Acordo de Tratamento de Dados Pessoais

Este acordo integra os Termos de Uso e disciplina o tratamento dos dados pessoais que o cliente carrega ou coleta por meio do Spriggan. Ele segue a Lei nº 13.709/2018 (LGPD).

1. Papéis

O cliente é o controlador: é ele quem decide quais dados coleta, de quem, com que finalidade e sob qual base legal. A operadora da plataforma é operadora: trata os dados exclusivamente em nome do cliente e de acordo com as instruções dele.

Nenhum dado do cliente é usado para finalidade própria da operadora, cedido a terceiros para fins comerciais, ou combinado com a base de outro cliente. Se a operadora vier a determinar, por conta própria, finalidade ou meio essencial de algum tratamento, passará a responder como controladora naquele ponto específico.

2. Instruções do controlador

As instruções são dadas pela configuração da conta e pelo uso da plataforma: a base de conhecimento carregada, as perguntas ativadas, as jornadas e campanhas criadas, os canais conectados e as permissões concedidas à equipe. Instruções adicionais podem ser dadas por escrito.

A operadora informará o cliente caso, em sua avaliação, uma instrução recebida viole a legislação de proteção de dados.

3. Objeto do tratamento

Dados sensíveis e dados de crianças e adolescentes. A plataforma não foi desenhada para tratar essas categorias. O cliente que precise fazê-lo deve acordar previamente por escrito com a operadora as salvaguardas adicionais aplicáveis.

4. Segurança

As medidas técnicas em vigor incluem:

• Isolamento entre contas imposto no banco de dados, e não apenas na aplicação: cada conexão enxerga somente os dados da conta em que está autenticada.
• Chave de criptografia distinta por conta para os campos sensíveis, guardada de forma encapsulada.
• Tráfego cifrado ponta a ponta, cookies de sessão inacessíveis a script e cabeçalhos de segurança no navegador.
• Perfis de permissão por função, com escopo de visão limitado à hierarquia da equipe do cliente.
• Trilha de auditoria que registra o contexto que levou a uma ação automatizada — não apenas que ela ocorreu.
• Cópias de segurança diárias com verificação automática de integridade.

Todo pessoal com acesso a dados pessoais está sujeito a obrigação de confidencialidade, que subsiste ao fim do vínculo.

5. Suboperadores

O cliente autoriza, de forma geral, a contratação dos suboperadores listados abaixo. A lista reflete a configuração vigente da plataforma:

A operadora comunicará a inclusão ou substituição de suboperador com pelo menos 30 dias de antecedência. O cliente que se opuser de forma fundamentada poderá rescindir sem ônus se a objeção não puder ser acomodada. A operadora responde pelos atos de seus suboperadores como se fossem próprios.

Vale registrar o desenho: a integração com WhatsApp, a busca semântica e a transcrição de áudio rodam na própria infraestrutura, em servidor no Brasil — não são enviadas a serviços de terceiros.

6. Transferência internacional

Processam dados fora do Brasil: Anthropic PBC, Resend, Inc., Stripe, Inc. — respectivamente para modelos de linguagem que geram as respostas do chat e as análises; envio e rastreio de e-mail de campanha e notificação; processamento de pagamento da assinatura. Essas transferências são necessárias à execução do contrato e amparadas em cláusulas contratuais de proteção firmadas com cada fornecedor, nos termos do art. 33 da LGPD.

Cliente sujeito a exigência regulatória de manter todo o tratamento em território nacional deve tratar disso antes da contratação: parte das funcionalidades de inteligência artificial depende de fornecedor no exterior e precisaria ser desativada ou substituída.

7. Direitos dos titulares

Como controlador, o atendimento aos titulares cabe ao cliente. A plataforma oferece os recursos para localizar, corrigir, exportar e eliminar os dados de uma pessoa, além do registro de consentimento e do descadastramento de comunicações.

Pedido que chegue diretamente à operadora será encaminhado ao cliente sem demora, e a operadora prestará a assistência técnica necessária para a resposta no prazo legal.

8. Incidentes de segurança

Tomando conhecimento de incidente que envolva dados pessoais do cliente, a operadora o comunicará sem demora injustificada e em até 48 horas, informando a natureza do ocorrido, os dados e titulares afetados quando identificáveis, as consequências prováveis e as medidas adotadas.

A comunicação à Autoridade Nacional de Proteção de Dados e aos titulares é decisão e responsabilidade do cliente, na condição de controlador, com o apoio técnico da operadora.

9. Auditoria e demonstração de conformidade

A operadora disponibilizará ao cliente as informações necessárias para demonstrar o cumprimento deste acordo. O cliente pode solicitar auditoria uma vez por ano — ou a qualquer tempo após incidente que o afete —, mediante aviso prévio de 30 dias, em horário comercial, sem prejuízo à operação e resguardado o sigilo dos demais clientes. A auditoria pode ser atendida por relatório ou certificação equivalente, quando suficientes.

10. Término: devolução e eliminação

Encerrado o contrato, o cliente tem 30 dias para exportar seus dados em formato estruturado e de uso comum. Findo esse prazo, os dados são eliminados dos sistemas de produção em até 30 dias, e das cópias de segurança conforme o ciclo natural de rotação descrito nos Termos de Uso, ressalvado o que a lei obrigue a reter. A eliminação é confirmada ao cliente por escrito, quando solicitado.

11. Responsabilidade

Cada parte responde pelo descumprimento das obrigações que a LGPD lhe atribui. As limitações de responsabilidade dos Termos de Uso aplicam-se a este acordo, sem afastar as responsabilidades legais perante titulares e autoridade.

12. Vigência

Este acordo vigora enquanto durar a relação contratual e, nas obrigações que por natureza o exijam — confidencialidade, eliminação, cooperação em incidente —, também após o término.

Versão de 2026-07-29.