Acordo de Tratamento de Dados

1. Objeto e papéis

Este acordo disciplina o tratamento pela Blattform em nome da contratante, conforme as instruções lícitas documentadas no contrato, configurações autorizadas e solicitações de suporte. A contratante atua como controladora nas atividades que decidir; a Blattform, como operadora na execução. Atividades próprias da Blattform, como faturamento e gestão comercial, seguem sua política de privacidade.

Caso a contratante atue como operadora de outra organização, deverá demonstrar autorização para a cadeia de suboperação, transmitir instruções válidas e identificar o controlador responsável. A denominação contratual não afasta o papel efetivamente exercido.

2. Instruções e finalidade

Os dados serão usados para hospedar, organizar, consultar, transmitir, executar e apoiar os processos contratados. Não haverá uso para finalidade própria incompatível, venda de base ou treinamento de modelos gerais por força deste acordo. Uma instrução adicional que amplie finalidade, categoria de dado ou fornecedor exige avaliação e documentação antes de execução.

Se identificar instrução aparentemente contrária à lei, a Blattform deverá informar a contratante e suspender a atividade específica enquanto esclarecida, quando necessário. Exigências legais de tratamento serão comunicadas quando permitido.

3. Registro da operação

4. Deveres da contratante

• Definir finalidade, base legal, necessidade, transparência e prazos de guarda; atender direitos e obrigações setoriais.
• Garantir a licitude da origem dos dados e das instruções, sem exigir coleta excessiva.
• Validar regras, usuários, permissões, integrações e decisões de negócio, inclusive IA e biometria.
• Informar requisitos regulatórios e riscos específicos antes da habilitação dos recursos.
• Cooperar com apuração de incidentes, solicitações de titulares e ordens legítimas.

5. Deveres da Blattform

• Tratar dados conforme instruções válidas e limitar o acesso ao necessário para os serviços.
• Vincular pessoas autorizadas a confidencialidade e orientação sobre proteção de dados.
• Adotar medidas técnicas e organizacionais proporcionais, documentadas no anexo técnico, e manter sua eficácia durante a prestação.
• Prestar assistência em direitos, segurança, incidentes e avaliações de impacto na medida das informações e responsabilidades que detiver.
• Manter registros pertinentes ao tratamento e disponibilizar informações necessárias à demonstração de cumprimento.
• Informar pedidos legais de acesso quando permitido, limitar a entrega ao exigível e registrar a medida.

6. Medidas de proteção

O anexo técnico deve especificar segregação entre ambientes, controle de privilégios, autenticação, criptografia quando aplicável, gestão de segredos, registros, vulnerabilidades, backups, recuperação e descarte. Deve também estabelecer responsáveis, evidências e periodicidade de revisão. Os controles serão proporcionais ao risco, com atenção reforçada a dados sensíveis.

Não se reduz materialmente a proteção acordada sem avaliação e comunicação. Configurações e deveres da contratante precisam ser explícitos; a responsabilidade compartilhada na nuvem não elimina a responsabilidade própria da operadora.

Anexo técnico aplicável: [VERSÃO / IDENTIFICAÇÃO DO ANEXO TÉCNICO]. Consulte Segurança e Níveis de Serviço.

7. Suboperadores e integrações

A contratante autoriza os suboperadores identificados no contrato. A Blattform deverá impor obrigações de proteção compatíveis e responder por sua cadeia de suboperação nos limites legais e contratuais. Fornecedores contratados diretamente pela contratante terão os papéis avaliados separadamente.

Inclusão ou substituição relevante de suboperador será comunicada previamente, ordinariamente com 15 dias, para objeção fundamentada em proteção de dados. As partes buscarão alternativa viável. Se o risco não puder ser resolvido, tratarão do encerramento da atividade afetada sem impor tratamento irregular. Emergências necessárias à continuidade exigem informação tão logo possível.

8. Transferências internacionais

Nenhuma transferência será legitimada apenas pela menção à AWS ou por este acordo. A relação de serviços deve identificar exportador, importador, país, finalidade, dados, duração e mecanismo jurídico. A base legal da atividade e o mecanismo de transferência são requisitos distintos.

Quando utilizadas cláusulas-padrão da ANPD, as partes responsáveis deverão celebrar o instrumento próprio com o texto obrigatório integral, inclusive anexos preenchidos e atualizações aplicáveis. Esta página não pretende reproduzir nem substituir esse instrumento.

Referência: Resolução CD/ANPD nº 19/2024 e alterações.

9. Direitos e cooperação

Pedidos recebidos pela operadora serão encaminhados prontamente ao controlador identificado. A Blattform não responderá em nome da contratante sem instrução, salvo dever legal próprio, e prestará assistência para localização, acesso, correção, exportação, restrição ou eliminação compatível com a solicitação.

A assistência não pode criar obstáculos ao prazo legal ou exigir cobrança do titular. Projetos adicionais fora do escopo podem ser acordados entre as empresas, sem afastar deveres legais de cooperação. A contratante decide e comunica a resposta ao titular quando controladora.

10. Incidentes

A Blattform notificará a contratante sem demora injustificada após tomar conhecimento de incidente envolvendo dados sob sua operação. Como prazo contratual de aviso inicial, adota-se até 24 horas, salvo prazo menor aplicável ou expressamente acordado. Esse prazo é um compromisso entre as partes, não o prazo de comunicação do controlador à ANPD.

O aviso deve indicar, na medida disponível, natureza, categorias de dados e titulares, extensão, riscos, medidas adotadas, contato e próximos passos. Informações complementares serão fornecidas progressivamente. As partes preservarão evidências, conterão o evento e evitarão exposição adicional.

A contratante avalia e realiza comunicações aos titulares e à ANPD quando controladora; a Blattform presta suporte e cumpre seus deveres próprios. A regra geral da ANPD para incidentes com risco ou dano relevante é de três dias úteis, ressalvadas disposições específicas aplicáveis. O registro e a documentação dos incidentes devem observar os prazos regulamentares.

Referência: Comunicação de incidentes — ANPD.

11. Evidências e auditoria

Mediante solicitação proporcional, a Blattform disponibilizará informações pertinentes à verificação das obrigações. Auditorias devem ter escopo, antecedência, confidencialidade e métodos que protejam outros clientes e a segurança do serviço. Relatórios existentes podem atender parte da necessidade, sem impedir verificações justificadas por risco ou determinação legal.

Testes intrusivos não estão autorizados por esta cláusula. Restrições de segurança não poderão servir para impedir fiscalização competente ou suprimir informação legalmente devida.

12. Devolução e eliminação

Ao encerrar os serviços, a contratante poderá solicitar a exportação dos dados em formato estruturado compatível com o serviço. O contrato deve definir formato, escopo, prazo de disponibilidade, apoio de migração e custos adicionais expressamente aceitos.

Os campos devem ser fechados antes da contratação. Dados conservados por obrigação legal ficam segregados, com uso restrito e descarte ao fim do fundamento. Backups seguem seu ciclo documentado, não devem ser usados para finalidade comercial e, se restaurados, devem reaplicar exclusões e restrições. A Blattform confirmará a execução das medidas previstas quando solicitado.

13. Responsabilidade e prevalência

Cada parte responde segundo seu papel, conduta e a legislação. A alocação contratual de riscos não prejudica direitos de titulares, deveres de cooperação, poderes da ANPD ou hipóteses legais de responsabilidade. Este acordo prevalece em proteção de dados sobre disposições contratuais incompatíveis, preservadas as normas obrigatórias.

Referência: LGPD, especialmente arts. 37 a 49.