Termo de Processamento de Dados
Versão 5.0
Data de vigência: 22 de julho de 2026
Este Adendo de Tratamento e Proteção de Dados dos Produtos e Serviços do Grupo Looplex-POL (DPA) integra o Contrato Aplicável celebrado entre o Cliente e a Provedora Aplicável identificada no Pedido, no fluxo de contratação ou no SOW correspondente.
O DPA disciplina exclusivamente o Tratamento de Dados Pessoais do Cliente realizado pela Provedora Aplicável como operadora ou suboperadora, conforme o caso. Ele poderá ser incorporado aos Termos de Uso e Licença da Plataforma, aos Termos de Produto aplicáveis a Produtos stand-alone ou integrados, aos Termos de Serviços Profissionais, a Pedidos, SOWs e outros instrumentos de contratação.
A referência ao Grupo Looplex-POL identifica coletivamente sociedades afiliadas, marcas e Produtos do ecossistema. Ela não transforma todas as sociedades do grupo em partes do mesmo contrato, não cria solidariedade e não altera a identidade da Provedora Aplicável. Cada Provedora Aplicável responde separadamente pelas obrigações assumidas em seu Contrato Aplicável.
1. Definições
1.1. Afiliada significa qualquer entidade que controle, seja controlada por ou esteja sob controle comum com uma Parte, enquanto esse controle existir.
1.2. ANPD significa a Agência Nacional de Proteção de Dados do Brasil ou a autoridade pública que venha a sucedê-la.
1.3. Aviso de Privacidade significa o aviso público do Grupo Looplex-POL que descreve os Tratamentos de Dados Pessoais realizados por uma Provedora como controladora independente.
1.4. Cliente significa a pessoa jurídica, ente ou pessoa física que contrate ou utilize o Produto exclusivamente em capacidade empresarial, institucional ou profissional, identificada no Contrato Aplicável.
1.5. Contrato Aplicável significa, conforme o contexto, os Termos de Uso e Licença, os Termos de Produto, o Pedido, o MSA, o SOW, os Termos de Serviços Profissionais ou outro instrumento que incorpore este DPA.
1.6. Controlador, Operador, Suboperador, Dado Pessoal, Dado Pessoal Sensível, Titular, Tratamento e termos equivalentes terão os significados estabelecidos nas Leis de Proteção de Dados aplicáveis.
1.7. Dados Anonimizados e Desidentificados significa informações tratadas de modo a não permitir, por meios próprios ou esforços razoáveis, a identificação de pessoa natural, Cliente, Usuário, caso, operação, contraparte ou fonte confidencial, nem a reconstrução razoável de conteúdo confidencial específico do Cliente, consideradas as informações razoavelmente disponíveis à Provedora.
1.8. Dados de Conta significa dados de usuários, administradores, contratação, autenticação, faturamento, relacionamento comercial, suporte e gestão da conta tratados pela Provedora para suas próprias finalidades legítimas.
1.9. Dados de Segurança significa logs, eventos, indicadores, evidências, sinais de fraude ou abuso, credenciais comprometidas e informações de dispositivo, rede e atividade tratadas para proteger Produtos, usuários, terceiros e a Provedora.
1.10. Dados do Cliente significa dados, arquivos, documentos, registros, valores, parâmetros, configurações, conteúdo e informações fornecidos, importados, transmitidos, armazenados ou geridos pelo Cliente ou em seu nome no Produto, excluídos Informação Pública obtida independentemente, Dados Técnicos do Serviço e ativos da Provedora.
1.11. Dados Pessoais do Cliente significa o subconjunto dos Dados do Cliente que constitua Dado Pessoal e seja tratado pela Provedora em nome e segundo instruções do Cliente, conforme o DPA.
1.12. Dados Técnicos do Serviço significa logs, telemetria, clickstream, eventos e padrões de interação, funcionalidades utilizadas, consumo, desempenho, latência, dispositivo, configuração, sinais de aceitação, rejeição, edição ou correção de resultados, registros de suporte, segurança e auditoria, tokenização, roteamento, erros, índices, caches, estatísticas e perfis de uso gerados pela operação ou utilização dos Produtos.
1.13. Feedback significa comentários, ideias, avaliações, correções, sugestões ou observações voluntariamente fornecidos sobre os Produtos ou sua evolução, excluído conteúdo confidencial que não tenha sido identificado ou destinado pelo Cliente como Feedback.
1.14. Incidente de Segurança significa violação de segurança confirmada que resulte em destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito a Dados Pessoais do Cliente tratados em sistemas controlados pela Provedora ou por seus Suboperadores. Não constitui Incidente de Segurança, por si só, tentativa malsucedida, evento bloqueado, indisponibilidade sem comprometimento de dados, incidente no ambiente do Cliente ou evento que envolva apenas Informação Pública.
1.15. Informação Pública significa informação legitimamente acessível sem obrigação de confidencialidade ou restrição de acesso, inclusive em fontes públicas, oficiais ou abertas, bem como informação produzida ou inferida independentemente dessas fontes; não inclui informação sob segredo, sigilo, acesso restrito, vazamento, erro de configuração ou violação de obrigação.
1.16. Leis de Proteção de Dados significa a Lei nº 13.709/2018, suas alterações e regulamentações, inclusive normas da ANPD, e, quando aplicável ao Tratamento identificado no Anexo I, outras leis de proteção de dados expressamente indicadas no Pedido ou no Schedule correspondente.
1.17. Lista de Suboperadores significa o registro público e versionado mantido pela Provedora com Suboperadores relevantes, serviços, finalidades, localizações e demais informações descritas na cláusula 11 e no Anexo IV.
1.18. Pedido significa formulário, proposta, ordem de contratação, contratação eletrônica ou documento comercial que identifique Cliente, Provedora Aplicável, Produtos, planos, preços, vigência, métricas e condições comerciais.
1.19. Produto significa software, serviço online, módulo, API, Serviço de Infraestrutura Jurídica, ferramenta, serviço de IA ou outra oferta identificada no Pedido ou nos Termos de Produto.
1.20. Provedora Aplicável significa a Afiliada do Grupo Looplex-POL identificada no Pedido, no fluxo de contratação eletrônica, na confirmação da contratação ou em outro documento comercial aplicável como fornecedora ou parte contratante dos respectivos Produtos ou Serviços; apenas ela é parte contratante, salvo co-contratação expressa
1.21. Serviço de Infraestrutura Jurídica significa capacidade de dados, monitoramento, automação, inteligência artificial, cálculos, documentos ou tecnologia jurídica disponibilizada a outra organização como infraestrutura de sua operação ou solução, inclusive por API, SDK, componente incorporado, ambiente de plataforma ou mecanismo equivalente.
1.22. Serviço Profissional significa consultoria, implantação, configuração, migração, desenvolvimento, treinamento, saneamento, suporte especializado, serviço gerenciado ou outra atividade humana contratada por Pedido ou SOW.
1.23. SOW significa a declaração, ordem ou anexo de trabalho que descreva escopo, Entregáveis, cronograma, preço, premissas e demais condições de um Serviço Profissional.
1.24. Termos de Produto significa o instrumento que disciplina as condições e os riscos específicos de uma família funcional de Produtos e que poderá operar integrado ao Contrato-Base ou como contrato stand-alone.
2. Escopo, aplicação e prevalência
2.1. Escopo material. Este DPA aplica-se somente ao Tratamento de Dados Pessoais do Cliente pela Provedora Aplicável como operadora ou suboperadora. Ele não regula Tratamentos em que a Provedora atue como controladora independente, os quais são descritos no Aviso de Privacidade e nos documentos aplicáveis.
2.2. Produtos e marcas. O DPA poderá ser utilizado em contratações de Produtos oferecidos sob as marcas Looplex, Promad, Publicações Online, POL Adv, Lawsoft, Botmax, Litiganty, Calcula.ai ou outras marcas do Grupo Looplex-POL, desde que o Pedido identifique a Provedora Aplicável.
2.3. Aplicação por matéria. O DPA aplica-se quando e na medida em que a Provedora processe Dados Pessoais do Cliente. A mera disponibilidade do DPA para determinado Produto não significa que todo dado tratado por esse Produto seja tratado pela Provedora como operadora.
2.4. Prevalência limitada. Em caso de conflito, este DPA prevalecerá somente quanto às obrigações da Provedora como operadora ou suboperadora de Dados Pessoais do Cliente, incluindo instruções, segurança, Suboperadores, incidentes, assistência, transferências e eliminação.
2.5. Matérias não alteradas. Salvo referência expressa e inequívoca em sentido contrário, este DPA não altera: (a) propriedade intelectual; (b) direitos sobre Informação Pública; (c) Dados Técnicos do Serviço, perfis de uso e Feedback; (d) anonimização e Dados Anonimizados e Desidentificados; (e) cobrança; (f) licenciamento; (g) garantias; (h) indenizações; ou (i) limites de responsabilidade previstos no Contrato Aplicável.
2.6. Termos de Produto e Schedules. O Anexo I e os Termos de Produto poderão detalhar operações, categorias, retenção, localizações e particularidades de uma família funcional. Eles prevalecerão apenas sobre a matéria específica que identificarem.
2.7. Sem terceiros beneficiários. Este DPA disciplina obrigações entre Cliente e Provedora Aplicável e não cria direitos contratuais diretos para Titulares, autoridades ou terceiros, sem prejuízo dos direitos conferidos por lei.
2.8. Atualizações. A Provedora poderá atualizar este DPA para refletir alterações legais, regulatórias, técnicas, societárias, operacionais, de Produtos, Suboperadores ou práticas. A versão vigente será aplicável aos Tratamentos realizados a partir de sua data de vigência, inclusive em relações iniciadas anteriormente. Não haverá direito geral de permanecer sob versão anterior, salvo congelamento expressamente negociado e identificado como alteração do regime de proteção de dados.
3. Papéis e instruções
3.1. Papel do Cliente. O Cliente será controlador dos Dados Pessoais do Cliente quando determinar suas finalidades e elementos essenciais. Se o Cliente atuar como operador de terceiro, ele declara estar autorizado a contratar a Provedora como Suboperadora e a transmitir instruções válidas.
3.2. Papel da Provedora. A Provedora tratará Dados Pessoais do Cliente como operadora ou Suboperadora somente para prestar, proteger, suportar e encerrar o Produto ou Serviço Profissional, cumprir instruções documentadas e atender obrigações legais.
3.3. Instruções documentadas. Constituem instruções documentadas: o Contrato Aplicável; o Pedido; o SOW; os Termos de Produto; as configurações selecionadas; as ações de administradores e usuários autorizados; solicitações de suporte; chamadas de API; permissões concedidas a integrações e Agentes; e outras instruções escritas aceitas pela Provedora.
3.4. Atividades de controladora independente. Não constituem instruções do Cliente os Tratamentos necessários para Dados de Conta, faturamento, relacionamento, segurança, prevenção de fraude, telemetria, perfis de uso, suporte corporativo, Informação Pública coletada independentemente, Feedback, cumprimento legal, defesa de direitos, governança de fornecedores, operações societárias e desenvolvimento ou melhoria permitidos pelo Contrato Aplicável.
3.5. Instrução incompatível. Se a Provedora entender razoavelmente que uma instrução viola lei, direito de terceiro, segurança, contrato ou capacidade técnica, poderá suspendê-la, solicitar esclarecimentos ou recusar sua execução. As Partes buscarão alternativa razoável. A Provedora não é obrigada a desenvolver funcionalidade ou assumir custo extraordinário para cumprir instrução não incluída.
3.6. Implantação soberana ou local. Quando o Produto utilizar implantação soberana, dedicada, local ou controlada, o Pedido ou Schedule indicará a infraestrutura, região e divisão de responsabilidades. A modalidade não transforma, por si só, a infraestrutura em nova parte contratante ou altera os papéis definidos neste DPA.
4. Obrigações do Cliente
4.1. Licitude e transparência. O Cliente é responsável por bases legais, avisos, consentimentos quando necessários, finalidade, necessidade, proporcionalidade e legitimidade das instruções e Dados Pessoais do Cliente.
4.2. Direitos e origem. O Cliente declara possuir os direitos, autorizações e poderes necessários para coletar, utilizar, compartilhar e instruir o Tratamento, inclusive quando houver Dados Pessoais Sensíveis, dados de crianças e adolescentes, dados sujeitos a sigilo profissional ou dados de terceiros.
4.3. Qualidade e minimização. O Cliente deverá limitar os dados ao necessário, manter qualidade e atualização compatíveis com a finalidade e evitar inserir credenciais, segredos ou categorias de alto risco quando não forem necessárias.
4.4. Usuários, permissões e Agentes. O Cliente responde por administradores, usuários, contas de serviço, Parceiros, integrações e Agentes autorizados, inclusive configurações, destinatários, credenciais, níveis de acesso e instruções transmitidas.
4.5. Segurança do Cliente. O Cliente protegerá dispositivos, redes, contas, chaves, sistemas conectados e ambientes sob seu controle, implementará autenticação adequada e comunicará sem demora credencial comprometida ou incidente relevante.
4.6. Solicitações e comunicações. O Cliente é responsável por responder Titulares e autoridades quando atuar como controlador, comunicar incidentes quando exigido e fornecer à Provedora contatos atualizados de privacidade e segurança.
4.7. Uso profissional. O Cliente deverá avaliar a adequação do Produto ao seu caso, supervisionar outputs e automações e manter controles próprios para prazos, fontes oficiais, obrigações jurídicas, financeiras e profissionais.
5. Obrigações da Provedora
5.1. Limitação de finalidade. A Provedora tratará Dados Pessoais do Cliente somente conforme este DPA, o Contrato Aplicável, instruções documentadas e lei.
5.2. Confidencialidade. A Provedora limitará acesso a pessoas autorizadas sujeitas a deveres de confidencialidade e necessidade de conhecimento.
5.3. Segurança. A Provedora manterá medidas técnicas e organizacionais descritas no Anexo II e poderá atualizá-las, desde que não reduza materialmente a proteção global durante a vigência do Serviço Afetado.
5.4. Não comercialização de conteúdo identificável. A Provedora não venderá Dados Pessoais do Cliente como banco de dados identificável nem os disponibilizará a terceiros para finalidades independentes incompatíveis com o Contrato.
5.5. Limites técnicos. A Provedora não garante segurança absoluta, eliminação instantânea em todos os backups, compatibilidade com qualquer instrução ou ausência de eventos decorrentes de sistemas, usuários ou fornecedores fora de seu controle.
5.6. Obrigações legais. Quando lei exigir Tratamento distinto das instruções, a Provedora poderá realizá-lo e, se permitido, informará o Cliente.
6. Pessoal autorizado e confidencialidade
6.1. Acesso limitado. Acesso a Dados Pessoais do Cliente será limitado a pessoal e Suboperadores que necessitem dele para a finalidade autorizada.
6.2. Compromissos. Pessoas autorizadas estarão sujeitas a obrigações contratuais, legais ou profissionais de confidencialidade e a medidas disciplinares apropriadas.
6.3. Treinamento. A Provedora manterá treinamento e conscientização proporcionais às funções e riscos.
6.4. Sigilo profissional. O uso do Produto não implica renúncia automática a sigilo profissional, privilégio ou confidencialidade. O Cliente permanece responsável por permissões, destinatários e uso compatível com suas obrigações.
7. Segurança
7.1. Medidas. As medidas do Anexo II aplicam-se conforme a natureza do Produto, risco, estado da técnica, custo, finalidade e contexto.
7.2. Evolução. A Provedora poderá substituir controles por alternativas equivalentes ou superiores, alterar fornecedores, arquitetura e tecnologia e adequar medidas a novos riscos.
7.3. Beta e desenvolvimento. Recursos beta, preview, sandbox e desenvolvimento poderão ter controles, retenção e disponibilidade diferentes. Dados pessoais, sigilosos ou de produção não deverão ser usados nesses ambientes sem autorização expressa. Obrigações legais inderrogáveis continuam aplicáveis.
7.4. Testes pelo Cliente. O Cliente não realizará pentest, varredura, engenharia reversa, teste de carga ou atividade que possa comprometer o Serviço sem autorização escrita e escopo acordado.
8. Direitos dos Titulares
8.1. Responsabilidade do Cliente. O Cliente é responsável por avaliar e responder solicitações relacionadas a Dados Pessoais do Cliente.
8.2. Solicitação recebida pela Provedora. Quando a Provedora receber solicitação identificável relativa a dados controlados pelo Cliente, poderá encaminhá-la ao Cliente, orientar o Titular ou responder apenas conforme autorização ou obrigação legal.
8.3. Assistência. Considerando a natureza do Tratamento, a Provedora disponibilizará funcionalidades existentes e assistência razoável para acesso, correção, exportação, bloqueio, eliminação ou outras medidas exigíveis.
8.4. Limites e custos. Assistência que exija desenvolvimento, restauração extraordinária, busca em sistemas legados, revisão manual extensa ou Serviço Profissional poderá ser cobrada. A Provedora não é obrigada a produzir dado que não trate ou que tenha sido eliminado conforme o Contrato.
9. Avaliações, consultas e cooperação regulatória
9.1. Avaliação de impacto. A Provedora fornecerá informações razoavelmente disponíveis sobre o Serviço para auxiliar avaliações de impacto do Cliente.
9.2. Consulta prévia. Quando legalmente exigível e relacionada ao Tratamento da Provedora, ela prestará assistência razoável à consulta do Cliente com autoridade.
9.3. Registros e evidências. A Provedora poderá fornecer relatórios, políticas, certificações, respostas a questionários e outras evidências disponíveis, sujeitas a confidencialidade e segurança.
9.4. Custos. Atividades extraordinárias poderão ser tratadas como Serviço Profissional, salvo quando decorram de descumprimento comprovado da Provedora.
10. Incidentes de Segurança
10.1. Comunicação. A Provedora comunicará o Cliente sem demora indevida após confirmar Incidente de Segurança que afete Dados Pessoais do Cliente e buscará enviar comunicação inicial em até 48 horas da confirmação, quando razoavelmente possível.
10.2. Conteúdo inicial. A comunicação poderá ser preliminar e incluirá, na medida conhecida: natureza do incidente; categorias afetadas; provável impacto; medidas adotadas; ponto de contato; e informações úteis à avaliação.
10.3. Complementações. A Provedora poderá complementar informações à medida que a investigação avançar. A comunicação não constitui reconhecimento de culpa, responsabilidade ou obrigação de indenizar.
10.4. Comunicação regulatória. O Cliente, como controlador, decide se o incidente exige comunicação à ANPD, Titulares ou terceiros e realiza essas comunicações. A Provedora prestará assistência razoável e não comunicará em nome do Cliente sem autorização, salvo obrigação legal.
10.5. Incidentes do Cliente. O Cliente comunicará à Provedora incidentes, credenciais comprometidas ou atividades que possam afetar os Produtos. Eventos originados em ambiente, instrução ou usuário do Cliente não serão atribuídos à Provedora.
10.6. Investigação e preservação. A Provedora poderá conter, suspender acessos, preservar evidências, alterar credenciais, bloquear integração e adotar medidas necessárias à segurança.
10.7. Custos. Cada Parte arcará com seus custos. Assistência extraordinária decorrente de evento imputável ao Cliente poderá ser cobrada.
11. Suboperadores
11.1. Autorização geral. O Cliente concede autorização geral para uso de Suboperadores, inclusive Afiliadas, fornecedores de nuvem, IA, hospedagem, suporte, comunicação, monitoramento e infraestrutura.
11.2. Obrigações equivalentes. A Provedora imporá ao Suboperador obrigações de proteção adequadas à natureza do serviço e permanecerá responsável por seu desempenho na extensão prevista no Contrato Aplicável e na lei.
11.3. Lista. A Provedora manterá Lista de Suboperadores pública ou disponibilizada por outro canal razoável, com as informações do Anexo IV.
11.4. Mudanças. Quando razoavelmente possível, a Provedora publicará ou comunicará inclusão ou substituição material com antecedência de 15 dias. Alterações urgentes de segurança, continuidade, disponibilidade, fornecedor ou lei poderão ocorrer antes.
11.5. Objeção. O Cliente poderá objetar em até 15 dias, exclusivamente por fundamento concreto e documentado de proteção de dados. A objeção não poderá se basear apenas em concorrência, preferência comercial, localização já aceita ou requisito não contratado.
11.6. Solução. As Partes buscarão medida razoável, como configuração, restrição ou alternativa disponível. Se não houver solução economicamente e tecnicamente razoável, qualquer Parte poderá encerrar somente o Serviço Afetado, sem rescisão automática de outros Produtos. Eventual restituição ficará limitada a valores pré-pagos não utilizados do Serviço Afetado, quando prevista no Contrato.
11.7. Suboperadores intragrupo. Afiliadas serão listadas quando efetivamente tratarem Dados Pessoais do Cliente em nome da Provedora. A mera relação societária não as torna Suboperadoras.
11.8. Terceiros independentes. Integrações ativadas pelo Cliente, fontes, sistemas, fornecedores contratados diretamente pelo Cliente ou terceiros que determinem finalidades próprias poderão atuar como controladores independentes e não serão Suboperadores da Provedora.
12. Transferências internacionais
12.1. Autorização. O Cliente autoriza transferências internacionais necessárias à prestação, suporte, segurança, continuidade, IA e infraestrutura, conforme a Lista de Suboperadores e os mecanismos legais aplicáveis.
12.2. Localizações principais. As configurações atuais destinam-se a utilizar Brasil e Estados Unidos como localizações principais de processamento de produção, conforme Produto, implantação e fornecedor. Acesso remoto, continuidade, suporte ou subprocessadores materiais adicionais deverão ser identificados na Lista de Suboperadores quando aplicável.
12.3. Mecanismos. As Partes e os Suboperadores utilizarão mecanismos permitidos pelas Leis de Proteção de Dados, inclusive decisões de adequação, cláusulas-padrão contratuais da ANPD, cláusulas equivalentes ou específicas, normas corporativas globais ou outro mecanismo válido.
12.4. Cláusulas da ANPD. Quando as cláusulas-padrão da ANPD forem o mecanismo aplicável, o texto oficial vigente será incorporado sem alteração incompatível e preenchido com o Anexo III e a Lista de Suboperadores.
12.5. Mudanças. Alteração legal, de região ou fornecedor poderá exigir novo mecanismo, atualização da Lista ou medida complementar sem necessidade de aditivo bilateral, salvo obrigação legal.
13. Retenção, exportação e eliminação
13.1. Regra por Produto. Retenção e exportação seguem o Anexo I, Termos de Produto, Pedido e configurações. Não existe prazo universal para todos os dados.
13.2. Durante a vigência. O Cliente deverá utilizar as funcionalidades de exportação e manter cópias adequadas dos dados necessários à continuidade e às suas obrigações.
13.3. Pós-término geral. Na ausência de regra específica, e somente quando o Produto oferecer exportação pós-término, a Provedora poderá disponibilizar Dados do Cliente por até 30 dias. Depois, poderá eliminar o ambiente ativo.
13.4. Logs. Salvo contratação adicional ou preservação específica: logs de uso de pessoas e Agentes serão mantidos por 30 dias em base rolling; telemetria operacional por 7 dias em base rolling; e logs de segurança e auditoria por 90 dias de retenção ativa.
13.5. Backups. Backups gerais seguirão ciclo rotativo de 30 dias. Após o encerramento, a Provedora poderá manter cópia congelada de saída por até 180 dias, com acesso restrito e sem uso operacional ordinário. A eliminação individual em backup ocorrerá no ciclo de sobrescrita.
13.6. Exceções. Dados poderão ser preservados por obrigação legal, segurança, investigação, prevenção de fraude, exercício de direitos, ordem de autoridade ou Legal Hold.
13.7. Eliminação antecipada. Solicitação de eliminação durante a vigência será atendida quando tecnicamente disponível, compatível com o Produto, instruções e obrigações da Provedora. Ela poderá afetar funcionalidade e não elimina dados tratados pela Provedora como controladora.
13.8. Dados Anonimizados. Após anonimização e desidentificação efetivas, os dados deixam de ser Dados Pessoais do Cliente para fins deste DPA e poderão ser mantidos e utilizados conforme o Contrato Aplicável.
14. Auditorias e evidências
14.1. Sequência de verificação. O Cliente deverá inicialmente utilizar documentação, questionários, relatórios, certificações e evidências disponíveis.
14.2. Auditoria extraordinária. Auditoria direta somente poderá ocorrer quando materiais razoáveis forem insuficientes e houver obrigação legal, solicitação de autoridade ou indício documentado de descumprimento material.
14.3. Condições. Salvo incidente material, auditorias ocorrerão no máximo uma vez por ano, com 30 dias de aviso, em horário comercial, por auditor independente sujeito a confidencialidade, sem acesso a dados de outros clientes, segredos, código-fonte ou vulnerabilidades exploráveis.
14.4. Segurança. Não serão permitidos pentest, varredura, exploração, cópia indiscriminada, acesso a ambientes produtivos ou atividade que crie risco sem autorização e plano específico.
14.5. Custos. O Cliente arcará com seus custos e reembolsará custos razoáveis da Provedora, salvo se a auditoria comprovar descumprimento material diretamente imputável à Provedora.
15. Informação Pública, anonimização e ativos derivados
15.1. Informação Pública independente. Informação Pública que a Provedora obtenha ou possa obter independentemente do Cliente não constitui Dado Pessoal do Cliente apenas porque também foi inserida pelo Cliente.
15.2. Enriquecimento do Cliente. Anotações, seleção distintiva, estratégia, contexto confidencial, parâmetros privados e enriquecimentos não públicos fornecidos pelo Cliente permanecem sujeitos ao regime de Dados Pessoais do Cliente quando aplicável.
15.3. Anonimização. A Provedora poderá anonimizar e desidentificar Dados Pessoais do Cliente para segurança, estatística, desenvolvimento, avaliação, treinamento, melhoria e outras finalidades previstas no Contrato, desde que o resultado não permita reidentificação razoável.
15.4. Ativos derivados. Modelos, pesos, parâmetros, métricas, métodos, perfis, taxonomias, classificadores, insights e melhorias derivados de Informação Pública, Dados Técnicos, Feedback, Dados Anonimizados ou desenvolvimento independente constituem ativos da Provedora, sem permitir reconstrução razoável de conteúdo confidencial específico do Cliente.
16. Inteligência artificial
16.1. Prestação. A Provedora poderá utilizar modelos próprios, soberanos ou de terceiros para inferência, extração, classificação, geração, recomendação e ações autorizadas.
16.2. Fornecedores comerciais. A Provedora buscará utilizar contas comerciais ou enterprise e configurações destinadas a impedir que inputs e outputs sejam usados pelo fornecedor para treinamento geral, salvo autorização, programa opt-in ou instrução específica.
16.3. Conteúdo identificável. Conteúdo identificável e não público do Cliente não será utilizado pela Provedora para treinamento generalizado de Produtos destinados a outros clientes, salvo autorização específica, projeto customizado ou outra hipótese contratual e legal aplicável.
16.4. Melhoria permitida. Informação Pública, Dados Técnicos, perfis de uso, Feedback e Dados Anonimizados poderão ser utilizados para avaliação, personalização, segurança, desenvolvimento e melhoria conforme o Contrato e o Aviso de Privacidade.
16.5. Retenção do fornecedor. Retenção, recursos stateful, zero data retention e localizações variam por fornecedor, conta, endpoint e configuração e serão descritos na Lista de Suboperadores ou ficha de transparência aplicável.
16.6. Revisão. O Cliente deverá revisar outputs, classificações e ações, especialmente quando houver efeitos jurídicos, financeiros, profissionais ou externos.
17. Soluções Incorporadas e Serviços de Plataforma
17.1. Cadeia de Tratamento. Em Solução Incorporada, o Cliente poderá atuar como controlador ou operador perante seus Usuários Finais, e a Provedora como operadora ou Suboperadora para dados transmitidos pelo Cliente conforme a finalidade contratada.
17.2. Responsabilidades do Cliente. O Cliente deverá oferecer avisos, bases legais, direitos, segurança, suporte e termos pass-through compatíveis, sem prometer obrigações superiores às assumidas pela Provedora.
17.3. Controladoria própria. A Provedora poderá atuar como controladora de Informação Pública, telemetria, segurança, faturamento, Dados de Conta e ativos próprios, ainda que a capacidade seja utilizada em Solução Incorporada, componente gerenciado ou ambiente de plataforma.
17.4. Usuário Final. Usuário Final da Solução Incorporada não se torna Cliente direto da Provedora salvo contratação expressa. Solicitações poderão ser encaminhadas ao Cliente responsável pela Solução.
18. Responsabilidade
18.1. REGIME CONTRATUAL DE RESPONSABILIDADE. ESTE DPA NÃO CRIA OBRIGAÇÃO AUTÔNOMA DE INDENIZAR, NÃO AMPLIA LIMITE DE RESPONSABILIDADE E NÃO AFASTA EXCLUSÕES OU LIMITAÇÕES DO CONTRATO APLICÁVEL. RESPONSABILIDADE, INDENIZAÇÃO E LIMITES SEGUEM O INSTRUMENTO QUE REGE O PRODUTO OU SERVIÇO AFETADO.
18.2. Produto e Serviços Profissionais. Reclamação ligada à Plataforma ou Produto ficará sujeita ao regime da Plataforma ou Termos de Produto. Reclamação ligada exclusivamente a Serviço Profissional ficará sujeita ao regime dos Termos de Serviços Profissionais. Os limites não se somam automaticamente.
18.3. Responsabilidade legal inderrogável. Nada limita responsabilidade que não possa ser validamente limitada pela lei aplicável.
18.4. Mitigação. As Partes cooperarão para reduzir dano e evitar duplicidade de recuperação pelo mesmo fato.
19. Disposições gerais
19.1. Vigência. Este DPA vigorará enquanto a Provedora tratar Dados Pessoais do Cliente e durante retenções permitidas.
19.2. Lei e foro. Lei, foro e solução de controvérsias seguem o Contrato Aplicável, sem afastar competência de autoridade.
19.3. Cessão. Cessão do DPA acompanha cessão válida do Contrato Aplicável. Reorganização societária poderá alterar a Provedora mediante atualização do Pedido, aviso ou sucessão válida.
19.4. Independência. Invalidade de disposição não afeta as demais. A disposição será aplicada na máxima extensão válida.
19.5. Não renúncia. Tolerância não constitui renúncia.
19.6. Idioma. A versão em português prevalecerá, salvo instrumento assinado que indique outro idioma.
19.7. Notificações. Notificações contratuais poderão ser realizadas pelos canais do Contrato. Incidentes serão comunicados ao contato de segurança ou administrador cadastrado.
19.8. Contato. Questões sobre este DPA poderão ser enviadas a dpo@looplex.com.br ou ao canal indicado na página oficial do Encarregado de Dados.
ANEXO I - SCHEDULES DE TRATAMENTO
A. Regras gerais do Schedule
| Campo | Regra geral |
|---|---|
| Partes | Cliente e Provedora Aplicável indicados no Pedido ou SOW. |
| Papel do Cliente | Controlador ou operador, conforme a finalidade e sua relação com os Titulares. |
| Papel da Provedora | Operadora ou Suboperadora quanto aos Dados Pessoais do Cliente; controladora independente nas atividades excluídas da cláusula 3.4. |
| Duração | Durante a vigência do Produto ou Serviço Profissional e pelos períodos de retenção aplicáveis. |
| Operações | Receber, coletar, transmitir, hospedar, armazenar, organizar, estruturar, consultar, visualizar, extrair, indexar, classificar, gerar, transformar, integrar, disponibilizar, proteger, suportar, exportar e eliminar. |
| Frequência | Contínua, periódica ou sob solicitação, conforme o uso e a configuração. |
| Dados sensíveis | Não são necessários por padrão, mas podem ser inseridos pelo Cliente quando o Produto e a lei o permitirem. |
| Localizações principais | Brasil e Estados Unidos, conforme Produto, implantação e Suboperadores. |
| Medidas | Anexo II e medidas específicas do Produto. |
B. Schedule 1 - Produtos SaaS, gestão, documentos e analytics
| Campo | Detalhamento |
|---|---|
| Produtos abrangidos | Plataforma Looplex; Builder; Cases; Content/DMS; Finance; Dashboards; Promad; POL Adv; Lawsoft durante transição; e outros Produtos SaaS indicados no Pedido. |
| Objeto | Aplicação, gestão de usuários, armazenamento, organização, automação, geração de documentos, workflows, gestão de casos, DMS, cálculos, analytics, integrações, suporte e migração. |
| Titulares | Usuários, empregados, prestadores, clientes do Cliente, partes, contrapartes, advogados, testemunhas, peritos, agentes públicos, fornecedores e outras pessoas representadas nos Dados do Cliente. |
| Categorias de dados | Identificação, contato, dados profissionais, processuais, contratuais, financeiros, patrimoniais, comunicações, documentos, imagens, metadados, permissões, registros de atividade e dados escolhidos pelo Cliente. |
| Dados sensíveis possíveis | Saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, genética e outros, somente quando inseridos pelo Cliente e necessários à finalidade. |
| Retenção ativa | Durante a vigência e conforme configuração ou plano. |
| Pós-término | Prazo do Termo de Produto; na ausência, até 30 dias quando o Produto oferecer exportação pós-término. |
| Backups | 30 dias rotativos; cópia congelada de saída por até 180 dias. |
| Particularidades | Content/DMS, Cases, Finance e sistemas legados poderão ter schedules específicos de retenção, migração e exportação. |
C. Schedule 2 - Monitoramento, publicações e dados processuais
| Campo | Detalhamento |
|---|---|
| Produtos abrangidos | Publicações Online, Looplex Monitoring, POL Adv, Botmax e Serviços de Infraestrutura Jurídica relacionados. |
| Objeto | Receber parâmetros do Cliente, pesquisar e monitorar fontes, realizar matching, classificação, saneamento, deduplicação, enriquecimento, alerta, entrega e integração. |
| Fronteira de papéis | Corpus de Informação Pública e enriquecimentos independentes: Provedora como controladora. Parâmetros, carteiras, regras específicas, matching e entrega para o Cliente: Provedora como operadora ou Suboperadora. |
| Titulares | Partes, advogados, representantes, agentes públicos, testemunhas, peritos e pessoas mencionadas em processos, publicações e parâmetros. |
| Categorias de dados | Nome, identificação profissional, OAB, CPF/CNPJ quando disponível, número de processo, tribunal, partes, eventos, decisões, publicações, movimentos, parâmetros, classificações e alertas. |
| Retenção dos parâmetros | Durante a vigência e por até 30 dias após remoção da carteira ou término, salvo Pedido distinto. |
| Retenção dos resultados | Durante o período histórico contratado; na ausência de regra específica, até 30 dias após o término. |
| Particularidades | O Cliente continua responsável por prazos, fonte oficial, qualidade dos parâmetros e Tratamento posterior. Falsos positivos e negativos são riscos do Produto, não Incidentes de Segurança. |
D. Schedule 3 - Serviços de inteligência artificial
| Campo | Detalhamento |
|---|---|
| Produtos abrangidos | Looplex Copilot, Looplex Autopilot, Litiganty, funcionalidades de IA do Promad, Calcula.ai quando aplicável, classificadores, extração e Agentes. |
| Objeto | Inferência, geração, extração, classificação, resumo, análise, recomendação, uso de ferramentas e execução de ações autorizadas. |
| Titulares | Pessoas representadas em prompts, documentos, casos, fontes e sistemas conectados. |
| Categorias de dados | Prompts, instruções, documentos, textos, imagens, áudio, dados de casos, contexto recuperado, outputs, avaliações, classificações e ações. |
| Papel | Operadora para Conteúdo do Cliente processado para inferência. Controladora para Dados Técnicos, segurança, perfis de uso, Informação Pública, Feedback e melhoria permitida. |
| Fornecedores | Serviços comerciais ou enterprise constantes da Lista de Suboperadores, inclusive Azure, Anthropic, Google ou implantação soberana/local. |
| Treinamento por fornecedor | Configurações comerciais destinadas a impedir o uso de inputs e outputs para treinamento geral do fornecedor, salvo autorização, programa opt-in ou instrução específica. |
| Histórico | Conforme Produto e configuração. Na ausência de recurso ou prazo específico, até 30 dias após exclusão ou término. |
| Logs | Logs de uso de humanos e Agentes: 30 dias rolling; telemetria: 7 dias rolling; logs de segurança: 90 dias, salvo contratação adicional ou Legal Hold. |
| Particularidades | Saídas exigem revisão. Agentes dependem de permissões e poderão produzir efeitos em sistemas externos. |
E. Schedule 4 - Serviços Headless, Embedded, OEM, White-label e PaaS
| Campo | Detalhamento |
|---|---|
| Produtos abrangidos | Aplicações, portais, produtos e experiências próprias construídas sobre capacidades da Provedora, inclusive monitoramento, documentos, IA, cálculos, dados ou gestão. |
| Objeto | Processar chamadas, parâmetros, dados e outputs e disponibilizar APIs, SDKs, componentes ou ambientes necessários à Solução Incorporada descrita no Pedido. |
| Papel do Cliente | Controlador ou operador perante seus Usuários Finais, conforme a finalidade; Cliente contratual perante a Provedora. |
| Papel da Provedora | Operadora ou Suboperadora para dados transmitidos em nome do Cliente; controladora para Informação Pública, segurança, telemetria, Dados de Conta e faturamento. |
| Titulares | Usuários finais do Parceiro e pessoas representadas nos dados enviados ou retornados. |
| Dados | Identificação técnica, parâmetros, prompts, documentos, dados processuais, outputs, logs de API e metadados. |
| Retenção | Conforme Termos da família funcional; na ausência, até 30 dias para dados transitórios e pós-término. |
| Particularidades | O Cliente deverá oferecer transparência, segurança, suporte e mecanismos de direitos aos seus Usuários Finais. Aplicam-se os Termos de Soluções Incorporadas; eventual revenda do Produto original seguirá instrumento comercial separado. |
F. Schedule 5 - Serviços Profissionais
| Campo | Detalhamento |
|---|---|
| Objeto | Consultoria, implantação, configuração, migração, desenvolvimento, treinamento, suporte especializado e serviços gerenciados. |
| Titulares | Usuários, empregados, clientes, partes e outras pessoas representadas nos materiais do projeto. |
| Dados | Documentos, registros, entrevistas, gravações quando autorizadas, dados de configuração, código, ambientes, tickets, entregáveis e métricas. |
| Retenção de working files | Durante o projeto e por até 90 dias após seu encerramento, salvo SOW diverso. |
| Registros de projeto | Evidências contratuais, aceite, faturamento e defesa de direitos seguem a retenção de controladora aplicável. |
| Entregáveis | Dados inseridos no Produto seguem o Schedule do Produto; entregáveis exportados ficam sob responsabilidade do Cliente. |
| Particularidades | O SOW poderá restringir categorias, ambientes e Suboperadores ou estabelecer controles adicionais. |
ANEXO II - MEDIDAS TÉCNICAS E ORGANIZACIONAIS DE SEGURANÇA
1. Programa de segurança e governança
A Provedora manterá programa de segurança compatível com seu porte, riscos e Produtos, incluindo papéis e responsabilidades, políticas internas, avaliação periódica de riscos, gestão de incidentes e supervisão executiva ou técnica adequada.
2. Pessoal e confidencialidade
A Provedora adotará deveres de confidencialidade, treinamento periódico, gestão de acessos e procedimentos de desligamento para pessoas com acesso a sistemas ou dados relevantes. Acesso será concedido por necessidade e revogado quando deixar de ser necessário.
3. Inventário, classificação e minimização
A Provedora manterá inventário razoável de ativos relevantes, classificará informações conforme sensibilidade, aplicará minimização e restringirá cópias locais ou impressas. Mídias e dispositivos serão descartados ou reutilizados mediante processo seguro.
4. Identidade e controle de acesso
A Provedora utilizará identificadores individuais quando apropriado, privilégio mínimo, segregação de funções, revisões periódicas, autenticação reforçada para acessos administrativos e multifator para acessos privilegiados ou remotos quando suportado e adequado ao risco.
Contas de serviço, chaves e tokens serão geridos de forma a limitar escopo, duração e exposição. Senhas e segredos não serão armazenados em texto aberto em repositórios de código.
5. Criptografia e gestão de segredos
Dados em trânsito serão protegidos por protocolos criptográficos de mercado, normalmente TLS 1.2 ou superior. Dados em repouso serão criptografados quando suportado pela infraestrutura e apropriado à natureza do Serviço. Chaves, credenciais e segredos serão protegidos por mecanismos de gestão e acesso restrito.
6. Segregação e arquitetura
A Provedora adotará controles lógicos para separar organizações, ambientes e permissões. Ambientes de desenvolvimento, teste e produção serão segregados de forma apropriada. Dados de produção não deverão ser copiados para desenvolvimento sem necessidade, autorização e proteção adequada.
7. Segurança de rede, endpoint e nuvem
Serão utilizados, conforme o Serviço, controles como firewalls, grupos de segurança, segmentação, proteção de aplicações, mitigação de abuso e DDoS, monitoramento de rede, hardening, proteção de endpoints, gestão de configuração e controles nativos de provedores de nuvem.
8. Desenvolvimento seguro e mudanças
A Provedora manterá práticas de desenvolvimento seguro, revisão de código ou controles equivalentes, gestão de mudanças, testes, separação de ambientes, gestão de dependências, varredura de segredos e correção de vulnerabilidades segundo criticidade e risco.
Mudanças relevantes serão aprovadas e registradas conforme processos internos. Recursos beta poderão seguir ciclo diferenciado, sem afastar obrigações legais.
9. Vulnerabilidades e testes
A Provedora realizará avaliações, varreduras ou testes proporcionais ao risco e tratará vulnerabilidades em prazo baseado em severidade, exposição, disponibilidade de correção e medidas compensatórias. O Cliente não poderá realizar pentest ou varredura sem autorização.
10. Logs, monitoramento e detecção
A Provedora manterá logs e monitoramento compatíveis com o Serviço e a finalidade. Salvo prazo adicional contratado ou evento sujeito a retenção específica:
- logs de uso por usuários humanos e Agentes serão mantidos por 30 dias em base rolling;
- telemetria operacional será mantida por 7 dias em base rolling;
- logs de segurança e auditoria serão mantidos ativamente por 90 dias;
- evidências relacionadas a incidente, fraude, investigação, obrigação legal ou defesa de direitos poderão ser preservadas por período maior.
Esses prazos não se confundem com registros de negócio, histórico de casos, documentos, resultados, publicações ou trilhas contratadas como funcionalidade do Produto.
11. Resposta a incidentes
A Provedora manterá processo para identificação, triagem, contenção, investigação, comunicação, recuperação e aprendizado de incidentes. Evidências serão preservadas de maneira proporcional. O processo observará a cláusula 10 do DPA.
12. Continuidade, disponibilidade e recuperação
A Provedora manterá medidas razoáveis de continuidade e recuperação adequadas ao Serviço. Redundância, recuperação, RTO, RPO e disponibilidade dependerão do Produto e do SLA aplicável.
13. Backups
Backups gerais utilizarão ciclo rotativo de 30 dias, salvo Schedule específico. Após o encerramento do Cliente ou Produto, a Provedora poderá manter uma cópia congelada por 180 dias, criptografada ou protegida, com acesso restrito e sem uso operacional ordinário, para recuperação, segurança, integridade, investigação e defesa de direitos.
A existência de backup não garante restauração de item individual, versão intermediária ou dado removido, salvo funcionalidade ou Serviço Profissional contratado.
14. Gestão do ciclo de vida
A Provedora aplicará procedimentos para retenção, exportação, eliminação e sobrescrita conforme o DPA, os Termos de Produto e a matriz de retenção. Exclusões em backups ocorrerão no ciclo normal, salvo Legal Hold.
15. Fornecedores e Suboperadores
A Provedora avaliará fornecedores relevantes, celebrará contratos adequados, limitará acesso à finalidade e acompanhará alterações materiais. Controles físicos e de datacenter poderão ser herdados dos provedores de nuvem.
16. Segurança física
Instalações próprias, quando aplicável, utilizarão controles de acesso razoáveis. Datacenters e infraestrutura terceirizada seguirão controles do respectivo provedor e compromissos contratuais aplicáveis.
17. Inteligência artificial
A Provedora buscará utilizar contas comerciais ou enterprise e configurações destinadas a impedir o uso de inputs e outputs para treinamento geral dos fornecedores, salvo autorização ou opt-in. Poderão ser utilizados Azure, Anthropic, Google e outros fornecedores listados, bem como modelos executados em implantação soberana ou local.
Permissões, roteamento, ferramentas, logs e integrações de Agentes serão controlados conforme o Produto. A Provedora poderá restringir modelos, ferramentas ou ações por segurança e conformidade.
18. Avaliação e melhoria contínua
A Provedora revisará seu programa de segurança e poderá atualizar controles, processos e tecnologias. Nenhuma descrição constitui garantia de invulnerabilidade ou compromisso de manter tecnologia específica.
ANEXO III - TRANSFERÊNCIAS INTERNACIONAIS
1. Estrutura
Quando uma transferência internacional de Dados Pessoais do Cliente depender de cláusulas-padrão contratuais da ANPD, as Partes e o Suboperador aplicável adotarão o texto oficial vigente, sem alterações incompatíveis, e completarão variáveis e anexos com as informações abaixo e na Lista de Suboperadores.
| Campo | Informação padrão |
|---|---|
| Exportador | Provedora Aplicável ou Cliente, conforme a direção da transferência e o Contrato Aplicável. |
| Importador | Suboperador ou entidade receptora identificada na Lista de Suboperadores. |
| Países principais | Brasil e Estados Unidos. |
| Categorias de dados | As previstas no Schedule de Produto aplicável. |
| Titulares | As categorias descritas no Anexo I. |
| Finalidade | Prestação, segurança, suporte e continuidade do Produto ou Serviço Profissional. |
| Duração | Vigência e retenção aplicável. |
| Transferências subsequentes | Permitidas apenas com proteção adequada e finalidade compatível. |
| Canal de direitos | dpo@looplex.com.br e canal do Cliente controlador. |
2. Módulos de outras jurisdições
Se GDPR, UK GDPR ou outra lei internacional for aplicável e isso for identificado no Pedido ou Schedule, as Partes poderão incorporar módulos jurisdicionais adicionais, inclusive cláusulas-padrão da União Europeia ou adendo do Reino Unido, sem alterar o núcleo da LGPD nem a alocação contratual de responsabilidade, salvo obrigação legal.
ANEXO IV - ESTRUTURA DA LISTA DE SUBOPERADORES
A lista pública deverá conter, no mínimo:
| Campo | Conteúdo |
|---|---|
| Entidade | Razão social ou identificação do fornecedor ou Afiliada. |
| Categoria | Infraestrutura, hospedagem, IA, suporte, comunicação, analytics, segurança, monitoramento ou Afiliada intragrupo. |
| Serviço e finalidade | Atividade realizada para a Provedora. |
| Produtos | Produtos ou famílias potencialmente abrangidos. |
| Dados | Categorias gerais de dados processados. |
| Localização | Países principais de armazenamento, inferência, suporte ou acesso material. |
| Transferência | Mecanismo utilizado quando aplicável. |
| Treinamento de IA | Se inputs e outputs podem ser utilizados pelo fornecedor e sob quais configurações. |
| Retenção do fornecedor | Regra geral ou referência à documentação oficial. |
| Atualização | Data de publicação da inclusão ou alteração. |
| Fonte | Link para DPA, trust center ou política oficial do fornecedor. |
A Lista de Suboperadores poderá ser mantida como página ou registro dinâmico e não precisa reproduzir subprocessadores indiretos de cada fornecedor quando estes já forem identificados por link oficial e o mecanismo de transferência aplicável permitir essa estrutura.