Acordo de tratamento de dados

1. Partes e papéis

O escritório que contrata o Gestor é o controlador dos dados pessoais de clientes, partes e demais pessoas que insere no sistema; a IA Escritório é a operadora e trata esses dados em nome do escritório, só para prestar o Gestor. Este acordo é anexo dos termos de uso, tem a mesma versão e é aceito junto com eles, na contratação ou no primeiro acesso do dono do escritório.

2. Instruções documentadas

A operadora trata os dados segundo as instruções do controlador (art. 39 da LGPD). As instruções são estes termos e o uso do próprio sistema pelo escritório — o que a equipe cadastra, importa, configura, envia, exporta e apaga — e as dadas por escrito ao e-mail de suporte pelo dono do escritório. A operadora não trata os dados para finalidade própria, não os vende, não os usa para treinar modelos de inteligência artificial e avisa o controlador se uma instrução lhe parecer contrária à lei.

3. Deveres do controlador

• Ter base legal para os dados que insere e informar às pessoas atendidas como os dados delas são tratados.
• Atender os pedidos dos titulares, com as ferramentas do sistema e a ajuda da operadora.
• Decidir quem entra na equipe e com qual cargo: no Gestor não há restrição por processo ou caso, e todo usuário com cargo de advogado, estagiário ou secretaria vê todos os processos, atendimentos e documentos do escritório.
• Comunicar à ANPD e aos titulares os incidentes que a lei exige, com as informações que a operadora fornecer.

4. Confidencialidade e segurança

• Dados de cada escritório isolados dos demais na camada de dados; quem tem acesso técnico guarda confidencialidade.
• Tráfego cifrado; senhas com hash; verificação em duas etapas; relatos, anotações, peças e documentos cifrados com chave própria de cada escritório; credenciais de terceiros cifradas; trilha de auditoria dos atos sensíveis.
• A equipe da plataforma só acessa dados de um escritório para suporte pedido por ele, segurança ou ordem legal. A exportação de dados de um escritório pelo administrador da plataforma exige verificação em duas etapas, o motivo registrado e aviso por e-mail ao dono do escritório; a eliminação exige ainda o e-mail do dono e o código do 2FA no ato.

5. Suboperadores

O controlador declara estar ciente e concorda que a operadora use fornecedores das categorias abaixo, que recebem só o necessário à sua parte do serviço. Os fornecedores de cada categoria podem ser substituídos a qualquer tempo, mantidos padrões equivalentes de segurança e confidencialidade. A relação atualizada das categorias e dos fornecedores pode ser solicitada pelo e-mail de suporte. A inclusão de categoria nova é avisada por e-mail com 15 dias de antecedência; quem não concordar pode cancelar sem multa. DJEN e DataJud, do CNJ, são fontes públicas consultadas, não suboperadores.

• Infraestrutura de hospedagem, armazenamento e rede em nuvem: servidores em que a aplicação e o banco de dados ficam hospedados, armazenamento dos documentos enviados (cifrados pela plataforma antes do envio) e cópias de segurança. Usado sempre. Pode tratar dados fora do Brasil.
• Serviço de envio de e-mails transacionais: envio dos e-mails do sistema (avisos de prazo, cobrança, senha e segurança). Usado sempre. Pode tratar dados fora do Brasil.
• Provedores de inteligência artificial: extração de fatos do relato, minutas e transcrição ao vivo (o áudio vai direto do navegador e não é guardado pela plataforma). Usado só quando a equipe usa uma função de IA. Pode tratar dados fora do Brasil.
• Instituições e sistemas de processamento de pagamentos: cobrança da assinatura das contas contratadas diretamente no Gestor antes da loja. Usado só nessas contas.
• Ferramentas de segurança e monitoramento: contagem de tentativas de acesso, com IP e e-mail como chave. Usado quando ativado. Pode tratar dados fora do Brasil.

6. Incidentes de segurança

Confirmado incidente de segurança que possa trazer risco ou dano relevante aos dados do controlador, a operadora o comunica sem demora, por e-mail ao dono do escritório, em até 24 horas da confirmação, com o que aconteceu, a natureza e a categoria dos dados e dos titulares atingidos (no que for possível saber), as medidas tomadas e o que o controlador precisa fazer — para que ele cumpra o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, que dá ao controlador três dias úteis, contados do conhecimento do incidente, para comunicar a ANPD e os titulares. A operadora complementa as informações à medida que as apura e guarda o registro do incidente.

7. Devolução e eliminação

O dono do escritório baixa a cópia dos dados em Meus dados a qualquer momento, inclusive com a conta bloqueada ou cancelada, e exclui a conta por lá: a cobrança é encerrada na hora e os dados são eliminados depois de 7 dias, prazo em que ele pode desfazer. Encerrada a assinatura sem exclusão, os dados são guardados por 30 (trinta) dias e depois eliminados, com aviso por e-mail no encerramento e 7 dias antes do fim do prazo. Fica só o que a lei manda guardar (registros de cobrança e de acesso e a prova do aceite e da eliminação); as cópias de segurança, cifradas e em conta separada, são mantidas por até 30 dias, e os dados eliminados permanecem nelas por esse prazo.

8. Auditoria

A operadora fornece, mediante pedido por escrito e com prazo razoável, as informações necessárias para demonstrar o cumprimento deste acordo, como a descrição das medidas de segurança e o registro das ações administrativas sobre a conta do controlador. A trilha de auditoria do escritório fica disponível ao dono em Configurações. Verificações adicionais são combinadas entre as partes, sem expor dados de outros escritórios nem a segurança do serviço.

9. Contato

Canal do encarregado e assuntos de dados pessoais: suporte@iaescritorio.com.br.