Acordo de Tratamento de Dados Pessoais

1.Objeto e aplicação#

1.1 Este Acordo regula o tratamento de dados pessoais que a ATENDE DIREITO (“Operadora”) realiza em nome do cliente do Sync (“Controlador”), conforme o art. 39 da Lei 13.709/2018 (LGPD).

1.2 O Acordo integra os Termos de Uso e vale para todo cliente com conta ativa, sem necessidade de assinatura. Os termos com inicial maiúscula não definidos aqui têm o sentido dos Termos e do art. 5º da LGPD.

1.3 Não estão cobertos por este Acordo os tratamentos em que a Atende Direito é controladora, descritos na Política de Privacidade: gestão da conta, cobrança, segurança e manutenção da base comum de dados processuais públicos.

2.Papéis e instruções#

2.1 O Controlador decide as finalidades do tratamento no exercício da advocacia: quais processos, OABs, marcas e critérios monitorar ou prospectar, que alertas receber e para onde enviar os dados.

2.2 Constituem instruções documentadas do Controlador:

• estes documentos;
• as configurações feitas no painel;
• as chamadas feitas por API ou MCP com as credenciais da conta;
• as solicitações escritas enviadas ao suporte.

2.3 A Operadora trata os dados exclusivamente para executar essas instruções e prestar o serviço. Ela não usa os dados da carteira para finalidade própria, salvo estatísticas agregadas e anonimizadas que não identifiquem cliente nem titular.

2.4 Se entender que uma instrução viola a LGPD ou outra norma, a Operadora avisa o Controlador e pode deixar de cumpri-la até que seja esclarecida.

2.5 O Controlador garante que tem base legal para o tratamento que determina. Isso vale em especial para o uso de dados de contato obtidos no Minerador e para o envio de dados a destinos que ele mesmo configura, como webhooks e integrações.

3.Descrição do tratamento#

4.Sigilo#

4.1 A Operadora mantém sigilo sobre os dados pessoais tratados em nome do Controlador e sobre as Informações Confidenciais definidas na cláusula 10 dos Termos: a composição da carteira, os parâmetros de busca e mineração, as anotações, os documentos enviados e as credenciais.

4.2 Só têm acesso as pessoas que precisem dele para operar, dar suporte ou manter a segurança do serviço. O acesso é limitado ao mínimo necessário, e essas pessoas estão vinculadas por dever de confidencialidade contratual ou legal.

4.3 O que é obtido com a credencial do Controlador, ou enviado por ele, é exibido apenas à conta do Controlador. A Operadora reconhece que parte desse conteúdo pode estar protegida por segredo de justiça e pelo sigilo profissional do advogado (art. 7º, II, da Lei 8.906/1994).

4.4 Diante de requisição de autoridade, a Operadora:

• avisa o Controlador antes, salvo proibição legal;
• entrega apenas o mínimo exigido;
• contesta a requisição quando houver fundamento.

4.5 O dever de sigilo vale durante o contrato e por 5 anos após o seu término. Para dados cobertos por segredo de justiça ou sigilo legal, vale por prazo indeterminado.

5.Segurança e assistência#

5.1 A Operadora adota as medidas técnicas e administrativas do Anexo II, adequadas ao risco e ao estado da técnica (art. 46 da LGPD). Ela pode substituí-las por medidas equivalentes ou superiores.

5.2 A Operadora mantém registro das operações de tratamento que realiza (art. 37).

5.3 Dentro do razoável e considerando a natureza do serviço, a Operadora auxilia o Controlador a:

1. atender pedidos de titulares. Pedidos recebidos diretamente pela Operadora sobre dados da carteira são encaminhados ao Controlador em até 5 dias úteis;
2. elaborar relatório de impacto à proteção de dados (art. 38), fornecendo as informações sobre o serviço de que disponha;
3. responder a questionamentos da ANPD relacionados ao serviço.

6.Suboperadores#

6.1 O Controlador autoriza, de forma geral, a contratação dos suboperadores listados no Anexo I, necessários à prestação do serviço.

6.2 A Operadora exige de cada suboperador, por contrato ou pelos termos que ele oferece, obrigações de proteção de dados e segurança compatíveis com este Acordo. Ela responde perante o Controlador pelos atos dos suboperadores nos limites da lei.

6.3 A inclusão ou substituição de suboperador é publicada no Anexo I com pelo menos 15 dias de antecedência. Por e-mail, também é avisada aos clientes que pedirem para ser notificados.

6.4 O Controlador pode se opor por motivo fundamentado de proteção de dados. Se não houver alternativa razoável, pode cancelar a assinatura sem multa, com devolução proporcional do período pago e não usado.

7.Incidentes de segurança#

7.1 A Operadora avisa o Controlador, pelo e-mail do titular da conta, de incidente de segurança que envolva dados pessoais tratados em seu nome. O aviso é dado sem demora injustificada e em até 48 horas contadas da confirmação do incidente.

7.2 O aviso traz, na medida em que já se saiba:

1. a natureza do incidente;
2. as categorias e a quantidade aproximada de dados e de titulares afetados;
3. as medidas de contenção e mitigação adotadas;
4. os riscos prováveis;
5. um contato para acompanhamento.

O que ainda não for conhecido é complementado assim que apurado.

7.3 A Operadora colabora para que o Controlador cumpra o dever de comunicar a ANPD e os titulares nos prazos da Resolução CD/ANPD nº 15/2024 e guarda o registro do incidente pelo prazo regulamentar.

8.Prazo de guarda, devolução e eliminação#

8.1 Devolução. Enquanto a conta estiver ativa, o Controlador pode exportar a qualquer momento seus processos, intimações, documentos (arquivo original e texto extraído) e autos completos, pela API, pelo MCP ou pelo download dos autos no painel.

8.2 Prazos de guarda.

8.3 Exclusão. O Controlador pode pedir a exclusão da conta a qualquer tempo, pelo e-mail [email protected]. A exclusão é concluída em até 15 dias do pedido confirmado, e a Operadora confirma por escrito quando terminar.

Uma conta encerrada por inadimplência (Termos, cláusula 6.5) tem os dados eliminados na exclusão, que o Controlador pode pedir a qualquer momento.

8.4 Exceções. Podem ser conservados após a exclusão (art. 16 da LGPD):

1. os registros exigidos por lei, como os fiscais e os de acesso;
2. o mínimo necessário para comprovar a exclusão ou exercer direitos em processo;
3. os dados processuais públicos da base comum, mantidos pela Atende Direito como controladora. Após a exclusão, nada na plataforma liga esses dados ao Controlador.

9.Transferência internacional#

O banco de dados principal fica no Brasil. A transferência a suboperadores no exterior, indicados no Anexo I, ocorre apenas quando necessária ao serviço. Ela se apoia nos mecanismos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, e o Controlador a autoriza ao aderir a este Acordo.

10.Demonstração de conformidade#

10.1 Mediante pedido escrito, a Operadora fornece as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo. Ela também responde a um questionário de segurança por ano, por cliente.

10.2 Auditorias presenciais ou por terceiros dependem de contrato específico. Esse contrato define o escopo, a confidencialidade, o aviso prévio e os custos.

11.Responsabilidade e vigência#

11.1 Cada parte responde pelos danos que causar ao violar a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. Aplicam-se, no que a lei permitir, os limites da cláusula 14 dos Termos.

11.2 Este Acordo vigora enquanto a Operadora tratar dados em nome do Controlador. As cláusulas de sigilo, eliminação e responsabilidade sobrevivem ao término. Alterações seguem a regra de aviso prévio dos Termos.

Anexo I: Suboperadores#

Lista vigente em 14/10/2026.

Anexo II: Medidas de segurança#

• Criptografia em trânsito: TLS em todo acesso externo, com HSTS.
• Cofre de credenciais: certificados, senhas e chaves de dois fatores cifrados em HashiCorp Vault. O serviço de recepção só cifra; a decifragem ocorre apenas no processo de login no tribunal; todo uso fica em trilha de auditoria.
• Isolamento lógico por conta em todas as consultas da aplicação.
• Autenticação:
  • links de acesso de uso único, válidos por 15 minutos;
  • sessões com expiração;
  • chaves de API e links guardados só como hash;
  • tokens OAuth de curta duração no MCP.
• Arquivos entregues apenas por URL assinada, com validade máxima de 1 hora.
• Proteções da aplicação:
  • política de segurança de conteúdo (CSP);
  • cabeçalhos contra enquadramento e farejamento de tipo;
  • limites de requisição;
  • validação de destino de webhook contra redes internas;
  • assinatura HMAC das entregas.
• Acesso administrativo restrito, por chave, a pessoal autorizado.
• Minimização na IA: extração local de texto sempre que possível; aos provedores vai só o trecho necessário, sem dados da conta.