Acordo de Tratamento de Dados Pessoais — DPA/LGPD

Anexo ao Contrato SaaS da Plataforma Agendavel

Identificação do documento

Operadora: AIBELO TECNOLOGIA LTDA.
CNPJ da Operadora: 68.022.074/0001-62
Controlador/Contratante: identificado no Contrato SaaS.
Sede da Operadora: Avenida Paulista, nº 1.636, sala 1105, Bela Vista, São Paulo/SP, CEP 01310-200
Versão: 1.0
Vigência: a mesma do Contrato SaaS.
Canal de privacidade: privacidade@agendavel.com
Lista de suboperadores: agendavel.com/legal/suboperadores

Natureza. Este DPA regula o tratamento de Dados da Organização pela Aibelo como operadora, sem substituir a Política de Privacidade aplicável às finalidades próprias da Aibelo.

Cláusula Primeira — Definições e escopo

I — Dados da Organização. dados pessoais inseridos, importados, gerados ou administrados no ambiente do Contratante.
II — Controlador. o Contratante, quando decide as finalidades e os meios essenciais do tratamento de sua operação.
III — Operadora. a Aibelo, quando trata Dados da Organização para fornecer a Plataforma conforme instruções.
IV — Suboperador. fornecedor contratado pela Aibelo para auxiliar no tratamento.
V — Incidente. evento de segurança que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais.
VI — Legislação aplicável. LGPD, regulamentos da ANPD e demais normas pertinentes.

Escopo. O tratamento abrange hospedagem, organização, acesso, suporte, comunicação, automação, integrações, backup, exportação, segurança e eliminação necessárias aos módulos contratados.

Cláusula Segunda — Instruções e finalidades

I — Instruções documentadas. o Contrato, configurações, uso da Plataforma, chamados e solicitações autorizadas constituem instruções do Controlador.
II — Limitação de finalidade. a Operadora tratará os dados apenas para executar as instruções, cumprir a lei, proteger a Plataforma e exercer direitos próprios legítimos.
III — Instrução ilegal. se identificar instrução aparentemente incompatível com a legislação, a Operadora poderá alertar o Controlador e suspender o tratamento afetado até esclarecimento.
IV — Decisões do Controlador. o Controlador determina categorias de titulares, dados, usuários, retenções operacionais, campanhas e finalidades de sua operação.
V — Finalidades próprias. cadastro contratual, faturamento, segurança, fraude, suporte, defesa e relacionamento da Aibelo são tratamentos de controladoria própria, regidos pela Política de Privacidade.

Cláusula Terceira — Obrigações do Controlador

I — Legalidade. garantir bases legais, transparência, necessidade e legitimidade dos dados e instruções.
II — Informação aos titulares. fornecer aviso próprio a clientes, profissionais, colaboradores e demais titulares.
III — Dados sensíveis. usar saúde, biometria e outras categorias sensíveis apenas quando necessário e com fundamento específico.
IV — Menores. observar melhor interesse, participação de responsável e requisitos aplicáveis.
V — Permissões. configurar acessos mínimos, revisar usuários e remover credenciais após desligamentos.
VI — Atendimento de direitos. responder aos pedidos dos titulares relativos aos tratamentos sob seu controle.
VII — Comunicações e marketing. garantir base legal, origem lícita de listas, conteúdo adequado e mecanismo de oposição.
VIII — Registros e retenção. definir e documentar prazos necessários às obrigações profissionais, trabalhistas, fiscais, consumeristas e de defesa.
IX — Notificação de riscos. informar imediatamente a Operadora sobre credenciais comprometidas, uso indevido ou incidente em seus ambientes.

Cláusula Quarta — Obrigações da Operadora

I — Tratamento instruído. tratar Dados da Organização conforme instruções documentadas e legislação.
II — Confidencialidade. submeter pessoas autorizadas a deveres de confidencialidade.
III — Segurança. adotar medidas técnicas e administrativas razoáveis e proporcionais aos riscos.
IV — Assistência. auxiliar o Controlador, dentro das funcionalidades e informações disponíveis, em direitos, incidentes, auditorias e avaliações regulatórias.
V — Registros. manter registros das operações sob sua responsabilidade conforme exigido.
VI — Eliminação e devolução. exportar, devolver, anonimizar ou eliminar dados no término, conforme Contrato, lei e backups.
VII — Sem venda. não vender Dados da Organização nem utilizá-los para publicidade de terceiros.
VIII — Dados agregados. poderá usar informações efetivamente agregadas ou anonimizadas para segurança, métricas e melhoria, sem reidentificação intencional.

Cláusula Quinta — Suboperadores

I — Autorização geral. o Controlador autoriza a contratação de suboperadores necessários à Plataforma.
II — Lista pública. a Operadora manterá lista atualizada em agendavel.com/legal/suboperadores, com nome, finalidade geral e localização relevante.
III — Aviso de alteração. novos suboperadores materiais serão informados com antecedência mínima de 15 dias, salvo urgência de segurança, continuidade ou obrigação legal.
IV — Objeção fundamentada. o Controlador poderá apresentar objeção baseada em risco concreto de proteção de dados dentro do prazo informado.
V — Solução razoável. as partes buscarão alternativa técnica ou contratual; se inviável para funcionalidade essencial, poderá haver encerramento proporcional do módulo afetado.
VI — Obrigações equivalentes. a Operadora exigirá dos suboperadores compromissos compatíveis com este DPA.
VII — Responsabilidade. a Operadora permanece responsável por seus suboperadores nos limites legais e contratuais.

Cláusula Sexta — Segurança da informação

I — Controles de acesso. autenticação, segregação lógica, princípio do menor privilégio e revisão de acessos administrativos.
II — Proteção de credenciais. armazenamento protegido de senhas e mecanismos de autenticação compatíveis.
III — Proteção de comunicação. uso de criptografia em trânsito quando tecnicamente aplicável.
IV — Continuidade. backups, monitoramento, registros e procedimentos de recuperação proporcionais ao serviço.
V — Gestão de vulnerabilidades. correções, atualizações e investigação de eventos conforme risco e criticidade.
VI — Pessoas. orientação, confidencialidade e acesso limitado para empregados e fornecedores.
VII — Evolução. medidas podem ser atualizadas para acompanhar riscos, tecnologia e requisitos legais sem redução material injustificada da proteção.

Cláusula Sétima — Incidentes de segurança

I — Notificação inicial. a Operadora notificará o Controlador sem demora injustificada e, sempre que possível, em até 72 horas após tomar ciência de incidente confirmado envolvendo Dados da Organização.
II — Conteúdo disponível. a notificação incluirá natureza, dados e titulares potencialmente afetados, medidas adotadas, riscos conhecidos e contato responsável, na extensão disponível.
III — Comunicação em etapas. informações incompletas serão complementadas sem demora, conforme investigação.
IV — Contenção. a Operadora adotará medidas razoáveis para conter, mitigar, investigar e preservar evidências.
V — Comunicação à ANPD. o Controlador avaliará risco ou dano relevante e realizará comunicações à ANPD e titulares no prazo legal, com assistência da Operadora.
VI — Incidente da Aibelo controladora. quando o incidente se referir a finalidades próprias da Aibelo, ela cumprirá diretamente suas obrigações de controladora.
VII — Registro. a Operadora manterá registro de incidentes com dados pessoais pelo prazo mínimo exigido pela regulamentação.
VIII — Sem admissão de culpa. a cooperação ou comunicação não constitui reconhecimento automático de responsabilidade.

Cláusula Oitava — Direitos dos titulares

I — Responsabilidade primária. o Controlador responde aos pedidos sobre Dados da Organização.
II — Encaminhamento. pedidos recebidos pela Operadora poderão ser encaminhados ao Controlador, salvo obrigação própria de resposta.
III — Assistência técnica. a Operadora disponibilizará recursos existentes de consulta, correção, exportação, restrição e exclusão.
IV — Trabalho extraordinário. extrações, desenvolvimento ou operações manuais fora do Plano podem ser cobrados mediante prévia informação.
V — Verificação. as partes podem adotar medidas proporcionais para confirmar a identidade do solicitante.
VI — Preservação legal. pedidos podem ser limitados quando houver obrigação, direito ou permissão legal de retenção.

Cláusula Nona — Auditoria e conformidade

I — Informações de conformidade. a Operadora fornecerá informações razoáveis sobre medidas e práticas relevantes, preservando segurança e segredos.
II — Documentos alternativos. relatórios, questionários, certificações ou evidências equivalentes podem substituir auditoria presencial.
III — Auditoria excepcional. auditoria adicional exige motivo legítimo, aviso mínimo de 15 dias, escopo proporcional e ausência de acesso a dados de outros clientes.
IV — Custos. auditoria extraordinária será custeada pelo Controlador, salvo não conformidade material da Operadora.
V — Autoridade. as partes cooperarão com solicitações legítimas da ANPD dentro de seus papéis.
VI — Relatório de impacto. a Operadora fornecerá informações disponíveis para RIPD do Controlador, sem assumir decisões que competem a ele.

Cláusula Décima — Transferências internacionais

I — Possibilidade. suboperadores e infraestrutura podem tratar dados fora do Brasil.
II — Mecanismos. a Operadora adotará mecanismo permitido pela LGPD e regulamentação, incluindo cláusulas-padrão, decisões de adequação ou salvaguardas reconhecidas.
III — Informação. países ou regiões relevantes serão informados na lista de suboperadores ou documentação de privacidade.
IV — Cláusulas-padrão. quando aplicáveis, as cláusulas-padrão da ANPD serão incorporadas sem alteração incompatível.
V — Solicitação. informações adicionais poderão ser fornecidas, preservados segurança e segredos comerciais.

Cláusula Décima Primeira — Retenção, exportação e término

I — Durante a vigência. o Controlador pode usar os recursos de exportação incluídos no Plano.
II — Formato estruturado. exportações ocorrerão em formatos de uso comum, como CSV, XLSX ou JSON, conforme a natureza dos dados.
III — Prazo de transição. após o término, o ambiente ativo permanecerá disponível por 30 dias para exportação, salvo impedimento legal ou condição mais favorável.
IV — Eliminação ativa. decorrido o prazo, dados ativos podem ser eliminados ou anonimizados.
V — Backups. cópias residuais protegidas podem permanecer por até 90 dias adicionais, sem retorno ao uso regular, salvo recuperação necessária.
VI — Retenção própria. a Aibelo pode conservar registros necessários a faturamento, segurança, fraude, obrigação legal e exercício de direitos na qualidade de controladora.
VII — Responsabilidade do Controlador. o Controlador deve conservar suas próprias cópias e documentos obrigatórios.

Cláusula Décima Segunda — Responsabilidade

I — Responsabilidade por papel. cada parte responde por decisões, sistemas, pessoas, instruções e violações sob sua responsabilidade.
II — Instruções do Controlador. a Operadora não responde por tratamento ilícito decorrente de instrução legítima na aparência, salvo se souber da ilicitude e não agir.
III — Cooperação. a parte que receber reclamação relacionada à outra comunicará e permitirá participação razoável na defesa.
IV — Regresso. eventual ressarcimento observará a participação causal, a legislação e os limites válidos do Contrato SaaS.
V — Titulares. nenhuma limitação prejudica direitos dos titulares que não possam ser afastados por contrato.

Cláusula Décima Terceira — Vigência e prevalência

I — Vigência. este DPA entra em vigor com o Contrato SaaS e permanece enquanto houver tratamento de Dados da Organização.
II — Sobrevivência. obrigações de confidencialidade, segurança, retenção e cooperação permanecem enquanto aplicáveis.
III — Conflito. em matéria de tratamento de Dados da Organização, este DPA prevalece sobre cláusulas gerais do Contrato e Termos.
IV — Alterações legais. mudanças necessárias por lei ou regulamentação podem ser incorporadas mediante aviso.
V — Lei e foro. aplicam-se a lei e o foro definidos no Contrato SaaS, sem limitar competência da ANPD e direitos dos titulares.

Anexo I — Descrição do tratamento

Objeto: operação da Plataforma para gestão, agenda, clientes, profissionais, vendas, financeiro, comunicação, suporte e integrações contratadas.
Duração: durante a vigência e pelos prazos de exportação, backup e retenção permitida.
Titulares: clientes finais, potenciais clientes, profissionais, empregados, parceiros, fornecedores e usuários do Controlador.
Dados comuns: identificação, contato, agenda, histórico, transações, preferências, credenciais, permissões, mensagens e logs.
Dados sensíveis possíveis: saúde, alergias, contraindicações, biometria ou outros dados inseridos em módulos específicos.
Operações: coleta por instrução, recepção, armazenamento, organização, consulta, transmissão, integração, backup, exportação e eliminação.
Finalidades: fornecer funcionalidades, suporte, automação, comunicação, segurança e integrações.
Frequência: contínua durante o uso da Plataforma.
Localização: Brasil e países/regiões indicados na lista de suboperadores.
Retenção: conforme Contrato, este DPA, instruções lícitas e obrigações legais.

Anexo II — Contatos e governança

Controlador: identificado no Quadro-Resumo do Contrato SaaS.
Contato do Controlador: informado pelo Controlador no cadastro da organização na Plataforma.
Operadora: AIBELO TECNOLOGIA LTDA.
Contato da Operadora: privacidade@agendavel.com
Lista de suboperadores: agendavel.com/legal/suboperadores
Canal de incidentes: privacidade@agendavel.com
Versão do DPA: 1.0