Acordo de Processamento de Dados

A Operadora realiza, em nome da Controladora, o tratamento dos dados a seguir listados, para a finalidade exclusiva de operar o canal de denúncias conforme a Lei 14.457/2022 e a LGPD:

• Dados do administrador/investigador: nome completo, e-mail corporativo, cargo — para autenticação e auditoria de acesso ao painel.
• Conteúdo das denúncias: texto do relato, categoria, unidade de negócio indicada — armazenado criptografado e acessível apenas a investigadores autorizados da Controladora.
• Metadados operacionais: data/hora de criação, status, histórico de alterações — para rastreabilidade e conformidade legal.
• Token anônimo: hash irreversível SHA-256 que permite ao denunciante acompanhar seu caso sem identificação pessoal.

Dados NÃO coletados: endereço IP do denunciante, cookies de rastreamento, fingerprint de dispositivo, nome ou qualquer dado identificador do denunciante.

• Tratar os dados pessoais apenas conforme as instruções documentadas da Controladora e nos termos deste DPA.
• Garantir que as pessoas autorizadas a tratar os dados pessoais assumam compromisso de confidencialidade.
• Adotar as medidas técnicas e organizacionais adequadas para proteger os dados contra acesso não autorizado, destruição acidental ou ilícita, perda, alteração ou divulgação.
• Notificar a Controladora, sem demora injustificada e em prazo máximo de 72 horas após ter tomado conhecimento, de qualquer violação de dados pessoais (Art. 48 da LGPD).
• Auxiliar a Controladora no atendimento de requisições dos titulares (direitos LGPD), incluindo acesso, correção, exclusão e portabilidade.
• Não subcontratar o tratamento de dados sem autorização prévia e por escrito da Controladora, exceto pelos suboperadores listados na Cláusula 6.
• Excluir ou devolver todos os dados pessoais ao término do contrato, conforme instrução da Controladora, salvo obrigação legal de retenção.
• Disponibilizar à Controladora todas as informações necessárias para demonstrar conformidade com as obrigações estabelecidas neste DPA.

• Garantir que possui base legal adequada para o tratamento dos dados (Art. 7.º, incisos II e IX da LGPD — cumprimento de obrigação legal e legítimo interesse).
• Assegurar que os titulares dos dados (colaboradores) sejam informados sobre a existência e a finalidade do canal de denúncias, conforme exige o princípio da transparência (Art. 6.º, VI da LGPD).
• Gerir os acessos de investigadores e administradores, revogando-os imediatamente em caso de desligamento ou mudança de função.
• Responder pelos conteúdos inseridos no canal e pela adequação do uso aos fins permitidos pela Lei 14.457/2022.

A Operadora adota as seguintes medidas técnicas e organizacionais:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256)
• Autenticação de dois fatores (MFA-TOTP) obrigatória para todos os operadores do painel
• Controle de acesso granular por função (RBAC) com segregação por tenant
• Tokens de denúncia como hashes SHA-256 irreversíveis
• Registros de auditoria imutáveis de todos os acessos e ações no painel
• Backups automáticos diários com retenção mínima de 30 dias
• Infraestrutura em data center AWS São Paulo (região sa-east-1), certificado ISO 27001
• Testes de penetração anuais realizados por fornecedor independente
• Programa de resposta a incidentes com SLA de notificação de 72 horas

A Controladora autoriza, neste ato, o uso dos seguintes suboperadores, que estão vinculados a obrigações equivalentes às deste DPA:

Quando aplicável, as transferências internacionais de dados (Resend, Groq, Lovable e Google) são realizadas com base em Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) aprovadas pela autoridade competente, conforme Art. 33 da LGPD e decisão de adequação aplicável.

Para a análise por IA, o Groq recebe o texto do relato minimizado: antes do envio são removidos e-mail, telefone, CPF, CNPJ e endereços web, e o texto é cortado no tamanho necessário. Nomes ou outros detalhes escritos livremente no relato podem permanecer. O resultado da IA é uma sugestão: a decisão sobre o caso é sempre da equipe da Controladora. Os indicadores do painel enviam apenas números agregados.

• Registros de denúncias: mínimo de 5 anos após encerramento do caso, conforme Art. 13 da Lei 14.457/2022.
• Dados de conta: vigência do contrato + 90 dias após rescisão, para fins de portabilidade e auditoria.
• Logs de acesso e auditoria: 12 meses (ou prazo superior definido pela Controladora em sua política interna).

Em caso de exercício de direitos por titulares (Art. 18 da LGPD), a Controladora responde diretamente ao titular. A Operadora compromete-se a:

• Fornecer as informações técnicas necessárias para que a Controladora atenda às requisições de acesso, correção, exclusão ou portabilidade em até 5 dias úteis.
• Executar operações de anonimização ou exclusão de dados conforme solicitado pela Controladora, respeitados os prazos de retenção legais.

Este DPA entra em vigor na data de adesão ao Sua Voz Protegida e permanece válido durante toda a vigência do Contrato de Prestação de Serviços. Em caso de rescisão:

• A Operadora manterá os dados pelo prazo legal mínimo (Cláusula 8) e, após esse prazo, procederá à exclusão segura.
• A Controladora poderá solicitar exportação completa dos dados em até 60 dias após a rescisão.

Cada parte responde pelos danos causados em virtude do descumprimento das obrigações previstas neste DPA e na LGPD. A responsabilidade da Operadora limita-se ao valor total pago pela Controladora nos 12 meses anteriores ao evento danoso, exceto nos casos de dolo ou culpa grave.

Este DPA é regido pela legislação brasileira, em especial pela LGPD (Lei 13.709/2018). Fica eleito o foro da comarca do Rio de Janeiro/RJ para dirimir quaisquer controvérsias.