Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados Pessoais (DPA) integra os Termos de Uso e o contrato de prestação de serviços, e rege o tratamento de dados que a Communio Digital realiza, como operadora, em nome do Cliente, em conformidade com a LGPD (Lei nº 13.709/2018).

Sobre os dados dos seus contatos

Quanto aos dados de contatos, clientes finais e visitantes tratados pela plataforma, o Cliente é a Controladora (decide finalidades e meios) e a Communio é a Operadora (trata em nome do Cliente, segundo as suas instruções), nos termos do art. 39 da LGPD.

Sobre os dados de cadastro

Quanto aos dados de cadastro do Cliente, dos seus usuários/agentes e dos leads próprios da Communio, a Communio atua como Controladora, conforme a sua Política de Privacidade. Esses dados não são objeto deste DPA.

Hierarquia documental

Em caso de conflito especificamente sobre tratamento de dados pessoais dos contatos, este DPA prevalece sobre os Termos de Uso e a Política de Privacidade. Nas demais matérias, prevalecem os Termos de Uso e o contrato comercial.

A tabela resume o tratamento realizado pela Communio na condição de operadora, no contexto do serviço de atendimento multicanal:

A Communio trata os dados exclusivamente com base nas instruções documentadas do Cliente e para as finalidades de prestação do serviço, salvo quando obrigada por lei — hipótese em que informa o Cliente previamente, exceto se a lei vedar tal aviso.

• Sem uso próprio — a Communio não utiliza os dados para finalidades próprias nem os comercializa.

• Instrução ilegal — se entender que uma instrução viola a LGPD, a Communio comunica o Cliente e pode suspender a execução até esclarecimento.

Na condição de operadora, a Communio compromete-se a:

• Confidencialidade — garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de sigilo.

• Segurança — adotar as medidas técnicas e organizacionais do Anexo II e da Política de Privacidade (arts. 46 a 49).

• Apoio aos titulares — auxiliar o Cliente, na medida do tecnicamente possível, no atendimento aos direitos dos titulares.

• Apoio à conformidade — auxiliar na comunicação de incidentes, na elaboração de RIPD e no atendimento a solicitações da ANPD.

• Registro e devolução — manter registro das operações que realizar e, ao término, devolver ou eliminar os dados (seção 9).

Na condição de controlador, o Cliente compromete-se a:

• Base legal — possuir base legal adequada (arts. 7º e 11) para cada tratamento realizado na plataforma.

• Transparência — informar seus titulares sobre o tratamento e disponibilizar sua própria política de privacidade.

• Requisições — atender, como responsável principal, às requisições dos titulares.

• Dados sensíveis — não inserir dados sensíveis em campos livres ou conversas sem base legal específica e salvaguardas.

• Opt-in e retenção — observar as regras de opt-in das plataformas Meta e definir os prazos de retenção dos seus dados.

O Cliente autoriza a Communio a contratar os suboperadores abaixo. A Communio permanece responsável pelo cumprimento, por eles, de obrigações de proteção equivalentes às deste DPA, e comunica previamente inclusões ou substituições, facultando oposição fundamentada.

O Cliente reconhece e autoriza que determinados suboperadores — notadamente Meta Platforms e Amazon Web Services — podem tratar dados fora do Brasil, inclusive nos Estados Unidos.

Tais transferências observam os arts. 33 a 36 da LGPD e apoiam-se em garantias adequadas, em especial cláusulas contratuais padrão e adendos de proteção de dados dos provedores. A Communio acompanha a regulamentação da ANPD e adequa os instrumentos quando necessário.

A Communio adota medidas técnicas e organizacionais proporcionais aos riscos, que podem evoluir sem redução do nível de proteção vigente:

• Criptografia — em trânsito (HTTPS/TLS) e em repouso das credenciais sensíveis de integração; senhas armazenadas com hash.

• Isolamento e acesso — segregação lógica multi-tenant por conta e controle de acesso por papéis (menor privilégio).

• Defesa e auditoria — rate limiting, proteção contra força bruta, registros de auditoria e manutenção contínua da infraestrutura.

Resposta a incidentes

A Communio comunica o Cliente sem demora indevida ao tomar conhecimento de incidente que afete os dados tratados, com as informações disponíveis. Cabe ao Cliente, como controlador, avaliar e realizar a comunicação à ANPD e aos titulares (art. 48), com o apoio da Communio.

• Requisições recebidas — requisição de titular dirigida à Communio é encaminhada ao Cliente, ou o titular é orientado a procurá-lo, salvo instrução em contrário.

• Auxílio técnico — a Communio auxilia o Cliente pelas funcionalidades da plataforma (acesso, correção, exportação, eliminação) a atender às requisições nos prazos legais.

• RIPD e ANPD — mediante solicitação, presta informações e cooperação razoáveis para o RIPD e para o atendimento a fiscalizações da ANPD.

• Auditoria — disponibiliza documentação para demonstrar conformidade; auditoria limitada ao objeto do DPA pode ser solicitada com aviso prévio razoável (mínimo de 30 dias).

Este DPA vigora enquanto durar o contrato de prestação de serviços e perdura, quanto às obrigações de eliminação e confidencialidade, até o cumprimento integral.

• Exportação — encerrada a relação, o Cliente pode exportar os dados tratados, pelas funcionalidades disponíveis, em até 30 dias.

• Eliminação — decorrido o prazo, a Communio elimina ou anonimiza os dados, ressalvadas as hipóteses do art. 16. Backups são sobrescritos no ciclo normal, em até 90 dias.

• Responsabilidade — cada parte responde pelas obrigações que lhe são atribuídas (arts. 42 a 44); aplicam-se os limites de responsabilidade dos Termos de Uso.

A aceitação dos Termos de Uso e/ou a utilização da plataforma para tratar dados de contatos implica a aceitação deste DPA pelo Cliente. As partes podem, alternativamente, firmar versão assinada. Dúvidas sobre este DPA devem ser dirigidas ao nosso Encarregado (DPO):