Adendo de Tratamento de Dados (DPA) — LexAthena

1. Objeto e papéis

1.1. Este Adendo regula o tratamento de dados pessoais realizado pelo LexAthena ("Operador") por conta e ordem do Contratante (o escritório ou empresa titular da Organização — "Controlador"), no âmbito da utilização da Plataforma, nos termos da Lei nº 13.709/2018 (LGPD).

1.2. O Controlador determina as finalidades e os meios do tratamento do Conteúdo do Usuário. O Operador trata esses dados exclusivamente conforme as instruções do Controlador e este Adendo.

2. Natureza, finalidade e duração

2.1. Natureza e finalidade: hospedagem, armazenamento, organização e processamento dos dados inseridos pelo Controlador, com o fim de disponibilizar as funcionalidades da Plataforma.

2.2. Categorias de titulares: clientes, partes, contrapartes, colaboradores e demais pessoas cujos dados o Controlador insira.

2.3. Categorias de dados: dados cadastrais, de contato, processuais, financeiros, documentos e demais informações inseridas pelo Controlador — podendo incluir dados sensíveis e informações sob sigilo profissional.

2.4. Duração: enquanto vigente a relação contratual, observado o disposto na cláusula de término.

3. Obrigações do Operador

O LexAthena, na qualidade de Operador, obriga-se a:

• (a) tratar os dados apenas conforme as instruções documentadas do Controlador e este Adendo, e não para finalidades próprias;
• (b) garantir que as pessoas autorizadas ao tratamento estejam sujeitas a dever de confidencialidade;
• (c) adotar medidas de segurança técnicas e organizacionais adequadas (cláusula 6);
• (d) auxiliar o Controlador, na medida do possível, no atendimento aos direitos dos titulares (art. 18 da LGPD);
• (e) auxiliar o Controlador no cumprimento das obrigações de segurança, comunicação de incidentes e relatório de impacto, quando aplicável;
• (f) notificar o Controlador sobre incidentes de segurança relevantes sem demora indevida (cláusula 7);
• (g) ao término, eliminar ou devolver os dados, conforme a cláusula 9;
• (h) manter registros do tratamento e disponibilizar ao Controlador as informações necessárias para demonstrar conformidade.

4. Obrigações do Controlador

O Controlador obriga-se a:

• (a) possuir base legal válida para o tratamento dos dados que insere e garantir a licitude de suas instruções;
• (b) inserir apenas dados para os quais tenha legitimidade;
• (c) responder, perante os titulares e a autoridade (ANPD), na qualidade de controlador;
• (d) gerir adequadamente os acessos e permissões de sua equipe na Plataforma.

5. Sub-operadores

5.1. O Controlador autoriza o LexAthena a contratar sub-operadores para a prestação do Serviço, tais como provedores de infraestrutura, hospedagem, e-mail, pagamento e recursos de IA, listados na Política de Privacidade.

5.2. O LexAthena garante que os sub-operadores estejam sujeitos a obrigações de proteção de dados compatíveis com as deste Adendo, e permanece responsável perante o Controlador pelo cumprimento por parte deles.

5.3. Alterações relevantes na lista de sub-operadores serão comunicadas, facultando ao Controlador manifestar oposição fundamentada.

6. Medidas de segurança

Serão adotadas, no mínimo: criptografia em trânsito e em repouso; controle de acesso por papel e por usuário; autenticação; segregação lógica dos dados por Organização (isolamento entre contas); registros de auditoria; e rotinas de backup. O Controlador reconhece ter meios próprios de exportação de dados na Plataforma para fins de backup.

7. Incidentes de segurança

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, o LexAthena comunicará o Controlador sem demora indevida, com as informações disponíveis (natureza, dados afetados, medidas adotadas), para que o Controlador cumpra suas obrigações perante a ANPD e os titulares.

8. Direitos dos titulares

Quando um titular exercer direitos diretamente perante o LexAthena a respeito de dados do Conteúdo do Usuário, o LexAthena, sempre que possível, o redirecionará ao Controlador e prestará o auxílio técnico razoável para o atendimento.

9. Término: devolução e eliminação

Encerrada a relação, o Controlador poderá exportar os dados enquanto a conta estiver ativa e, por até 30 (trinta) dias após o encerramento, solicitar a exportação completa ou a eliminação definitiva. Findo o prazo, os dados poderão ser eliminados dos ambientes de produção, ressalvadas as hipóteses de guarda obrigatória e de cópias de segurança sujeitas a expurgo periódico.

10. Transferência internacional

Na medida em que sub-operadores tratem dados fora do Brasil (ex.: recursos de IA), o LexAthena adotará salvaguardas adequadas nos termos da LGPD. O Controlador está ciente e autoriza tais transferências ao utilizar os respectivos recursos.

11. Disposições gerais

11.1. Em caso de conflito entre este Adendo e os Termos de Uso quanto à proteção de dados, prevalece este Adendo.

11.2. Este Adendo vigora enquanto houver tratamento de dados do Controlador pela Plataforma.