Anexo de Tratamento de Dados Pessoais

Este Anexo integra os Termos de Uso e vale para os dados pessoais que o Escritório (controlador) conecta ou envia à Plataforma e que a Assis (operadora) trata em seu nome, nos termos do art. 39 da LGPD. Se o contrato for firmado com um Intermediário, ou se um Intermediário for o controlador desses dados, as referências ao Escritório valem para ele.

1. Instruções

1.1 A Assis trata os dados do Escritório apenas para prestar o serviço descrito nos Termos e conforme as instruções documentadas do Escritório, incluindo as configurações que ele faz na Plataforma.

1.2 A Assis avisa o Escritório se entender que uma instrução viola a LGPD e pode suspender sua execução até o esclarecimento.

2. Descrição do tratamento

Item	Descrição
Titulares	Clientes Finais, seus familiares e representantes; contatos de WhatsApp e de e-mail; participantes de reuniões e ligações; Usuários e demais pessoas do Escritório
Dados	Identificação e contato; mensagens, áudios, imagens, documentos e e-mails; agenda; notas, gravações e transcrições de reuniões e ligações; registros de CRM; posições, saldos, rentabilidade, vencimentos, número de conta e perfil de investidor
Finalidade	Prestar o serviço da Plataforma: tarefas, resumos, sincronização com o CRM, transcrições, rascunhos, envio de mensagens habilitado pelo Escritório e respostas aos Usuários
Operações	Coleta pelas Integrações, gravação, armazenamento, classificação, transcrição, processamento por IA, consulta, sincronização, envio e eliminação
Duração	Vigência do contrato, mais os prazos de exportação e eliminação da cláusula 8

3. Deveres da Assis

3.1 Sigilo. Quem acessa os dados está sob dever de confidencialidade e recebe apenas o acesso necessário à sua função.

3.2 Segurança. A Assis deve adotar medidas técnicas e administrativas adequadas ao risco para proteger os dados, nos termos do art. 46 da LGPD. A Plataforma utiliza autenticação de Usuários, controles de acesso por Escritório e papel e criptografia de tokens de Integrações armazenados. As informações e evidências sobre os controles aplicáveis ao serviço podem ser solicitadas na forma da cláusula 7.2; requisitos adicionais de segurança devem constar do contrato com o Escritório.

3.3 Finalidade. A Assis não usa os dados do Escritório para fins próprios, para marketing ou para treinar modelos de inteligência artificial.

3.4 Apoio. A Assis ajuda o Escritório, no que couber ao seu papel, a atender titulares, elaborar relatório de impacto (RIPD) e responder à ANPD e aos Intermediários.

3.5 Comunicações. A Assis não comunica incidentes à ANPD nem aos titulares em nome do Escritório, salvo obrigação legal própria ou pedido escrito dele; ela avisa o Escritório, conforme a cláusula 6.

3.6 Acesso de suporte. Pessoas da Assis só acessam o conteúdo dos dados do Escritório para suporte, com autorização dele por e-mail válida por até 60 dias, para investigação de segurança ou para cumprir obrigação legal.

4. Suboperadores

4.1 O Escritório autoriza os suboperadores listados em assis.co/legal/suboperadores.

4.2 A Assis avisa com 15 dias de antecedência a inclusão ou troca de suboperador.

4.3 A Assis impõe aos suboperadores obrigações de proteção de dados equivalentes às deste Anexo e responde por eles perante o Escritório.

5. Transferência internacional

5.1 A Assis só transfere dados para fora do Brasil nas hipóteses do art. 33 da LGPD, preferencialmente com as cláusulas-padrão contratuais da Resolução CD/ANPD 19/2024. Os países de tratamento constam da lista de suboperadores.

6. Incidentes de segurança

6.1 A Assis avisa o Escritório sobre incidente que afete os dados dele nos seguintes prazos, contados da ciência:

Severidade	Primeiro aviso
Muito alta	Até 2 horas
Alta	Até 6 horas
Média	Até 24 horas
Baixa	Até 72 horas

6.2 A severidade segue os critérios que o Escritório ou o Intermediário informarem à Assis. Na falta deles, considera o número de titulares, a natureza dos dados e o risco de dano.

6.3 O aviso informa o que aconteceu, os dados e titulares afetados (ainda que estimados), as consequências prováveis, as medidas tomadas e previstas e um contato. A Assis atualiza o aviso conforme a apuração avança.

6.4 Esses prazos existem para que o Escritório cumpra os 3 dias úteis que a Resolução CD/ANPD 15/2024 dá ao controlador para comunicar a ANPD e os titulares.

7. Acesso, informações e auditoria

7.1 Durante a vigência, o Escritório pode acessar seus dados pelos recursos disponíveis na Plataforma e solicitar a exportação a qualquer momento pelo e-mail meajuda@assis.co. A exportação é atendida manualmente pela equipe da Assis e inclui os Dados do Escritório, inclusive mensagens. Os dados são disponibilizados em até 60 dias corridos contados do recebimento da solicitação, com formato informado no atendimento. A entrega é feita ao representante autorizado do Escritório. Esse prazo não amplia prazos legais ou contratuais menores, inclusive os aplicáveis ao exercício de direitos dos titulares. Pedidos recebidos até o encerramento do contrato seguem a cláusula 8.1, sem prorrogar prazo de entrega já aplicável.

7.2 A pedido, a Assis fornece as informações necessárias para demonstrar o cumprimento deste Anexo, incluindo respostas a questionários de segurança.

7.3 O Escritório pode auditar a Assis uma vez por ano, com aviso de 30 dias, por auditor sob sigilo e sem acesso a dados de outros clientes. Incidente relevante autoriza auditoria extra. Os custos são do Escritório, salvo se a auditoria constatar descumprimento.

8. Fim do tratamento

8.1 A exportação contratual deve ser solicitada por meajuda@assis.co até o encerramento efetivo do contrato, inclusive no próprio pedido de cancelamento. Encerrado o contrato, cessa o tratamento para a prestação do serviço e os Dados do Escritório devem ser eliminados, inclusive nos suboperadores, sem demora injustificada e no prazo estritamente necessário à execução técnica. Não há janela contratual adicional de guarda para recuperação posterior. Pedidos de exportação recebidos até o encerramento são atendidos nos prazos da cláusula 7.1, sem reinício da contagem; até a entrega segura ao representante autorizado, conservam-se apenas os dados necessários ao pedido, com acesso restrito e uso limitado à exportação. A entrega é concluída quando a transferência integral dos arquivos ao representante autorizado, ou ao ambiente por ele indicado, for confirmada tecnicamente e registrada. A simples disponibilização de um link não conclui a entrega. Concluída a entrega, esses dados também devem ser eliminados sem demora injustificada. A pedido, a Assis declara a eliminação por escrito.

8.2 As regras acima não afastam os direitos dos titulares nem a conservação exigida por obrigação legal ou regulatória ou por ordem de autoridade competente. Essas exceções devem ser documentadas, limitadas aos dados e ao prazo necessários e mantidas sob sigilo, com acesso restrito, sem reutilização para o serviço ou para outras finalidades. A existência de uma obrigação de guarda de registros específicos não autoriza conservar todo o conteúdo do Escritório.

8.3 Durante a vigência, o Escritório pode definir prazos de retenção menores, inclusive a eliminação de documentos logo após o processamento, quando a Plataforma oferecer essa opção.

8.4 Cópias de segurança residuais devem permanecer isoladas do uso operacional e ser eliminadas no ciclo de rotação tecnicamente necessário. O prazo e a justificativa aplicáveis devem ser informados ao Escritório mediante solicitação. Uma restauração não pode reintroduzir no serviço os dados cuja eliminação já tenha sido determinada.

8.5 Para contratos anteriores, os prazos de exportação e eliminação da versão aplicável são preservados até que sua alteração produza efeitos nos termos do contrato. A mera publicação deste Anexo não reduz esses prazos.

9. Responsabilidade e prevalência

9.1 Cada parte responde nos termos dos arts. 42 a 45 da LGPD. A Assis responde quando descumprir a LGPD ou as instruções lícitas do Escritório; o Escritório responde pela base legal, pela informação aos titulares e pela licitude de suas instruções.

9.2 Entre as partes, aplicam-se os limites da cláusula 16 dos Termos de Uso, na extensão permitida por lei.

9.3 Em conflito sobre proteção de dados, este Anexo prevalece sobre os Termos.