Anexo — Acordo de Tratamento de Dados

1. Objeto e definições dos papéis

Este Anexo regula o tratamento de dados pessoais que a Ultra Limp Sistemas ("Operadora"), por meio da plataforma Gestão Clean, realiza em nome e por conta da empresa contratante ("Controladora"). Integra e complementa os Termos de Uso e a Política de Privacidade.

2. Tratamento conforme instruções

A Operadora tratará dados pessoais dos clientes finais apenas:

• para executar as funcionalidades da plataforma (agendamentos, orçamentos, ordens de serviço, cobrança, atendimento e comunicação);
• conforme as configurações e comandos dados pela Controladora dentro do sistema;
• na medida necessária ao cumprimento de obrigação legal ou regulatória à qual a Operadora esteja sujeita, informando a Controladora quando permitido.

A Operadora não utiliza os dados dos clientes finais para finalidade própria — não os vende, não os comercializa e não os emprega para publicidade fora do escopo do serviço contratado.

3. Obrigações da operadora

• Confidencialidade: restringe o acesso aos dados às pessoas que precisam deles para operar o serviço, todas sob dever de sigilo.
• Isolamento entre clientes: os dados de uma empresa contratante nunca são acessíveis por outra (arquitetura multi-tenant com isolamento por identificador de empresa).
• Segurança: adota as medidas técnicas e organizacionais descritas na cláusula 5.
• Apoio à Controladora: auxilia no atendimento a pedidos de titulares e a demandas da ANPD, conforme cláusulas 6 e 7.
• Registro: mantém registro das operações de tratamento que realiza por conta da Controladora.

4. Suboperadores e transferência internacional

A Controladora autoriza a Operadora a contratar os suboperadores abaixo, necessários à prestação do serviço. Alguns operam fora do Brasil, o que caracteriza transferência internacional (LGPD Art. 33):

As transferências aos suboperadores nos Estados Unidos apoiam-se no artigo 33 da LGPD e nos termos de proteção de dados de cada provedor. Nem todos os provedores de IA garantem por contrato que não usam o conteúdo recebido para melhorar os próprios serviços; por isso, antes do envio às IAs de atendimento, telefone, CPF/CNPJ, e-mail e número do endereço são trocados por marcadores. Nome, rua e o teor da conversa continuam sendo enviados, porque são necessários ao atendimento; áudios e fotos enviados pelo cliente vão como foram recebidos.

5. Medidas de segurança

• Comunicações criptografadas via HTTPS/TLS em todos os acessos;
• Senhas armazenadas com hash irreversível;
• Isolamento completo entre empresas contratantes;
• Sessões com expiração automática e regeneração periódica de identificador;
• Controle de acesso por papel (perfil) e por empresa;
• Cópia do banco de dados a cada 6 horas; as cópias guardadas fora do servidor são cifradas antes do envio;
• Registro de acessos para auditoria de segurança.

6. Apoio aos direitos dos titulares

Quando um cliente final exercer direitos previstos no Art. 18 da LGPD (acesso, correção, exclusão, portabilidade, oposição, revogação), a Operadora:

• disponibiliza o Portal do Titular como canal público de solicitação;
• encaminha à Controladora as solicitações que dependam de decisão dela, por ser a controladora do dado;
• fornece à Controladora os meios técnicos para localizar, exportar, corrigir ou eliminar os dados do titular dentro da plataforma — inclusive a anonimização do cadastro, que mantém só o histórico de serviços e valores.

7. Comunicação de incidentes

Ao tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará a Controladora sem demora injustificada, com as informações de que dispuser: natureza do incidente, dados e titulares afetados (quando conhecidos), medidas tomadas e recomendações.

Cabe à Controladora, como responsável pelos dados dos seus clientes finais, decidir e realizar a comunicação à ANPD e aos titulares no prazo aplicável. A Operadora prestará o apoio necessário. O procedimento interno da Operadora segue seu Plano de Resposta a Incidentes.

8. Devolução e eliminação ao término

Encerrado o contrato, a Operadora, conforme instrução da Controladora:

• mantém os dados guardados, e a Controladora pode exportá-los pela tela Backup de Dados por até 90 dias após o vencimento;
• elimina os dados pessoais dos clientes finais quando a Controladora pedir, pelo contato@gestaoclean.com, em até 15 dias, salvo os que deva reter por obrigação legal (ex.: dados fiscais por 5 anos);
• nas cópias de segurança, os dados eliminados deixam de existir conforme as cópias antigas expiram, em até 90 dias.

9. Auditoria e responsabilidade

A Operadora disponibiliza à Controladora, mediante solicitação razoável, informações necessárias para demonstrar o cumprimento deste Anexo. Cada parte responde pelos danos que causar no âmbito de suas obrigações, nos termos dos Arts. 42 a 45 da LGPD.

Contato do Encarregado (DPO): contato@gestaoclean.com