Acordo de Tratamento de Dados

1. Objeto

Este Acordo de Tratamento de Dados (“Acordo”) complementa o contrato de prestação de serviços celebrado entre a Acolita (ACOLITA PERFORMANCE DE SISTEMAS LTDA, CNPJ 35.625.992/0001-27) e o cliente (“Contrato”) e disciplina o tratamento de dados pessoais realizado pela Acolita por conta e ordem do cliente.

Foi redigido segundo os arts. 5º, 6º, 39, 42 e 48 da Lei nº 13.709/2018 (LGPD). Na ausência de instrumento específico assinado entre as partes, estas condições se aplicam como padrão contratual da Acolita.

2. Definições

Dados Pessoais

Informação relacionada a pessoa natural identificada ou identificável, existente nos ambientes, sistemas ou artefatos do Controlador aos quais a Acolita tenha acesso na execução do Contrato.

Tratamento

Toda operação realizada com Dados Pessoais, incluindo acesso, consulta, reprodução, transmissão e eliminação.

Controlador

O cliente, a quem competem as decisões referentes ao tratamento.

Operadora

A Acolita, que realiza o tratamento em nome do Controlador.

Titular

A pessoa natural a quem se referem os Dados Pessoais.

Sub-operador

Terceiro contratado pela Acolita cuja infraestrutura ou serviço seja empregado no tratamento.

Incidente

Evento adverso confirmado relacionado a violação de segurança que possa acarretar acesso, destruição, perda, alteração, vazamento ou tratamento inadequado ou ilícito de Dados Pessoais.

ANPD

Autoridade Nacional de Proteção de Dados.

3. Papéis das partes

O cliente é o Controlador dos Dados Pessoais existentes em seus ambientes e sistemas. A Acolita é a Operadora e atua conforme as instruções documentadas do Controlador.

A Acolita não determina as finalidades nem os meios essenciais do tratamento dos dados do Controlador. Caso venha a determiná-los em relação a algum tratamento específico, assumirá a condição de controladora quanto àquele tratamento, nos termos do art. 5º, VI da LGPD.

Os dados que a Acolita trata como controladora na relação com o cliente — dados de contato dos representantes, faturamento e correspondência comercial — seguem a Política de Privacidade.

4. Escopo do tratamento

5. Instruções documentadas

A Acolita tratará Dados Pessoais somente conforme instruções documentadas do Controlador, compostas por:

• O Contrato e este Acordo.
• O escopo do projeto, os chamados e os tíquetes aprovados pelo Controlador.
• Instruções escritas enviadas pelos canais oficiais acordados entre as partes.

Se a Acolita entender que uma instrução viola a LGPD ou outra norma aplicável, comunicará o Controlador e poderá suspender a execução daquela instrução até o esclarecimento.

A Acolita não tratará os dados para finalidade própria, não os comercializará e não os utilizará para treinamento de modelos de inteligência artificial, benchmarking ou desenvolvimento de produtos.

6. Modalidades de execução e minimização

6.1 Regra — execução no ambiente do Controlador

Os atendimentos são executados no ambiente tecnológico indicado pelo Controlador, sob os controles de segurança por ele estabelecidos. Nessa modalidade a Acolita não extrai, não copia e não retém dados pessoais fora daquele ambiente: todo o material produzido — automações, coletas, artefatos intermediários e o próprio laudo técnico — nasce, é armazenado e é entregue dentro dele, e sua guarda e eliminação seguem as políticas do próprio Controlador.

6.2 Exceção — artefatos produzidos fora do ambiente do Controlador

Quando o objeto contratado exigir que laudos técnicos ou artefatos intermediários sejam produzidos fora do ambiente do Controlador, isso ocorre mediante autorização expressa, por canal cifrado, com escopo e prazo de eliminação definidos. O material é classificado como confidencial e segregado por cliente.

6.3 Medidas comuns às duas modalidades

• Solicitação apenas dos acessos necessários ao diagnóstico, pelo menor tempo possível.
• Preferência por ambientes de homologação e por massa de dados sintética ou mascarada nos testes de carga, de modo a não submeter dados pessoais reais à atividade de teste.
• Contas e credenciais nominais, nunca compartilhadas entre profissionais.
• Revogação dos acessos ao término do projeto ou do encerramento da participação de cada profissional, nos prazos da cláusula 11.

7. Confidencialidade

Todo o pessoal autorizado a tratar Dados Pessoais do Controlador está vinculado a obrigações contratuais de confidencialidade que sobrevivem ao término do vínculo, recebe orientação sobre proteção de dados e acessa apenas o necessário à sua função no projeto.

8. Medidas de segurança

Em atenção ao art. 46 da LGPD, a Acolita adota as seguintes medidas técnicas e organizacionais:

8.1 Controle de acesso

• Autenticação multifator obrigatória em todas as contas administrativas.
• Princípio do menor privilégio e credenciais nominais.
• Revisão periódica dos acessos concedidos.
• Segredos e credenciais armazenados em cofre, nunca em texto claro.

8.2 Proteção dos dados

• Cifragem do tráfego em trânsito (TLS).
• Discos criptografados nas estações de trabalho.
• Segregação lógica dos materiais por cliente.
• Proibição de armazenar dados do Controlador em serviços pessoais ou não aprovados.

8.3 Registro e rastreabilidade

• Registro dos acessos concedidos e revogados por projeto.
• Registro de acesso aos artefatos que estejam sob custódia temporária da Acolita.

8.4 Pessoas

• Acordo de confidencialidade assinado por todo o time.
• Ações periódicas de conscientização em proteção de dados.
• Revogação imediata de acessos no desligamento ou na saída do projeto.

9. Sub-operadores

A Acolita não subcontrata a execução dos atendimentos: eles são conduzidos exclusivamente por profissionais próprios alocados ao contrato.

Na modalidade da cláusula 6.1, não há sub-operadores: nenhum dado pessoal do Controlador é compartilhado com terceiros pela Acolita, porque nada sai do ambiente dele.

Na hipótese da cláusula 6.2, o serviço de armazenamento corporativo utilizado pela Acolita atua como sub-operador, limitado à guarda do artefato cifrado e sem acesso ao seu conteúdo:

A relação nominal e atualizada dos sub-operadores está disponível ao Controlador mediante solicitação ao Encarregado.

A Acolita impõe aos sub-operadores obrigações não menos protetivas que as deste Acordo e responde perante o Controlador pelos atos deles.

A Acolita comunicará o Controlador com pelo menos 30 dias de antecedência antes de incluir novo sub-operador que venha a tratar Dados Pessoais do Controlador. O Controlador poderá se opor de forma fundamentada nesse prazo; não havendo solução, poderá rescindir a parte do serviço afetada, sem multa e com devolução proporcional de valores pagos antecipadamente.

10. Direitos dos titulares

A Acolita não responde diretamente a titulares a respeito de dados tratados por conta do Controlador. Recebido um pedido, encaminhará ao Controlador em até 5 dias úteis e informará o titular sobre o encaminhamento.

A Acolita prestará assistência razoável ao Controlador no atendimento de pedidos de confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade e informação sobre compartilhamento, na medida em que o atendimento dependa de ação da Acolita.

11. Devolução e eliminação

Encerrado o projeto ou o Contrato, ou mediante solicitação do Controlador:

• Revogação de todos os acessos concedidos, em até 24 horas.
• Na modalidade da cláusula 6.1 não há devolução nem eliminação a executar pela Acolita: o material permanece no ambiente do Controlador e segue as políticas dele.
• Na modalidade da cláusula 6.2, eliminação ou devolução dos artefatos intermediários em até 90 dias contados da entrega do laudo, à escolha do Controlador.
• Laudos técnicos emitidos e registros de execução do atendimento são retidos por 5 anos, para comprovação da prestação do serviço e pelo prazo prescricional aplicável.
• Confirmação por escrito da eliminação, mediante solicitação.

Quando o Contrato estabelecer prazo distinto, prevalece o prazo contratual. Excetua-se ainda a retenção mínima exigida por obrigação legal ou regulatória, hipótese em que os dados permanecem sujeitos às mesmas condições de segurança e confidencialidade deste Acordo.

12. Incidentes de segurança

A Acolita comunicará o Controlador sem demora injustificada e, em qualquer caso, em até 24 horas do conhecimento de Incidente que envolva Dados Pessoais do Controlador — prazo definido para que o Controlador possa cumprir a comunicação à ANPD em 3 (três) dias úteis, na forma da Resolução CD/ANPD nº 15/2024.

A comunicação incluirá, na medida do que for conhecido no momento:

• Descrição da natureza do Incidente e dos Dados Pessoais afetados.
• Categorias e número aproximado de titulares e de registros envolvidos.
• Consequências prováveis.
• Medidas adotadas e propostas para contenção e remediação.
• Contato para obtenção de informações adicionais.

A Acolita cooperará com a investigação, a contenção e a remediação, e não comunicará terceiros ou autoridades sobre Incidente relativo aos dados do Controlador sem alinhamento prévio, salvo quando legalmente obrigada.

13. Relatório de impacto

A Acolita prestará assistência razoável ao Controlador na elaboração de relatório de impacto à proteção de dados pessoais (art. 38 da LGPD) e em eventuais interações com a ANPD, no que se referir ao tratamento realizado pela Acolita.

14. Transferência internacional

Na modalidade da cláusula 6.1 não há transferência internacional de Dados Pessoais do Controlador: o material permanece no ambiente tecnológico por ele indicado, em território nacional.

Na hipótese da cláusula 6.2, o armazenamento do artefato pode ocorrer em infraestrutura localizada fora do Brasil. Essa transferência observa os arts. 33 a 36 da LGPD e se fundamenta no art. 33, II, alínea “b” — cláusulas-padrão contratuais, cujo modelo foi aprovado pela Resolução CD/ANPD nº 19/2024.

A Acolita observa estritamente as seguintes condições:

• As cláusulas-padrão são adotadas na íntegra e sem alteração de conteúdo, firmadas entre a Acolita, como exportadora, e o fornecedor de armazenamento, como importador, com os anexos de descrição do tratamento preenchidos.
• Disposição contratual que conflite com as cláusulas-padrão é nula, prevalecendo o texto aprovado pela ANPD.
• A transferência ocorre somente mediante a autorização expressa prevista na cláusula 6.2 e apenas na extensão necessária ao objeto contratado.
• A Acolita informa previamente ao Controlador o país de destino e a finalidade do armazenamento, e comunica qualquer alteração com pelo menos 30 dias de antecedência, na forma da cláusula 9.
• O artefato é transmitido e armazenado cifrado, e o importador não tem acesso ao seu conteúdo.
• A Acolita mantém e disponibiliza ao Controlador, mediante solicitação, a evidência das cláusulas firmadas com o importador.

Caso a ANPD venha a reconhecer o país de destino como de grau adequado de proteção (art. 33, I), essa hipótese passa a fundamentar a transferência, sem prejuízo das cláusulas já firmadas.

15. Auditoria e evidências

Mediante aviso prévio razoável, em horário comercial e sob obrigação de confidencialidade, o Controlador pode verificar o cumprimento deste Acordo. A Acolita assegura disponibilidade para atender a auditorias e processos de análise de riscos conduzidos pelo Controlador ou por terceiro por ele indicado, incluindo órgãos reguladores, e compromete-se a implementar as recomendações nos prazos acordados.

A verificação pode ser atendida por meio de questionário respondido, evidências documentais ou relatórios de avaliação independentes, desde que suficientes para demonstrar conformidade.

16. Responsabilidade

A responsabilidade das partes observa os limites estabelecidos no Contrato, ressalvadas as hipóteses dos arts. 42 a 45 da LGPD, que não podem ser afastadas por acordo entre as partes.

17. Vigência, prevalência e contato

Este Acordo vigora enquanto a Acolita tratar Dados Pessoais por conta do Controlador. As obrigações de confidencialidade, devolução e eliminação sobrevivem ao término do Contrato até o seu integral cumprimento.

Em caso de conflito entre este Acordo e o Contrato quanto ao tratamento de dados pessoais, prevalece este Acordo.

Encarregado (DPO)

Raul Carlos de Almeida Junior

E-mail

contato@acolita.com.br

Telefone e WhatsApp

+55 (11) 99873-1563