CONTRATO DE PROCESSAMENTO DE DADOS
Versão 2.0
Data de Vigência: 23 de fevereiro de 2026
ÍNDICE
-
Definições e Escopo
-
Processamento de Dados Pessoais
-
Direitos dos Titulares dos Dados
-
Proteção de Dados e Segurança
-
Transferências Internacionais de Dados
-
Prazo e Rescisão
-
Responsabilidade e Indenização
-
Legislação Aplicável
Anexo A: Categorias de Dados Pessoais
Anexo B: Sub-processadores Autorizados
Anexo C: Medidas Técnicas e Organizacionais
Anexo D: Cláusulas Contratuais Padrão -
DEFINIÇÕES E ESCOPOS
Este Contrato de Processamento de Dados ("Contrato") é celebrado entre Syntari International, Inc. ("Empresa" ou "Processador") e o Cliente ("Controlador").
1.1 Definições
● Dados Pessoais: Qualquer informação relacionada a uma pessoa natural identificada ou identificável.
● Processamento: Qualquer operação realizada sobre Dados Pessoais, incluindo coleta, registro, organização, estruturação, armazenamento, adaptação, recuperação, uso, divulgação e exclusão.
● Titular dos Dados: O indivíduo a quem os Dados Pessoais se referem.
● Sub-processador: Qualquer entidade legal contratada pelo Processador para processar Dados Pessoais em nome do Controlador.
● Subprocessador de IA: Provedores de serviços de IA de terceiros, incluindo, mas não se limitando a Anthropic, OpenAI e Google.
● Incidente: Qualquer suspeita ou confirmação de violação de segurança ou perda de Dados Pessoais.
1.2 Escopo
Este Acordo se aplica ao processamento de Dados Pessoais conforme descrito no Acordo de Serviço e Anexos anexados. -
PROCESSAMENTO DE DADOS PESSOAIS
2.1 Base e Propósito Legal
O Processador processará Dados Pessoais apenas:
● Com instruções documentadas do Controlador;
● Para fins especificados no Acordo de Serviço;
● De acordo com o GDPR, CCPA e leis de proteção de dados aplicáveis.
2.2 Instruções de Processamento
O Controlador reconhece que o Processador processa Dados Pessoais exclusivamente com base nas instruções documentadas do Controlador. Mudanças devem ser fornecidas por escrito e aprovadas por ambas as partes.
2.3 Duração do Processamento
O Processador processará Dados Pessoais durante a vigência do Acordo de Serviço e, posteriormente, conforme exigido por lei. -
DIREITOS DOS TITULARES DOS DADOS
3.1 Direito de Acesso
O Processador deverá, a pedido do Controlador e dentro de 10 dias úteis, fornecer assistência razoável para permitir que os titulares dos dados exerçam seu direito de acessar seus Dados Pessoais.
3.2 Direito de Correção e Exclusão
O Processador deverá fornecer assistência razoável para permitir que os titulares dos dados exerçam seus direitos de correção, exclusão e restrição do processamento.
3.3 Portabilidade
O Processador deverá ajudar o Controlador a permitir que os titulares dos dados exerçam seu direito à portabilidade dos dados em formato legível por máquina.
3.4 Não à Tomada de Decisão Automatizada
O Processador não deverá se envolver em tomada de decisão automatizada que produza efeitos legais sem a autorização explícita do Controlador. -
PROTEÇÃO DE DADOS E SEGURANÇA
4.1 Confidencialidade
O Processador assegura que todas as pessoas autorizadas a processar Dados Pessoais estão comprometidas com a confidencialidade ou estão sob uma obrigação legal apropriada de confidencialidade.
4.2 Medidas de Segurança de Dados
O Processador implementa medidas técnicas e organizacionais apropriadas conforme detalhado no Anexo C:
● Criptografia de dados em trânsito e em repouso
● Controles de acesso e mecanismos de autenticação
● Avaliações regulares de segurança e testes de vulnerabilidade
● Programas de treinamento e conscientização para funcionários
● Procedimentos de resposta a incidentes
4.3 Criptografia e Controles de Acesso
Todos os Dados Pessoais são criptografados usando AES-256 ou equivalente. O acesso é restrito a pessoal autorizado com autenticação multifatorial requerida.
4.4 Subprocessamento e Subprocessadores de IA
4.4.1 Autorização e Notificação
O Processador pode contratar Subprocessadores, incluindo fornecedores de IA listados no Anexo B. O Controlador tem o direito de se opor dentro de 30 dias após notificação por escrito.
4.4.2 Requisitos para Subprocessadores de IA
Todos os Subprocessadores de IA devem:
● Executar DPAs alinhadas ao GDPR e leis aplicáveis
● Fornecer medidas técnicas e organizacionais equivalentes a este Acordo
● Oferecer transparência em relação aos locais e propósitos do processamento de dados
● Submeter-se a auditorias e verificação de conformidade
4.4.3 DPAs de Subprocessadores Incorporados
Os DPAs de todos os fornecedores de IA listados no Anexo B são incorporados por referência e se tornam termos vinculativos deste Acordo. O Processador deverá garantir que o Controlador tenha acesso a esses acordos mediante solicitação.
4.4.4 Notificação com 30 Dias de Antecedência
O Processador deverá fornecer um aviso escrito com 30 dias de antecedência antes de adicionar, remover ou modificar materialmente qualquer engajamento de Subprocessador. Este aviso deve incluir a localização, o propósito e as salvaguardas do Subprocessador.
4.5 Notificação de Violação de Dados
Ao tomar conhecimento de um Incidente, o Processador deverá:
● Avaliar imediatamente a natureza e o escopo da violação
● Notificar o Controlador sem demora indevida
● Fornecer todas as informações para obrigações de notificação regulatória
4.6 Resposta a Incidentes de Segurança (Padrão de Notificação de 48 Horas)
4.6.1 Cronograma de Notificação
O Processador deverá notificar o Controlador sobre qualquer Incidente de Segurança dentro de 48 horas após a descoberta. Isso está alinhado com as melhores práticas do setor e os requisitos do DPA da Anthropic.
4.6.2 Conteúdo do Relatório de Incidente
Todas as notificações de incidentes deverão incluir:
● Descrição do incidente e sistemas afetados
● Categorias e número aproximado de sujeitos de dados afetados
● Prováveis consequências do incidente
● Medidas tomadas ou propostas para abordar e mitigar danos
● Nome e contato do Oficial de Proteção de Dados
4.6.3 Cooperação com Autoridades
O Processador deverá cooperar razoavelmente com o Controlador e as autoridades regulatórias na investigação e resposta a Incidentes.
4.7 Retenção e Exclusão de Dados
O Processador deverá excluir ou retornar Dados Pessoais após a rescisão, a menos que retidos conforme exigido por lei. Um certificado de exclusão será fornecido mediante solicitação.
4.8 Certificação do Processador
O Processador mantém certificações SOC 2 em andamento e ISO 27001 em andamento. Certificados atuais estão disponíveis mediante solicitação.
4.9 Direitos de Auditoria
4.9.1 Direitos Gerais de Auditoria
O Controlador tem o direito de auditar a conformidade do Processador com este Acordo. As auditorias podem ser realizadas:
● Após aviso escrito de 15 dias úteis
● Não mais de uma vez por ano calendário, a menos que acionada por um Incidente suspeito
● Durante o horário comercial normal
4.9.2 Auditorias de Terceiros
O Controlador pode contratar auditores independentes, desde que o auditor assine um acordo de confidencialidade.
4.9.3 Auditorias de Subprocessadores de IA
As auditorias de Subprocessadores de IA deverão ser realizadas por meio de:
● Revisão de relatórios SOC 2 em andamento e ISO 27001 em andamento
● Revisão da documentação de segurança do fornecedor
● Auditorias in loco, sujeitas à aprovação do fornecedor
4.10 Processamento de Dados Específicos de IA
4.10.1 Usos Permitidos
Os Dados Pessoais do Cliente podem ser processados através de recursos de IA exclusivamente para fornecer os serviços contratados. Nenhum outro uso é permitido.
4.10.2 Proibição de Treinamento de Modelos
O Processador e todos os Subprocessadores de IA se comprometem que:
● Os Dados Pessoais do Cliente NÃO serão usados para treinar, ajustar ou melhorar qualquer modelo de aprendizado de máquina (para camadas pagas)
● Esta restrição se aplica independentemente das outras políticas do fornecedor de IA
● O Controlador deverá receber confirmação por escrito de todos os fornecedores de IA
4.10.3 Manipulação de Prompts e Saídas
● Prompts: Deletados imediatamente após o processamento, retenção máxima de 24 horas
● Saídas: Retidas de acordo com as configurações de retenção especificadas pelo Cliente
● Metadados: Os fornecedores de IA podem reter metadados limitados apenas para monitoramento de abuso
4.10.4 Retenção de Monitoramento de Abuso
Os fornecedores de IA podem reter dados limitados por 30 dias para monitorar abuso, fraude e atividades ilegais. Esses dados são separados dos dados de prompts/saídas.
4.10.5 Transparência do Fornecedor de IA
O Processador deverá garantir que os Subprocessadores de IA forneçam:
● Relatórios trimestrais sobre práticas de manuseio de dados
● Notificação de incidentes alinhada com a Seção 4.6
● Documentação de salvaguardas técnicas
4.11 Coordenação dos Direitos dos Titulares de Dados
4.11.1 Escopo das Solicitações dos Titulares de Dados
Solicitações de Acesso de Titulares de Dados (DSARs) devem incluir dados mantidos pelo Processador e todos os Subprocessadores, incluindo fornecedores de IA.
4.11.2 Procedimentos de Coordenação
O Processador deverá:
● Acusar recebimento de DSARs dentro de 5 dias úteis
● Coordenar com Subprocessadores de IA para recuperar dados dentro de 10 dias úteis
● Fornecer uma resposta consolidada ao Controlador dentro de 30 dias corridos
● Garantir que as exclusões sejam executadas em todos os sistemas e subprocessadores
4.11.3 Cooperação dos Subprocessadores
Todos os Subprocessadores deverão cooperar plenamente com as solicitações de DSAR sem cobrar taxas adicionais por solicitações razoáveis. -
TRANSFERÊNCIAS INTERNACIONAIS DE DADOS
5.1 Estrutura de Privacidade de Dados UE-EUA
Na medida em que os Dados Pessoais se originem da UE ou do Reino Unido, o Processador se baseia na Estrutura de Privacidade de Dados UE-EUA e na Extensão do Reino Unido para transferência internacional legal. O Processador é certificado sob ambas as estruturas.
5.2 Cláusulas Contratuais Padrão
Para transferências não cobertas por decisões de adequação, o Processador incorpora Cláusulas Contratuais Padrão por referência (Anexo D). Essas cláusulas se aplicam ao EEE, Reino Unido e outras jurisdições que exigem salvaguardas.
5.3 Transferências de Subprocessadores
Todos os Subprocessadores, incluindo fornecedores de IA, estão contratualmente obrigados a mecanismos de transferência equivalentes. O Processador garante salvaguardas apropriadas para todas as transferências subsequentes.
5.4 Avaliações de Impacto de Transferência
O Processador deverá realizar Avaliações de Impacto de Transferência conforme exigido por lei e fornecer documentação mediante solicitação. -
TERMOS E RESCISÃO
6.1 Data de Vigência
Este Contrato é eficaz a partir de 23 de fevereiro de 2026 e continua durante a vigência do Contrato de Serviço.
6.2 Rescisão
Após a rescisão ou expiração do Contrato de Serviço, o Processador deverá, a critério do Controlador:
● Excluir todos os Dados Pessoais em até 30 dias
● Retornar todos os Dados Pessoais em um formato estruturado, comumente usado e legível por máquina
6.3 Obrigações Pós-Rescisão
Obrigações de confidencialidade, segurança e auditoria sobrevivem à rescisão pelo período exigido pela lei. -
RESPONSABILIDADE E INDENIZAÇÃO
7.1 Responsabilidade do Processador
O Processador é responsável por danos causados pela falha em cumprir as obrigações sob este Contrato, sujeito às limitações do Contrato de Serviço.
7.2 Indenização
O Processador deve indenizar e isentar o Controlador de reivindicações de terceiros decorrentes da violação da lei de proteção de dados aplicável pelo Processador.
7.3 Responsabilidade dos Sub-processadores
O Processador deve garantir que todos os Sub-processadores ofereçam obrigações equivalentes de responsabilidade e indenização. -
LEI APLICÁVEL
Este Contrato será regido e interpretado de acordo com as leis da jurisdição na qual o Controlador está localizado, com as leis de proteção de dados aplicáveis (GDPR, CCPA, etc.) prevalecendo.
ANEXO A: CATEGORIAS DE DADOS PESSOAIS
As seguintes categorias de Dados Pessoais podem ser processadas pelo Processador:
● Dados de Identificação: Nome, endereço de e-mail, número de telefone, ID do usuário, endereço IP
● Dados de Perfil: Cargo, departamento, organização, função, preferências
● Dados de Uso: Frequência de login, uso de recursos, duração da sessão, interações
● Dados de Comunicação: Mensagens, históricos de chat, registros de colaboração
● Dados de Documentos: Arquivos, documentos e conteúdo carregados ou criados
● Dados Técnicos: Informações do dispositivo, tipo de navegador, sistema operacional, logs do sistema
● Dados Comportamentais: Padrões de engajamento com o serviço, adoção de recursos, análises
● Dados de Transação: Detalhes da assinatura, informações de pagamento (tokenizadas)
● Dados Processados por IA: Texto, documentos ou conteúdo inserido em recursos de IA
As categorias específicas processadas dependem dos serviços aos quais se inscreveu e estão detalhadas no Contrato de Serviço.
ANEXO B: SUB-PROCESSADORES AUTORIZADOS
Os seguintes Sub-processadores estão autorizados a processar Dados Pessoais em nome do Controlador. Todos estão vinculados por Acordos de Processamento de Dados que incorporam os requisitos deste Contrato.
Nome do Sub-processador Localização Propósito Salvaguardas
Anthropic Claude API EUA (São Francisco, CA) Processamento de IA, análise de texto, geração de conteúdo SOC 2 em andamento, ISO 27001 em andamento, DPA com Data Privacy Framework
OpenAI EUA (São Francisco, CA) Processamento de IA, embeddings, inferência de modelo de linguagem SOC 2 em andamento, ISO 27001 em andamento, DPA com SCCs
Google Gemini API EUA (Múltiplas localizações) Processamento de IA, inferência multimodal de IA SOC 2 em andamento, ISO 27001 em andamento, DPA do Google Cloud
AWS (Fornecedor de Infraestrutura) EUA, UE (Seleção regional) Armazenamento de dados, recursos de computação, backup e DR SOC 2 em andamento, ISO 27001 em andamento, DPA com DPF
SendGrid (Serviços de E-mail) EUA (Denver, CO) Entrega e registro de e-mail transacional SOC 2 em andamento, ISO 27001 em andamento, conformidade com DPA
Todos os Sub-processadores de IA estão contratualmente obrigados a:
● Manter DPAs alinhados com este Contrato
● Proibir o uso de Dados Pessoais do Cliente para treinamento de modelo (níveis pagos)
● Deletar prompts dentro de 24 horas, exceto para monitoramento de abusos (retenção de 30 dias)
● Fornecer SOC 2 em relatórios de progresso anualmente
● Notificar o Processador sobre vazamentos de dados dentro de 48 horas
● Cooperar com pedidos de auditoria e consultas de titulares de dados
O Processador deverá fornecer 30 dias de aviso antes de adicionar ou remover Subprocessadores.
ANEXO C: MEDIDAS TÉCNICAS E ORGANIZACIONAIS
O Processador implementa as seguintes medidas técnicas e organizacionais para garantir segurança adequada:
Medidas Técnicas
● Criptografia: criptografia AES-256 para dados em repouso; TLS 1.2+ para dados em trânsito
● Controles de Acesso: RBAC, princípio do menor privilégio, autenticação multifator
● Autenticação: Políticas de senha fortes, integração SSO, gerenciamento de sessão
● Monitoramento: Monitoramento de segurança em tempo real, detecção de intrusões, análise de logs
● Gestão de Vulnerabilidades: Testes de penetração, varredura de vulnerabilidades, gerenciamento de patches
● Segurança de Rede: Firewalls, proteção DDoS, segmentação de rede
● Backup e Recuperação: Backups automáticos diários, redundância geográfica, procedimentos de recuperação
Medidas Organizacionais
● Treinamento de Pessoal: Treinamento anual sobre GDPR e proteção de dados
● Gestão de Acesso: Verificação de antecedentes para funcionários com acesso a dados
● Acordos de Confidencialidade: Todos os funcionários assinam acordos de confidencialidade
● Resposta a Incidentes: Procedimentos documentados com simulações regulares
● Encarregado de Proteção de Dados: DPO designado disponível (dpo@syntari.ai)
● Trilhas de Auditoria: Registro abrangente de todos os acessos e modificações de dados
● Gestão de Fornecedores: Subprocessadores passam por avaliação de segurança
Medidas de Segurança Específicas para IA
● Isolamento de Prompts: Prompts processados em ambientes isolados e efêmeros
● Sem Contaminação Cruzada: Dados de diferentes clientes nunca misturados
● Filtragem de Metadados: Metadados PII removidos dos logs de IA
● Validação de Saída: Saídas revisadas para vazamento acidental de dados
● Monitoramento Contínuo: Monitoramento de abusos do provedor de IA por 30 dias
Certificação e Conformidade
● SOC 2 em progresso: Auditoria anual por auditores independentes
● ISO 27001 em progresso: Sistema de gestão de segurança da informação certificado
● Conformidade com GDPR: Certificado por conselho de proteção de dados externo
● Avaliações Regulares: Avaliações de segurança de terceiros a cada 12 meses
ANEXO D: CLÁUSULAS CONTRATUAIS PADRÃO
Este Anexo incorpora as Cláusulas Contratuais Padrão ("SCCs") como mecanismos para transferências internacionais de dados legais.
D.1 Escopo
As SCCs se aplicam a transferências de Dados Pessoais do EEE, Reino Unido ou outra jurisdição que requer salvaguardas adicionais para locais fora de tal jurisdição.
D.2 Seleção de Módulo
O Processador e o Controlador são partes nas transferências do Controlador para o Processador sujeitas ao Módulo 2 das Cláusulas Contratuais Padrão (C2P).
D.3 Cláusulas Incorporadas
As seguintes Cláusulas Contratuais Padrão estão incorporadas por referência:
● Cláusula 1: Propósito e Duração
● Cláusula 2: Detalhes do Processamento
● Cláusula 3: Sub-processamento
● Cláusula 4: Assistência com Direitos
● Cláusula 5: Assistência com Obrigações
● Cláusula 6: Exclusão ou Retorno
● Cláusula 7: Direitos de Auditoria
● Cláusula 8: Direitos dos Titulares de Dados
● Cláusula 9: Transferências Internacionais
● Cláusula 10: Responsabilidade do Subcontratante de Processador
Texto completo disponível em: https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2847
D.4 Certificação de Estrutura de Proteção de Dados
O Processador está certificado sob a Estrutura de Privacidade de Dados UE-EUA e a Extensão do Reino Unido, fornecendo um mecanismo de adequação alternativo para transferências cobertas.
D.5 Avaliação de Adequação
O Processador realizou uma avaliação de impacto de transferência concluindo que:
● A lei dos EUA fornece salvaguardas adequadas por meio de proteções legais e contratuais
● A Estrutura de Privacidade de Dados fornece direitos e recursos robustos
● Medidas técnicas e organizacionais fornecem defesa contra vigilância em massa
D.6 Transferências de Subprocessadores
Todos os Subprocessadores utilizam mecanismos de transferência equivalentes:
● Cláusulas Contratuais Padrão (Módulo 2 ou Módulo 3)
● Certificação da Estrutura de Privacidade de Dados
● Regras Corporativas Vinculativas
● Decisões de Adequação
D.7 Recursos e Aplicação
Os titulares de dados mantêm todos os direitos sob as SCCs e podem apresentar reclamações contra o Processador na jurisdição onde o titular de dados está localizado ou onde o Processador está estabelecido.
EXECUÇÃO
Este Acordo de Processamento de Dados é executado a partir de 23 de fevereiro de 2026.
PELA SYNTARI AI, INC.:
Representante Autorizado
Título: _____________________
Data: _____________________
PELO CLIENTE:
Representante Autorizado
Título: _____________________
Data: _____________________
