Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Uso da plataforma SAR.PRO e disciplina o tratamento de dados pessoais realizado por NASSIF HOLDING LTDA - ME (CNPJ 66.663.875/0001-81) por conta e ordem do escritório contratante, nos termos da Lei 13.709/2018 (LGPD). Em caso de divergência quanto à matéria de proteção de dados, prevalece este DPA.
Quanto aos dados pessoais que o escritório insere na Plataforma ou manda coletar — inclusive dados de seus próprios clientes e de terceiros —, o escritório é o Controlador e a NASSIF HOLDING LTDA - ME é a Operadora (art. 5º, VI e VII, da LGPD). A Operadora trata esses dados exclusivamente para prestar o serviço contratado e conforme as instruções documentadas do Controlador, não os utilizando para finalidade própria.
Quanto aos dados cadastrais do próprio escritório e de seus usuários (dados de conta, faturamento e registros de acesso), a Operadora atua como Controladora, na forma da Política de Privacidade.
O Controlador autoriza, de forma geral, a contratação dos suboperadores necessários à prestação do serviço. A lista vigente, nominada, é a seguinte — alterações relevantes são comunicadas previamente, na forma do último parágrafo desta cláusula:
Quando o escritório opta por conectar contas próprias (por exemplo, instância própria de WhatsApp, conta de assinatura eletrônica ou chave própria de IA), a relação com esses terceiros é do próprio escritório, que atua como contratante direto.
A Operadora responde perante o Controlador pelos atos dos suboperadores que contrata e comunicará previamente qualquer inclusão ou substituição, facultado ao Controlador opor-se de forma fundamentada, hipótese em que poderá rescindir sem ônus caso a objeção não seja superada.
Os direitos do art. 18 da LGPD são exercidos pelos titulares perante o Controlador. Recebendo solicitação diretamente de um titular, a Operadora não a atenderá por conta própria: encaminhará ao Controlador sem demora. A Operadora prestará o auxílio técnico necessário — inclusive extração, correção, anonimização ou eliminação de registros — em até 15 (quinze) dias do pedido do Controlador, ressalvadas as hipóteses de guarda legal obrigatória e o segredo comercial quanto a dados derivados de processamento próprio.
Ciente de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Operadora notificará o Controlador em até 48 (quarenta e oito) horas, com as informações do art. 48, § 1º, da LGPD: natureza dos dados afetados, titulares envolvidos, medidas técnicas de proteção adotadas, riscos identificados e medidas tomadas ou propostas para reverter ou mitigar os efeitos. A comunicação à ANPD e aos titulares cabe ao Controlador, com a cooperação técnica da Operadora.
Encerrado o contrato, o Controlador pode exportar por autoatendimento o conteúdo bruto do seu atendimento (cláusula 6 da Política de Privacidade) e solicitar cópia dos demais dados durante o período de retenção de 6 (seis) meses. Findo esse prazo, os dados identificáveis são eliminados ou anonimizados de forma irreversível, com exclusão do banco de dados e das credenciais do escritório e remoção do roteamento, mediante comprovante de exclusão emitido ao Controlador. Permanecem retidos apenas os registros sob guarda legal obrigatória (registros de acesso, art. 15 da Lei 12.965/2014, e documentos fiscais). As cópias de segurança são cifradas e expiram no ciclo de rotação, em até 90 (noventa) dias, não sendo tecnicamente exigível o expurgo cirúrgico de registro individual dentro de um backup.
Os dados são hospedados no Brasil. Há transferência internacional apenas no uso de recursos de inteligência artificial, quando o processamento pode ocorrer em infraestrutura dos provedores indicados na cláusula 5, sem armazenamento persistente do conteúdo do Controlador para treinamento. A transferência observa as salvaguardas do art. 33 da LGPD. Eventual migração de infraestrutura permanecerá em território nacional.
A Operadora disponibilizará ao Controlador, mediante solicitação razoável e sob confidencialidade, as informações necessárias para demonstrar o cumprimento deste DPA, inclusive resultados de verificações de isolamento e de testes de restauração. Auditorias presenciais ou por terceiro independente podem ser realizadas mediante agendamento prévio, sem comprometer a segurança e o sigilo dos demais escritórios.
Este DPA vigora enquanto durar o tratamento de dados por conta do Controlador e sobrevive ao término do contrato quanto às obrigações de sigilo, eliminação e comprovação. A responsabilidade civil observa os arts. 42 a 45 da LGPD e os limites pactuados nos Termos de Uso.
O aceite deste DPA é registrado eletronicamente no ato do cadastro ou na aceitação em painel, com data, hora, versão do documento, endereço IP e identificação do usuário aceitante — registro que serve de prova do acordo entre as partes, dispensada assinatura física. A versão vigente é a 1.1, de 25/07/2026. Alterações materiais serão comunicadas com antecedência e submetidas a novo aceite.
Encarregado pelo tratamento de dados (DPO): privacidade@sar.pro.