Anexo — Acordo de Tratamento de Dados

1. Objeto e definições dos papéis

Este Anexo regula o tratamento de dados pessoais que a Ultra Limp Sistemas ("Operadora"), por meio da plataforma Gestão Clean, realiza em nome e por conta da empresa contratante ("Controladora"). Integra e complementa os Termos de Uso e a Política de Privacidade.

2. Tratamento conforme instruções

A Operadora tratará dados pessoais dos clientes finais apenas:

• para executar as funcionalidades da plataforma (agendamentos, orçamentos, ordens de serviço, cobrança, atendimento e comunicação);
• conforme as configurações e comandos dados pela Controladora dentro do sistema;
• na medida necessária ao cumprimento de obrigação legal ou regulatória à qual a Operadora esteja sujeita, informando a Controladora quando permitido.

A Operadora não utiliza os dados dos clientes finais para finalidade própria — não os vende, não os comercializa e não os emprega para publicidade fora do escopo do serviço contratado.

3. Obrigações da operadora

• Confidencialidade: restringe o acesso aos dados às pessoas que precisam deles para operar o serviço, todas sob dever de sigilo.
• Isolamento entre clientes: os dados de uma empresa contratante nunca são acessíveis por outra (arquitetura multi-tenant com isolamento por identificador de empresa).
• Segurança: adota as medidas técnicas e organizacionais descritas na cláusula 5.
• Apoio à Controladora: auxilia no atendimento a pedidos de titulares e a demandas da ANPD, conforme cláusulas 6 e 7.
• Registro: mantém registro das operações de tratamento que realiza por conta da Controladora.

4. Suboperadores e transferência internacional

A Controladora autoriza a Operadora a contratar os suboperadores abaixo, necessários à prestação do serviço. Alguns operam fora do Brasil, o que caracteriza transferência internacional (LGPD Art. 33):

As transferências aos suboperadores nos Estados Unidos apoiam-se em cláusulas contratuais que impõem padrão de proteção compatível com a LGPD e no compromisso desses provedores de não usar os dados para finalidade própria nem para treinar modelos. A Operadora impõe a cada suboperador obrigações de proteção equivalentes às deste Anexo.

5. Medidas de segurança

• Comunicações criptografadas via HTTPS/TLS em todos os acessos;
• Senhas armazenadas com hash irreversível;
• Isolamento completo entre empresas contratantes;
• Sessões com expiração automática e regeneração periódica de identificador;
• Controle de acesso por papel (perfil) e por empresa;
• Backups regulares criptografados, com cópia externa (off-site);
• Registro de acessos para auditoria de segurança.

6. Apoio aos direitos dos titulares

Quando um cliente final exercer direitos previstos no Art. 18 da LGPD (acesso, correção, exclusão, portabilidade, oposição, revogação), a Operadora:

• disponibiliza o Portal do Titular como canal público de solicitação;
• encaminha à Controladora as solicitações que dependam de decisão dela, por ser a controladora do dado;
• fornece à Controladora os meios técnicos para localizar, exportar, corrigir ou eliminar os dados do titular dentro da plataforma.

7. Comunicação de incidentes

Ao tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará a Controladora sem demora injustificada, com as informações de que dispuser: natureza do incidente, dados e titulares afetados (quando conhecidos), medidas tomadas e recomendações.

Cabe à Controladora, como responsável pelos dados dos seus clientes finais, decidir e realizar a comunicação à ANPD e aos titulares no prazo aplicável. A Operadora prestará o apoio necessário. O procedimento interno da Operadora segue seu Plano de Resposta a Incidentes.

8. Devolução e eliminação ao término

Encerrado o contrato, a Operadora, conforme instrução da Controladora:

• mantém os dados por 90 dias para eventual reativação da conta e exportação pela Controladora;
• após esse prazo, elimina os dados pessoais dos clientes finais, salvo os que deva reter por obrigação legal (ex.: dados fiscais por 5 anos);
• garante que os suboperadores procedam à mesma eliminação.

9. Auditoria e responsabilidade

A Operadora disponibiliza à Controladora, mediante solicitação razoável, informações necessárias para demonstrar o cumprimento deste Anexo. Cada parte responde pelos danos que causar no âmbito de suas obrigações, nos termos dos Arts. 42 a 45 da LGPD.

Contato do Encarregado (DPO): privacidade@gestaoclean.com.br