1. Partes e objeto
Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Uso e a Política de Privacidade e regula o tratamento, pelo AdvoGestão (operado por VisionX, CNPJ 61.427.918/0001-06, "Operador"), dos dados pessoais inseridos no sistema pelo Escritório usuário ("Controlador"), no contexto da advocacia.
Sempre que houver tratamento de dados pessoais de clientes, contrapartes, testemunhas, prepostos ou terceiros relacionados a processos do Controlador, esses dados são tratados pelo Operador sob as instruções do Controlador, conforme o Art. 39 da LGPD.
2. Definições
- Controlador: o Escritório que contrata o AdvoGestão, responsável por decidir sobre o tratamento dos dados pessoais dos seus clientes e terceiros.
- Operador: o AdvoGestão, que realiza o tratamento em nome do Controlador.
- Titular: a pessoa natural a quem se referem os dados (cliente, contraparte, testemunha, etc.).
- Sub-operador: terceiro contratado pelo Operador para prestar parte do serviço (ex.: hospedagem, IA).
3. Objeto, natureza e finalidade do tratamento
O Operador tratará dados pessoais exclusivamente para prestar o serviço contratado: armazenamento, consulta, edição, exportação, busca, integração com APIs públicas (CNJ, ViaCEP, CNPJ) e funcionalidades auxiliares de inteligência artificial — todas executadas conforme as instruções do Controlador manifestadas via funcionalidades disponíveis na Plataforma.
O Operador não usará os dados para finalidades próprias, incluindo treinamento de modelos de IA, marketing, análise comportamental ou cessão a terceiros.
4. Categorias de dados tratados
- Dados de identificação: nome, CPF/CNPJ, RG, data de nascimento, gênero
- Dados de contato: e-mail, telefone, endereço
- Dados profissionais e processuais: número de processo, comarca, partes, status, valor da causa
- Dados financeiros: honorários, despesas, parcelamentos
- Dados pessoais sensíveis (Art. 5º, II da LGPD) podem ocorrer em campos livres — anotações sobre saúde, vida sexual, opinião política, origem racial — quando inseridos pelo Controlador em razão da causa. O Controlador declara ter base legal específica para tratamento desses dados (Art. 11) e responde pela legitimidade da coleta.
- Dados de crianças e adolescentes podem ocorrer em causas de família, infância e juventude — o Controlador atestará base legal (Art. 14 da LGPD).
5. Duração
O tratamento dura enquanto vigorar o contrato de prestação de serviço com o Controlador. Após o término, valem as regras de retenção previstas na seção 11 destes Termos de Uso e na seção 7 da Política de Privacidade.
6. Obrigações do Operador
- Atuar sob instruções: tratar dados apenas conforme instruções formais do Controlador, recusando-se a executar instruções ilícitas.
- Confidencialidade: garantir que toda pessoa autorizada pelo Operador esteja vinculada a obrigação de confidencialidade.
- Segurança: adotar medidas técnicas e administrativas adequadas (Art. 46 da LGPD), incluindo:
- Criptografia em trânsito (TLS) e em repouso (AES-256)
- Isolamento multi-tenant via Row Level Security
- Controle de acesso baseado em função (RBAC)
- Logs de auditoria
- Backups regulares e testados
- Política de senhas e proteção contra força bruta
- Auxiliar nos direitos do titular: fornecer funcionalidades para o Controlador atender solicitações de acesso, correção, portabilidade, anonimização e eliminação (vide central de privacidade do sistema).
- Notificar incidentes: comunicar ao Controlador qualquer incidente de segurança relevante em até 48 horas da ciência, com informações suficientes para que o Controlador cumpra suas obrigações (Art. 48 da LGPD).
- Devolver ou eliminar dados: ao final do contrato, disponibilizar os dados para portabilidade por 30 dias e, em seguida, eliminá-los ou anonimizá-los, salvo obrigação legal de conservação.
- Demonstrar conformidade: manter registro das operações de tratamento (Art. 37) e fornecer ao Controlador, mediante solicitação razoável, evidências de conformidade.
7. Sub-operadores autorizados
O Controlador autoriza expressamente os seguintes sub-operadores essenciais à prestação do serviço:
| Sub-operador | Função | Localização |
|---|---|---|
| Supabase Inc. | Banco de dados, autenticação, storage, funções | EUA |
| Cloudflare, Inc. | CDN, proteção DDoS, hospedagem do frontend | Global |
| Google LLC (Gemini API) | Funcionalidades de IA generativa | Global / EUA |
| Asaas (Asaas Gestão Financeira S.A.) | Processamento de pagamentos e assinaturas recorrentes | Brasil |
Novos sub-operadores ou substituições serão comunicados com 30 dias de antecedência. O Controlador poderá objetar fundamentadamente; persistindo o impasse, qualquer das partes poderá rescindir o contrato.
8. Transferência internacional
Parte dos sub-operadores opera fora do Brasil. As transferências baseiam-se no Art. 33, II e VIII da LGPD: cláusulas contratuais padrão com os sub-operadores e garantias técnicas (criptografia, controles de acesso). O Operador manterá lista atualizada das transferências internacionais à disposição do Controlador.
9. Direitos do Titular
O Controlador é o destinatário primário das requisições do Titular (Art. 18 da LGPD). Sempre que o Operador receber uma requisição diretamente, encaminhará ao Controlador em até 5 dias úteis, salvo se houver dever legal de atender diretamente.
O sistema fornece, dentro do escritório do Controlador, ferramentas para:
- Exportar dados de cliente em formato estruturado
- Editar e corrigir dados
- Anonimizar registros de clientes inativos
- Excluir registros (com salvaguarda de obrigações legais)
10. Resposta a incidentes
Em caso de incidente de segurança envolvendo dados pessoais do Controlador, o Operador notificará por e-mail registrado em conta com:
- Descrição do incidente e dados afetados
- Vetor de ataque ou causa raiz (quando conhecida)
- Medidas de contenção adotadas
- Recomendações ao Controlador
O prazo máximo de notificação é 48 horas a partir da ciência do incidente, em conformidade com a Resolução nº 15/2024 da ANPD.
11. Auditoria
O Controlador, por si ou por terceiro independente vinculado a sigilo, poderá auditar a conformidade do Operador uma vez por ano, mediante aviso prévio de 30 dias, em horário comercial, sem interrupção da operação. Custos de auditoria iniciada pelo Controlador são arcados pelo Controlador, salvo achado material de não conformidade.
Em substituição à auditoria presencial, o Operador pode apresentar relatórios de conformidade emitidos por terceiros independentes (ex.: SOC 2, ISO 27001).
12. Responsabilidade
Cada parte responde pelas obrigações que lhe cabem nos termos da LGPD. O Operador responde solidariamente nos casos do Art. 42, §1º, II — quando descumprir instruções lícitas do Controlador ou as obrigações próprias de operador. O Controlador é responsável pela legalidade da coleta, pela base legal de tratamento e pelo conteúdo inserido no sistema.
13. Vigência e rescisão
Este DPA vigora durante o contrato de prestação de serviço com o Controlador. As obrigações de confidencialidade e segurança subsistem por 5 anos após o término do contrato.
14. Contato
- Encarregado (DPO) do Operador: contato@visionxma.com
- Razão social do Operador: VisionX
- CNPJ: 61.427.918/0001-06
- Sede: LICC – IFMA Campus Pedreiras, Pedreiras/MA
A aceitação deste DPA ocorre no momento em que o Controlador aceita os Termos de Uso ao criar a conta. Não é necessária assinatura física, salvo manifestação expressa do Controlador.