Acordo de Tratamento de Dados (DPA)

Para os fins deste DPA, aplicam-se as definições da LGPD (Lei nº 13.709/2018), em especial:

• Dado Pessoal / Dados Pessoais — informação relacionada a pessoa natural identificada ou identificável, podendo incluir dado sensível quando presente no Conteúdo do Cliente.
• Titular — pessoa natural a quem se referem os dados.
• Controlador — quem decide as finalidades e os meios essenciais do tratamento.
• Operadora — quem realiza o tratamento em nome do Controlador.
• Tratamento — toda operação com dados (coleta, armazenamento, uso, eliminação etc.).
• Dados do Cliente — mensagens, contatos, mídias, metadados de canal e demais conteúdos que o Cliente e seus usuários finais inserem ou geram na plataforma em razão do Serviço.
• Incidente — acesso não autorizado ou situação acidental ou ilícita de destruição, perda, alteração, comunicação ou difusão de Dados Pessoais.
• Subprocessador — terceiro engajado pela Operadora para auxiliar no tratamento.

2.1. Para a execução do Serviço, o Cliente é Controlador e a Treffen é Operadora dos Dados do Cliente.

2.2. Em relação a dados de conta do Cliente (administradores, faturamento, cadastro comercial) e visitantes do site Treffen, a Treffen atua como Controladora, nos termos da Política de Privacidade em /privacy-policy — fora do escopo operacional deste DPA quanto a esses tratamentos próprios.

2.3. O Cliente garante que os Dados do Cliente compartilhados com a Treffen estão amparados por base legal válida e que os titulares foram informados conforme a lei aplicável, mantendo a Treffen indene quanto a tratamentos ilícitos determinados pelo Cliente.

3.1. A Treffen tratará Dados do Cliente somente para: (a) prestar o Serviço; (b) cumprir o contrato e as instruções documentadas do Cliente; (c) cumprir obrigação legal; (d) garantir segurança, prevenção a abuso e continuidade do Serviço.

3.2. A Treffen não está obrigada a seguir instruções que violem a LGPD ou outras leis; nesse caso, informará o Cliente.

3.3. Natureza do tratamento: hospedagem, transmissão, armazenamento, indexação para busca/RAG conforme configurado, processamento por agentes de IA, geração de respostas, logs operacionais e suporte.

3.4. Categorias de titulares: contatos e interlocutores dos canais do Cliente; usuários da equipe do Cliente.

3.5. Tipos de dados: identificação e contato (nome, telefone, e-mail, IDs de canal), conteúdo de mensagens e mídia, metadados de atendimento, dados de agendamento e CRM leve conforme o Cliente configurar. Dados sensíveis apenas se o Cliente ou o titular os inserirem no conteúdo.

• Gerir bases legais, transparência e direitos dos titulares perante seus canais.
• Configurar permissões de usuários e canais com cuidado razoável.
• Não instruir tratamentos ilícitos.
• Informar a Treffen sobre pedidos de titulares relativos a Dados do Cliente quando precisar da cooperação da Operadora.
• Cumprir políticas Meta/WhatsApp e demais provedores de canal que contratar.

• Tratar Dados do Cliente conforme este DPA e o contrato.
• Garantir que colaboradores com acesso estejam sujeitos a confidencialidade.
• Adotar medidas técnicas e administrativas razoáveis de segurança (controle de acesso, TLS em trânsito, isolamento lógico por tenant, práticas de desenvolvimento seguro).
• Auxiliar o Cliente, na medida razoável e técnica, a responder solicitações de titulares relativas a Dados do Cliente.
• Não utilizar Dados do Cliente para treinar modelos públicos de terceiros.
• Aplicar mascaramento de PII antes da inferência quando a funcionalidade estiver ativa, conforme /como-tratamos-os-dados.

6.1. O Cliente autoriza a Treffen a contratar subprocessadores necessários à prestação do Serviço, incluindo nuvem, pagamento, canais e provedores de modelos de IA.

6.2. A lista atual está em /subprocessadores. A Treffen permanece responsável perante o Cliente pelo tratamento realizado por subprocessadores na medida prevista na LGPD e neste DPA.

6.3. A Treffen exigirá de subprocessadores níveis de proteção compatíveis com este DPA, na medida aplicável ao serviço contratado.

6.4. Alterações materiais na lista poderão ser publicadas na página de Subprocessadores e/ou comunicadas por canal razoável. O Cliente que se opuser a um novo subprocessador material por motivo legítimo de proteção de dados deverá notificar a Treffen; as partes buscarão solução de boa-fé, podendo o Cliente rescindir o Serviço afetado se não houver alternativa razoável.

Quando o tratamento exigir transferência internacional (incluindo envio de prompts a provedores de modelos no exterior no caminho usual), a Treffen adotará mecanismo previsto no art. 33 da LGPD e na Resolução CD/ANPD nº 19/2024 (por exemplo, cláusulas contratuais com o subprocessador), conforme aplicável. Quando o Cliente e a Treffen acordarem inferência no Brasil via Amazon Bedrock (região BR), esse fluxo de inferência não constitui, por si, transferência internacional dos prompts processados nessa região.

8.1. A Treffen manterá medidas de segurança proporcionais ao risco do Serviço B2B ofertado.

8.2. Em caso de Incidente envolvendo Dados do Cliente sob este DPA, a Treffen comunicará o Cliente sem demora injustificada após ciência inequívoca, com as informações disponíveis (natureza, dados afetados na medida conhecida, medidas de contenção).

8.3. A decisão sobre comunicação à ANPD e aos titulares, quando cabível, será coordenada com o Cliente no papel de Controlador, sem prejuízo de obrigações próprias da Treffen quando a lei as impuser.

8.4. Testes de intrusão ou varreduras automatizadas contra a infraestrutura Treffen pelo Cliente exigem autorização prévia por escrito.

9.1. Durante a vigência, a Treffen retém Dados do Cliente pelo tempo necessário à prestação do Serviço e às instruções do Cliente.

9.2. Após o término do contrato ou pedido válido do Cliente, a Treffen eliminará ou anonimizará Dados do Cliente das bases ativas em até 30 dias, ressalvados: (a) backups com ciclo próprio de expiração; (b) retenção exigida por lei; (c) dados necessários à defesa de direitos em disputa.

9.3. Quando disponível, o Cliente poderá solicitar exportação em formato razoável antes da eliminação.

Mediante aviso prévio razoável, NDA e frequência não abusiva (em regra no máximo uma vez a cada 12 meses, salvo Incidente), o Cliente poderá solicitar informações ou questionário de segurança sobre o tratamento dos Dados do Cliente. Auditorias on-site ou testes invasivos dependem de acordo escrito e podem ser substituídos por relatórios ou respostas documentadas quando a Treffen assim propor de forma razoável.

Este DPA vigorará enquanto a Treffen tratar Dados do Cliente em nome do Cliente. Sobrevivem as cláusulas que por natureza devam sobreviver (confidencialidade, retenção legal, responsabilidade apurada no contrato principal).