Anexo I — Acordo de Tratamento de Dados (DPA)

Este Anexo regula o tratamento de dados pessoais que o HighBrain (Operador) realiza em nome do Cliente (Controlador) ao prestar o serviço.

1. Objeto. Tratamento do Conteúdo do Cliente — gravações, transcrições, análises de reuniões, dados de participantes e dados importados do CRM — apenas para prestar o serviço contratado.

2. Titulares e dados. Usuários do Cliente (vendedores e gestores), participantes das reuniões (compradores, convidados) e contatos do CRM. Dados de identificação, de contato, voz e imagem, falas e avaliações de desempenho comercial.

3. Instruções. O Operador trata os dados apenas conforme as instruções documentadas do Controlador, que são: estes Termos, as configurações feitas pelo Cliente no sistema e pedidos escritos do Cliente. O Operador avisará o Controlador se considerar uma instrução contrária à lei.

4. Confidencialidade. Pessoas autorizadas a tratar os dados estão sujeitas a dever de sigilo.

5. Segurança. O Operador mantém as medidas descritas na seção 10 da Política de Privacidade, incluindo criptografia em trânsito e em repouso, isolamento dos dados por cliente, controle de acesso por papel e registro de acessos.

6. Suboperadores. O Controlador autoriza de forma geral a contratação dos suboperadores listados em highbrain.com.br/suboperadores. O Operador avisará com 30 dias de antecedência a inclusão ou troca de suboperador. O Controlador pode se opor por motivo razoável ligado à proteção de dados; não havendo solução, poderá encerrar o contrato sem multa. O Operador exige de cada suboperador obrigações de proteção de dados equivalentes às deste Anexo e responde por eles.

7. Transferência internacional. Quando houver transferência para fora do Brasil, o Operador usará os mecanismos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, como as cláusulas-padrão contratuais da ANPD.

8. Direitos dos titulares. O Operador oferece no sistema ferramentas para o Controlador acessar, exportar, corrigir e excluir dados, e apoiará o Controlador no atendimento de pedidos de titulares. Pedidos recebidos diretamente pelo Operador serão encaminhados ao Controlador em até 5 dias úteis.

9. Incidentes de segurança. O Operador comunicará o Controlador, sem demora injustificada e em até 48 horas após tomar conhecimento de incidente que afete o Conteúdo do Cliente, com as informações disponíveis sobre natureza, dados e titulares afetados, medidas adotadas e riscos. O Operador apoiará o Controlador na comunicação à ANPD e aos titulares, nos prazos da Resolução CD/ANPD nº 15/2024.

10. Avaliação de impacto. O Operador fornecerá as informações razoavelmente necessárias para o Controlador elaborar relatório de impacto à proteção de dados.

11. Auditoria. Uma vez por ano, ou após incidente, o Controlador pode solicitar informações por escrito sobre as medidas de segurança e de proteção de dados. Auditorias presenciais dependem de acordo prévio, a custo do Controlador, com aviso de 30 dias e dever de sigilo.

12. Devolução e eliminação. Encerrado o contrato, o Conteúdo do Cliente ficará disponível para exportação por 30 dias e depois será eliminado, inclusive dos backups no ciclo de rodízio de até 30 dias, salvo obrigação legal de guarda.

13. Vigência. Este Anexo vale enquanto o Operador tratar dados pessoais em nome do Controlador.