

Ficam ressalvadas da eliminação, por obrigação legal ou regulatória do controlador, nos termos do art. 16, I, da LGPD: os documentos fiscais e registros contábeis relativos às cobranças, mantidos pelo prazo mínimo de 5 anos previsto na legislação tributária, nos termos dos arts. 173 e 174 da Lei nº 5.172/1966 (Código Tributário Nacional); e os registros de acesso a aplicações de internet, mantidos por 6 meses, conforme o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), ressalvadas as prorrogações determinadas por ordem judicial.

Após o encerramento do período de tratamento, a OPERADORA devolverá ao CONTRATANTE, mediante solicitação, os dados por ele inseridos em formato estruturado e de uso comum, ou os eliminará, conforme a sua instrução, podendo fornecer declaração de eliminação quando solicitada, ressalvadas as hipóteses legais de conservação.

5. Direitos dos titulares e dever de auxílio

A OPERADORA auxiliará o CONTRATANTE, na condição de controlador, no atendimento aos pedidos de exercício de direitos dos titulares previstos no art. 18 da LGPD, incluindo confirmação de existência de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento, disponibilizando os meios técnicos e as informações necessárias para que o CONTRATANTE responda aos pedidos nos prazos legais do art. 19 da LGPD.

Caso um titular se dirija diretamente à OPERADORA exercendo direito sobre dados tratados na condição de operadora, a OPERADORA encaminhará o pedido ao CONTRATANTE e apoiará o seu atendimento, informando o titular sobre o encaminhamento. Pedidos referentes aos dados da conta do CONTRATANTE, sobre os quais a OPERADORA atua como controladora, serão atendidos diretamente pela OPERADORA, por meio do canal de contato indicado na Política de Privacidade e do encarregado por ela designado, nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 18/2024.

6. Subcontratação

A OPERADORA poderá contratar suboperadores para a execução do serviço, observado o disposto neste item. Na data de vigência destes Termos, os suboperadores são: Supabase (armazenamento e banco de dados), Vercel (hospedagem e infraestrutura), Resend (envio e recebimento de e-mail em nome do CONTRATANTE, recebendo o endereço e o conteúdo das mensagens enviadas e recebidas), Chatwoot (chat de suporte dentro do produto), e provedores de inteligência artificial, incluindo Anthropic, Google e DeepSeek, utilizados para funcionalidades de IA do produto.

A OPERADORA manterá a lista atualizada de suboperadores disponível em proacta.ia.br/legal/subprocessadores e notificará o CONTRATANTE sobre a inclusão ou substituição de suboperadores com antecedência mínima de 15 (quinze) dias, cabendo ao CONTRATANTE, nesse prazo, manifestar objeção fundamentada.

A OPERADORA celebrará com cada suboperador contrato escrito que lhes imponha obrigações de proteção de dados equivalentes às assumidas nesta cláusula, especialmente quanto às instruções do controlador, à segurança e à confidencialidade, permanecendo a OPERADORA responsável pelos atos e omissões dos suboperadores perante o CONTRATANTE, nos termos do art. 42, § 1º, da LGPD.

7. Transferência internacional de dados

A OPERADORA informa que a prestação do serviço envolve o tratamento de dados pessoais por suboperadores localizados fora do Brasil, inclusive nos Estados Unidos da América e na República Popular da China, no que se refere aos provedores de inteligência artificial e à hospedagem.

A transferência internacional de dados pessoais será realizada apenas com fundamento nas hipóteses do art. 33 da LGPD, mediante a adoção das cláusulas-padrão contratuais aprovadas pela ANPD, nos termos da Resolução CD/ANPD nº 19/2024, ou de outra garantia admitida pela legislação, e observará o disposto nos arts. 34 a 36 da LGPD. A OPERADORA adotará medidas para minimizar a transferência internacional, incluindo, sempre que possível, a anonimização ou a redução dos dados enviados aos provedores de inteligência artificial, e informará ao CONTRATANTE, mediante solicitação, os países de destino e os mecanismos de garantia empregados.

8. Segurança da informação

A OPERADORA aplicará as medidas técnicas e organizacionais aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos do art. 46 da LGPD, incluindo, no mínimo: criptografia dos dados em trânsito e em repouso; controle de acesso baseado em perfis e necessidade de conhecimento; segregação lógica entre os dados de diferentes contratantes; monitoramento e registro de acessos; e procedimentos de backup e recuperação. A OPERADORA exigirá de seus suboperadores padrões de segurança equivalentes. O CONTRATANTE, por sua vez, responsabiliza-se pela segurança das credenciais de acesso à sua conta e pelas práticas de uso do serviço por seus usuários.

9. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da LGPD, a OPERADORA notificará o CONTRATANTE em prazo não superior a 72 (setenta e duas) horas do conhecimento do fato, descrevendo a natureza dos dados pessoais afetados, as circunstâncias do incidente e as medidas de contenção e remediação adotadas, e prestará o auxílio necessário para que o CONTRATANTE, na condição de controlador, avalie a necessidade de comunicação à ANPD e aos titulares. A OPERADORA manterá registro dos incidentes e das medidas adotadas, nos termos da regulamentação da ANPD.

10. Registro das operações de tratamento

A OPERADORA manterá registro das operações de tratamento de dados pessoais que realizar na condição de operadora, nos termos do art. 37 da LGPD e da Resolução CD/ANPD nº 2/2022, no que for aplicável aos agentes de tratamento de pequeno porte, e disponibilizará as informações ao CONTRATANTE mediante solicitação razoável, resguardados o sigilo comercial e as obrigações de confidencialidade perante terceiros.

11. Auditoria e prestação de contas

A OPERADORA disponibilizará ao CONTRATANTE informações razoáveis e suficientes para demonstrar o cumprimento das obrigações desta cláusula, incluindo documentação de medidas de segurança e, quando aplicável, relatórios de conformidade de seus suboperadores, sem prejuízo do sigilo comercial. O CONTRATANTE poderá solicitar auditoria ou inspeção dos processos de tratamento da OPERADORA, mediante aviso prévio de 30 (trinta) dias, em horário comercial, com escopo limitado ao cumprimento desta cláusula e com assunção dos custos correspondentes, salvo se a auditoria revelar descumprimento.

12. Responsabilidade

A responsabilidade civil das partes observará o disposto no art. 42 da LGPD. A OPERADORA responderá pelos danos causados pelo tratamento quando descumprir a legislação de proteção de dados ou não seguir as instruções lícitas do CONTRATANTE, hipótese em que se equipara ao controlador, nos termos do art. 42, § 1º, da LGPD. O CONTRATANTE, na condição de controlador dos dados inseridos, responderá pela licitude da coleta e do tratamento dos dados por ele inseridos no sistema, incluindo a existência de base legal para o tratamento de dados de terceiros, e pelo teor das instruções fornecidas à OPERADORA. Nenhuma das partes será responsabilizada por violações decorrentes de caso fortuito, força maior ou fato exclusivo de terceiro.

13. Vigência e sobrevivência

Esta cláusula permanece em vigor durante toda a execução dos serviços e, após o cancelamento ou término do contrato, subsiste enquanto a OPERADORA mantiver dados pessoais tratados na condição de operadora, incluído o período de encerramento de que trata o item 4, até a efetiva devolução ou eliminação dos dados, ressalvadas as hipóteses legais de conservação.