Acordo de Tratamento de Dados Pessoais

1. Objeto e vigência

1.1. Este Acordo regula o tratamento de dados pessoais que WebbIA™ Tech, de titularidade de 63.648.363 Rodrigo Figueiredo Guimaraes de Oliveira, inscrita no CNPJ sob nº 63.648.363/0001-58, com endereço na Rua Serafim Carlos, 43, Osvaldo Cruz, São Caetano do Sul – SP, CEP 09570-410 ("WebbIA" ou "Operadora") faz em nome do Assinante ("Controlador") no Orbitt, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Ele faz parte dos Termos de Uso e, em matéria de proteção de dados, vale no lugar deles quando houver diferença.

1.2. Este Acordo trata dos dados que o Controlador e a sua equipe inserem no sistema: clientes e seus contatos, projetos, horas lançadas e custo da hora de cada pessoa da equipe, perguntas e relatórios. Os dados de cadastro, de acesso e de cobrança do próprio Assinante e da sua equipe, de que a WebbIA é controladora, seguem a Política de Privacidade.

1.3. O Acordo vale enquanto a Operadora tratar dados pessoais em nome do Controlador, inclusive durante o período de exportação e de eliminação depois do encerramento da assinatura.

2. Natureza e finalidade do tratamento

2.1. Natureza: coleta, registro, armazenamento, organização, consulta, cálculo, uso, transmissão, cópia de segurança e eliminação e processamento por inteligência artificial, conforme os recursos usados pelo Controlador.

2.2. Finalidade: somente a prestação do serviço ao Controlador, que compreende organizar clientes e projetos, registrar as horas lançadas pela equipe, calcular custo, margem, previsão e o valor do trabalho fora do escopo, responder perguntas sobre os dados da conta e gerar o relatório do mês e o texto do aditivo.

3. Titulares e categorias de dados

3.1. Titulares: as pessoas da equipe do Controlador, os clientes do Controlador que sejam pessoas físicas e os contatos dos clientes.

3.2. Dados: da equipe, nome, horas lançadas por dia e por projeto, marcação de trabalho fora do escopo, notas dos lançamentos, custo da hora com a data de vigência e as perguntas feitas ao assistente; dos clientes, nome e CPF ou CNPJ; dos contatos, nome, e-mail e telefone.

3.3. O Orbitt não foi feito para dados pessoais sensíveis, como dados de saúde, biometria, religião ou opinião política, nem para dados de crianças. O Controlador não deve inserir esses dados no sistema nem pedi-los aos seus clientes.

4. Instruções do Controlador

4.1. A Operadora trata os dados somente conforme as instruções do Controlador. Essas instruções são os Termos de Uso, este Acordo, as configurações da conta e o uso dos recursos pelas pessoas autorizadas pelo Controlador.

4.2. Se a Operadora entender que uma instrução contraria a LGPD ou outra norma, avisará o Controlador antes de cumpri-la, salvo se a lei proibir o aviso.

4.3. O Controlador declara ter base legal para tratar os dados que insere ou recebe pelo sistema e informar os titulares sobre esse tratamento, como a lei exige.

5. Obrigações da Operadora

5.1. Tratar os dados apenas para as finalidades deste Acordo e conforme as instruções do Controlador.

5.2. Não usar os dados para finalidades próprias, em especial para treinar ou aperfeiçoar modelos de inteligência artificial de uso geral ou destinados a terceiros.

5.3. Garantir que as pessoas autorizadas a tratar os dados estejam obrigadas a manter sigilo.

5.4. Adotar as medidas de segurança da seção 7 e contratar suboperadores somente nas condições da seção 6.

5.5. Ajudar o Controlador a atender os pedidos dos titulares (seção 9) e avisá-lo de incidentes de segurança (seção 8).

5.6. Devolver ou eliminar os dados ao fim do tratamento (seção 11) e fornecer as informações que demonstrem o cumprimento deste Acordo (seção 10).

6. Suboperadores

6.1. O Controlador autoriza a Operadora a usar os suboperadores listados abaixo para banco de dados, hospedagem, pagamento, e-mail, monitoramento, armazenamento de arquivos e inteligência artificial. Cada um acessa os dados somente na medida necessária para a sua função e está sujeito a obrigações de proteção de dados compatíveis com as deste Acordo. A Operadora continua responsável, perante o Controlador, pelo que eles fizerem com os dados.

6.2. A inclusão ou a troca de suboperador é avisada com pelo menos 15 dias de antecedência, pela publicação desta lista atualizada e por aviso dentro do sistema ou por e-mail. O Controlador pode se opor por motivo razoável ligado à proteção de dados. Se não houver solução, pode cancelar a assinatura sem ônus adicional.

6.3. Lista vigente de suboperadores:

Neon. Finalidade: Banco de dados da plataforma (PostgreSQL gerenciado), com criptografia em repouso e histórico de recuperação. Dados: Todos os dados inseridos na plataforma. Segredos de integração são cifrados pela própria WebbIA antes de serem gravados. Localização: AWS, região São Paulo (sa-east-1), Brasil.

Vercel Inc.. Finalidade: Hospedagem da aplicação web e execução do servidor da plataforma. Dados: Dados em trânsito e em processamento durante o uso da plataforma; registros técnicos de acesso. Localização: Estados Unidos (região padrão de execução) e rede de distribuição global.

Stripe, Inc.. Finalidade: Cobrança da assinatura da plataforma, paga pelo Assinante. Dados: Dados do responsável pela conta e do meio de pagamento. Os dados do cartão são informados diretamente ao Stripe e não passam pela WebbIA. Localização: Estados Unidos e União Europeia.

Resend, Inc.. Finalidade: Envio de e-mails transacionais, como convite de equipe, redefinição de senha e avisos da conta. Dados: Nome e e-mail do destinatário; conteúdo da mensagem. Localização: Estados Unidos.

Functional Software, Inc. (Sentry) (quando o recurso estiver ativo). Finalidade: Monitoramento de erros da aplicação. Dados: Dados técnicos do erro. Dados pessoais são removidos antes do envio. Localização: Estados Unidos ou União Europeia, conforme a configuração.

Cloudflare, Inc. (R2) (quando o recurso estiver ativo). Finalidade: Armazenamento de imagens, como o logo da empresa. Dados: Imagens enviadas pelo Assinante. Localização: Infraestrutura global da Cloudflare; a região de armazenamento é informada nesta lista quando o recurso estiver ativo.

Anthropic, PBC. Finalidade: Modelo de inteligência artificial que redige as respostas às perguntas sobre os dados da conta, o relatório do mês e o texto do aditivo. Dados: A pergunta e os números e textos da conta necessários para a resposta, já calculados pelo sistema (nomes de projetos e clientes, horas, valores e notas de lançamentos). O fornecedor não utiliza dados recebidos pela API para treinar seus modelos. Localização: Estados Unidos.

7. Segurança da informação

7.1. A Operadora adota medidas técnicas e administrativas compatíveis com a natureza, o volume e o risco do tratamento. Entre elas: comunicação cifrada em trânsito; banco de dados com criptografia em repouso e histórico de recuperação; isolamento dos dados de cada conta aplicado no próprio banco de dados; senhas guardadas apenas como hash; acesso pessoal, com papéis que limitam o que cada pessoa vê e faz, conferidos também no banco de dados; registro de quem lê o custo da hora e as horas de outras pessoas; inteligência artificial sem acesso ao banco de dados, só a números calculados por consultas fixas da própria conta; registros de acesso; e monitoramento de erros com remoção de dados pessoais.

7.2. A Operadora pode atualizar essas medidas para acompanhar a evolução dos riscos, sem reduzir o nível geral de proteção.

7.3. Cabe ao Controlador proteger as credenciais da sua conta, controlar quem da equipe tem acesso e com qual papel, e retirar o acesso de quem sair da empresa.

8. Incidentes de segurança

8.1. A Operadora avisa o Controlador, sem demora injustificada depois de tomar conhecimento, de incidente de segurança que possa atingir dados pessoais tratados em nome dele. O aviso traz, na medida do que estiver disponível: o que aconteceu, as categorias e a quantidade aproximada de dados e de titulares atingidos, as medidas de contenção já tomadas e um contato. As informações podem ser completadas conforme a apuração avançar.

8.2. Cabe ao Controlador avaliar o incidente e, quando a lei exigir, comunicar os titulares e a ANPD nos prazos da regulamentação. A Operadora colabora com ele nessas comunicações.

9. Direitos dos titulares

9.1. A Operadora oferece ao Controlador meios razoáveis para atender os pedidos dos titulares sobre os dados tratados no sistema: confirmação, acesso, correção, eliminação, portabilidade e os demais direitos previstos na LGPD.

9.2. O pedido que chegar diretamente à Operadora, sobre dados de que o Assinante é controlador, é encaminhado a ele sem demora, salvo determinação legal em contrário.

10. Evidências de conformidade

10.1. A pedido do Controlador, feito com pelo menos 15 dias de antecedência e respeitados o sigilo e a segurança, a Operadora fornece as informações e os documentos de que dispuser sobre as suas medidas de proteção de dados, suficientes para demonstrar o cumprimento deste Acordo.

10.2. Auditorias além disso dependem de acordo entre as partes, com escopo e custos definidos antes.

11. Devolução e eliminação

11.1. Durante a assinatura, o Controlador baixa os dados da conta a qualquer momento, no próprio sistema. Encerrada a assinatura, pode pedir a exportação dos dados em até 30 dias. Depois desse prazo, a Operadora elimina os dados do sistema e, nos ciclos normais de retenção, das cópias de segurança.

11.2. Fica ressalvado o que a lei mandar guardar ou o que for necessário para o exercício regular de direitos. Esses dados ficam bloqueados para qualquer outro uso.

11.3. Cabe ao Controlador exportar, antes da eliminação, os registros que ele próprio tenha obrigação de guardar.

12. Transferência internacional

12.1. O Controlador declara saber que alguns suboperadores ficam fora do Brasil (seção 6), o que configura transferência internacional de dados pessoais.

12.2. Nessas transferências, a Operadora usa os mecanismos previstos na LGPD e na regulamentação da ANPD, como cláusulas-padrão contratuais, e escolhe fornecedores com garantias de proteção compatíveis com a lei brasileira.

13. Cooperação com a ANPD

13.1. As partes cooperam entre si e com a Autoridade Nacional de Proteção de Dados no que for necessário para cumprir a LGPD, inclusive em requisições, fiscalizações e comunicações de incidentes.

14. Responsabilidade

14.1. Cada parte responde pelos danos que causar por descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente quando descumprir as obrigações que a lei lhe atribui ou quando não seguir as instruções lícitas do Controlador. O Controlador responde pela falta de base legal e pelas decisões sobre a finalidade e os meios do tratamento.

14.2. Aplicam-se os limites de responsabilidade dos Termos de Uso, ressalvadas as hipóteses em que a lei não admite limitação.

15. Contato

15.1. Avisos sobre este Acordo, inclusive sobre incidentes e suboperadores, devem ser enviados para contato@webbiatech.com.br.

15.2. O encarregado pelo tratamento de dados da WebbIA é Rodrigo Figueiredo Guimaraes de Oliveira.