Definições
Para os fins deste Acordo de Tratamento de Dados Pessoais ("DPA"), aplicam-se as definições da LGPD (Lei nº 13.709/2018) e, quando o tratamento estiver sujeito ao GDPR, as definições correspondentes do Regulamento (UE) 2016/679. Os termos controlador e operador equivalem, respectivamente, a controller e processor, sem prejuízo das seguintes:
- Dados Pessoais: informação relacionada à pessoa natural identificada ou identificável, conforme Art. 5º, I, da LGPD.
- Dados Pessoais Sensíveis: dados sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, conforme Art. 5º, II, da LGPD.
- Titular: pessoa natural a quem se referem os Dados Pessoais tratados no âmbito deste DPA.
- Controlador: o CLIENTE, a quem competem as decisões referentes ao tratamento de Dados Pessoais, conforme Art. 5º, VI, da LGPD e, quando aplicável, Art. 4º, n.º 7, do GDPR (controller).
- Operador: a TESS, que realiza o tratamento de Dados Pessoais em nome do Controlador, conforme Art. 5º, VII, da LGPD e, quando aplicável, Art. 4º, n.º 8, do GDPR (processor).
- Tratamento: toda operação realizada com Dados Pessoais, conforme Art. 5º, X, da LGPD — coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
- Incidente de Segurança: qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação da segurança de Dados Pessoais, incluindo acesso não autorizado, vazamento, alteração, perda acidental ou ilícita.
- Suboperador: terceiro contratado pelo Operador para realizar, no todo ou em parte, atividades de tratamento de Dados Pessoais em nome do Controlador.
- ANPD: Autoridade Nacional de Proteção de Dados.
- Leis Aplicáveis de Proteção de Dados: toda legislação, regulamentação e normas aplicáveis à proteção de dados pessoais, incluindo, conforme aplicável, a LGPD, o Regulamento Geral de Proteção de Dados da União Europeia (GDPR), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e demais normas correlatas.
- Dados do Controlador: todos os dados, conteúdos, arquivos, informações, prompts, outputs, logs e metadados submetidos, armazenados, processados ou gerados no contexto dos serviços, incluindo Dados Pessoais.
- Afiliada: qualquer entidade que controle, seja controlada ou esteja sob controle comum de uma das Partes.
- Solicitação de Titular: qualquer requisição feita por um Titular relacionada ao exercício de seus direitos legais de proteção de dados.
- Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs): cláusulas aprovadas por autoridades reguladoras para legitimar transferências internacionais de dados.
Objeto e Finalidade
2.1Este DPA tem por objeto regular as condições em que o OPERADOR realizará o tratamento de Dados Pessoais em nome do CONTROLADOR, no âmbito e para os fins da execução do Contrato Principal, em conformidade com a Legislação Aplicável, incluindo a LGPD e o GDPR, conforme cada uma incidir sobre o tratamento.
2.2Este DPA constitui parte integrante e indissociável do Contrato Principal, aplicando-se a todo e qualquer tratamento de Dados Pessoais realizado pelo OPERADOR em razão da prestação dos serviços contratados.
2.3A finalidade do tratamento será limitada estritamente à execução do objeto do Contrato Principal. O OPERADOR não poderá tratar os Dados Pessoais para finalidade diversa, própria ou de terceiros, inclusive para treinamento, desenvolvimento, ajuste ou aperfeiçoamento de modelos de inteligência artificial, algoritmos ou soluções automatizadas, salvo se houver autorização prévia, expressa e documentada do CONTROLADOR.
2.4Em caso de conflito entre este DPA e o Contrato Principal, no que se refere a obrigações relativas à proteção de Dados Pessoais, prevalecerão as disposições deste DPA.
2.5Este DPA é o instrumento de tratamento de dados pessoais utilizado pela TESS tanto no âmbito da LGPD quanto no âmbito do GDPR. Para CONTROLADORES sujeitos à LGPD, supre as obrigações de contratação entre controlador e operador. Para CONTROLADORES sujeitos ao GDPR, constitui o contrato entre controller e processor exigido pelo Art. 28 do Regulamento (UE) 2016/679, inclusive quanto a objeto, duração, natureza e finalidade do tratamento, tipo de dados pessoais, categorias de titulares e obrigações e direitos do controller, descritos neste DPA e em seus Anexos.
Papéis das Partes
3.1O CONTROLADOR figura como controlador dos Dados Pessoais tratados no âmbito deste DPA, cabendo-lhe as decisões referentes à finalidade e aos meios do tratamento.
3.2O OPERADOR figura como operador dos Dados Pessoais, realizando o tratamento exclusivamente em nome e conforme as instruções documentadas do CONTROLADOR, ressalvadas as hipóteses em que a Legislação Aplicável imponha ao OPERADOR obrigação diversa, hipótese em que este deverá comunicar previamente ao CONTROLADOR, salvo se tal comunicação for vedada por motivo de relevante interesse público.
3.3Caso as Partes identifiquem, no curso da execução contratual, hipótese de tratamento em regime de controladoria conjunta ou de controladoria independente do OPERADOR para finalidades próprias, tal condição deverá ser expressamente pactuada em aditivo específico, aplicando-se, até então, o regime de operador previsto neste DPA.
Descrição do Tratamento
4.1As características do tratamento de Dados Pessoais objeto deste DPA, incluindo categorias de titulares, categorias de dados, finalidades, operações realizadas, duração, frequência, sistemas e ambientes envolvidos, estão descritas no Anexo I, que deverá ser preenchido e mantido atualizado pelo OPERADOR, com validação do CONTROLADOR.
4.2Qualquer alteração relevante no escopo do tratamento descrito no Anexo I deverá ser previamente comunicada ao CONTROLADOR, sendo vedada sua implementação sem a devida atualização deste Anexo e, quando exigido pela Legislação Aplicável, sem a autorização do CONTROLADOR.
Obrigações do Operador
O OPERADOR se obriga a:
5.1tratar os Dados Pessoais exclusivamente de acordo com as instruções documentadas do CONTROLADOR e para as finalidades previstas neste DPA e no Contrato Principal;
5.2garantir que as pessoas autorizadas a tratar Dados Pessoais estejam sujeitas a compromisso de confidencialidade, seja de natureza contratual ou legal;
5.3adotar as medidas técnicas e administrativas de segurança da informação previstas no Anexo II, compatíveis com a natureza, o porte, o risco e o escopo do tratamento realizado;
5.4auxiliar o CONTROLADOR, na medida do razoável e tecnicamente possível, no atendimento a solicitações de titulares de dados e no cumprimento de obrigações previstas na Legislação Aplicável, incluindo a realização de relatórios de impacto, quando aplicável;
5.5comunicar ao CONTROLADOR, sem demora injustificada, qualquer Incidente de Segurança que possa acarretar risco ou dano relevante aos Titulares, nos termos da Cláusula 11 deste DPA;
5.6não realizar transferência internacional de Dados Pessoais sem observância da Cláusula 9 deste DPA;
5.7não subcontratar o tratamento de Dados Pessoais a Suboperadores sem observância da Cláusula 8 deste DPA;
5.8eliminar ou devolver os Dados Pessoais ao término da prestação de serviços, conforme instruções do CONTROLADOR e nos termos da Cláusula 14 deste DPA, ressalvadas as hipóteses de guarda obrigatória por determinação legal ou regulatória;
5.9disponibilizar ao CONTROLADOR as informações necessárias para demonstrar o cumprimento das obrigações previstas neste DPA, incluindo, quando aplicável, evidências de certificações, relatórios de auditoria ou documentação equivalente.
Obrigações do Controlador
O CONTROLADOR se obriga a:
6.1fornecer instruções lícitas, claras e documentadas ao OPERADOR quanto ao tratamento de Dados Pessoais;
6.2assegurar que possui base legal adequada para o tratamento de Dados Pessoais e para o compartilhamento destes com o OPERADOR, nos termos da Legislação Aplicável;
6.3atender, no que lhe couber, às solicitações dos Titulares relacionadas ao exercício de seus direitos previstos na Legislação Aplicável;
6.4informar ao OPERADOR, tempestivamente, qualquer alteração relevante que possa impactar o tratamento de Dados Pessoais objeto deste DPA.
Medidas de Segurança Técnicas e Administrativas
7.1O OPERADOR deverá adotar, quando aplicável à natureza, ao porte, ao risco e ao escopo do tratamento, medidas técnicas e administrativas compatíveis com as boas práticas de segurança da informação, conforme detalhado no Anexo II deste DPA, que distingue controles mínimos obrigatórios de controles adicionais aplicáveis conforme o risco envolvido.
7.2Certificações, selos, atestados de conformidade ou relatórios de auditoria mantidos pelo OPERADOR (tais como ISO 27001, SOC 2 ou equivalentes), bem como a data da última auditoria ou avaliação de segurança, são publicados e mantidos atualizados no Trust Center, conforme indicado no Anexo II, podendo ser exigidos como evidência complementar de conformidade, sem prejuízo da adoção dos controles mínimos previstos neste DPA.
7.3O CONTROLADOR poderá, mediante notificação prévia e razoável, solicitar informações complementares sobre as medidas de segurança adotadas pelo OPERADOR, observado o disposto na Cláusula 12 (Auditoria e Direito de Fiscalização).
Subcontratação / Suboperadores
8.1O OPERADOR poderá subcontratar Suboperadores para o tratamento de Dados Pessoais, mediante autorização geral do CONTROLADOR, ora expressamente concedida em relação aos Suboperadores relacionados na lista publicada no Trust Center da TESS, desde que: (i) mantenha essa lista atualizada e publicamente acessível; (ii) notifique previamente o CONTROLADOR sobre qualquer inclusão, substituição ou exclusão de Suboperador, com antecedência mínima de 15 (quinze) dias corridos; e (iii) assegure ao CONTROLADOR o direito de se opor, de forma fundamentada e por escrito, dentro do referido prazo, à contratação de determinado Suboperador. Apresentada objeção fundamentada, as Partes negociarão de boa-fé, pelo prazo de até 30 (trinta) dias corridos, alternativa tecnicamente razoável; não sendo alcançado acordo, o CONTROLADOR poderá rescindir, sem ônus ou penalidade, os serviços especificamente afetados pela subcontratação objetada, permanecendo hígido o Contrato Principal quanto aos demais serviços.
8.2O OPERADOR permanece integralmente responsável perante o CONTROLADOR pelo cumprimento, por parte de seus Suboperadores, das obrigações previstas neste DPA, devendo repassar-lhes, contratualmente, obrigações de proteção de dados equivalentes às aqui estabelecidas.
8.3A contratação de Suboperador para fins de treinamento de modelos de inteligência artificial, ou que envolva o compartilhamento de Dados Pessoais para tal finalidade, dependerá de autorização prévia, expressa e específica do CONTROLADOR, não se aplicando, nesta hipótese, a autorização geral prevista no item 8.1.
Transferência Internacional de Dados
9.1O CONTROLADOR reconhece que a prestação dos serviços envolve, por sua própria natureza e arquitetura, transferência internacional de Dados Pessoais, e autoriza expressamente, neste ato, as transferências para os países, finalidades e Suboperadores descritos no Anexo I e na lista de Suboperadores publicada no Trust Center, os quais constituem, para todos os fins desta Cláusula, comunicação prévia válida e suficiente. Transferências para países ou suboperadores não descritos no Anexo I ou na referida lista dependerão de prévia comunicação ao CONTROLADOR, na forma da Cláusula 8.1, e da adoção dos mecanismos exigidos pela Legislação Aplicável, incluindo, quando pertinente, cláusulas-padrão contratuais, decisões de adequação ou outros instrumentos reconhecidos pela autoridade competente.
9.2Quando exigido pela Legislação Aplicável ou necessário à legitimidade da transferência internacional, as Partes adotarão os mecanismos contratuais, regulatórios e técnicos adequados, incluindo cláusulas-padrão contratuais ou outros instrumentos reconhecidos pela ANPD ou por autoridade estrangeira competente, conforme aplicável.
9.3Caso haja transferência internacional de Dados Pessoais, o OPERADOR deverá informar no Anexo I e/ou na lista de Suboperadores publicada no Trust Center, antes do início do tratamento ou de sua alteração relevante:
a)os países ou organismos internacionais de destino;
b)as categorias de Dados Pessoais envolvidas;
c)a finalidade da transferência;
d)os suboperadores envolvidos, quando houver; e
e)as salvaguardas jurídicas, técnicas e organizacionais adotadas, nos termos da Legislação Aplicável.
9.4Na ausência de transferência internacional de dados no âmbito da prestação de serviços, esta Cláusula não produzirá efeitos práticos, devendo o Anexo I indicar expressamente "não aplicável".
Direitos dos Titulares
10.1O OPERADOR deverá auxiliar o CONTROLADOR, em prazo razoável, mediante medidas técnicas e organizacionais apropriadas, no atendimento às solicitações de Titulares relativas ao exercício de seus direitos previstos na Legislação Aplicável, tais como confirmação de tratamento, acesso, correção, anonimização, eliminação, portabilidade e informação sobre compartilhamento de dados.
10.2Caso o OPERADOR receba diretamente solicitação de Titular relacionada a Dados Pessoais tratados em nome do CONTROLADOR, deverá encaminhá-la ao CONTROLADOR em até 5 (cinco) dias úteis, salvo prazo menor necessário para que o CONTROLADOR cumpra prazo legal ou regulatório aplicável, abstendo-se de responder diretamente ao Titular, salvo instrução em contrário do CONTROLADOR.
Notificação de Incidentes de Segurança
11.1O OPERADOR deverá comunicar ao CONTROLADOR, em até 24 (vinte e quatro) horas a partir da ciência, qualquer Incidente de Segurança que possa acarretar risco ou dano relevante aos Titulares, fornecendo, na medida do possível, informações sobre a natureza do incidente, as categorias e o número aproximado de Titulares e de registros afetados, as possíveis consequências e as medidas adotadas ou propostas para mitigação dos riscos.
11.2O OPERADOR deverá cooperar com o CONTROLADOR para a apuração das causas do Incidente de Segurança, a adoção de medidas corretivas e, quando aplicável, para o eventual cumprimento de obrigações de comunicação à ANPD e aos Titulares afetados.
11.3As Partes deverão indicar canal de comunicação específico para notificação de Incidentes de Segurança. O canal do OPERADOR consta do Anexo I.
Auditoria e Direito de Fiscalização
12.1O CONTROLADOR poderá, mediante notificação prévia por escrito com antecedência mínima de 15 (quinze) dias corridos e observados os cuidados de confidencialidade e de continuidade operacional do OPERADOR, realizar auditorias ou vistorias destinadas a verificar o cumprimento das obrigações previstas neste DPA, diretamente ou por meio de terceiro independente por si indicado, o qual não poderá ser concorrente do OPERADOR e deverá firmar termo de confidencialidade em favor deste. As auditorias observarão a periodicidade máxima de 1 (uma) vez a cada 12 (doze) meses, serão realizadas em dias úteis e em horário comercial, sem interrupção das operações do OPERADOR, e correrão às expensas do CONTROLADOR. A limitação de frequência não se aplica na hipótese de Incidente de Segurança confirmado que afete o CONTROLADOR ou de indício fundamentado de descumprimento deste DPA, casos em que a auditoria poderá ser realizada a qualquer tempo, mediante notificação com antecedência de 5 (cinco) dias úteis.
12.2Alternativamente, o OPERADOR poderá apresentar ao CONTROLADOR relatórios de auditoria independente, certificações ou questionários de conformidade equivalentes, que poderão ser aceitos pelo CONTROLADOR em substituição, total ou parcial, à auditoria presencial, a critério do CONTROLADOR.
12.3O OPERADOR deverá conceder ao CONTROLADOR acesso razoável às informações estritamente necessárias à verificação do cumprimento deste DPA, resguardadas as informações confidenciais de terceiros e de outros clientes do OPERADOR.
12.4Constatadas não conformidades em auditoria, o OPERADOR apresentará ao CONTROLADOR plano de ação corretivo em até 15 (quinze) dias corridos contados do recebimento do relatório final, com responsáveis e prazos definidos para cada medida.
Confidencialidade
13.1O OPERADOR obriga-se a manter sigilo sobre todos os Dados Pessoais e demais informações confidenciais a que tiver acesso em razão deste DPA, não podendo divulgá-los, cedê-los ou utilizá-los para finalidade diversa daquela prevista neste DPA e no Contrato Principal.
13.2As obrigações de confidencialidade previstas nesta Cláusula complementam, sem prejuízo, e não excluem as obrigações específicas de confidencialidade eventualmente já previstas no Contrato Principal.
Prazo, Retenção e Eliminação de Dados
14.1O tratamento de Dados Pessoais pelo OPERADOR vigorará durante todo o período de execução do Contrato Principal, encerrando-se automaticamente com o término deste, ressalvadas as hipóteses de retenção obrigatória por determinação legal, regulatória ou para exercício regular de direitos em processo judicial, administrativo ou arbitral.
14.2Encerrada a prestação de serviços, o OPERADOR deverá, conforme instrução do CONTROLADOR, devolver ou eliminar todos os Dados Pessoais tratados em razão do Contrato Principal, incluindo eventuais cópias, no prazo indicado no Anexo I ou, na ausência de indicação, em até 30 (trinta) dias contados do término da prestação de serviços.
14.3Eventuais cópias de segurança (backups) que contenham Dados Pessoais poderão ser eliminadas no ciclo regular de retenção de backups do OPERADOR, desde que, durante esse período, os dados permaneçam protegidos e inacessíveis para qualquer finalidade diversa da recuperação de desastres.
Responsabilidade e Indenização
15.1Cada Parte será responsável pelos danos que causar aos Titulares ou à outra Parte em decorrência do descumprimento das obrigações previstas na Legislação Aplicável ou neste DPA, na medida de sua respectiva participação no tratamento que originou o dano.
15.2Observado o limite previsto na Cláusula 15.3, o OPERADOR deverá indenizar e manter o CONTROLADOR indene de quaisquer perdas, danos, multas ou sanções administrativas impostas por autoridade competente que decorram comprovadamente de ação ou omissão do OPERADOR ou de seus Suboperadores em descumprimento a este DPA ou à Legislação Aplicável.
15.3A responsabilidade agregada do OPERADOR decorrente ou relacionada a este DPA, somada à responsabilidade decorrente do Contrato Principal, fica limitada ao limite de responsabilidade previsto no Contrato Principal ou, na ausência de previsão específica, ao valor total efetivamente pago pelo CONTROLADOR ao OPERADOR nos 12 (doze) meses anteriores ao evento que der causa à responsabilização. Tal limitação não se aplica, respondendo a Parte infratora de forma ilimitada, nas hipóteses de dolo, culpa grave, violação deliberada das obrigações de confidencialidade e demais hipóteses legalmente irrenunciáveis.
15.4Caso as Partes adotem limite específico de responsabilidade para este DPA, tal limite deverá ser indicado no Anexo I ou em aditivo próprio ao Contrato Principal.
15.5Nenhuma das Partes responderá perante a outra por lucros cessantes, perda de receita, perda de oportunidade de negócio ou danos indiretos, ressalvadas as hipóteses legalmente irrenunciáveis e os danos causados diretamente aos Titulares.
Disposições Gerais
16.1Este DPA vincula as Partes e seus sucessores a qualquer título, sendo vedada a cessão de posição contratual sem prévia anuência da outra Parte, ressalvada a cessão decorrente de operação societária que não implique alteração relevante das condições de tratamento de Dados Pessoais.
16.2A tolerância de uma Parte quanto ao eventual descumprimento de qualquer obrigação prevista neste DPA não implicará novação, renúncia ou alteração das disposições aqui estabelecidas.
16.3Caso qualquer disposição deste DPA seja considerada nula, inválida ou inexequível, as demais disposições permanecerão em pleno vigor e efeito, obrigando-se as Partes a substituir a disposição afetada por outra que, na maior medida possível, preserve a intenção original das Partes.
16.4Este DPA poderá ser atualizado a qualquer tempo, mediante aditivo escrito assinado por ambas as Partes, especialmente em razão de alterações na Legislação Aplicável, nas orientações da ANPD ou de autoridade supervisora competente no âmbito do GDPR.
Foro
17.1Fica eleito o foro previsto no Contrato Principal para dirimir quaisquer controvérsias oriundas deste DPA. Na ausência de disposição específica no Contrato Principal, fica eleito o foro da Comarca da Capital do Estado do Rio de Janeiro/RJ, com renúncia a qualquer outro, por mais privilegiado que seja.
Anexo I — Descrição Detalhada do Tratamento
Disponibilização de acesso à Plataforma Tess AI, solução SaaS multi-tenant que atua como orquestradora multimodal de Inteligência Artificial Generativa. A Plataforma roteia as solicitações do CONTROLADOR para modelos de terceiros (texto/LLM, imagem, áudio, transcrição e vídeo) por meio da tecnologia de roteamento adaptativo da TESS, sem treinar modelos próprios com dados do CONTROLADOR.
Funcionalidades: criação e execução de agentes de IA, templates e fluxos automatizados; bases de conhecimento com indexação vetorial (RAG); histórico de conversas e workspaces; integrações e acesso via API REST (API-first, disponível a partir do plano Business); autenticação via SSO (Google, Azure AD, Okta) e MFA.
Serviços acessórios, quando contratados: suporte técnico, treinamento, engenharia de prompt (criação de agentes, templates e bases de conhecimento), alocação de especialista dedicado e desenvolvimento/customização de integrações e endpoints.
Nos termos do Art. 5º, VII, da LGPD e, quando o tratamento estiver sujeito ao GDPR, dos Arts. 4º, n.º 8, e 28 do Regulamento (UE) 2016/679, quanto a todos os Dados Pessoais submetidos, gerados ou armazenados pelo CONTROLADOR na Plataforma. A TESS trata tais dados exclusivamente conforme instruções documentadas e lícitas do CONTROLADOR.
Ressalva de controladoria independente: a TESS atua como Controladora autônoma, sob sua Política de Privacidade, exclusivamente quanto a (i) dados cadastrais e de faturamento da relação comercial; e (ii) dados de telemetria, logs e segurança estritamente necessários à operação, proteção, prevenção de fraudes e cumprimento de obrigações legais. Tal tratamento não abrange o conteúdo do CONTROLADOR.
Execução do objeto do Contrato Principal, a saber: disponibilizar, operar, manter, monitorar e dar suporte à Plataforma Tess AI; receber e processar prompts, arquivos e conteúdos submetidos pelos usuários autorizados do CONTROLADOR para geração de respostas por modelos de IA (inferência); armazenar histórico, workspaces, agentes e bases de conhecimento; registrar logs para segurança, auditoria, diagnóstico e faturamento por consumo; e prestar suporte técnico.
Vedação expressa: os Dados Pessoais e o conteúdo do CONTROLADOR NÃO são utilizados para treinamento, ajuste, fine-tuning ou aprimoramento de modelos de inteligência artificial, próprios ou de terceiros, nem para qualquer finalidade própria da TESS, conforme Cláusulas 2.3 e 8.3 deste DPA.
- Usuários autorizados do CONTROLADOR: colaboradores, administradores e demais pessoas naturais às quais o CONTROLADOR conceda acesso à Plataforma.
- Terceiros do CONTROLADOR: clientes, prospects, fornecedores, candidatos ou quaisquer outros titulares cujos Dados Pessoais o CONTROLADOR opte por inserir em prompts, arquivos, bases de conhecimento ou integrações — hipótese em que as categorias de titulares são determinadas exclusivamente pelo CONTROLADOR.
- Dados cadastrais e de conta: nome, e-mail corporativo, cargo, empresa, identificador de usuário, credenciais (armazenadas com hash), papéis e permissões.
- Dados de acesso e uso: endereço IP, data e hora de acesso, navegador, sistema operacional, dispositivo, logs de autenticação e de atividade, métricas de consumo de créditos/tokens e histórico de execuções.
- Conteúdo do CONTROLADOR: prompts, arquivos e documentos enviados (texto, imagem, áudio, vídeo), outputs gerados, bases de conhecimento, embeddings e configurações de agentes — cujo conteúdo é definido unilateralmente pelo CONTROLADOR.
- Dados de faturamento: razão social, CNPJ, dados de cobrança e histórico de pagamentos. Os dados completos do cartão de crédito são coletados e processados diretamente pelos processadores de pagamento relacionados no Trust Center, NÃO sendo armazenados pela TESS.
Não, por padrão. A Plataforma Tess AI não é destinada, comercializada ou configurada para o tratamento de Dados Pessoais Sensíveis, e a TESS não os solicita nem os coleta de forma deliberada.
Caso o CONTROLADOR opte por inserir Dados Pessoais Sensíveis em prompts, arquivos ou bases de conhecimento, fá-lo-á sob sua exclusiva responsabilidade na qualidade de Controlador, cabendo-lhe definir e documentar a base legal aplicável (Art. 11 da LGPD), podendo, se necessário, comunicar previamente à TESS, para avaliação conjunta de salvaguardas adicionais para esses dados.
Coleta/recepção, acesso, armazenamento, processamento, inferência por modelos de IA de terceiros, transmissão, indexação e vetorização (RAG), orquestração de fluxos de trabalho, registro em logs, monitoramento de segurança e desempenho, cópias de segurança (backup), suporte técnico, exportação/portabilidade e eliminação.
Durante toda a vigência do Contrato Principal, encerrando-se automaticamente com o término deste, observados os prazos de devolução e eliminação previstos na Cláusula 14 e neste Anexo I, bem como eventuais hipóteses de retenção obrigatória por determinação legal ou regulatória.
Contínua. O tratamento ocorre de forma automatizada e ininterrupta sempre que usuários autorizados do CONTROLADOR utilizam a Plataforma ou suas APIs.
Plataforma Tess AI (aplicação web e API REST), com ambientes logicamente segregados de produção, homologação e desenvolvimento. Dados pessoais reais do CONTROLADOR trafegam exclusivamente em produção; ambientes de homologação e desenvolvimento utilizam dados anonimizados ou fictícios.
A infraestrutura é executada em nuvem pública, sobre dois provedores:
- Google Cloud Platform (GCP) — provedor primário: operação em Virtual Private Cloud (VPC), com contêineres e funções serverless (Cloud Run), banco de dados relacional gerenciado (Cloud SQL), armazenamento de objetos (Cloud Storage), mensageria (Pub/Sub), logging/monitoramento e WAF (Cloud Armor).
- Amazon Web Services (AWS) — provedor secundário: serviços de compute, storage, networking, banco de dados, DNS, CDN, e-mail transacional, backup, monitoramento e gestão de segredos, empregados na execução dos serviços da aplicação.
Componentes complementares: MongoDB Atlas (banco NoSQL); base vetorial para bases de conhecimento; Temporal (orquestração de fluxos); Cloudflare e Google Cloud Armor (CDN, WAF, mitigação de DDoS e DNS); Sentry e Google Cloud Logging/Monitoring (observabilidade); e APIs de provedores de modelos de IA relacionados no Trust Center.
Toda a infraestrutura é gerenciada como código (Terraform), sem uso de mídias removíveis, servidores on-premises ou repositórios externos de arquivos (Google Drive, OneDrive, Box) para dados de clientes. Isolamento entre clientes por segregação lógica.
Estados Unidos da América, como região primária de armazenamento e processamento, em infraestrutura de nuvem pública do Google Cloud Platform (provedor primário), da Amazon Web Services (provedor secundário) e do MongoDB Atlas.
Brasil: processamento de pagamentos domésticos e tráfego atendido por pontos de presença da rede de borda localizados no país. Adicionalmente, para clientes corporativos que exijam residência de dados em território nacional, a TESS pode disponibilizar ambiente full private, com armazenamento e processamento dedicados dentro do Brasil, mediante contratação específica.
Cloudflare opera em uma rede de borda multirregional (processamento de tráfego, cabeçalhos e logs de acesso em pontos de presença globais, incluindo o Brasil).
Provedores de modelos de IA processam prompts e outputs em tempo de inferência, majoritariamente nos Estados Unidos, conforme relacionado no Trust Center.
Sim — de forma bilateral entre o Brasil e os Estados Unidos.
Fluxo Brasil → Estados Unidos: os dados submetidos por usuários autorizados no Brasil são transferidos para hospedagem, armazenamento, processamento e inferência por modelos de IA na região primária, nos Estados Unidos.
Fluxo Estados Unidos → Brasil: os outputs gerados e o conteúdo armazenado retornam ao Brasil sempre que acessados ou exibidos aos usuários autorizados do CONTROLADOR, havendo ainda processamento em território nacional para pagamentos domésticos e para o tráfego atendido pela rede de borda.
Países de destino: Estados Unidos da América (região primária) e Brasil, além das demais localidades dos suboperadores relacionados no Trust Center, incluindo processamento em rede multirregional de borda.
Exceção — residência de dados no Brasil: para clientes corporativos com ambiente full private, contratado especificamente para manter armazenamento e processamento dentro do território nacional, não se aplica a transferência internacional descrita nesta cláusula, observadas as condições pactuadas em aditivo próprio.
Categorias envolvidas: todas as categorias descritas neste Anexo I.
Finalidade: hospedagem, armazenamento, processamento, inferência por modelos de IA, segurança, observabilidade, pagamentos e suporte técnico, estritamente para execução do Contrato Principal.
Salvaguardas adotadas (Arts. 33 a 36 da LGPD): celebração de DPA e de Cláusulas Contratuais Padrão (SCCs) com cada suboperador; contratos em modalidade enterprise/API comercial com os provedores de IA, vedando expressamente o uso de dados para treinamento de modelos; criptografia em trânsito (TLS 1.2 ou superior) e em repouso (AES-256); segregação lógica por cliente; controle de acesso por menor privilégio; e verificação de que os suboperadores mantêm atestações SOC 2 Type II, ISO/IEC 27001 ou equivalentes. Para CONTROLADORES sujeitos ao GDPR, poderão ser adotadas as SCCs da Comissão Europeia.
A TESS presta assistência razoável ao CONTROLADOR na elaboração de Transfer Impact Assessments (TIA).
A relação completa e vigente dos Suboperadores — com finalidade, localização, categorias de dados tratados e controles aplicáveis a cada um — está publicada e é mantida atualizada no Trust Center da Tess.
A TESS notificará o CONTROLADOR com antecedência mínima de 15 (quinze) dias corridos sobre qualquer inclusão, substituição ou exclusão de Suboperador, assegurado o direito de objeção fundamentada, nos termos da Cláusula 8.
E-mail primário (monitorado): dpo@tess.im
E-mail secundário: support@tess.im
Encarregado pelo Tratamento de Dados Pessoais (DPO): os serviços de DPO são prestados em nome da TESS pela Open CyberSecurity, consultoria especializada em privacidade e segurança da informação contratada para apoiar a conformidade com a LGPD/GDPR.
E-mail: dpo@tess.im
Endereço: Av. Prof. Pereira Reis, 76, Loja B, Santo Cristo, Rio de Janeiro, RJ, 20220-800, Brasil.
Exportação: os Dados do Controlador podem ser autoexportados pela plataforma, ou ainda disponibilizados para exportação em formato estruturado, aberto e legível por máquina (JSON, CSV ou dump SQL), durante o período de transição de 20 (vinte) dias corridos após o término das relações contratuais, antes de qualquer eliminação.
Eliminação: eliminação definitiva e segura nos ambientes produtivos em até 30 (trinta) dias corridos contados do término da prestação de serviços, mediante emissão de certificado formal de destruição indicando data, escopo (produção, homologação, backups e logs) e metodologia utilizada.
Backups: eliminados no ciclo regular de retenção de cópias de segurança da TESS, permanecendo, até lá, criptografados e inacessíveis para qualquer finalidade diversa da recuperação de desastres, nos termos da Cláusula 14.3.
Retenção residual: apenas por obrigação legal ou regulatória, exercício regular de direitos ou prevenção de fraudes, sempre com minimização de dados. Logs de segurança são retidos por, no mínimo, 30 (trinta) dias.
Definido entre as Partes no Contrato Principal ou em aditivo próprio. Na ausência de pactuação específica, aplica-se o limite de responsabilidade previsto no Contrato Principal, ressalvadas as hipóteses de dolo, culpa grave e demais exceções legalmente irrenunciáveis previstas na Cláusula 15.3.
Vedado. Nenhum dado inserido na Plataforma é utilizado para aprendizado de máquina, treinamento, ajuste ou aprimoramento dos modelos-base, próprios ou de terceiros. Os dados trafegam estritamente para inferência da sessão contratada.
Os contratos da TESS com os provedores de modelos de IA são celebrados em modalidade enterprise/API comercial, com cláusulas de não utilização dos dados para melhoria dos serviços do provedor e, quando disponível, retenção zero de dados.
A TESS não vende, licencia, cede, monetiza, combina ou enriquece os Dados do Controlador com dados de outros clientes ou de fontes próprias.
A Plataforma não possui modelo proprietário treinado pela TESS. As solicitações são roteadas para modelos de terceiros conforme a escolha do usuário ou o roteamento adaptativo da Plataforma. Os provedores efetivamente acionados constam do Trust Center, sendo engajados apenas quando o CONTROLADOR seleciona o modelo ou a funcionalidade correspondente.
Decisões automatizadas: a Plataforma é ferramenta de apoio e não toma, por si, decisões com efeitos jurídicos sobre Titulares. Eventual uso dos outputs para esse fim é decisão e responsabilidade exclusiva do CONTROLADOR, a quem compete assegurar revisão humana nos termos do Art. 20 da LGPD.
Constituem instruções documentadas do CONTROLADOR: (i) o Contrato Principal; (ii) este DPA e seus Anexos; (iii) as configurações, permissões e parâmetros definidos pelo CONTROLADOR na Plataforma; e (iv) instruções adicionais formalizadas por escrito entre as Partes.
A TESS informará prontamente o CONTROLADOR caso entenda que determinada instrução viola a Legislação Aplicável.
Solicitações de Titulares (DSAR): a TESS presta assistência ao CONTROLADOR em prazo não superior a 5 (cinco) dias úteis e não responde diretamente a Titulares sem prévia autorização do CONTROLADOR, salvo obrigação legal em sentido diverso (Cláusula 10).
RIPD/DPIA: a TESS presta assistência razoável na elaboração de Relatórios de Impacto à Proteção de Dados Pessoais, avaliações de risco e eventuais consultas à ANPD, fornecendo informações técnicas e organizacionais sobre o tratamento.
RoPA: a TESS mantém registro das operações de tratamento realizadas em nome do CONTROLADOR, disponibilizando-o mediante solicitação e NDA.
Disponibilidade contratada: 99% (noventa e nove por cento), ressalvadas paradas programadas comunicadas com antecedência mínima de 8 (oito) horas e eventos de força maior.
Suporte: remoto por chat e e-mail, com resposta no próximo dia útil (9h às 18h), conforme o Contrato Principal.
Dependência de terceiros: em caso de indisponibilidade de APIs de provedores de modelos de IA, a funcionalidade correspondente poderá ser temporariamente suspensa ou roteada para provedor alternativo.
Anexo II — Medidas de Segurança Mínimas Exigidas
O OPERADOR deverá adotar, no mínimo, os controles mínimos obrigatórios abaixo relacionados. Os controles adicionais deverão ser adotados sempre que o tratamento envolver acesso a sistemas críticos, grande volume de dados, Dados Pessoais Sensíveis ou serviços de tecnologia da informação, conforme aplicabilidade indicada pelo OPERADOR e validada pelo CONTROLADOR.
Controles mínimos obrigatórios (aplicáveis a todo Operador)
- Acesso individualizado aos sistemas, com vedação ao compartilhamento de credenciais;
- Utilização de senhas robustas e, quando tecnicamente disponível, autenticação multifator (MFA);
- Controle de acesso baseado no princípio do menor privilégio necessário à execução das atividades;
- Compromisso contratual de confidencialidade e orientação às pessoas com acesso aos Dados Pessoais;
- Manutenção de dispositivos, sistemas operacionais e softwares atualizados;
- Adoção de mecanismos de proteção contra softwares maliciosos e acessos não autorizados;
- Comunicação de Incidentes de Segurança ao CONTROLADOR em até 24 (vinte e quatro) horas da ciência;
- Descarte ou devolução segura de Dados Pessoais ao término do tratamento, nos termos da Cláusula 14;
- Gestão adequada de Suboperadores, quando aplicável, nos termos da Cláusula 8.
Controles adicionais (conforme risco, criticidade e aplicabilidade)
- Criptografia de Dados Pessoais em trânsito e em repouso;
- Geração, retenção e monitoramento de logs de acesso e de uso dos sistemas;
- Realização periódica de testes de segurança, varredura de vulnerabilidades e gestão de patches;
- Utilização de soluções de detecção e resposta a ameaças (EDR/SIEM ou equivalentes);
- Plano de Continuidade de Negócios (BCP) e Plano de Recuperação de Desastres (DRP), com definição de RTO e RPO;
- Certificações reconhecidas (ex.: ISO/IEC 27001, SOC 2 ou equivalentes), quando disponíveis;
- Realização de auditorias independentes de segurança da informação;
- Revisões periódicas de acessos concedidos e desabilitação tempestiva de acessos não utilizados.
Controles efetivamente adotados pela Tess
Todos os controles mínimos obrigatórios são adotados pela TESS, conforme detalhamento:
- Acesso individualizado: identificadores únicos por usuário em todos os sistemas, com vedação contratual e técnica ao compartilhamento de credenciais.
- Senhas e MFA: a Plataforma impõe senha com mínimo de 8 caracteres (maiúscula, minúscula e número); autenticação multifator (2FA/MFA) habilitada para todos os colaboradores da TESS e para acessos privilegiados; suporte a SSO (Google, Azure AD, Okta), OAuth e OTP.
- Menor privilégio: controle de acesso baseado em papéis (RBAC), com fluxo formal de concessão, aprovação por autorizador definido e dupla aprovação para acessos privilegiados.
- Confidencialidade: Código de Conduta e cláusulas/termos de confidencialidade assinados por todos os colaboradores; background check na contratação; treinamento de segurança e privacidade no onboarding e de forma contínua.
- Atualização: infraestrutura 100% em nuvem gerenciada como código (Terraform); patches monitorados mensalmente, testados em homologação e implantados por automação, com protocolo de hotfix para emergências críticas.
- Proteção contra software malicioso e acesso não autorizado: WAF (Cloudflare e Google Cloud Armor) com proteção contra OWASP Top 10, SQLi e XSS; Super Bot Fight Mode; firewalls, IPS e VPN; rede interna segmentada em VPC; rate limiting e validação de entrada nas APIs.
- Notificação de incidentes ao CONTROLADOR em até 24 (vinte e quatro) horas da ciência, conforme Cláusula 11 e Plano de Resposta a Incidentes.
- Descarte/devolução segura ao término do tratamento, conforme Cláusula 14.
- Gestão de Suboperadores formalizada, com avaliação de risco de terceiros, DPA ou termos equivalentes e obrigações de proteção de dados equivalentes às deste DPA (Cláusula 8).
Aplicáveis e efetivamente adotados:
- Criptografia: dados em trânsito com TLS 1.2 ou superior (HTTPS) e em repouso com AES-256; uso de RSA e AES; gestão de chaves realizada pelo provedor de nuvem sob administração da TESS. Não há suporte à chave gerenciada pelo cliente (BYOK/CMEK).
- Logs: geração, centralização e monitoramento de logs de acesso e uso, com retenção mínima de 30 (trinta) dias e acesso restrito a administradores; monitoramento de acessos privilegiados e detecção de comportamento anômalo e de falhas de configuração.
- Gestão de vulnerabilidades: varreduras sistêmicas 2 (duas) vezes por semana; SLA de correção de vulnerabilidades críticas em até 15 dias, altas em até 30 dias e médias em até 45 dias; revisão automatizada de código, análise de dependências e correção de vulnerabilidades antes da promoção à produção (UAT).
- Detecção e resposta: proteção multicamadas em nuvem (WAF, Cloud Armor, varreduras de rede e proteções lógicas na VPC) e observabilidade contínua (Sentry, Cloud Monitoring).
- BCP/DRP: backups diários e criptografados, com o tipo (full, incremental ou híbrido) definido pela criticidade do ativo, e testes de restore executados no mesmo ciclo anual. RTO e RPO definidos conforme a viabilidade técnica e comercial.
- Testes de segurança independentes: pentests e exercícios adversariais de Red Team conduzidos por parceiros especializados, com periodicidade mínima anual e execução adicional a cada lançamento relevante de nova função ou serviço.
- Revisão de acessos: revisão periódica com periodicidade mínima anual; revogação de credenciais, tokens de API e chaves de integração em até 48 (quarenta e oito) horas após desligamento ou mudança de função.
- Governança: Comitê de Segurança da Informação e Privacidade; DPO nomeado; políticas de segurança e privacidade publicadas no Trust Center e revisadas anualmente; programa formal de gestão de riscos com registro de riscos; canal de whistleblowing pelo e-mail do DPO com política de não retaliação.
- Segregação de ambientes: produção, homologação e desenvolvimento logicamente segregados; dados pessoais reais de clientes não são utilizados em ambientes de não produção (apenas dados anonimizados).
As certificações, selos, atestados de conformidade e relatórios de auditoria vigentes da TESS são publicados e mantidos atualizados no Trust Center da Tess.
Documentos de acesso restrito — inclusive relatórios de certificação, de pentest e de exercícios de Red Team, bem como atestações dos suboperadores, quando disponíveis — devem ser solicitados diretamente no Trust Center. Quando exigido, a disponibilização fica condicionada à aprovação do acesso e à assinatura de NDA.
A data da última auditoria, das avaliações de segurança e dos relatórios correspondentes é publicada e mantida atualizada no Trust Center da Tess.