Acordo de Tratamento de Dados Pessoais

1. Objeto e vigência

1.1. Este Acordo regula o tratamento de dados pessoais que WebbIA™ Tech, de titularidade de 63.648.363 Rodrigo Figueiredo Guimaraes de Oliveira, inscrita no CNPJ sob nº 63.648.363/0001-58, com endereço na Rua Serafim Carlos, 43, Osvaldo Cruz, São Caetano do Sul – SP, CEP 09570-410 ("WebbIA" ou "Operadora") faz em nome do Assinante ("Controlador") no Honresk, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Ele faz parte dos Termos de Uso e, em matéria de proteção de dados, vale no lugar deles quando houver diferença.

1.2. Este Acordo trata dos dados dos clientes do Controlador e das demais pessoas cujos dados ele insere ou recebe pelo sistema. Os dados de cadastro, de acesso e de cobrança do próprio Assinante e da sua equipe, de que a WebbIA é controladora, seguem a Política de Privacidade.

1.3. O Acordo vale enquanto a Operadora tratar dados pessoais em nome do Controlador, inclusive durante o período de exportação e de eliminação depois do encerramento da assinatura.

2. Natureza e finalidade do tratamento

2.1. Natureza: coleta, registro, armazenamento, organização, consulta, uso, cálculo, transmissão, cópia de segurança e eliminação e, quando o Controlador usar, processamento por inteligência artificial, conforme os recursos usados por ele.

2.2. Finalidade: somente a prestação do serviço ao Controlador, que compreende registrar clientes, contratos de honorário, valores a receber e a pagar e lançamentos; calcular saldos, inadimplência e resultado; importar e conciliar o extrato bancário; emitir cobranças na conta de recebimento do próprio Controlador, quando ele a ligar; e responder perguntas e resumir o mês com inteligência artificial, quando ele usar.

3. Titulares e categorias de dados

3.1. Titulares: clientes do Controlador, pessoas que aparecem no extrato bancário importado por ele e pessoas cadastradas como fornecedores nas contas a pagar.

3.2. Dados: nome, CPF ou CNPJ, e-mail e telefone, quando informados; contratos, valores, vencimentos, pagamentos e atrasos; data, valor e descrição de movimentos do extrato.

3.3. O Honresk foi feito para dados cadastrais e financeiros. O Controlador não deve inserir dados pessoais sensíveis, como dados de saúde, biometria, religião, opinião política ou filiação sindical, nem detalhes de processos ou de casos atendidos, nem dados de crianças.

4. Instruções do Controlador

4.1. A Operadora trata os dados somente conforme as instruções do Controlador. Essas instruções são os Termos de Uso, este Acordo, as configurações da conta e o uso dos recursos pelas pessoas autorizadas pelo Controlador.

4.2. Se a Operadora entender que uma instrução contraria a LGPD ou outra norma, avisará o Controlador antes de cumpri-la, salvo se a lei proibir o aviso.

4.3. O Controlador declara ter base legal para tratar os dados que insere ou recebe pelo sistema e informar os titulares sobre esse tratamento, como a lei exige.

5. Obrigações da Operadora

5.1. Tratar os dados apenas para as finalidades deste Acordo e conforme as instruções do Controlador.

5.2. Não usar os dados para finalidades próprias, em especial para treinar ou aperfeiçoar modelos de inteligência artificial de uso geral ou destinados a terceiros.

5.3. Garantir que as pessoas autorizadas a tratar os dados estejam obrigadas a manter sigilo.

5.4. Adotar as medidas de segurança da seção 7 e contratar suboperadores somente nas condições da seção 6.

5.5. Ajudar o Controlador a atender os pedidos dos titulares (seção 9) e avisá-lo de incidentes de segurança (seção 8).

5.6. Devolver ou eliminar os dados ao fim do tratamento (seção 11) e fornecer as informações que demonstrem o cumprimento deste Acordo (seção 10).

6. Suboperadores

6.1. O Controlador autoriza a Operadora a usar os suboperadores listados abaixo para banco de dados, hospedagem, pagamento da assinatura, e-mail, monitoramento, armazenamento de arquivos e inteligência artificial. Cada um acessa os dados somente na medida necessária para a sua função e está sujeito a obrigações de proteção de dados compatíveis com as deste Acordo. A Operadora continua responsável, perante o Controlador, pelo que eles fizerem com os dados. O provedor de pagamento em que o Controlador mantém a sua conta de recebimento não é suboperador da Operadora: é contratado pelo próprio Controlador, que instrui o envio dos dados de cada cobrança.

6.2. A inclusão ou a troca de suboperador é avisada com pelo menos 15 dias de antecedência, pela publicação desta lista atualizada e por aviso dentro do sistema ou por e-mail. O Controlador pode se opor por motivo razoável ligado à proteção de dados. Se não houver solução, pode cancelar a assinatura sem ônus adicional.

6.3. Lista vigente de suboperadores:

Neon. Finalidade: Banco de dados da plataforma (PostgreSQL gerenciado), com criptografia em repouso e histórico de recuperação. Dados: Todos os dados inseridos na plataforma. Segredos de integração são cifrados pela própria WebbIA antes de serem gravados. Localização: AWS, região São Paulo (sa-east-1), Brasil.

Vercel Inc.. Finalidade: Hospedagem da aplicação web e execução do servidor da plataforma. Dados: Dados em trânsito e em processamento durante o uso da plataforma; registros técnicos de acesso. Localização: Estados Unidos (região padrão de execução) e rede de distribuição global.

Stripe, Inc.. Finalidade: Cobrança da assinatura da plataforma, paga pelo Assinante. Dados: Dados do responsável pela conta e do meio de pagamento. Os dados do cartão são informados diretamente ao Stripe e não passam pela WebbIA. Localização: Estados Unidos e União Europeia.

Resend, Inc.. Finalidade: Envio de e-mails transacionais, como convite de equipe, redefinição de senha e avisos da conta. Dados: Nome e e-mail do destinatário; conteúdo da mensagem. Localização: Estados Unidos.

Functional Software, Inc. (Sentry) (quando o recurso estiver ativo). Finalidade: Monitoramento de erros da aplicação. Dados: Dados técnicos do erro. Dados pessoais são removidos antes do envio. Localização: Estados Unidos ou União Europeia, conforme a configuração.

Cloudflare, Inc. (R2) (quando o recurso estiver ativo). Finalidade: Armazenamento do logo do escritório. Dados: Imagem do logo enviada pelo Assinante. Localização: Infraestrutura global da Cloudflare; a região de armazenamento é informada nesta lista quando o recurso estiver ativo.

Anthropic, PBC. Finalidade: Modelo de inteligência artificial que responde perguntas sobre os números do escritório e escreve o resumo do mês. Dados: A pergunta e o resultado das consultas fixas do sistema: valores, datas, categorias e nomes de clientes com valores em aberto. Nunca CPF, CNPJ, e-mail, telefone nem documentos. O fornecedor não utiliza dados recebidos pela API para treinar seus modelos. Localização: Estados Unidos.

7. Segurança da informação

7.1. A Operadora adota medidas técnicas e administrativas compatíveis com a natureza, o volume e o risco do tratamento. Entre elas: comunicação cifrada em trânsito; banco de dados com criptografia em repouso e histórico de recuperação; isolamento dos dados de cada escritório aplicado no próprio banco de dados, e do financeiro por papel dentro do escritório; senhas guardadas apenas como hash; acesso pessoal, com papéis que limitam o que cada pessoa vê e faz; credenciais de integração cifradas; registro de cada leitura e alteração do cadastro de clientes; lançamentos que não se apagam nem se alteram; e monitoramento de erros com remoção de dados pessoais.

7.2. A Operadora pode atualizar essas medidas para acompanhar a evolução dos riscos, sem reduzir o nível geral de proteção.

7.3. Cabe ao Controlador proteger as credenciais da sua conta e a chave da sua conta de recebimento, controlar quem da equipe tem acesso e retirar o acesso de quem sair do escritório.

8. Incidentes de segurança

8.1. A Operadora avisa o Controlador, sem demora injustificada depois de tomar conhecimento, de incidente de segurança que possa atingir dados pessoais tratados em nome dele. O aviso traz, na medida do que estiver disponível: o que aconteceu, as categorias e a quantidade aproximada de dados e de titulares atingidos, as medidas de contenção já tomadas e um contato. As informações podem ser completadas conforme a apuração avançar.

8.2. Cabe ao Controlador avaliar o incidente e, quando a lei exigir, comunicar os titulares e a ANPD nos prazos da regulamentação. A Operadora colabora com ele nessas comunicações.

9. Direitos dos titulares

9.1. A Operadora oferece ao Controlador meios razoáveis para atender os pedidos dos titulares sobre os dados tratados no sistema: confirmação, acesso, correção, eliminação, portabilidade e os demais direitos previstos na LGPD.

9.2. O pedido que chegar diretamente à Operadora, sobre dados de que o Assinante é controlador, é encaminhado a ele sem demora, salvo determinação legal em contrário.

10. Evidências de conformidade

10.1. A pedido do Controlador, feito com pelo menos 15 dias de antecedência e respeitados o sigilo e a segurança, a Operadora fornece as informações e os documentos de que dispuser sobre as suas medidas de proteção de dados, suficientes para demonstrar o cumprimento deste Acordo.

10.2. Auditorias além disso dependem de acordo entre as partes, com escopo e custos definidos antes.

11. Devolução e eliminação

11.1. O Controlador pode baixar os dados da conta a qualquer momento pelo próprio sistema. Encerrada a assinatura, pode pedir a exportação dos dados em até 30 dias. Depois desse prazo, a Operadora elimina os dados do sistema e, nos ciclos normais de retenção, das cópias de segurança.

11.2. Fica ressalvado o que a lei mandar guardar ou o que for necessário para o exercício regular de direitos. Esses dados ficam bloqueados para qualquer outro uso.

11.3. Cabe ao Controlador exportar, antes da eliminação, os registros que ele próprio tenha obrigação de guardar.

12. Transferência internacional

12.1. O Controlador declara saber que alguns suboperadores ficam fora do Brasil (seção 6), o que configura transferência internacional de dados pessoais.

12.2. Nessas transferências, a Operadora usa os mecanismos previstos na LGPD e na regulamentação da ANPD, como cláusulas-padrão contratuais, e escolhe fornecedores com garantias de proteção compatíveis com a lei brasileira.

13. Cooperação com a ANPD

13.1. As partes cooperam entre si e com a Autoridade Nacional de Proteção de Dados no que for necessário para cumprir a LGPD, inclusive em requisições, fiscalizações e comunicações de incidentes.

14. Responsabilidade

14.1. Cada parte responde pelos danos que causar por descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente quando descumprir as obrigações que a lei lhe atribui ou quando não seguir as instruções lícitas do Controlador. O Controlador responde pela falta de base legal e pelas decisões sobre a finalidade e os meios do tratamento.

14.2. Aplicam-se os limites de responsabilidade dos Termos de Uso, ressalvadas as hipóteses em que a lei não admite limitação.

15. Contato

15.1. Avisos sobre este Acordo, inclusive sobre incidentes e suboperadores, devem ser enviados para contato@webbiatech.com.br.

15.2. O encarregado pelo tratamento de dados da WebbIA é Rodrigo Figueiredo Guimaraes de Oliveira.