Acordo de Processamento de Dados

Este Acordo de Processamento de Dados ("DPA") complementa o contrato de serviços entre o FFID e o Contratante, regulando o tratamento de dados pessoais conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

Controlador: O Contratante, que determina as finalidades e os meios de tratamento dos dados pessoais dos seus clientes e leads.

Operador: O FFID, que trata os dados pessoais em nome e conforme as instruções do Controlador.

Dados Pessoais Tratados: Nome, telefone (WhatsApp), e-mail, dados de interação com AI Agents, histórico de conversas, dados de crédito (quando aplicável ao Auria Cred) e demais dados coletados durante a jornada de atendimento.

Titulares: Clientes, leads e prospects do Contratante que interagem via WhatsApp ou demais canais integrados à plataforma FFID.

O Controlador (Contratante) é responsável por:

Obter consentimento válido dos titulares para o tratamento de dados e envio de mensagens via WhatsApp;

Definir as finalidades do tratamento de dados pessoais;

Garantir a legalidade da coleta e compartilhamento dos dados com o FFID;

Atender às solicitações dos titulares quanto aos seus direitos previstos na LGPD;

Manter registros de consentimento (opt-in) atualizados e auditáveis.

O Operador (FFID) é responsável por:

Tratar os dados pessoais exclusivamente conforme as instruções documentadas do Controlador;

Implementar medidas técnicas e organizacionais adequadas para proteger os dados;

Notificar o Controlador sobre incidentes de segurança em até 48 horas;

Auxiliar o Controlador no atendimento a solicitações de titulares;

Não compartilhar dados pessoais com terceiros sem autorização prévia do Controlador.

O FFID implementa as seguintes medidas técnicas e organizacionais para proteção dos dados:

Criptografia: Dados em trânsito protegidos por TLS 1.2+ e dados em repouso com criptografia AES-256;

Controle de acesso: Autenticação multifator (MFA), princípio do menor privilégio e revisão periódica de acessos;

Infraestrutura: Servidores em provedores enterprise (AWS/GCP) com certificações SOC 2 e ISO 27001;

Monitoramento: Logs de acesso e auditoria, detecção de intrusão e alertas em tempo real;

Backup: Backups criptografados com política de retenção definida e testes de restauração periódicos;

Treinamento: Equipe treinada em proteção de dados e segurança da informação.

O FFID utiliza os seguintes subprocessadores para a prestação dos serviços:

Meta Platforms, Inc. (EUA) — WhatsApp Business API para envio e recebimento de mensagens;

Amazon Web Services / Google Cloud Platform — Infraestrutura de hospedagem e processamento;

OpenAI / Anthropic — Processamento de linguagem natural para os AI Agents;

O Contratante é informado e concorda com o uso destes subprocessadores. Qualquer alteração na lista de subprocessadores será comunicada com 30 dias de antecedência, permitindo ao Contratante se opor fundamentadamente.

Todos os subprocessadores estão vinculados a cláusulas contratuais de proteção de dados equivalentes às deste DPA.

Em razão da natureza dos serviços (WhatsApp Business API, infraestrutura cloud), alguns dados pessoais podem ser transferidos para fora do Brasil.

Essas transferências são realizadas com base no Art. 33 da LGPD, utilizando:

Cláusulas contratuais padrão aprovadas pela ANPD;

Transferência para países com grau de proteção de dados adequado;

Consentimento específico do titular quando aplicável.

O FFID mantém registros das transferências internacionais e garante que os destinatários ofereçam nível de proteção equivalente ao da LGPD.

Durante o contrato: Os dados são mantidos pelo período necessário à prestação dos serviços e conforme as instruções do Controlador.

Após o encerramento: O FFID manterá os dados por 90 dias para fins de exportação pelo Contratante. Após esse prazo, os dados serão eliminados de forma segura e irreversível.

Exceções de retenção: Dados poderão ser mantidos por períodos superiores quando exigido por obrigação legal ou regulatória (ex.: registros fiscais, obrigações do Marco Civil da Internet).

O Controlador pode solicitar a exclusão antecipada de dados a qualquer momento, respeitadas as obrigações legais aplicáveis.

Em caso de incidente de segurança que envolva dados pessoais tratados sob este DPA, o FFID se compromete a:

Notificar o Controlador em até 48 horas após a confirmação do incidente, informando: natureza do incidente, categorias de dados afetados, número aproximado de titulares impactados, medidas adotadas e recomendações;

Cooperar integralmente com o Controlador na investigação, mitigação e comunicação do incidente à ANPD e aos titulares, conforme exigido pela LGPD;

Documentar o incidente em registro próprio, mantendo registros por no mínimo 5 anos.

O FFID auxilia o Controlador no atendimento às solicitações de titulares previstas no Art. 18 da LGPD:

Confirmação de existência de tratamento;

Acesso aos dados pessoais;

Correção de dados incompletos, inexatos ou desatualizados;

Anonimização, bloqueio ou eliminação de dados desnecessários;

Portabilidade dos dados;

Eliminação dos dados tratados com base em consentimento;

Informação sobre compartilhamento com terceiros;

Revogação do consentimento.

Solicitações devem ser direcionadas ao Controlador, que poderá acionar o FFID para suporte técnico no atendimento.