Anexo de Tratamento de Dados Pessoais (DPA)

Este Anexo integra os Termos de Serviço e rege o tratamento de dados pessoais realizado pela HumaniTech Inteligência Artificial, Automação e Sistemas LTDA, CNPJ 65.037.094/0001-19, com sede na R. Otavio Forghiere, 72, Sala 63 Parte C, Jardim Gumercindo, Guarulhos/SP, CEP 07.090-070 (“HumaniTech”), por conta e ordem do cliente contratante (“Cliente”), nos termos da Lei nº 13.709/2018 (“LGPD”).

1. Papéis das partes

Em relação aos dados pessoais de terceiros inseridos, importados ou gerados na plataforma — como contatos, leads, pacientes, clientes finais e participantes de atendimentos —, o Cliente é o controlador (art. 5º, VI, da LGPD), cabendo a ele as decisões sobre o tratamento, e a HumaniTech é a operadora (art. 5º, VII), tratando esses dados exclusivamente conforme as instruções do Cliente.

A HumaniTech atua como controladora apenas quanto aos dados cadastrais, de faturamento e de uso do próprio Cliente e de seus usuários, hipótese regida pela Política de Privacidade.

2. Instruções do controlador

A HumaniTech tratará os dados pessoais somente segundo as instruções documentadas do Cliente (art. 39 da LGPD). Constituem instruções documentadas: estes Termos e Anexo, as configurações e os comandos executados pelo Cliente na plataforma (incluindo prompts, automações, fluxos e integrações que habilitar) e as solicitações formais de suporte.

A HumaniTech informará o Cliente caso, a seu juízo, uma instrução recebida viole a LGPD ou outra norma de proteção de dados, podendo suspender sua execução até o esclarecimento.

3. Obrigações do Cliente

Na qualidade de controlador, o Cliente declara e se obriga a:

• dispor de base legal adequada (arts. 7º e 11 da LGPD) para cada tratamento que realizar por meio da plataforma, inclusive para as listas de contatos que importar e para as comunicações que disparar;
• prestar aos titulares as informações do art. 9º e obter o consentimento quando esta for a base legal aplicável, mantendo a respectiva prova (art. 8º, §2º);
• informar previamente os participantes sobre a gravação e a transcrição de reuniões e de mensagens de áudio, e obter a base legal necessária para tanto;
• não inserir na plataforma dados pessoais sensíveis fora das hipóteses do art. 11 da LGPD, nem dados de crianças e adolescentes em desacordo com o art. 14;
• garantir a licitude da origem dos históricos de conversas e das bases importadas;
• indicar seu próprio encarregado e responder, em primeira linha, às requisições dos titulares.

4. Objeto do tratamento

Categorias de titulares: contatos, leads, clientes finais, pacientes e demais pessoas com quem o Cliente se comunica; colaboradores e usuários indicados pelo Cliente; participantes de reuniões e signatários de documentos.

Categorias de dados: dados de identificação e contato (nome, telefone, e-mail, CPF/CNPJ quando informado); conteúdo de comunicações trocadas pela plataforma, incluindo mensagens, mídias, áudios e suas transcrições; registros de relacionamento no CRM (notas, atividades, etiquetas, histórico de negociações); gravações e transcrições de vídeo chamadas; dados de agendamentos; dados financeiros e de cobrança; evidências de assinatura eletrônica; dados de processos judiciais nos módulos jurídicos; e registros de acesso e de uso.

Operações: coleta, recepção, armazenamento, organização, classificação, uso, consulta, transcrição, sumarização automatizada, comunicação, transferência, bloqueio e eliminação.

Finalidade: exclusivamente a prestação dos serviços contratados. A HumaniTech não trata os dados do Cliente para finalidades próprias.

Duração: enquanto vigente a contratação, observada a cláusula 11.

5. Dados sensíveis

A plataforma pode ser utilizada por profissionais e estabelecimentos de saúde, hipótese em que trafegam dados referentes à saúde, classificados como sensíveis (art. 5º, II). Nesses casos, a HumaniTech os trata apenas para viabilizar os recursos contratados, e não os comunica nem os compartilha com outros controladores com o objetivo de obter vantagem econômica, conforme veda o art. 11, §4º, da LGPD.

6. Uso de inteligência artificial e não utilização para treinamento

Recursos de IA da plataforma (respostas automáticas, transcrição e resumo) processam o conteúdo estritamente necessário para produzir o resultado solicitado pelo Cliente. A HumaniTech não utiliza os dados pessoais tratados por conta do Cliente para treinar, ajustar ou avaliar modelos próprios ou de terceiros, e contrata seus fornecedores de IA sob condições que vedam esse uso.

Quando um recurso produzir decisão automatizada que afete interesses do titular, o Cliente é responsável por observar o art. 20 da LGPD, e a HumaniTech fornecerá as informações necessárias sobre os critérios utilizados, observados os segredos comercial e industrial.

7. Subprocessadores

O Cliente autoriza a HumaniTech a contratar os subprocessadores abaixo, que ficam sujeitos a obrigações de proteção de dados equivalentes às deste Anexo. A HumaniTech responde perante o Cliente pelos atos de seus subprocessadores.

A conexão com o WhatsApp é operada em infraestrutura própria da HumaniTech, sem intermediário terceiro. As mensagens, contudo, trafegam pela rede WhatsApp, operada pela Meta sob seus próprios termos e políticas, escolha esta feita pelo Cliente ao adotar o canal.

Alterações nessa lista serão comunicadas ao Cliente com antecedência mínima de 30 (trinta) dias. O Cliente que se opuser fundamentadamente à inclusão de um subprocessador poderá rescindir a contratação, sem multa, até a data de sua entrada em operação.

8. Transferência internacional de dados

Parte dos subprocessadores listados na cláusula 7 trata dados fora do território nacional, conforme ali indicado. Essas transferências ocorrem com fundamento no art. 33, II e IX, da LGPD — garantias contratuais de cumprimento do regime de proteção de dados oferecidas pelos fornecedores e necessidade para a execução do contrato de que o titular ou o Cliente é parte —, limitadas ao estritamente necessário para a prestação dos serviços.

9. Segurança

A HumaniTech adota medidas técnicas e administrativas para proteger os dados (arts. 46 a 49 da LGPD), entre elas: tráfego cifrado por TLS; segregação lógica dos dados por conta de cliente; autenticação individual e controle de acesso por perfil; cifragem de credenciais de integração armazenadas; controle de acesso administrativo por tokens próprios; rotinas de backup; e registro das operações relevantes.

A obrigação de confidencialidade e de segurança vincula a HumaniTech e seu pessoal e subsiste ao término do contrato (art. 47).

10. Incidentes de segurança

Ciente de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a HumaniTech comunicará o Cliente em até 24 (vinte e quatro) horas, informando a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança aplicadas, os riscos identificados e as providências de mitigação, conforme o art. 48, §1º, da LGPD.

Cabe ao Cliente, como controlador, decidir sobre a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, com o apoio informacional da HumaniTech.

11. Direitos dos titulares e término do tratamento

As requisições dos titulares (art. 18) são dirigidas ao Cliente. A HumaniTech disponibiliza na plataforma recursos de consulta, correção, exportação e eliminação, e auxilia o Cliente em solicitações que dependam de sua atuação, em prazo compatível com o do art. 19.

Encerrada a contratação, o Cliente terá 30 (trinta) dias para exportar os dados. Findo esse prazo, a HumaniTech os eliminará, salvo conservação autorizada pelo art. 16 da LGPD, notadamente para cumprimento de obrigação legal ou regulatória e para exercício regular de direitos.

12. Demonstração de conformidade

Mediante solicitação fundamentada, a HumaniTech prestará ao Cliente as informações necessárias para demonstrar o cumprimento deste Anexo, incluindo subsídios para o relatório de impacto à proteção de dados pessoais (art. 38). Auditorias presenciais dependem de agendamento prévio de 30 dias, acordo de confidencialidade e ressarcimento dos custos incorridos.

13. Responsabilidade

Cada parte responde pelos danos que causar no âmbito de suas atribuições, na forma dos arts. 42 a 45 da LGPD, assegurado o direito de regresso previsto no art. 42, §4º.

14. Encarregado

O encarregado pelo tratamento de dados pessoais da HumaniTech é Rafael Apolinário, que pode ser contatado pelo e-mail contato@humanitech.com.br.

15. Vigência, alterações e foro

Este Anexo vigora enquanto durar a contratação e, quanto às obrigações de confidencialidade e segurança, após o seu término. Alterações serão comunicadas com antecedência mínima de 30 dias, com indicação de nova versão e data. Fica eleito o foro da comarca de Guarulhos/SP para dirimir controvérsias decorrentes deste Anexo.