Adendo de Proteção de Dados (DPA) — LGPD

Anexo ao Contrato de Prestação de Serviços entre a Empresa-Cliente e a Maitau. Modelo preenchido e assinado por cliente.

Partes

• CONTROLADORA (Cliente): [RAZÃO SOCIAL DO CLIENTE], CNPJ [CNPJ], doravante “Controladora”.
• OPERADORA (Maitau): 67.231.485 LEONARDO CESAR CORBI (marca Maitau), CNPJ 67.231.485/0001-03, com sede na Rua Francisco Marcondes Vieira, 3, Apt 154, Bloco 2, São Paulo/SP, CEP 05639-090, doravante “Operadora”.

Este Adendo integra e está vinculado ao Contrato de Prestação de Serviçosfirmado entre as Partes (“Contrato Principal”) e rege o tratamento de dados pessoais realizado pela Operadora em nome da Controladora, nos termos da Lei nº 13.709/2018 (LGPD).

1. Definições

Os termos dado pessoal, dado pessoal sensível, titular, tratamento, controlador, operador, encarregado, incidente de segurança e ANPD têm o significado da LGPD.

2. Objeto e papéis

2.1. A Operadora trata dados pessoais exclusivamente em nome e segundo as instruções da Controladora, para a finalidade de prestar os serviços da plataforma app.maitau.com e das automações contratadas (Anexo I).

2.2. A Controladora é a controladora dos dados pessoais tratados por meio da plataforma e das automações (define finalidades e meios). A Operadora é a operadora desses dados.

2.3. Quanto aos dados de cadastro e uso da própria plataforma (contas de acesso dos usuários da Controladora), a Operadora atua como controladora, regida por sua Política de Privacidade.

3. Instruções de tratamento

3.1. A Operadora tratará os dados pessoais somente conforme: (i) este Adendo; (ii) o Contrato Principal; e (iii) instruções documentadas da Controladora.

3.2. A Operadora não usará os dados para finalidades próprias, nem os comercializará. Caso uma instrução pareça violar a LGPD, a Operadora informará a Controladora.

4. Acesso da Operadora à conta da Controladora

4.1. Por padrão, nenhuma pessoa da Operadora tem acesso ao conteúdo da conta da Controladora. O isolamento é técnico, aplicado no próprio banco de dados: ser administrador da plataforma não concede leitura dos dados de nenhum cliente.

4.2. O acesso só existe por concessão, em duas hipóteses, ambas com prazo determinado e visíveis à Controladora na própria plataforma (menu Time → Acesso da Maitau), onde podem ser encerradas a qualquer momento, sem aviso prévio e sem intermediação:

• a) a pedido da Controladora, quando ela solicita suporte e libera o acesso — validade de 7 dias;
• b) acesso de emergência, aberto pela Operadora para restabelecer o serviço ou conter incidente, mediante registro obrigatório do motivo e comunicação imediata à Controladora por e-mail e notificação na plataforma — validade de 24 horas.

4.3. Toda concessão e todo acesso ficam registrados (data, hora, via, motivo e responsável), e o histórico fica disponível à Controladora. O acesso expira sozinho: não depende de alguém lembrar de encerrá-lo.

5. Obrigações da Operadora

A Operadora compromete-se a:

• a) tratar os dados apenas conforme a cláusula 3 e o Anexo I;
• b) garantir o dever de confidencialidade de quem tiver acesso aos dados;
• c) adotar medidas de segurança técnicas e administrativas (art. 46 da LGPD), descritas no Anexo III;
• d) auxiliar a Controladora a responder às requisições dos titulares (seção 9) e às solicitações da ANPD;
• e) comunicar incidentes de segurança conforme a seção 8;
• f) ao término, eliminar ou devolver os dados conforme a seção 10;
• g) manter registro das operações de tratamento que realiza em nome da Controladora;
• h) utilizar suboperadores apenas conforme a seção 6.

6. Suboperadores

6.1. A Controladora autoriza a Operadora a utilizar os suboperadores listados no Anexo II para a prestação do serviço.

6.2. A Operadora garante que cada suboperador esteja submetido a obrigações de proteção de dados compatíveis com este Adendo.

6.3. A Operadora informará a Controladora sobre a inclusão ou substituição de suboperadores, que poderá se opor por motivo legítimo, em até 15 dias.

6.4. A Operadora permanece responsável perante a Controladora pelos atos de seus suboperadores.

7. Transferência internacional

Quando o tratamento envolver suboperadores fora do Brasil (Anexo II), a transferência observará o art. 33 da LGPD, mediante garantias de nível de proteção adequado e cláusulas contratuais apropriadas.

Quando a Controladora ativa o recurso opcional de Assistente de IA, a transcrição por ela fornecida é transmitida ao suboperador de IA no exterior, exclusivamente para gerar a sugestão de campos, sem retenção e sem uso para treinamento de modelos. Os documentos coletados permanecem armazenados no Brasil.

8. Incidentes de segurança

8.1. A Operadora notificará a Controladora sobre incidente de segurança que possa acarretar risco ou dano aos titulares sem demora injustificada, em até 48 horas após tomar conhecimento, fornecendo as informações disponíveis (natureza, dados e titulares afetados, medidas tomadas).

8.2. A comunicação à ANPD e aos titulares, quando cabível (art. 48 da LGPD), é responsabilidade da Controladora, com o auxílio da Operadora.

9. Direitos dos titulares

A Operadora auxiliará a Controladora a atender, dentro dos prazos legais, as requisições de titulares previstas no art. 18 da LGPD (acesso, correção, eliminação, portabilidade, etc.). Recebendo uma requisição diretamente, a Operadora a encaminhará à Controladora e não responderá por conta própria, salvo instrução.

10. Término — eliminação ou devolução

10.1. Encerrado o tratamento ou o Contrato Principal, a Operadora, conforme instrução da Controladora, eliminará ou devolverá os dados pessoais e eliminará as cópias existentes, em até 30 dias, salvo obrigação legal de retenção (art. 16 da LGPD).

9.2. A Operadora confirmará a eliminação por escrito, se solicitado.

11. Segurança e auditoria

10.1. As medidas de segurança constam do Anexo III.

11.2. A Operadora disponibilizará à Controladora, mediante solicitação razoável, informações necessárias para demonstrar o cumprimento deste Adendo.

12. Responsabilidade

As Partes respondem nos termos dos arts. 42 a 45 da LGPD. Eventuais limitações de responsabilidade do Contrato Principal aplicam-se a este Adendo, salvo disposição legal em contrário. (Cláusula a calibrar com advogado.)

13. Vigência e foro

13.1. Este Adendo vigora enquanto durar o tratamento de dados em nome da Controladora e enquanto vigente o Contrato Principal, ao qual se vincula.

13.2. Em caso de conflito sobre proteção de dados, prevalece este Adendo sobre o Contrato Principal.

13.3. Foro: [COMARCA], conforme o Contrato Principal.

Anexo I — Descrição do tratamento

Anexo II — Suboperadores autorizados

Anexo III — Medidas de segurança

Criptografia de credenciais; isolamento de dados entre clientes (multi-tenant com Row-Level Security); controle de acesso por papel (RBAC); transmissão cifrada (HTTPS/TLS); cabeçalhos de segurança; limitação de tentativas (rate limiting); segregação de tokens de integração por cliente; registro de eventos e erros; restrição de acesso de pessoal ao mínimo necessário.

Acesso de pessoal da Operadora (cláusula 4): negado por padrão no próprio banco de dados — a política de segurança em nível de linha exige uma concessão vigente para liberar leitura ou escrita de dados da Controladora, e a escrita administrativa direta foi removida. A concessão tem prazo que expira sozinho, é registrada com motivo e responsável, aparece na tela da Controladora e pode ser encerrada por ela a qualquer momento. O acesso de emergência dispara comunicação imediata por e-mail e notificação.

E, por estarem de acordo, as Partes assinam este Adendo.

CONTROLADORA: __________________________ Data: ______
[RAZÃO SOCIAL DO CLIENTE]

OPERADORA: __________________________ Data: ______
Maitau — 67.231.485 LEONARDO CESAR CORBI