Regras de tratamento de dados entre o estabelecimento controlador e o Uai Agendei operador.
Os dados de identificação do responsável pela plataforma e o canal do encarregado de dados são publicados aqui assim que preenchidos em ADM Supremo → Configurações.
Este Acordo de Tratamento de Dados (DPA) integra a contratação do SaaS e disciplina o tratamento realizado pelo Uai Agendei, como operador, por conta do estabelecimento controlador, sem afastar situações em que cada parte atue como controlador para finalidades próprias.
O tratamento abrange o período necessário à prestação do SaaS e à execução das instruções válidas do controlador, alcançando principalmente clientes finais, contatos, profissionais e usuários vinculados ao tenant.
O operador tratará os dados para hospedar, organizar, consultar, transmitir, gerar agenda/CRM, executar automações, backups, exportações, suporte e demais recursos habilitados pelo controlador. Configurações, comandos do painel, contrato, tickets de suporte e instruções formais podem constituir instruções documentadas.
O operador não é obrigado a cumprir instrução manifestamente ilícita. Quando identificar possível conflito com a legislação de proteção de dados, deverá alertar o controlador quando juridicamente permitido.
Pessoas com acesso administrativo devem estar sujeitas a dever de confidencialidade, necessidade de conhecimento, controles de acesso e auditoria compatíveis com sua função.
O operador mantém medidas técnicas e administrativas proporcionais ao risco, incluindo isolamento multi-tenant, autenticação, autorização, criptografia de segredos, hash de senha, HTTPS, CSRF, validação de entrada, logs, backups e resposta a incidentes. As medidas podem evoluir sem redução material injustificada do nível de proteção.
O controlador autoriza o uso de suboperadores necessários à prestação do serviço conforme o Aviso de Suboperadores. O operador deve impor obrigações de proteção compatíveis com a função exercida e limitar o tratamento ao necessário. Mudança material da cadeia pode ser comunicada por atualização do aviso ou outro canal adequado.
Transferências internacionais realizadas no contexto de operação devem observar a LGPD e a Resolução CD/ANPD nº 19/2024. Quando aplicável, as partes devem adotar mecanismo de transferência válido e cooperar para fornecer informações necessárias à transparência e documentação.
O operador apoiará o controlador, dentro das possibilidades técnicas e do escopo do SaaS, no atendimento a solicitações de confirmação, acesso, correção, exportação, bloqueio, anonimização, eliminação e demais direitos aplicáveis. Se receber pedido diretamente sobre dados do tenant, poderá encaminhá-lo ao controlador, salvo obrigação legal própria.
O controlador é responsável por verificar base legal, necessidade e salvaguardas reforçadas para dados sensíveis e para dados de crianças/adolescentes. O operador deve disponibilizar controles compatíveis com o risco, mas não decide a finalidade do tratamento realizado pelo estabelecimento.
O operador comunicará ao controlador, sem demora indevida após tomar ciência de incidente confirmado relacionado a dados tratados em seu nome, as informações razoavelmente disponíveis sobre natureza, categorias afetadas, medidas de contenção e evolução da investigação. O controlador decide e executa as comunicações externas que lhe cabem, com cooperação do operador.
O operador poderá fornecer documentação razoável sobre controles, subprocessadores, logs de auditoria, políticas e resultados de testes compatíveis com segurança e sigilo. Auditorias presenciais ou extraordinárias dependem de justificativa, confidencialidade, escopo proporcional e preservação da segurança de outros tenants.
Encerrado o serviço, dados sob controle do tenant devem ser exportados, eliminados, anonimizados ou colocados fora de uso conforme o fluxo aplicável, ressalvadas hipóteses legais de conservação. Backups podem reter cópias por tempo limitado até rotação segura, sem reutilização para finalidade incompatível.
O controlador responde pelas decisões sobre finalidade, base legal, transparência, conteúdo coletado, usuários autorizados e legitimidade das comunicações. O operador responde pelo cumprimento de suas obrigações próprias e das instruções lícitas recebidas, na medida prevista em lei.
As partes cooperarão, quando aplicável, em relatório de impacto, consultas à ANPD, ordens válidas de autoridade, investigação de incidentes e comprovação de conformidade, respeitados segredos comercial e industrial e os papéis legais de cada agente.
Este documento é versionado. Quando uma alteração exigir novo aceite contratual, o Uai Agendei solicitará manifestação apropriada. Registros de aceite, versão, data/hora e evidências técnicas são mantidos para auditoria.
