Diagnóstico Inteligente IBS/CBS — Controlador × Operador | Versão final consolidada — 29 de agosto de 2026
Este Acordo de Tratamento de Dados Pessoais (“DPA”) estabelece as condições aplicáveis ao tratamento de Dados Pessoais realizado pela Operadora em nome e segundo as instruções do Controlador, no contexto da prestação do serviço SaaS Diagnóstico Inteligente IBS/CBS. Em caso de conflito especificamente sobre tratamento de Dados Pessoais, prevalecerá este DPA sobre disposição geral incompatível dos Termos de Uso, ressalvadas normas legais obrigatórias.
Este DPA não se aplica aos tratamentos em que a Operadora determine finalidades e meios essenciais para seus próprios fins — cadastro, faturamento, segurança, prevenção a fraude, suporte, registros contratuais e cumprimento de obrigações legais — hipóteses em que atuará como Controladora independente.
A Operadora tratará Dados Pessoais exclusivamente para fornecer, manter, proteger e dar suporte às funcionalidades contratadas: ingestão e leitura de arquivos fiscais, organização e classificação de informações, simulações, diagnósticos, geração de relatórios, recursos de IA, exportações e suporte técnico. A Operadora não utilizará os Dados Pessoais para finalidades próprias incompatíveis, marketing de terceiros, comercialização de bases ou treinamento público de modelos de IA.
A Operadora manterá confidenciais os Dados Pessoais e Dados do Cliente, restringindo o acesso às pessoas que necessitem dessas informações para executar o Serviço. A confidencialidade sobrevive ao término da relação contratual pelo prazo previsto nos Termos de Uso.
A Operadora adota medidas técnicas e administrativas adequadas ao risco, incluindo controles de acesso, autenticação, segregação lógica entre clientes (Row-Level Security), criptografia em trânsito, proteção de credenciais, registros de eventos e backups, conforme a arquitetura efetivamente implantada.
O Controlador autoriza a contratação de suboperadores necessários à prestação do Serviço, desde que a Operadora imponha obrigações de proteção de dados e confidencialidade compatíveis com este DPA. A relação de suboperadores materiais está publicada na Política de Privacidade. Inclusão ou substituição que implique alteração material do risco será comunicada por mecanismo razoável, podendo o Controlador apresentar objeção fundamentada.
Caso Dados Pessoais sejam transferidos para fora do Brasil, a Operadora adotará mecanismo permitido pelo art. 33 da LGPD e pela regulamentação da ANPD, incluindo cláusulas-padrão contratuais ou decisão de adequação, conforme o caso.
Recursos de IA podem processar partes dos Dados do Cliente quando necessário à funcionalidade solicitada. A Operadora limita o envio ao mínimo necessário. Dados fiscais e documentos do Controlador não são disponibilizados para treinamento público de modelos de IA de terceiros.
O Controlador é responsável por avaliar e responder às requisições dos titulares relativas aos dados tratados sob seu controle. Quando receber diretamente uma requisição relacionada a dados tratados exclusivamente como Operadora, a Operadora encaminhará o titular ao Controlador e prestará assistência técnica razoável.
Ao tomar conhecimento de incidente de segurança envolvendo Dados Pessoais tratados em nome do Controlador, a Operadora comunicará o Controlador sem demora injustificada e, como meta contratual, em até 24 horas após a confirmação inicial. A obrigação legal de comunicar à ANPD e aos titulares é do Controlador quando presentes os requisitos legais (atualmente, 3 dias úteis quando o incidente puder acarretar risco relevante); a Operadora prestará cooperação necessária.
Mediante solicitação razoável e observadas confidencialidade e segurança, a Operadora disponibilizará informações suficientes para demonstrar cumprimento deste DPA, priorizando relatórios, políticas e evidências de controles. Auditoria presencial ou teste técnico invasivo depende de acordo prévio de escopo, horário e confidencialidade.
Durante a vigência, o Controlador pode exportar os dados nas formas suportadas. Após encerramento, aplica-se a janela de recuperação de 30 dias prevista nos Termos de Uso. Encerrada essa janela, os dados são excluídos ou anonimizados da camada transacional, salvo conservação exigida por lei ou necessária à defesa de direitos. Dados em backups podem permanecer inacessíveis até a rotação técnica.
Cada parte responde pelos atos e omissões que lhe sejam imputáveis, de acordo com seu papel efetivo no tratamento. O Controlador não responde por tratamento realizado pela Operadora fora de instrução lícita; a Operadora não responde por ilicitude originada exclusivamente da coleta, finalidade ou instrução determinada pelo Controlador.
Este DPA entra em vigor com a contratação ou aceite eletrônico e permanece aplicável enquanto a Operadora tratar Dados Pessoais em nome do Controlador. É regido pelas leis da República Federativa do Brasil; fica eleito o Foro da Comarca de Camaçari, Estado da Bahia, ressalvadas hipóteses de competência legal inderrogável.