Acordo de tratamento de dados pessoais

Versão 0.1 (rascunho) · última atualização: 16/10/2026 · parte integrante dos Termos de uso

RASCUNHO PARA REVISÃO JURÍDICA. Modelo inicial escrito pela equipe do produto, a ser revisado por advogado antes de valer. Os trechos destacados dependem de definições comerciais e de fornecedores.

1. Partes e papéis

Este acordo é celebrado entre a empresa que contrata o MegaPontual ("Cliente" ou "Controladora") e [RAZÃO SOCIAL], CNPJ [CNPJ] ("MegaPontual" ou "Operador"), nos termos dos arts. 5º, VI e VII, e 37 a 40 da Lei nº 13.709/2018 (LGPD).

A Controladora decide por que e como os dados da equipe são tratados no MegaPontual (quem cadastra, quais tarefas cria, o que registra).
O Operador trata esses dados somente para prestar o serviço, em nome da Controladora e conforme as instruções dela.

2. Objeto e duração

Este acordo regula o tratamento de dados pessoais feito pelo Operador para fornecer o MegaPontual à Controladora. Vale enquanto durar a assinatura e, depois dela, até a devolução ou eliminação dos dados (item 12).

3. Dados e titulares

Item	Descrição
Titulares	pessoas da equipe da Controladora (empregados, sócios, estagiários, prestadores) e contatos que ela cadastra
Dados	nome, e-mail, telefone, papel e equipe; marcações de presença; tarefas, rotinas, alarmes e tempo gasto; histórico de ações; mensagens e áudios trocados com a Mega; registros técnicos de acesso
Dados sensíveis	não são necessários ao serviço. A Controladora orienta a equipe a não incluí-los
Operações	coleta, armazenamento, organização, consulta, envio de alertas, processamento por IA a pedido do usuário, backup, exportação e eliminação
Finalidade	organizar tarefas, rotinas, presença e comunicação da equipe da Controladora

4. Instruções da Controladora

As instruções da Controladora são as dadas por estes documentos e pelas configurações e ações feitas no próprio sistema (por exemplo, cadastrar uma pessoa, apagar uma tarefa, exportar os dados). O Operador avisa a Controladora se entender que uma instrução viola a LGPD.

5. Deveres do MegaPontual (Operador)

tratar os dados somente para prestar o serviço e cumprir obrigações legais, nunca para finalidade própria, e não vendê-los;
não usar os dados da Controladora para treinar modelos de inteligência artificial;
manter os dados de cada Controladora isolados dos de outras empresas;
garantir que as pessoas autorizadas a acessar os dados (equipe de suporte e operação) tenham dever de confidencialidade e só acessem quando necessário, com registro desse acesso;
adotar as medidas de segurança do item 9;
ajudar a Controladora a atender os pedidos dos titulares e a ANPD;
manter registro das operações de tratamento (LGPD, art. 37).

6. Deveres da empresa cliente (Controladora)

ter base legal para tratar os dados que coloca no sistema e informar a equipe sobre o uso do MegaPontual e o que é registrado;
cadastrar somente os dados necessários e mantê-los corretos;
gerenciar os acessos da equipe (papéis, desativação de quem sai);
atender os titulares, com o apoio do Operador.

7. Suboperadores

A Controladora autoriza o Operador a contratar os suboperadores abaixo. O Operador exige deles obrigações de proteção de dados equivalentes às deste acordo e responde por eles perante a Controladora, nos termos da lei.

Suboperador	Serviço	Dados envolvidos	Local
[PROVEDOR DE HOSPEDAGEM]	hospedagem da aplicação, do banco de dados e dos backups	todos os dados do serviço	Brasil (São Paulo)
[PROVEDOR DE IA, ex.: OpenAI ou Anthropic]	processamento das mensagens e áudios enviados à Mega	conteúdo das conversas e dados necessários para a resposta (nomes, tarefas, horários)	[EUA]
[PROVEDOR DE E-MAIL]	e-mails transacionais (convites, senha, avisos)	nome e e-mail	[a definir]
[Asaas ou outro]	cobrança e nota fiscal	dados de cobrança do responsável pela conta	Brasil
Meta Platforms (WhatsApp Business Platform)	envio e recebimento de mensagens pelo WhatsApp, só quando a Controladora ativar o canal	nome, telefone e conteúdo das mensagens	[EUA e outros]

O Operador avisa a Controladora sobre inclusão ou troca de suboperador com pelo menos [15] dias de antecedência, por e-mail ao dono da conta ou nesta página. Se houver objeção fundamentada e não for possível resolvê-la, a Controladora pode cancelar sem multa.

8. Transferência internacional

Quando um suboperador tratar dados fora do Brasil, a transferência é feita com base no art. 33 da LGPD, com cláusulas contratuais específicas ou padrão aprovadas pela ANPD [revisar: Resolução CD/ANPD nº 19/2024].

9. Medidas de segurança

criptografia em trânsito (HTTPS/TLS) em todo acesso;
isolamento por empresa no banco de dados (Row-Level Security), coberto por testes automáticos;
senhas armazenadas com hash (bcrypt) e tokens de acesso com validade;
controle de acesso por papel (dono, administrador, gestor, colaborador);
banco de dados sem acesso público, só pela rede interna da aplicação;
backup diário com retenção definida e teste periódico de restauração;
registro (histórico) das ações feitas no sistema, inclusive pelo suporte;
[completar: criptografia em repouso do provedor, 2FA, gestão de vulnerabilidades]

10. Incidentes de segurança

O Operador comunica à Controladora qualquer incidente de segurança que envolva os dados dela em até [48 horas] depois de tomar conhecimento, com a natureza do incidente, os dados e titulares afetados, as medidas tomadas e o contato para mais informações, para que a Controladora possa avisar a ANPD e os titulares no prazo da regulamentação [revisar: Resolução CD/ANPD nº 15/2024].

11. Pedidos dos titulares

Se um titular pedir diretamente ao Operador algo sobre dados da Controladora, o Operador encaminha o pedido à Controladora e não responde por ela, salvo instrução. O sistema permite à Controladora consultar, corrigir, exportar e apagar os dados da equipe.

12. Fim do contrato

Encerrada a assinatura, a Controladora tem [30] dias para exportar os dados. Depois disso o Operador elimina os dados da Controladora dos sistemas ativos; as cópias em backup expiram no ciclo normal de retenção (até [6 meses]). O Operador pode manter o que a lei obrigar (LGPD, art. 16).

13. Informações e auditoria

O Operador fornece à Controladora, a pedido e uma vez por ano, as informações necessárias para demonstrar o cumprimento deste acordo (por exemplo, descrição das medidas de segurança e lista de suboperadores). Auditorias presenciais dependem de acordo prévio sobre escopo, custo e confidencialidade.

Contato do encarregado: privacidade@megapontual.ia.br.