Acordo de Tratamento de Dados (DPA) — Anna · imanna.ai
Este Acordo de Tratamento de Dados Pessoais ("DPA") integra o contrato de prestação de serviços celebrado entre as partes e regula o tratamento de dados pessoais realizado pela INFINITESUM em nome do Cliente, nos termos da Lei nº 13.709/2018 (LGPD).
0. Quando este DPA se aplica e como é aceito
Este DPA aplica-se sempre que o Cliente utilizar o Serviço para tratar dados pessoais de terceiros, em especial ao ativar:
- o Módulo de Assistente de Atendimento — a Anna passa a tratar dados dos clientes finais do Cliente;
- o Módulo Agenda — a Anna passa a tratar dados de contatos e convidados indicados pelo Cliente;
- o Anna Web, quando os arquivos de projeto do Cliente contiverem dados pessoais de terceiros.
O aceite deste DPA é exigido no momento da ativação do Módulo correspondente, com registro de data, hora e versão.
1. Partes
CONTROLADOR (Cliente): [razão social], CNPJ [nº], com sede em [endereço] ("Controlador").
OPERADORA: INFINITESUM LTDA, CNPJ 65.498.658/0001-10, sede na Av. Conselheiro Aguiar, 4200, Loja
0007, Edf. Vitrine, Boa Viagem, Recife/PE ("Operadora").
Encarregado da Operadora: Lucas Wanderley de Arruda — canal support@imanna.ai
2. Definições
Os termos "dado pessoal", "titular", "tratamento", "controlador", "operador", "encarregado", "incidente" e "ANPD" têm o significado da LGPD. "Instruções" são as determinações documentadas do Controlador, incluindo as configurações que ele define no próprio Serviço.
3. Objeto e papéis
O Controlador determina as finalidades e os meios essenciais do tratamento; a Operadora trata os dados exclusivamente conforme as Instruções do Controlador e este DPA, salvo obrigação legal. O objeto, a natureza, a finalidade, a duração e as categorias estão descritos no Anexo I.
Fora do escopo deste DPA, a INFINITESUM atua como controladora dos dados de cadastro, cobrança, uso e registros de acesso do próprio Cliente, conforme a Política de Privacidade.
4. Obrigações da Operadora (art. 39 da LGPD)
- Tratar os dados apenas conforme as Instruções documentadas e as finalidades acordadas.
- Garantir a confidencialidade, inclusive por colaboradores e prestadores, mediante compromissos de sigilo.
- Adotar as medidas de segurança do Anexo II, adequadas ao risco.
- Auxiliar o Controlador no atendimento às requisições dos titulares e no cumprimento dos arts. 18, 48 e 49 da LGPD.
- Manter registro das operações que realizar em nome do Controlador.
- Não utilizar os dados para finalidade própria diversa da prestação do Serviço.
- Não utilizar os dados do Controlador para treinar, aprimorar ou personalizar modelos generalizados de IA.
5. Obrigações do Controlador
O Controlador declara e garante que:
- possui base legal para o tratamento que instrui, inclusive para os dados de terceiros que fornecer (contatos, convidados, clientes finais);
- informa aos seus titulares o que é necessário, incluindo — quando ativar o Assistente de Atendimento — que o atendimento é realizado por inteligência artificial, com caminho para atendimento humano;
- cumpre as políticas das plataformas de mensageria que conectar, incluindo opt-in prévio exigido pela política do WhatsApp Business;
- não instrui o tratamento de dados pessoais sensíveis nem de dados de crianças e adolescentes por meio do Serviço, que não se destina a essas finalidades.
6. Suboperadores
O Controlador autoriza a Operadora a contratar suboperadores para viabilizar o Serviço. A Operadora impõe a eles obrigações equivalentes às deste DPA e responde perante o Controlador pelo cumprimento.
Suboperadores na data desta publicação:
| suboperador | finalidade | localização |
|---|---|---|
| Anthropic | provedor de modelo de IA | exterior |
| OpenAI | provedor de modelo de IA | exterior |
| autenticação e, quando ativado, agenda | exterior | |
| Meta | quando ativados, mensageria e anúncios | exterior |
| Tripo | geração 3D, na conta do próprio usuário (BYOK) | exterior |
| provedores de infraestrutura e nuvem | hospedagem, armazenamento e registros | exterior e/ou Brasil |
| instituições e gateways de pagamento | processamento de transações | exterior e/ou Brasil |
| ferramentas de suporte | atendimento ao Controlador | exterior e/ou Brasil |
Esta lista é mantida atualizada neste DPA. Alterações materiais serão comunicadas com antecedência razoável, facultada objeção fundamentada do Controlador.
7. Transferência internacional
Parte dos suboperadores está no exterior. As transferências observam o art. 33 da LGPD, com salvaguardas adequadas, tais como cláusulas contratuais específicas. O Controlador declara ciência e autoriza tais transferências, necessárias à prestação do Serviço.
8. Incidentes de segurança
A Operadora comunicará ao Controlador, sem demora injustificada após tomar conhecimento, qualquer incidente envolvendo os dados tratados em seu nome, fornecendo as informações razoavelmente disponíveis para que o Controlador cumpra seus deveres perante a ANPD e os titulares (art. 48 da LGPD).
9. Direitos dos titulares
A Operadora encaminhará ao Controlador, sem demora, as requisições de titulares que receber, e prestará assistência técnica razoável para o atendimento no prazo legal. O Serviço disponibiliza ao Controlador funções de exportação e exclusão que atendem à maior parte dessas requisições.
10. Auditoria
A Operadora disponibilizará informações razoáveis para demonstrar o cumprimento deste DPA e permitirá auditorias, com aviso prévio, periodicidade razoável e observância de confidencialidade e segurança, podendo satisfazê-las por meio de relatórios ou certificações.
11. Término, devolução e eliminação
Encerrada a prestação, a Operadora, conforme instrução do Controlador, devolverá ou eliminará os dados pessoais tratados em seu nome, salvo obrigação legal de conservação, hipótese em que manterá a confidencialidade.
Atenção — Anna Web: os arquivos de projeto ficam armazenados na nuvem da Operadora. O Controlador deve exportá-los antes do encerramento, pois a eliminação é definitiva. Prazo de carência: 7 dias após o encerramento.
12. Responsabilidade
Observa os arts. 42 a 45 da LGPD. A Operadora responde solidariamente apenas nas hipóteses legais em que descumprir as obrigações da legislação ou não seguir as Instruções lícitas do Controlador.
13. Vigência
Este DPA vigora enquanto durar o tratamento em nome do Controlador e prevalece, quanto à proteção de dados, sobre disposições conflitantes do contrato principal.
14. Anexo I — Descrição do tratamento
| item | descrição |
|---|---|
| Objeto | Tratamento necessário à prestação do Serviço Anna ao Controlador, nos Módulos por ele ativados. |
| Natureza e finalidade | Coleta, armazenamento, uso, geração de resposta e compartilhamento com suboperadores, conforme Instruções. |
| Categorias de titulares | (a) usuários e representantes indicados pelo Controlador; (b) clientes finais que interagem com o Assistente de Atendimento; (c) contatos e convidados indicados pelo Controlador no Módulo Agenda; (d) titulares cujos dados constem dos arquivos de projeto no Anna Web. |
| Categorias de dados | Cadastro, credenciais, dados de uso/cobrança, registros de acesso; conteúdo das conversas de atendimento e dados de contato dos clientes finais; eventos de agenda (títulos, horários, participantes) e dados de contato de convidados; conteúdo dos arquivos de projeto no Anna Web. Sem dados sensíveis. |
| Duração | Enquanto vigente o contrato principal, mais prazos legais de retenção. |
15. Anexo II — Medidas de segurança
- Criptografia de dados em trânsito e em repouso.
- Controle de acesso por menor privilégio, com acesso a dados de Controlador restrito ao estritamente necessário para operar, suportar ou investigar incidente.
- Autenticação em dois fatores disponível para todas as contas, com ativação recomendada, e aplicada aos acessos administrativos da Operadora conforme a política interna de segurança.
- Registro de operações (logs) e monitoramento.
- Backups e plano de resposta a incidentes, testado ao menos anualmente.
- Compromissos de confidencialidade de colaboradores e suboperadores.
16. Assinaturas
Recife/PE, ____ de ______________ de ______.
________________________________________ CONTROLADOR (Cliente) — [razão social] · CNPJ [nº]
________________________________________ OPERADORA — INFINITESUM LTDA · CNPJ 65.498.658/0001-10
Quando o aceite ocorrer eletronicamente na ativação do Módulo, o registro de data, hora, versão e identificação do usuário substitui a assinatura física, nos termos do Marco Civil da Internet.