Acordo de Tratamento de Dados Pessoais (DPA)

Anexo aos Termos de Uso da AIJuris · Versão 1.1

Vigente desde 27 de maio de 2026

Este Acordo de Tratamento de Dados ("DPA") regula a relação entre a Flow Innovations Ltda., inscrita no CNPJ sob o nº 43.251.228/0001-67, com sede na Rua B, nº 60, Cinquentenário, Belo Horizonte/MG, CEP 30.570-730, na qualidade de Operadora, e o Escritório contratante, na qualidade de Controlador, quanto ao tratamento de dados pessoais decorrente do uso da Plataforma AIJuris.

Este DPA integra os Termos de Uso e a Política de Privacidade, prevalecendo sobre eles em caso de conflito específico sobre tratamento de dados pessoais.

1. Objeto

O Operador trata dados pessoais por conta do Controlador exclusivamente para a finalidade de prestar a Plataforma AIJuris e suas funcionalidades, conforme determinado pelo Controlador e nos termos contratados.

2. Definições

Os termos definidos nos Termos de Uso aplicam-se a este DPA. Em adição, adotam-se os significados do art. 5º da LGPD para Controlador, Operador, Encarregado, Titular, Tratamento, Dado Pessoal, Dado Pessoal Sensível e Incidente de Segurança.

3. Detalhamento do tratamento

4. Obrigações do Operador

O Operador obriga-se a:

1. tratar os dados pessoais estritamente conforme as instruções documentadas do Controlador, materializadas nos Termos de Uso, nesta política, na Política de Privacidade e nas opções selecionadas pelo Controlador na Plataforma;
2. garantir que toda pessoa autorizada a tratar dados pessoais esteja submetida a obrigação de confidencialidade;
3. adotar medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração ou comunicação indevida;
4. não utilizar os dados do Controlador para treinar modelos de inteligência artificial, conforme item 7 da Política de Privacidade;
5. apoiar o Controlador no atendimento aos direitos dos titulares (art. 18 LGPD) e nas comunicações com a Autoridade Nacional de Proteção de Dados;
6. comunicar incidentes de segurança ao Controlador em prazo razoável e proporcional ao risco;
7. eliminar ou devolver os dados pessoais ao fim da prestação, ressalvadas as hipóteses legais de retenção;
8. permitir auditorias documentais razoáveis pelo Controlador, com aviso prévio mínimo de 15 dias úteis, mediante acordo de confidencialidade prévio, restritas ao escopo do tratamento e limitadas a uma vez por ano, salvo em caso de incidente relevante.

5. Obrigações do Controlador

O Controlador obriga-se a:

1. dispor de base legal adequada para o tratamento de cada categoria de dado pessoal e sensível inserido na Plataforma;
2. respeitar o sigilo profissional, o segredo de justiça e demais restrições impostas por lei, normas profissionais ou decisões judiciais;
3. fornecer informações verídicas, atualizadas e suficientes para que o Operador execute o serviço corretamente;
4. atender às solicitações dos titulares de dados pessoais sob sua responsabilidade, utilizando o apoio do Operador quando necessário;
5. configurar os controles de acesso e perfis de Usuários da Plataforma de modo coerente com o princípio da necessidade;
6. notificar o Operador, em prazo razoável, sobre qualquer determinação de autoridade competente que demande ação técnica do Operador.

6. Sub-operadores

O Controlador autoriza o Operador a contratar sub-operadores para finalidades técnicas (infraestrutura em nuvem, processamento por modelos de IA, e-mail transacional, processamento de pagamentos, monitoramento, suporte), desde que cada sub-operador esteja sujeito a obrigações de proteção de dados compatíveis com este DPA.

A lista atualizada de categorias de sub-operadores está disponível mediante solicitação ao DPO. Alterações materiais na cadeia de sub-operadores serão comunicadas com antecedência razoável; o Controlador pode opor-se a um sub-operador específico mediante justificativa documentada, hipótese em que as partes buscarão solução técnica equivalente.

7. Transferência internacional

O Controlador autoriza, de forma geral, a transferência internacional de dados pessoais quando necessária à prestação dos serviços, observadas as salvaguardas previstas no art. 33 da LGPD e descritas no item 9 da Política de Privacidade.

8. Incidentes de segurança

O Operador comunicará o Controlador sobre incidentes de segurança que envolvam dados pessoais do Controlador em prazo razoável e proporcional ao risco. A comunicação conterá, na medida do conhecido naquele momento:

• descrição da natureza do incidente;
• categorias e quantidade aproximada de titulares afetados;
• categorias e volume aproximado de dados afetados;
• medidas técnicas e organizacionais adotadas em resposta;
• recomendações para o Controlador.

A comunicação inicial poderá ser atualizada conforme avançar a investigação.

9. Retorno e eliminação de dados

Ao término do contrato e do período de portabilidade previsto nos Termos de Uso, o Operador eliminará os dados pessoais do Controlador, salvo:

• exigência legal ou regulatória de retenção;
• necessidade para defesa em processos administrativos, judiciais ou arbitrais;
• backup criptografado em rotação padrão, hipótese em que os dados serão eliminados ao expirar o ciclo do backup correspondente.

10. Responsabilidade

Cada parte responde por suas próprias obrigações legais e contratuais relativas ao tratamento de dados pessoais. A responsabilidade do Operador perante o Controlador observa o teto descrito na cláusula de limitação de responsabilidade dos Termos de Uso.

11. Contatos

• Canal do Encarregado (DPO) do Operador: contato@aijuris.ia.br
• Encarregado do Controlador: preenchido pelo Escritório no painel administrativo da Plataforma.

12. Vigência e versionamento

Este DPA vigora a partir da data de adesão do Controlador aos Termos de Uso e permanece em vigor enquanto houver tratamento de dados pelo Operador. Alterações materiais seguem o mesmo procedimento de versionamento e aviso prévio aplicável aos Termos de Uso.

Documento revisado em 28 de maio de 2026.