Acordo de Tratamento de Dados Pessoais

Versão 1.1 · Minuta de 7 de setembro de 2026 · Para revisão jurídica

Celebrado entre [definir: razão social da mesttra], CNPJ [definir] ("mesttra" ou "Operadora") e a pessoa jurídica que contrata a plataforma Crivo ("Cliente" ou "Controlador"), este Acordo integra os Termos de Uso e disciplina o tratamento de dados pessoais realizado na plataforma, em cumprimento à Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, "LGPD"), em especial aos arts. 37 a 39 (registro das operações e dever do operador), 41 (encarregado), 42 a 45 (responsabilidade), 46 a 49 (segurança e sigilo) e 33 a 36 (transferência internacional), e à regulamentação da Autoridade Nacional de Proteção de Dados ("ANPD").

1. Definições

1.1. Aplicam-se as definições do art. 5º da LGPD: dado pessoal (I), dado pessoal sensível (II), dado anonimizado (III), titular (V), controlador (VI), operador (VII), encarregado (VIII), tratamento (X), consentimento (XII), uso compartilhado (XVI) e agentes de tratamento (XIX).

1.2. Além delas: "Dados dos Convites" são os dados pessoais contidos nos e-mails, anexos e registros importados sobre pedidos de orçamento, proposta ou cotação que o Cliente faz chegar à plataforma, e os campos que a plataforma extrai deles; "Dados de Conta" são os dados pessoais dos usuários do Cliente na plataforma; "Dados de Cobrança" são os dados do Cliente e de seus prepostos usados para faturamento; "Suboperador" é o terceiro contratado pela mesttra para executar parte do tratamento; "Instruções" são as regras configuradas pelo Cliente na plataforma, as decisões registradas por seus usuários e este Acordo.

2. Papéis dos agentes (arts. 5º, VI e VII, e 39)

2.1. Dados dos Convites e base de clientes do Cliente. O Cliente é Controlador: recebeu os convites de seus próprios clientes, decide encaminhá-los, define as regras e toma as decisões. A mesttra é Operadora e realiza o tratamento exclusivamente segundo as Instruções do Cliente, nos limites deste Acordo (art. 39). A mesttra não usa esses dados para fins próprios; se o fizesse, responderia como controladora (art. 5º, VI) e pelas sanções cabíveis.

2.2. Dados de Conta e Dados de Cobrança. A mesttra é Controladora, pois define finalidade e meios: autenticar usuários, proteger a conta, registrar autoria das decisões, faturar e cumprir obrigações legais. O Cliente fornece esses dados na qualidade de empregador ou contratante dos titulares e responde pela licitude de sua coleta.

2.3. Ausência de controladoria conjunta. As partes não definem em conjunto finalidades e meios; não há controladoria conjunta. Cada uma responde nos limites do art. 42.

2.4. Decisão humana. A plataforma não toma decisão que produza efeito jurídico sobre titulares nem os classifica de forma exclusivamente automatizada. Toda recomendação é revisada e decidida por pessoa do Cliente. Ainda assim, o Cliente assegura ao titular o direito de solicitar a revisão de qualquer decisão que o afete (art. 20).

3. Objeto, finalidades e duração do tratamento (art. 37)

3.1. Objeto. Receber por e-mail os convites encaminhados pelo Cliente, extrair e estruturar as informações do pedido, aplicar as regras determinísticas do Cliente, apresentar recomendação e registrar a decisão humana; receber e guardar o histórico e a base de clientes importados pelo Cliente; enviar aos usuários do Cliente as comunicações internas decorrentes.

3.2. Finalidades. As descritas no Anexo I, tabela 2. É vedado à mesttra tratar Dados dos Convites para finalidade diversa, inclusive prospecção comercial, formação de bases de terceiros e treinamento de modelos de inteligência artificial.

3.3. Duração. Pela vigência dos Termos de Uso e pelo prazo de devolução e eliminação da cláusula 11.

3.4. Natureza das operações. Coleta (recepção do e-mail), armazenamento, extração, classificação por regras, consulta, comunicação interna ao Cliente, exportação e eliminação. Não há difusão, venda, transferência a terceiros para fins próprios nem enriquecimento com fontes externas.

4. Categorias de dados e de titulares

4.1. As categorias constam do Anexo I, tabela 1. Resumidamente: identificação e contato profissional de prepostos de terceiros e do Cliente; conteúdo comercial dos pedidos; dados de conta dos usuários; dados de cobrança.

4.2. Dados sensíveis e de menores. A plataforma não se destina ao tratamento de dados pessoais sensíveis (art. 11) nem de dados de crianças e adolescentes (art. 14). O Cliente compromete-se a não encaminhar deliberadamente documentos com esse conteúdo. Se tais dados chegarem incidentalmente em um anexo, a mesttra não os extrai como campo, não os usa em regra e os elimina no prazo da cláusula 11 junto com o anexo.

5. Obrigações do Cliente como Controlador

5.1. Assegurar base legal (art. 7º) e observância dos princípios do art. 6º para o tratamento dos Dados dos Convites, inclusive a informação aos titulares sobre o uso de operador (art. 9º), por exemplo em sua política de privacidade ou em seus contratos com fornecedores e clientes.

5.2. Encaminhar à plataforma somente dados pertinentes e necessários à triagem (art. 6º, III), evitando incluir documentos sem relação com o pedido.

5.3. Manter atualizados os remetentes autorizados, os usuários e os destinatários de comunicações internas.

5.4. Responder aos titulares dos Dados dos Convites (cláusula 10) e decidir sobre pedidos de eliminação, correção e oposição.

5.5. Não desativar o mascaramento da cláusula 6.3 sem avaliar o impacto sobre os titulares; a desativação é decisão do Cliente, registrada.

6. Obrigações da mesttra como Operadora

6.1. Tratar os Dados dos Convites apenas conforme as Instruções e este Acordo (art. 39); informar o Cliente, sem demora, se entender que uma Instrução viola a LGPD, ficando autorizada a suspender a execução dessa Instrução até esclarecimento.

6.2. Assegurar que as pessoas autorizadas a tratar dados estejam vinculadas a dever de sigilo (art. 47) e recebam orientação sobre proteção de dados; conceder acesso pelo princípio do mínimo necessário e revogá-lo ao término do vínculo.

6.3. Inteligência artificial. Para extrair campos e redigir resumos, a mesttra envia trechos dos convites a Suboperador de inteligência artificial (Anexo III). Antes do envio, a plataforma substitui por marcadores nomes de pessoas, telefones e valores identificáveis ("mascaramento"), ativo por padrão. O Cliente pode desativá-lo para sua empresa; a escolha, o autor e a data ficam registrados e podem ser revertidos a qualquer tempo. O contrato com o Suboperador de IA proíbe o uso dos dados para treinamento e limita a retenção ao prazo do Anexo III. A saída da IA é proposta de campos com indicação de origem; a classificação é determinística e a decisão é humana (cláusula 2.4).

6.4. Adotar e manter as medidas técnicas e administrativas do Anexo II (art. 46), estruturando a plataforma para atender aos requisitos de segurança desde a concepção (art. 46, § 2º, e art. 49).

6.5. Registrar as operações de tratamento (art. 37) na forma do Anexo I e manter o registro atualizado.

6.6. Auxiliar o Cliente, com informações e ferramentas da plataforma, no atendimento aos direitos dos titulares (cláusula 10), na comunicação de incidentes (cláusula 12) e, quando solicitado e cabível, na elaboração de relatório de impacto à proteção de dados pessoais (art. 38) no que diz respeito às operações realizadas na plataforma.

6.7. Não transferir Dados dos Convites a terceiros salvo Suboperadores autorizados (cláusula 8) ou ordem de autoridade competente, caso em que notificará o Cliente antes, quando a lei permitir, e limitará a entrega ao estritamente exigido.

6.8. Ao término do tratamento, devolver e eliminar os dados na forma da cláusula 11 (art. 15, I, e art. 16).

7. Registro, governança e relatório de impacto

7.1. A mesttra mantém o registro das operações de tratamento (Anexo I) e o disponibiliza ao Cliente e à ANPD quando solicitado (art. 37 e art. 38, parágrafo único).

7.2. A mesttra adota programa de governança em privacidade proporcional ao seu porte e ao volume de dados (art. 50, § 2º), incluindo esta documentação, o controle de versões, o registro de aceites, a lista de Suboperadores, o plano de resposta a incidentes (Anexo IV) e a avaliação de legítimo interesse (Anexo V).

7.3. Sendo a mesttra agente de tratamento de pequeno porte, aplicam-se, quando cabíveis, as flexibilizações da Resolução CD/ANPD nº 2/2022, sem redução das garantias previstas neste Acordo.

8. Suboperadores (art. 39 c/c art. 42, § 1º)

8.1. O Cliente autoriza, de forma geral, a contratação dos Suboperadores listados no Anexo III para as funções ali descritas.

8.2. A mesttra comunicará ao Administrador do Cliente, com 30 dias de antecedência, a inclusão ou substituição de Suboperador que trate Dados dos Convites, atualizando o Anexo III. O Cliente poderá opor-se por motivo fundamentado de proteção de dados; não havendo alternativa razoável, poderá encerrar os Termos de Uso sem ônus antes da mudança.

8.3. A mesttra impõe a cada Suboperador, por contrato, obrigações de proteção de dados não inferiores às deste Acordo, e permanece responsável perante o Cliente pelos atos dos Suboperadores.

9. Transferência internacional (arts. 33 a 36)

9.1. Suboperadores localizados fora do Brasil recebem dados pessoais com fundamento no art. 33, II, "b", da LGPD, mediante cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), ou, quando cabível, no art. 33, IX, combinado com o art. 7º, V (execução do contrato). A mesttra mantém cópia dos instrumentos à disposição do Cliente.

9.2. Havendo decisão da ANPD reconhecendo grau adequado de proteção do país de destino (art. 33, I), ela poderá ser invocada em substituição.

9.3. Os países de destino de cada Suboperador constam do Anexo III. Quando o armazenamento de anexos passar a provedor com região no Brasil, o Anexo III será atualizado e os anexos deixarão de ser objeto de transferência internacional.

10. Direitos dos titulares (arts. 17 a 22)

10.1. Dados dos Convites. Pedidos de titulares são atendidos pelo Cliente, na qualidade de Controlador. A mesttra o auxilia em até 10 dias úteis com as ferramentas da plataforma (busca por pessoa em campos e anexos, exportação, correção ou exclusão de um convite ou de um contato da base) e com informações sobre Suboperadores. Pedido de titular recebido diretamente pela mesttra é encaminhado ao Cliente em até 5 dias úteis, com aviso ao titular, sem resposta no mérito.

10.2. Dados de Conta e de Cobrança. Pedidos são atendidos pela mesttra: confirmação e acesso em formato simplificado de imediato e em declaração completa em até 15 dias (art. 19); demais direitos em até 15 dias, informando por escrito eventual impossibilidade e seu fundamento.

10.3. Canal. [definir: privacidade@mesttra.com]. Encarregado: [definir, conforme Res. CD/ANPD nº 18/2024].

10.4. Revisão de decisão (art. 20). Como a decisão é humana, o pedido de revisão é dirigido ao Cliente. A plataforma fornece ao Cliente os critérios e as regras aplicadas em cada recomendação, em linguagem clara, para fundamentar a resposta.

11. Retenção, devolução e eliminação (arts. 15 e 16)

11.1. Prazos por categoria constam do Anexo I, tabela 3. Em síntese: e-mails brutos e anexos dos convites, 365 dias após o recebimento (configurável pelo Cliente entre [definir: 90 e 730 dias]), com rotina automática diária de eliminação e registro do que foi eliminado; campos extraídos, pontuação, decisões e base de clientes, pela vigência; registros de acesso, [definir: mínimo 6 meses, Lei nº 12.965/2014, art. 15]; dados de cobrança, 5 anos após o exercício (obrigação fiscal); backups, até [definir] dias, por sobrescrita cíclica.

11.2. Encerrados os Termos de Uso, o Cliente exporta os dados pela plataforma ou os recebe da mesttra em formato aberto e legível por máquina em até 30 dias. Findo o prazo, ou antes a pedido, a mesttra elimina os dados do Cliente, inclusive nos Suboperadores, ressalvado o que a lei obrigue a conservar (art. 16, I), e fornece declaração de eliminação quando solicitada.

11.3. Dados anonimizados (art. 12) resultantes de agregação, que não permitam identificação do Cliente ou de titulares, podem ser conservados pela mesttra para melhoria da plataforma.

12. Incidentes de segurança (art. 48)

12.1. A mesttra comunicará ao Administrador do Cliente qualquer incidente de segurança envolvendo Dados dos Convites que possa acarretar risco ou dano relevante aos titulares em até 48 horas após tomar conhecimento, com o conteúdo do art. 48, § 1º: natureza dos dados afetados, titulares envolvidos, medidas técnicas e de segurança utilizadas, riscos, motivos de eventual demora e medidas adotadas ou propostas. Complementará a informação à medida que a apuração avançar.

12.2. Nos Dados de Conta e de Cobrança, a mesttra, como Controladora, comunica a ANPD e os titulares nos prazos e na forma da Resolução CD/ANPD nº 15/2024 (em regra, 3 dias úteis a contar do conhecimento). Nos Dados dos Convites, essa comunicação cabe ao Cliente, com apoio da mesttra na forma do Anexo IV.

12.3. A mesttra mantém registro interno de todos os incidentes, inclusive dos que não exigiram comunicação, com a justificativa da avaliação de risco (Res. CD/ANPD nº 15/2024).

13. Auditoria e demonstração de conformidade

13.1. A mesttra disponibiliza ao Cliente, mediante pedido e até uma vez por ano, relatório descritivo das medidas do Anexo II, da lista de Suboperadores vigente e dos incidentes do período, e responde a questionários de segurança razoáveis.

13.2. Auditoria presencial ou por terceiro independente, quando exigida por lei, por autoridade ou por obrigação regulatória do Cliente, será agendada com [definir, sugestão 30 dias] de aviso, em horário comercial, sob confidencialidade, às custas do Cliente, e não dará acesso a dados de outros clientes da mesttra.

14. Responsabilidade (arts. 42 a 45)

14.1. Cada parte responde pelos danos que causar a titulares por violação da LGPD nos limites do art. 42. A mesttra responde solidariamente com o Cliente quando descumprir as obrigações da LGPD ou não seguir as Instruções lícitas do Cliente (art. 42, § 1º, I); nos demais casos, a responsabilidade pelos Dados dos Convites é do Cliente.

14.2. Não há responsabilidade quando o agente provar que não realizou o tratamento, que não houve violação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (art. 43).

14.3. A parte que indenizar titular por fato imputável à outra terá direito de regresso.

14.4. Os limites de responsabilidade dos Termos de Uso não se aplicam à indenização devida a titulares por força da LGPD nem a multas administrativas impostas a uma parte por conduta exclusiva da outra [definir: confirmar com o jurídico].

15. Vigência e sobrevivência

15.1. Este Acordo vigora enquanto vigorarem os Termos de Uso e, após, até a conclusão da devolução e eliminação da cláusula 11. Sobrevivem as cláusulas 6.2 (sigilo), 11, 12, 13 e 14.

16. Alterações e aceite

16.1. Este Acordo tem versão e data. O aceite pelo Administrador do Cliente é registrado com identificação do usuário, data e hora, endereço IP, versão e resumo criptográfico do texto (Anexo VI).

16.2. Nova versão que amplie finalidades, categorias de dados ou Suboperadores, ou que reduza garantias ao Cliente, exige novo aceite, na forma do documento "Aviso do primeiro acesso e registro do aceite". Alterações redacionais, correções, atualizações de referência normativa e reforço de garantias são comunicadas por e-mail e não exigem novo aceite.

16.3. Prevalece este Acordo sobre os Termos de Uso em matéria de dados pessoais.

Anexo I · Registro das operações de tratamento (art. 37)

Tabela 1 · Categorias de dados e de titulares

Tabela 2 · Finalidades e bases legais

Tabela 3 · Retenção

Anexo II · Medidas técnicas e administrativas de segurança (arts. 46 a 49)

Técnicas em vigor

1. Isolamento por Cliente imposto pelo banco de dados: toda tabela de dados de clientes tem identificador do cliente e política de segurança em nível de linha com aplicação forçada; consulta sem contexto de cliente não devolve nenhuma linha.
2. Papel de aplicação no banco sem privilégio de contornar o isolamento; migrações e manutenção com credencial separada.
3. Criptografia em trânsito (TLS) em todas as conexões: navegador, e-mail, banco de dados e Suboperadores.
4. Senhas armazenadas apenas como resumo criptográfico com sal; redefinição por link de uso único com validade de 1 hora; segundo fator por código de uso único enviado ao e-mail, válido por 10 minutos, com limite de tentativas.
5. Limite de tentativas de autenticação por conta e por endereço de origem; cookies de sessão com HttpOnly, Secure e SameSite.
6. Recepção de e-mail autenticada junto ao provedor de entrada; apenas remetentes autorizados pelo Cliente geram convites; os demais são descartados sem processamento.
7. Mascaramento de nomes de pessoas, telefones e valores antes do envio a Suboperador de IA, ativo por padrão (cláusula 6.3).
8. Registro de auditoria de decisões, alterações de regras, importações e aceites, com autor e data.
9. Ambiente de desenvolvimento e testes automatizados sem dados reais de clientes e sem chamadas a Suboperadores reais.
10. Integração contínua: a cada alteração de código, execução da suíte de testes, do harness de regressão do motor e de verificação automática de que nenhum dado de cliente entra no repositório.
11. Anexos em armazenamento de objetos com credenciais dedicadas e acesso apenas pela aplicação [quando o item E1 estiver em produção; até então, disco da máquina de aplicação].

Administrativas em vigor

1. Acesso da equipe da mesttra a dados de produção restrito ao necessário para operação e suporte, com credencial nominal e revogação ao término do vínculo [definir: lista de pessoas autorizadas e revisão semestral].
2. Dever de sigilo formalizado com toda pessoa da mesttra com acesso a dados (art. 47).
3. Segredos de configuração (chaves, senhas) guardados apenas no cofre de segredos do ambiente de produção, nunca em código, documentação ou conversa.
4. Este conjunto documental, com controle de versão, registro de aceites e plano de resposta a incidentes.

Planejadas

1. Retenção automática de anexos por prazo configurável (cláusula 11.1) [item K, em desenvolvimento].
2. Exportação e eliminação totais por Cliente executadas pela mesttra com confirmação dupla [item K].
3. Registro estruturado e alerta de falha de Suboperador de IA e de e-mail [item L2].

Anexo III · Suboperadores e localização

A lista vigente é mantida neste documento e comunicada conforme a cláusula 8.2.

Anexo IV · Plano de resposta a incidentes (art. 48; Res. CD/ANPD nº 15/2024)

1. Detecção e registro. Qualquer pessoa da mesttra que tome conhecimento de evento suspeito registra hora, fonte e descrição em canal interno [definir]. Início do prazo: momento em que a mesttra toma conhecimento do incidente.
2. Contenção (até 4 horas). Revogar credenciais comprometidas, bloquear origem, isolar componente afetado, preservar evidências (logs) sem alterá-las.
3. Avaliação de risco (até 24 horas). Determinar dados, titulares e clientes afetados; classificar se pode acarretar risco ou dano relevante (natureza dos dados, volume, vulnerabilidade dos titulares, possibilidade de dano material ou moral).
4. Comunicação ao Cliente (até 48 horas). Ao Administrador de cada Cliente afetado, com o conteúdo do art. 48, § 1º, e o apoio necessário para que ele comunique a ANPD e os titulares quando for o Controlador.
5. Comunicação à ANPD e aos titulares (Dados de Conta e de Cobrança). Em até 3 dias úteis, pelo formulário da ANPD, com o conteúdo exigido; aos titulares, por e-mail, em linguagem clara. Se a comunicação completa não for possível no prazo, comunicação preliminar com complementação posterior justificada.
6. Erradicação e recuperação. Corrigir a causa, restaurar serviço, validar com testes.
7. Registro e lições. Relatório interno em até 15 dias com linha do tempo, causa, impacto, decisões de comunicação e medidas preventivas; incorporação ao Anexo II quando cabível. Incidentes sem risco relevante também são registrados, com a fundamentação da avaliação.

Anexo V · Avaliação de legítimo interesse (art. 10)

Tratamento avaliado. Recepção, extração, classificação por regras e guarda de histórico dos convites de orçamento e da base de clientes do Cliente, envolvendo dados de contato profissional de prepostos de terceiros.

Finalidade legítima e situação concreta (art. 10, I). Empresas que recebem dezenas de pedidos de proposta por semana precisam organizá-los e decidir em quais investir engenharia. Os dados tratados são os que o próprio terceiro enviou ao Cliente para esse fim, no contexto de uma relação comercial iniciada pelo terceiro.

Expectativa legítima do titular (art. 10, II). Quem envia um pedido de proposta a uma empresa espera que ela leia, organize, avalie e registre esse pedido, inclusive com auxílio de sistemas. O tratamento não extrapola o contexto da relação.

Necessidade e minimização (art. 10, § 1º). Somente dados estritamente necessários: os já contidos no pedido. Não há enriquecimento com fontes externas. Nomes, telefones e valores são mascarados antes do envio ao Suboperador de IA. Anexos são eliminados após o prazo de retenção; permanecem apenas os campos de negócio e a decisão.

Salvaguardas e transparência (art. 10, § 2º). Nenhuma mensagem é enviada ao titular; nenhuma decisão automatizada o afeta; o Cliente informa o uso de operador em sua política de privacidade; esta Política de Privacidade descreve o tratamento e o canal de direitos; base de clientes problemáticos usa apenas dados comerciais objetivos (histórico contratual), sem inferências sobre pessoas naturais, e pode ser corrigida ou excluída pelo Cliente.

Ponderação. Os direitos e liberdades fundamentais dos titulares não prevalecem sobre o interesse, porque o tratamento é o esperado na relação, limitado ao mínimo, sem efeito jurídico sobre o titular e reversível. Conclusão: legítimo interesse adequado como base legal, mantido o registro deste relatório para eventual solicitação da ANPD (art. 10, § 3º).

Anexo VI · Registro do aceite

Conforme o documento "Aviso do primeiro acesso e registro do aceite": usuário, e-mail, data e hora, IP, agente de usuário, documentos aceitos, versão, resumo SHA-256 do texto e declaração de poderes, gravados de forma imutável e exportáveis pelo Cliente.

Histórico de versões: 1.0 (07/09/2026) minuta inicial como Parte II de documento único; 1.1 (07/09/2026) documento próprio, cláusulas reorganizadas por artigo da LGPD, anexos I a VI, avaliação de legítimo interesse e plano de incidentes.