Minuta em revisão jurídica. Os dados da empresa entre colchetes serão preenchidos antes do uso em produção.

Acordo de Tratamento de Dados Pessoais (DPA)

Versão de 17/10/2026. Modelo que integra o contrato de prestação de serviços do TecGov. A versão assinada fica com o contrato.

1. Partes e objeto

• Controladora: a organização contratante, identificada no contrato.
• Operadora: [razão social da empresa], inscrita no CNPJ sob o nº [CNPJ], com sede em [endereço completo].

Este acordo regula o tratamento de dados pessoais que a Operadora faz em nome da Controladora para prestar o serviço do TecGov, conforme a Lei 13.709/2018 (LGPD). Os termos usados aqui têm o sentido do art. 5º da LGPD.

2. Instruções

A Operadora trata os dados só para prestar o serviço, conforme:

• o contrato e este acordo;
• as configurações que a Controladora escolhe na plataforma (membros, perfis, compartilhamentos, prazos de retenção);
• os pedidos formais da Controladora.

Se uma instrução contrariar a lei, a Operadora avisa a Controladora e não a cumpre.

3. Confidencialidade

Só têm acesso aos dados as pessoas da Operadora que precisam dele para operar, manter e dar suporte. Elas têm dever de sigilo, e o acesso delas à infraestrutura fica registrado.

4. Segurança

A Operadora mantém as medidas técnicas e administrativas do Anexo II (art. 46 da LGPD) e as revisa periodicamente.

5. Suboperadores

A Controladora autoriza os suboperadores do Anexo III. Para incluir ou trocar um suboperador, a Operadora avisa com 30 dias de antecedência. A Controladora pode se opor por motivo justificado; se não houver solução, pode rescindir sem multa. A Operadora exige dos suboperadores obrigações equivalentes às deste acordo e responde por eles.

6. Transferência internacional

Os modelos de inteligência artificial (Claude, da Anthropic, no Amazon Bedrock) ainda não são oferecidos dentro do Brasil. O texto enviado ao modelo pode ser processado em regiões da AWS fora do país e não fica armazenado lá. A Controladora autoriza essa transferência, que segue o art. 33 da LGPD com as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD 19/2024).

A Operadora:

• envia ao modelo só o necessário para cada pedido;
• mantém os registros de chamadas desligados ou gravados apenas no Brasil;
• passa a usar o processamento no Brasil quando ele estiver disponível com qualidade equivalente.

Banco de dados, arquivos, cópias de segurança e registros ficam no Brasil.

7. Direitos dos titulares

A Operadora encaminha à Controladora, em até 5 dias úteis, os pedidos de titulares que receber, e ajuda a Controladora a atendê-los. A plataforma oferece:

• a exportação dos dados de cada pessoa ("Meus dados");
• a exclusão e a anonimização de membros;
• a exportação completa da organização.

8. Incidentes

A Operadora comunica à Controladora qualquer incidente de segurança que possa afetar os dados em até 48 horas depois de tomar conhecimento. A comunicação diz:

• o que aconteceu e quais dados e titulares foram afetados;
• os riscos;
• as medidas tomadas e as recomendadas.

A comunicação à ANPD e aos titulares cabe à Controladora (art. 48 e Resolução CD/ANPD 15/2024). A Operadora fornece as informações de que ela precisar.

9. Registro e auditoria

A Operadora mantém o registro das operações de tratamento (art. 37) e o entrega à Controladora a pedido. Uma vez por ano, ou depois de um incidente, a Controladora pode pedir informações e relatórios sobre as medidas deste acordo. Uma inspeção é agendada com 30 dias de antecedência e, se for presencial, cada parte paga os seus custos.

10. Retenção, devolução e eliminação

• Os dados seguem os prazos da Política de Privacidade. A Controladora escolhe na plataforma o prazo das conversas do assistente.
• Ao fim do contrato, a Controladora pode exportar os dados da organização por 30 dias. Depois disso, a Operadora elimina os dados em até 30 dias, e as cópias de segurança expiram em até 35 dias.
• A pedido, a Operadora emite uma declaração de eliminação.
• Só fica guardado o que a lei obrigar a Operadora a manter.

11. Responsabilidade

Cada parte responde pelos danos que causar por violar a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD.

12. Vigência

Este acordo vale enquanto durar o contrato e enquanto a Operadora tiver dados da Controladora. Em assunto de proteção de dados, ele prevalece sobre o contrato.

Anexo I – Descrição do tratamento

• Titulares: servidores, empregados e colaboradores da Controladora que usam a plataforma; consultores externos convidados; pessoas citadas nos documentos e nos anexos, como representantes de fornecedores e cidadãos.
• Dados: cadastro (nome, e-mail, perfil, unidades), acesso (IP, navegador, data e hora, ações), conteúdo do trabalho (documentos, comentários, cotações, conversas, anexos) e quantidades de uso da IA. Dados sensíveis não são necessários ao serviço.
• Finalidade: apoio à elaboração de documentos de contratação, pesquisa de preços, consulta jurídica e de empresas, colaboração e auditoria.
• Operações: coleta, armazenamento, consulta, edição, processamento por IA, exportação e eliminação.
• Duração: a do contrato, mais os prazos do item 10.

Anexo II – Medidas de segurança

• criptografia em trânsito (TLS) e em repouso (chaves gerenciadas no AWS KMS);
• isolamento por organização no banco de dados (row-level security) e permissão por documento;
• senhas com argon2, limite de tentativas e sessões revogáveis;
• antivírus e conferência do tipo de todo arquivo enviado; links de download temporários;
• auditoria das ações, que não pode ser alterada pela aplicação;
• cópias de segurança diárias, mantidas por 35 dias, com teste de restauração;
• segredos em cofre (AWS Secrets Manager) e acesso à infraestrutura com autenticação forte e registro;
• registros técnicos sem o conteúdo de documentos.

Anexo III – Suboperadores

O Portal da Transparência (CGU) é consultado como fonte pública (recebe só o CNPJ ou o nome da empresa) e não é suboperador.