# ANEXO I — DPA (DATA PROCESSING AGREEMENT)

O presente DPA (Data Processing Agreement — Acordo de Processamento de Dados) regula as condições aplicáveis ao tratamento de dados pessoais realizado no contexto da prestação dos serviços de PABX Virtual em Nuvem, VoIP, numeração DID, gravação de chamadas, APIs, plataformas de comunicação e demais soluções tecnológicas fornecidas pela CONTRATADA.

Este DPA integra de forma indissociável o contrato principal firmado entre as partes, prevalecendo especificamente sobre as atividades de tratamento de dados pessoais.

As partes comprometem-se a observar integralmente a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), regulamentações da ANATEL e demais normas aplicáveis.

As partes reconhecem que os papéis de CONTROLADORA e OPERADORA poderão variar conforme a natureza da atividade de tratamento realizada.

A CONTRATANTE atuará como CONTROLADORA em relação aos dados pessoais tratados em suas operações empresariais, incluindo:

• dados de seus colaboradores;
• dados de clientes e fornecedores;
• gravações de chamadas;
• cadastros internos;
• comunicações realizadas por meio da plataforma.

A CONTRATADA atuará como OPERADORA sempre que realizar tratamento de dados pessoais em nome da CONTRATANTE, exclusivamente para execução dos serviços contratados.

A CONTRATADA atuará como CONTROLADORA em relação aos tratamentos necessários para:

• faturamento;
• prevenção à fraude;
• segurança da informação;
• registros técnicos e logs;
• autenticação;
• cumprimento de obrigações legais e regulatórias;
• exercício regular de direitos;
• auditoria e monitoramento operacional.

Os dados pessoais poderão ser tratados para as seguintes finalidades:

• prestação dos serviços contratados;
• autenticação SIP;
• roteamento de chamadas;
• fornecimento de numeração virtual;
• gravação de chamadas;
• suporte técnico;
• monitoramento antifraude;
• emissão de faturas;
• prevenção de SPAM telefônico;
• detecção de uso abusivo;
• atendimento a obrigações legais e regulatórias;
• auditoria técnica e operacional;
• geração de registros técnicos e CDRs;
• proteção da infraestrutura tecnológica.

Os dados pessoais tratados poderão incluir:

• nome;
• CPF;
• RG;
• e-mail;
• telefone;
• endereço IP;
• geolocalização aproximada;
• dados de autenticação;
• registros de chamadas;
• gravações de voz;
• logs de acesso;
• horários de conexão;
• identificadores SIP;
• dados de faturamento;
• dados cadastrais corporativos.

A CONTRATANTE declara que somente utilizará os serviços para finalidades lícitas e mediante base legal adequada.

O tratamento de dados pessoais poderá ocorrer com fundamento nas seguintes bases legais:

• execução contratual;
• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• legítimo interesse;
• prevenção à fraude e segurança;
• consentimento, quando aplicável;
• proteção do crédito.

A obtenção de consentimento dos titulares, quando necessária, será de responsabilidade da parte que realizar a coleta.

Compete exclusivamente à CONTRATANTE:

• garantir a licitude da coleta dos dados pessoais;
• possuir base legal adequada para tratamento;
• atender solicitações dos titulares;
• informar adequadamente os titulares sobre o tratamento;
• manter registros internos quando exigidos pela legislação;
• utilizar os serviços em conformidade com a LGPD;
• não utilizar os serviços para tratamento ilícito de dados;
• proteger credenciais de acesso;
• configurar corretamente seus usuários e permissões.

A CONTRATANTE reconhece que atua como única responsável pelo conteúdo das comunicações realizadas através da plataforma.

A CONTRATADA compromete-se a:

• tratar dados pessoais apenas conforme necessário à execução dos serviços;
• adotar medidas técnicas e administrativas razoáveis de segurança;
• restringir acesso aos dados mediante critérios de necessidade;
• manter controles de autenticação e rastreabilidade;
• comunicar incidentes de segurança relevantes;
• empregar esforços razoáveis para proteção da infraestrutura;
• manter confidencialidade sobre os dados tratados.

A CONTRATADA não comercializa dados pessoais da CONTRATANTE ou de seus usuários.

A CONTRATADA não acessará intencionalmente o conteúdo das comunicações da CONTRATANTE, exceto quando necessário para:

• suporte técnico;
• cumprimento legal;
• ordem judicial;
• investigação de fraude;
• proteção da infraestrutura.

A CONTRATADA adota medidas técnicas e organizacionais compatíveis com a natureza dos serviços prestados.

As medidas poderão incluir:

• criptografia de tráfego quando aplicável;
• controle de acesso lógico;
• autenticação;
• firewall;
• segregação de ambientes;
• monitoramento de eventos;
• logs de auditoria;
• políticas internas de segurança.

Nenhum ambiente tecnológico é integralmente imune a riscos cibernéticos, razão pela qual a CONTRATADA não garante segurança absoluta.

A CONTRATANTE reconhece que também possui responsabilidades próprias de segurança sobre:

• redes locais;
• internet;
• dispositivos utilizados;
• credenciais;
• ramais;
• senhas;
• APIs;
• equipamentos conectados.

A CONTRATADA poderá utilizar terceiros, parceiros tecnológicos, data centers, operadoras, carriers, provedores cloud e suboperadores para execução dos serviços.

Os suboperadores poderão realizar tratamento de dados pessoais estritamente necessário à prestação dos serviços.

Sempre que aplicável, a CONTRATADA adotará medidas contratuais razoáveis para exigir conformidade dos suboperadores com obrigações de segurança e proteção de dados.

A CONTRATADA poderá utilizar infraestrutura tecnológica localizada no Brasil ou no exterior.

Eventuais transferências internacionais de dados ocorrerão observando-se os requisitos previstos na LGPD.

A CONTRATANTE declara ciência de que determinados fornecedores globais de infraestrutura, telecomunicações, armazenamento ou segurança poderão realizar processamento internacional de dados.

Os dados pessoais serão armazenados pelo prazo necessário para:

• execução contratual;
• cumprimento de obrigações legais;
• exercício regular de direitos;
• prevenção à fraude;
• auditoria;
• segurança da informação.

As gravações de chamadas possuirão retenção padrão de até 90 (noventa) dias corridos, mediante sistema de reciclagem automática.

Os registros técnicos, logs, CDRs e eventos operacionais poderão ser armazenados conforme política interna de retenção da CONTRATADA.

Após o encerramento contratual, os dados tratados em nome da CONTRATANTE poderão ser eliminados em até 30 (trinta) dias, ressalvadas hipóteses legais de retenção obrigatória.

A CONTRATADA não atua como serviço de backup permanente, sendo responsabilidade da CONTRATANTE exportar informações que deseje preservar.

A CONTRATANTE será responsável pelo atendimento inicial aos titulares dos dados pessoais relacionados às suas operações.

Quando necessário e tecnicamente viável, a CONTRATADA cooperará razoavelmente com solicitações relacionadas a:

• confirmação de tratamento;
• acesso;
• correção;
• anonimização;
• bloqueio;
• eliminação;
• portabilidade;
• informação sobre compartilhamento.

A cooperação da CONTRATADA poderá estar sujeita a limitações técnicas, legais, regulatórias ou operacionais.

A CONTRATADA comunicará a CONTRATANTE, em prazo razoável e preferencialmente em até 48 (quarenta e oito) horas após confirmação razoável, sobre incidentes de segurança relevantes envolvendo dados pessoais tratados no contexto dos serviços.

A comunicação poderá conter:

• descrição do incidente;
• categorias de dados afetados;
• riscos identificados;
• medidas mitigatórias adotadas;
• recomendações técnicas.

A CONTRATADA não será responsável por incidentes decorrentes:

• de falhas na infraestrutura da CONTRATANTE;
• comprometimento de credenciais;
• invasões em equipamentos da CONTRATANTE;
• uso inadequado dos serviços;
• ações de terceiros fora de seu controle razoável.

Mediante solicitação razoável e justificativa fundamentada, a CONTRATANTE poderá solicitar informações gerais sobre práticas de segurança adotadas pela CONTRATADA.

Não haverá obrigação de disponibilização de:

• código-fonte;
• arquitetura interna sensível;
• informações sigilosas de terceiros;
• segredos comerciais;
• credenciais;
• vulnerabilidades internas.

Auditorias presenciais dependerão de prévio acordo entre as partes e poderão estar sujeitas a custos operacionais.

Cada parte responderá pelos danos comprovadamente decorrentes de descumprimento da LGPD ou deste DPA na medida de sua responsabilidade.

A CONTRATADA não será responsável por:

• decisões tomadas pela CONTRATANTE sobre tratamento de dados;
• bases legais utilizadas pela CONTRATANTE;
• conteúdo das comunicações realizadas;
• dados inseridos pela CONTRATANTE na plataforma;
• compartilhamentos realizados pela CONTRATANTE;
• utilização ilícita dos serviços.

A responsabilidade da CONTRATADA observará os limites previstos no contrato principal.

As partes comprometem-se a manter sigilo sobre todas as informações confidenciais obtidas em razão da relação contratual.

O dever de confidencialidade permanecerá vigente por 2 (dois) anos após o encerramento do contrato.

Não serão consideradas confidenciais informações:

• públicas;
• legitimamente obtidas de terceiros;
• desenvolvidas independentemente;
• exigidas por lei ou ordem judicial.

Este DPA permanecerá vigente enquanto durar o contrato principal ou enquanto houver tratamento de dados pessoais relacionado aos serviços.

O encerramento do contrato principal implicará encerramento automático deste DPA, ressalvadas obrigações legais ou cláusulas que, por sua natureza, devam sobreviver.

Este DPA integra o contrato principal para todos os fins de direito.

Em caso de conflito entre este DPA e o contrato principal, prevalecerão as disposições específicas sobre proteção de dados.

Eventual nulidade de qualquer disposição não afetará as demais cláusulas.

A tolerância de qualquer das partes não constitui renúncia de direitos.

As partes reconhecem a validade jurídica de assinaturas eletrônicas, aceite digital e registros eletrônicos.

Fica eleito o Foro da Comarca de Belo Horizonte/MG para dirimir quaisquer controvérsias relacionadas a este DPA, com exclusão de qualquer outro, por mais privilegiado que seja.

As partes comprometem-se a revisar e atualizar periodicamente este DPA para garantir sua conformidade com a legislação aplicável, especialmente em caso de:

• alterações na Lei Geral de Proteção de Dados (LGPD) ou em outras normas aplicáveis;
• modificações nas práticas de tratamento de dados adotadas;
• atualizações nos serviços prestados pela CONTRATADA;
• novas diretrizes da Autoridade Nacional de Proteção de Dados (ANPD).

A CONTRATADA comunicará à CONTRATANTE qualquer alteração legislativa que possa impactar este DPA, com antecedência mínima de 30 (trinta) dias, para que as partes possam negociar as adequações necessárias.

As versões atualizadas do DPA deverão ser formalmente aceitas por ambas as partes por meio de documento escrito ou assinatura eletrônica.

Para fins de clareza técnica, os seguintes termos específicos do setor de telecomunicações são definidos:

• PABX Virtual: Central telefônica privada virtualizada, gerenciada remotamente pela CONTRATADA;
• VoIP: Voz sobre Protocolo de Internet, tecnologia para transmissão de voz via internet;
• DID: Direct Inward Dialing, numeração telefônica direta para ramais específicos;
• CDR: Call Detail Record, registro detalhado de cada chamada realizada;
• SIP: Session Initiation Protocol, protocolo para sinalização de sessões multimídia;
• Carrier: Operadora de telecomunicações que fornece infraestrutura de transmissão;
• SLA: Service Level Agreement, acordo de nível de serviço;
• Uptime: Tempo de disponibilidade do serviço, geralmente medido em percentual.

Como parte integrante deste DPA, poderão ser incluídos anexos técnicos detalhando as medidas de segurança específicas aplicadas aos serviços, incluindo:

• Descrição da arquitetura de segurança da informação;
• Especificações técnicas de criptografia utilizadas;
• Políticas de controle de acesso e autenticação;
• Procedimentos de monitoramento e detecção de intrusão;
• Planos de resposta a incidentes;
• Relatórios de avaliação de vulnerabilidades periódicas.

Os anexos técnicos serão disponibilizados pela CONTRATANTE mediante solicitação formal e poderão conter informações sigilosas, devendo ser tratados com confidencialidade.