Acordo de Tratamento de Dados

1. Objeto e papéis

Este Acordo de Tratamento de Dados ("Acordo" ou "DPA") é celebrado entre o Cliente e THE NORTH BROTHERS TECNOLOGIA LTDA, CNPJ 67.950.772/0001-65 ("Vensy"), e faz parte dos Termos de uso. Ele é aceito junto com os Termos e não depende de assinatura separada.

Em relação aos Dados Pessoais do Cliente, o Cliente é o controlador e a Vensy é a operadora, nos termos da Lei nº 13.709/2018 (LGPD). Se o próprio Cliente atuar como operador de um terceiro, a Vensy será suboperadora, e o Cliente garante que tem autorização do controlador para contratá-la nas condições deste Acordo.

Este Acordo não se aplica aos dados que a Vensy trata como controladora, como cadastro, cobrança, segurança da conta e marketing próprio. Esses tratamentos seguem a Política de Privacidade.

2. Definições

Os termos em maiúsculas têm o significado da LGPD e dos Termos de uso. Além deles:

• Dados Pessoais do Cliente: dados pessoais contidos no Conteúdo do Cliente, como mensagens, mídias, contatos, dados de CRM, campanhas e registros de atendimento.
• Contato: pessoa natural que conversa com o Cliente pelos canais conectados ou cujos dados o Cliente insere na plataforma.
• Suboperador: fornecedor contratado pela Vensy que trata Dados Pessoais do Cliente para prestar o Serviço.
• Incidente de Segurança: evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade de Dados Pessoais do Cliente.

3. Instruções do Cliente

A Vensy trata os Dados Pessoais do Cliente somente para prestar o Serviço e de acordo com as instruções documentadas do Cliente. São instruções do Cliente estes Termos e Acordo, as configurações feitas no Workspace (canais conectados, automações, Recursos de IA, integrações, retenção) e os pedidos formais enviados ao suporte.

• A Vensy não vende, não aluga e não usa os Dados Pessoais do Cliente para finalidade própria, publicidade ou enriquecimento de base.
• A Vensy não usa os Dados Pessoais do Cliente para treinar modelos de inteligência artificial, próprios ou de terceiros.
• A Vensy avisará o Cliente se considerar que uma instrução viola a LGPD e poderá deixar de cumpri-la até que seja esclarecida.
• Métricas técnicas de uso e desempenho do Serviço que não identificam Contatos podem ser usadas para operar, proteger e melhorar o Serviço.

4. Obrigações do Cliente

Como controlador, o Cliente é responsável por:

• Ter base legal adequada para cada tratamento e, nas comunicações ativas, o opt-in exigido pela lei e pelas políticas dos canais, mantendo prova desse opt-in;
• Informar os Contatos de forma clara sobre o tratamento, inclusive sobre o uso de assistentes de inteligência artificial, a possibilidade de falar com uma pessoa e as transferências internacionais descritas no Anexo III. O Anexo IV traz um modelo de aviso;
• Tratar dados sensíveis e dados de crianças e adolescentes só quando houver hipótese legal específica (arts. 11 e 14 da LGPD) e evitar inserir na plataforma dados desnecessários à finalidade;
• Responder aos titulares e às autoridades sobre os tratamentos que controla, com o apoio previsto na seção 9;
• Conectar apenas números e contas que pertençam ao Cliente ou que ele esteja autorizado a usar, considerando que a conexão de um número pode importar o histórico de conversas existente no aparelho.

5. Confidencialidade

A Vensy limita o acesso aos Dados Pessoais do Cliente às pessoas que precisam deles para prestar, dar suporte ou proteger o Serviço. Essas pessoas estão sujeitas a dever de confidencialidade. O suporte acessa o Workspace apenas quando necessário para atender a um pedido do Cliente, investigar um incidente ou cumprir obrigação legal.

6. Segurança

A Vensy mantém medidas técnicas e administrativas adequadas aos riscos do tratamento, descritas no Anexo II, e as revisa periodicamente. A Vensy pode atualizar essas medidas, desde que o nível de proteção não seja reduzido. O Cliente é responsável pela segurança das próprias credenciais, pela gestão dos Usuários e papéis e pela proteção das chaves de API e das integrações que autorizar.

7. Suboperadores

O Cliente autoriza, de forma geral, a contratação dos Suboperadores listados no Anexo III. A Vensy impõe a cada Suboperador obrigações de proteção de dados compatíveis com este Acordo e responde perante o Cliente pelos atos deles, nos termos da lei.

A Vensy avisará o Cliente, por e-mail ou aviso no painel, com pelo menos 30 (trinta) dias de antecedência antes de incluir ou substituir um Suboperador, salvo em emergência de segurança ou continuidade, caso em que o aviso será feito o quanto antes. O Cliente pode apresentar objeção fundamentada nesse prazo. Se as partes não chegarem a uma solução, o Cliente pode encerrar o serviço afetado sem multa, com reembolso proporcional de valores pagos antecipadamente.

A Meta e outras plataformas que o Cliente conecta ao Workspace não são Suboperadores da Vensy: elas tratam dados conforme os contratos e as políticas que o Cliente aceita diretamente com elas.

8. Transferência internacional

Parte do Serviço é prestada por Suboperadores localizados fora do Brasil, nos países indicados no Anexo III. O Cliente instrui e autoriza essas transferências, necessárias à prestação do Serviço.

A Vensy realiza essas transferências com base em um mecanismo do art. 33 da LGPD, em especial as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), adotadas na íntegra nos contratos com os importadores, ou decisão de adequação reconhecida pela ANPD. Mediante solicitação, a Vensy fornece ao Cliente as informações e cópias necessárias para que ele atenda aos titulares e publique o aviso de transparência exigido pela regulamentação.

9. Direitos dos titulares

Se a Vensy receber um pedido de titular sobre Dados Pessoais do Cliente, ela o encaminhará ao Cliente em até 2 (dois) dias úteis e não responderá diretamente ao titular, salvo para indicar que procure o Cliente ou quando a lei exigir.

O Serviço oferece ferramentas para o Cliente atender aos pedidos: consulta e edição de contatos, exportação de contatos e negócios, arquivamento e exclusão de contatos e a função de contatos privados, que apaga o histórico de um contato em um canal. Quando a ferramenta disponível não for suficiente, a Vensy dará apoio técnico razoável para que o Cliente cumpra os prazos da LGPD.

10. Incidentes de segurança

A Vensy notificará o Cliente sem demora injustificada e em até 48 (quarenta e oito) horas após confirmar um Incidente de Segurança que afete Dados Pessoais do Cliente, para que ele possa cumprir o prazo de comunicação à ANPD e aos titulares previsto na Resolução CD/ANPD nº 15/2024.

A notificação trará, na medida em que já forem conhecidas: a natureza do incidente e dos dados afetados, as categorias e a quantidade estimada de titulares, os riscos prováveis, as medidas de segurança existentes, as medidas tomadas para reverter ou mitigar os efeitos, a data do incidente e da ciência e um contato para acompanhamento. As informações faltantes serão complementadas assim que apuradas.

A comunicação à ANPD e aos titulares cabe ao Cliente, como controlador. A Vensy não a fará em nome do Cliente sem instrução dele, salvo quando a lei exigir. A Vensy registra os incidentes e as medidas adotadas e guarda esse registro por, no mínimo, 5 (cinco) anos. A notificação não implica reconhecimento de culpa.

11. Assistência e auditoria

A Vensy fornecerá as informações razoavelmente necessárias para que o Cliente demonstre conformidade com a LGPD, elabore relatório de impacto à proteção de dados e responda a requisições da ANPD relacionadas ao Serviço.

A auditoria será documental, por questionário respondido pela Vensy, no máximo uma vez a cada 12 (doze) meses, salvo após Incidente de Segurança ou determinação de autoridade. Informações compartilhadas na auditoria são confidenciais. Inspeções presenciais ou técnicas dependem de acordo prévio sobre escopo, prazo e custos e não podem expor dados de outros clientes.

12. Requisições de autoridades

Se receber ordem ou requisição de autoridade, brasileira ou estrangeira, para acessar Dados Pessoais do Cliente, a Vensy avisará o Cliente antes de atender, salvo se a lei ou a ordem proibir. A Vensy fornecerá apenas o mínimo exigido e poderá questionar requisições que considere ilegais ou excessivas. Registros de acesso à aplicação só são fornecidos mediante ordem judicial, nos termos do Marco Civil da Internet.

13. Devolução e eliminação

• Durante a vigência, o Cliente pode consultar, exportar, arquivar e excluir dados pelas ferramentas do Serviço.
• Após o encerramento da assinatura, o Workspace fica em modo somente leitura por 60 (sessenta) dias, para consulta e exportação. A pedido do Cliente, a eliminação pode ser antecipada.
• Os Dados Pessoais do Cliente são eliminados ou anonimizados em até 90 (noventa) dias após o encerramento. As cópias de segurança são sobrescritas em até 30 (trinta) dias depois disso e, até lá, permanecem protegidas e fora de uso.
• A Vensy pode conservar apenas o necessário para cumprir obrigação legal ou regulatória, exercer direitos em processo ou apurar uso indevido, como registros de cobrança e contagem de mensagens, pelo prazo legal aplicável e com acesso restrito.

14. Responsabilidade

Cada parte responde pelos danos que causar por violação da LGPD ou deste Acordo, na forma dos arts. 42 a 45 da LGPD. A Vensy responde quando descumprir a legislação de proteção de dados ou as instruções lícitas do Cliente. Os limites e exclusões de responsabilidade dos Termos de uso se aplicam entre as partes, mas não restringem direitos de titulares perante a lei nem o direito de regresso de quem indenizar por culpa da outra parte.

15. Vigência e alterações

Este Acordo vigora enquanto a Vensy tratar Dados Pessoais do Cliente, inclusive após o encerramento da assinatura, até a eliminação prevista na seção 13. As obrigações de confidencialidade e segurança sobrevivem ao término.

A Vensy pode atualizar este Acordo para refletir mudanças na legislação, na regulamentação da ANPD, inclusive sobre direitos dos titulares, inteligência artificial e padrões de segurança, ou nos Suboperadores. Alterações materiais seguem o aviso prévio previsto nos Termos de uso. Em conflito, este Acordo prevalece sobre os Termos de uso em matéria de proteção de dados.

Contato para assuntos deste Acordo: privacidade@vensy.com.br.

Anexo I: Descrição do tratamento

• Natureza e finalidade: hospedar, transmitir, organizar, exibir, analisar e automatizar o atendimento, o CRM, as campanhas e as integrações do Cliente, conforme as funções que ele usa e configura.
• Titulares: Contatos do Cliente (clientes, leads, visitantes do Web Chat, autores de comentários no Instagram) e Usuários do Workspace.
• Categorias de dados: nome, telefone, e-mail, identificadores das plataformas, foto de perfil, empresa, cargo, localização informada, data de nascimento, origem do lead, etiquetas, notas, campos personalizados, mensagens, áudios e transcrições, imagens, vídeos, documentos, localização compartilhada, avaliações de atendimento, histórico de campanhas e opt-out.
• Dados sensíveis: não são solicitados pela Vensy, mas podem constar do conteúdo livre das conversas por decisão do Cliente ou do Contato.
• Duração: a vigência da assinatura e o período da seção 13.

Anexo II: Medidas de segurança

• Isolamento lógico entre Workspaces, com verificação de vínculo em todas as leituras e escritas;
• Controle de acesso por papel (Owner, Admin, Supervisor e Agent) e autenticação em dois fatores disponível para os Usuários e obrigatória para a equipe administrativa da Vensy;
• Senhas armazenadas com função de hash; chaves de API armazenadas apenas em forma de hash; tokens de integração, segredos de webhooks e credenciais criptografados com AES-256-GCM;
• Criptografia TLS nas conexões entre os usuários e a plataforma;
• Trilha de auditoria das ações administrativas, de exportações e de envios;
• Cópias de segurança diárias do banco de dados, retidas por 30 dias;
• Registros técnicos com mascaramento de credenciais e de dados de requisição, retidos por prazo curto;
• Gestão de segredos centralizada, monitoramento contínuo, limites de taxa e proteção contra ataques na borda da rede;
• Procedimento de resposta a incidentes com registro e notificação na forma da seção 10.

Anexo III: Suboperadores

Lista vigente na data de atualização deste Acordo. A Vensy também usa componentes de software instalados na própria infraestrutura (como o motor de WhatsApp, o sistema de medição de uso e o CRM interno), que não envolvem outros fornecedores.

Os Recursos de IA e a transcrição automática de áudios rodam na Cloudflare (Workers AI), que não usa o conteúdo para treinar modelos.

Anexo IV: Modelo de aviso aos Contatos

Texto sugerido para a política de privacidade do Cliente ou para a primeira mensagem do atendimento. Adapte à sua operação:

"Este atendimento é feito pela [nome da empresa] com a plataforma Vensy. Usamos seus dados de contato e o conteúdo da conversa para atender você [e para enviar comunicações, se você autorizou]. Parte do atendimento pode ser feita por um assistente virtual com inteligência artificial; você pode pedir para falar com uma pessoa a qualquer momento. Os dados podem ser processados em servidores nos Estados Unidos, com as salvaguardas da LGPD. Para exercer seus direitos, fale com [canal de privacidade da empresa]. Para não receber mais campanhas, responda SAIR."