Anexo de Tratamento de Dados

1. O que este documento é

Estabelece as regras de tratamento de dados pessoais entre a Vatro (Nícolas Do Carmo Dias Tavares) e o CLIENTE, em conformidade com a Lei nº 13.709/2018.

Integra, por referência e independentemente de assinatura específica, os Termos de Uso e os contratos de desenvolvimento de software firmados pela Vatro.

Em caso de conflito com outro instrumento, prevalece este Anexo quanto à matéria de proteção de dados.

2. Quem é controlador e quem é operador

2.1. Quanto aos dados que o CLIENTE insere, ou faz inserir, nos sistemas da Vatro — os dados dos clientes finais, da equipe e dos contatos dele:

• Controlador: o CLIENTE — define as finalidades e os meios.
• Operadora: a Vatro — trata em nome do CLIENTE, conforme suas instruções.

2.2. Quanto aos dados de cadastro, contato, faturamento e cobrança do próprio CLIENTE e de seu representante, a Vatro é controladora, na forma da Política de Privacidade.

2.3. As duas naturezas coexistem e não se confundem. Os itens 3 a 9 tratam do papel de operadora.

3. Limites do tratamento

3.1. A Vatro trata os dados exclusivamente para prestar o serviço contratado, segundo instruções lícitas e documentadas do CLIENTE.

3.2. Constituem instruções documentadas, para os fins do art. 39 da LGPD: este Anexo, o contrato firmado, a documentação funcional do sistema e as configurações que o próprio CLIENTE realiza na plataforma.

3.3. A Vatro não:

• trata dados para finalidade própria diversa da execução do serviço;
• vende, cede ou compartilha dados com terceiros para fins comerciais;
• utiliza os dados para treinar modelos comercializados a terceiros;
• acessa dados do CLIENTE fora das hipóteses do item 3.4.

3.4. O acesso técnico a dados do CLIENTE ocorre apenas para: suporte solicitado, diagnóstico de falha, migração contratada, rotina de segurança ou cumprimento de obrigação legal.

3.5. Dados agregados. A Vatro pode usar dados agregados e anonimizados, que não permitam identificar titular ou CLIENTE, para medir uso, dimensionar capacidade e aprimorar seus produtos — dado anonimizado não é dado pessoal (art. 12).

3.6. Se uma instrução do CLIENTE parecer violar a LGPD, a Vatro o informa e pode suspender aquela instrução até esclarecimento.

4. Responsabilidades do CLIENTE

4.1. Como controlador, cabe ao CLIENTE:

• definir as finalidades e a base legal de cada tratamento;
• obter e gerir o consentimento, quando for a base aplicável;
• informar os titulares, mantendo política de privacidade própria;
• garantir a licitude dos dados que insere;
• atender aos direitos dos titulares, com apoio técnico da Vatro;
• definir prazos de retenção compatíveis com suas obrigações;
• controlar quem acessa a plataforma, revogando acessos de desligados.

4.2. Dados sensíveis. Os sistemas da Vatro não são projetados para tratar dados sensíveis (art. 5º, II) — saúde, biometria, convicção religiosa, opinião política, filiação sindical, origem racial, vida sexual, dado genético. Inserindo-os, o CLIENTE assume o risco e as obrigações adicionais.

4.3. Crianças e adolescentes. Havendo dados de menores, cabe ao CLIENTE obter o consentimento específico e destacado de um dos pais ou responsável (art. 14).

5. Segurança

A Vatro adota as medidas do art. 46 da LGPD, descritas no item 7 da Política de Privacidade, e restringe o acesso ao pessoal que dele necessite, sob obrigação de confidencialidade.

Nenhuma medida elimina o risco por completo. A Vatro não garante inviolabilidade absoluta, obrigando-se ao padrão de segurança do art. 44.

6. Incidentes de segurança

6.1. A Vatro comunica ao CLIENTE, em até 2 (dois) dias úteis do conhecimento, qualquer incidente que possa acarretar risco ou dano relevante aos titulares.

6.2. Esse prazo é menor que o legal de propósito: a Resolução CD/ANPD nº 15/2024 dá ao controlador 3 (três) dias úteis para comunicar à ANPD e aos titulares, e o CLIENTE precisa de margem para cumpri-lo.

6.3. A comunicação conterá, na medida do apurado: descrição do incidente e dos dados afetados, número aproximado de titulares, momento da ocorrência e da detecção, riscos, medidas adotadas e contato.

6.4. A comunicação à ANPD e aos titulares é dever do CLIENTE, como controlador. A Vatro presta as informações técnicas necessárias.

7. Direitos dos titulares

7.1. Recebendo diretamente de um titular um pedido sobre dados tratados como operadora, a Vatro não o atende por conta própria: encaminha ao CLIENTE em até 2 (dois) dias úteis e informa o titular do redirecionamento.

7.2. A Vatro auxilia o CLIENTE, tecnicamente e na medida do razoável, a atender aos direitos do art. 18.

7.3. Pedidos sobre dados de que a Vatro é controladora (item 2.2) são atendidos diretamente por ela, em admin@vatro.com.br.

8. Subprocessadores

8.1. O CLIENTE autoriza a contratação dos subprocessadores listados em vatro.com.br/subprocessadores, onde constam a finalidade, os dados alcançados e o local de processamento de cada um.

8.2. A Vatro responde perante o CLIENTE pelos atos de seus subprocessadores.

8.3. Inclusão ou substituição é comunicada com 30 (trinta) dias de antecedência. O CLIENTE pode objetar de forma fundamentada; não havendo solução, pode rescindir sem ônus, com devolução proporcional do período pago e não usufruído.

8.4. Transferência internacional. Parte dos subprocessadores processa fora do Brasil. Essas transferências observam os arts. 33 a 36 e o regulamento da ANPD, apoiando-se em cláusulas-padrão contratuais ou em decisão de adequação.

9. Retenção e devolução

9.1. A Vatro conserva os dados tratados como operadora enquanto durar o contrato.

9.2. Encerrado o contrato, o CLIENTE pode solicitar a devolução dos dados em formato estruturado, no prazo de 30 (trinta) dias corridos do encerramento. O atendimento ocorre em até 15 (quinze) dias corridos do pedido.

9.3. Findo esse prazo, a Vatro elimina os dados, ressalvada a conservação autorizada pelo art. 16.

9.4. Registros financeiros. O histórico de cobranças e pagamentos é conservado após a exclusão da conta, pelo prazo da legislação fiscal e civil, com base em cumprimento de obrigação legal (arts. 7º, II e 16, I).

9.5. O direito de obter os próprios dados não depende de o CLIENTE estar em dia com os pagamentos. A Vatro pode suspender o acesso à plataforma por inadimplência, mas não recusa ao CLIENTE inadimplente a extração de seus dados, uma vez solicitada por escrito.

10. Encarregado

O encarregado pelo tratamento de dados pessoais (art. 41) é Nícolas Do Carmo Dias Tavares, contato admin@vatro.com.br. A Vatro se qualifica como agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022.

11. Responsabilidade

11.1. Cada parte responde pelas obrigações que a LGPD lhe atribui em razão do seu papel.

11.2. A Vatro responde solidariamente apenas nas hipóteses do art. 42, § 1º, I — quando descumprir as obrigações legais de operadora ou não seguir instruções lícitas do controlador.

11.3. O CLIENTE responde pelos danos decorrentes de instrução ilícita, inserção de dados sem base legal, inserção de dados sensíveis fora do item 4.2 e descontrole dos acessos que administra.

12. Vigência e alterações

Este Anexo vigora enquanto durar a relação contratual e, quanto às obrigações de sigilo e eliminação, também após seu término.

Alterações são comunicadas com 30 (trinta) dias de antecedência e publicadas nesta página, com indicação de versão e data. Alterações exigidas por lei ou por autoridade entram em vigor na data de exigibilidade da norma.