Acordo de processamento de dados (Data Processing Addendum - DPA)
Instrumento que dita as regras e salvaguardas técnicas sob as quais a [RAZÃO SOCIAL] (na qualidade de Operadora) processa dados pessoais em nome de seus clientes corporativos (na qualidade de Controladores).
Enquadramento sob a LGPD (art. 39) e GDPR (art. 28)
Este Acordo de Processamento de Dados ("DPA") complementa o Master Services Agreement ("MSA") e regula o tratamento de quaisquer dados pessoais submetidos pela CONTRATANTE ("Controladora") ao sistema computacional WardenT®, mantido e operado pela [RAZÃO SOCIAL] ("Operadora"), inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO].
1. Definição de papéis e escopo das instruções
1.1. As partes reconhecem expressamente que, no tocante aos dados inseridos em consultas, termos de pesquisa privada, anexos ou parâmetros de fólio:
- A CONTRATANTE atua como Controladora, sendo a única responsável pela legitimidade da coleta dos dados e pela definição das finalidades de tratamento;
- A CONTRATADA atua estritamente como Operadora, processando tais informações exclusivamente para viabilizar a execução dos serviços de busca normativa, compilação de atos públicos e emissão dos cadernos probatórios em PDF/A.
1.2. A Operadora compromete-se a tratar os dados pessoais exclusivamente conforme as instruções documentadas da Controladora e para as finalidades contratuais estritas.
2. Vedação expressa de uso de dados para treinamento de inteligência artificial
A Operadora não utilizará, comercializará, compartilhará nem integrará dados pessoais, termos de consulta ou relatórios da Controladora para treinar, retreinar ou aperfeiçoar modelos fundacionais públicos de inteligência artificial de terceiros. Todas as requisições processadas são isoladas em contexto temporário e estritamente restritas à conta da Controladora.
3. Medidas técnicas e organizacionais de segurança (TOMs)
A Operadora implementou e manterá medidas rigorosas de segurança alinhadas aos padrões NIST SP 800-53 e NIST AI RMF, compreendendo:
- Criptografia em repouso e trânsito: Todos os volumes e bancos de dados utilizam criptografia forte AES-256. Todo tráfego de dados na rede pública é protegido por TLS versão 1.3 obrigatório;
- Gestão de chaves criptográficas em HSM: Assinaturas digitais de cadernos e validações são custodiadas em Google Cloud KMS com módulos físicos de segurança (HSM) certificados sob FIPS 140-3;
- Isolamento lógico multi-tenant: Segregação estrita dos espaços de trabalho (workspaces), impedindo que dados de uma organização sejam acessados por operadores de outra conta;
- Controle de acesso baseado em papéis (RBAC): Privilégio mínimo concedido aos colaboradores técnicos, com autenticação multifator (MFA) mandatória para todo acesso administrativo;
- Registro e trilha de auditoria: Armazenamento imutável de logs de acesso e consentimento (NIST AU-10).
4. Suboperadores autorizados (Subprocessors)
4.1. A Controladora autoriza a Operadora a contratar os seguintes suboperadores de infraestrutura e serviços auxiliares para a entrega da solução:
| Suboperador | Finalidade do processamento | Localização dos dados |
|---|---|---|
| Google Cloud Platform (GCP) | Hospedagem em nuvem, VPC privada, banco de dados e Cloud KMS | Região us-east4 (Norte da Virgínia) |
| Stripe Payments Brasil Ltda. | Processamento seguro de transações financeiras de cartão de crédito | Brasil / Estados Unidos (PCI-DSS Level 1) |
4.2. Qualquer inclusão ou substituição de suboperador será comunicada na Central de Governança com antecedência razoável.
5. Notificação de incidentes de segurança
5.1. Na hipótese de confirmação de incidente de segurança que comprometa a confidencialidade ou integridade de dados pessoais da Controladora, a Operadora notificará formalmente o Encarregado pelo Tratamento de Dados (DPO) da Controladora no prazo máximo de 48 (quarenta e oito) horas a contar da confirmação do evento.
5.2. A notificação conterá a descrição da natureza do incidente, categorias e número aproximado de titulares afetados, medidas mitigatórias adotadas e o contato do DPO da Operadora.
6. Eliminação e devolução de dados
Após o encerramento do contrato de prestação de serviços, a Operadora compromete-se a eliminar ou anonimizar todos os dados pessoais e cadernos gerados na conta da Controladora em até 30 (trinta) dias, ressalvadas as hipóteses de guarda obrigatória por dever legal ou regulatório, especialmente os registros de conexão previstos no art. 15 da Lei Federal nº 12.965/2014 (Marco Civil da Internet).
7. Canal de atendimento do Encarregado de Proteção de Dados
Para esclarecimentos sobre este DPA ou cooperação em requisições de titulares e ofícios da Autoridade Nacional de Proteção de Dados (ANPD), a Controladora poderá contatar diretamente o DPO da Operadora através do canal: dpo@wardentbr.com.