Acordo de Tratamento de Dados (DPA)

1. Escopo e Finalidade

Este Acordo de Tratamento de Dados ("DPA") integra o contrato de prestação de serviços firmado entre a Kitopus ("Operadora") e o cliente ("Controlador") e estabelece as condições sob as quais a Kitopus trata dados pessoais por conta e ordem do Controlador, em conformidade com a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 ("LGPD").

Este DPA aplica-se ao tratamento de dados pessoais eventualmente presentes nos dados originados do ERP do Controlador — como dados de segurados, beneficiários, corretores e sinistrados contidos em apólices, propostas, parcelas, comissões e sinistros — bem como nos arquivos enviados pelo Controlador ao módulo de comparativos.

2. Definições

• Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
• Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento e eliminação;
• Titular: pessoa natural a quem se referem os dados pessoais;
• Controlador: o cliente, a quem competem as decisões referentes ao tratamento dos dados pessoais originados do seu ambiente;
• Operadora: a Kitopus, que realiza o tratamento em nome do Controlador;
• Suboperador: terceiro contratado pela Operadora para apoiar o tratamento (por exemplo, provedores de infraestrutura em nuvem);
• ANPD: Autoridade Nacional de Proteção de Dados.

3. Natureza do Tratamento e Instruções

A Kitopus tratará dados pessoais exclusivamente para a prestação dos serviços contratados: execução de análises críticas, comparativos, dashboards, geração de tarefas e notificações, e funcionalidades acessórias.

Características relevantes da arquitetura de tratamento:

• o Kitopus Agent executa somente consultas de leitura no banco de dados do ERP, no ambiente do Controlador;
• as credenciais do banco de dados do ERP permanecem no ambiente do Controlador e não são transmitidas nem armazenadas na plataforma;
• as consultas são criadas e validadas pela equipe Kitopus, versionadas por implementação e registradas a cada execução;
• os resultados ficam isolados por organização (tenant), com controle de acesso por usuários e permissões definidos pelo Controlador.

O contrato de serviços, este DPA e as configurações realizadas pelo Controlador na plataforma constituem as instruções documentadas de tratamento.

4. Obrigações da Operadora

A Kitopus compromete-se a:

• tratar dados pessoais somente conforme as instruções documentadas do Controlador e a legislação aplicável;
• garantir que as pessoas autorizadas a tratar dados pessoais estejam sujeitas a obrigações de confidencialidade;
• implementar medidas técnicas e organizacionais de segurança adequadas, conforme a seção 5;
• auxiliar o Controlador, na medida do razoável, no atendimento a solicitações de titulares e de autoridades;
• eliminar ou devolver os dados pessoais ao término da prestação dos serviços, conforme a seção 9;
• disponibilizar informações necessárias para demonstrar o cumprimento deste DPA;
• comunicar imediatamente ao Controlador caso entenda que uma instrução viola a LGPD.

5. Medidas de Segurança

A Kitopus implementa, entre outras, as seguintes medidas:

• criptografia de dados pessoais em trânsito (TLS) e em repouso;
• isolamento lógico de dados por organização (multi-tenant com Row Level Security);
• controles de acesso baseados em perfis, com princípio do menor privilégio;
• autenticação segura de usuários e do Kitopus Agent;
• registro de execuções, com snapshot e hash das consultas executadas, garantindo rastreabilidade;
• procedimentos de detecção e resposta a incidentes;
• rotinas de backup e recuperação.

Detalhes adicionais constam na Política de Segurança.

6. Suboperadores

O Controlador autoriza, de forma geral, a contratação de suboperadores pela Kitopus para apoiar a prestação dos serviços (como provedores de infraestrutura em nuvem, banco de dados gerenciado e envio de e-mails transacionais), observado que:

• a Kitopus imporá aos suboperadores obrigações de proteção de dados equivalentes às deste DPA;
• a Kitopus permanece integralmente responsável perante o Controlador pelos atos dos suboperadores;
• a lista de suboperadores será disponibilizada ao Controlador mediante solicitação, e alterações relevantes serão comunicadas com antecedência razoável, podendo o Controlador apresentar objeção fundamentada.

7. Transferências Internacionais

Caso o tratamento envolva transferência internacional de dados pessoais (por exemplo, quando suboperadores armazenam dados fora do Brasil), a Kitopus assegurará que a transferência observe o Capítulo V da LGPD, mediante:

• cláusulas contratuais que garantam nível de proteção equivalente ao da LGPD;
• transferência para países ou organismos com nível de proteção reconhecido como adequado pela ANPD; ou
• outros mecanismos de transferência admitidos pela regulamentação vigente.

8. Notificação de Incidentes de Segurança

A Kitopus notificará o Controlador, sem demora injustificada e em prazo não superior a 48 (quarenta e oito) horas após tomar ciência, sobre incidente de segurança que possa acarretar risco ou dano relevante aos titulares, incluindo na notificação, na medida das informações disponíveis:

• a natureza do incidente e os dados afetados;
• as categorias e o número aproximado de titulares envolvidos;
• as prováveis consequências do incidente;
• as medidas adotadas ou propostas para mitigação e correção.

Cabe ao Controlador, na condição de controlador dos dados, avaliar e realizar eventuais comunicações à ANPD e aos titulares, com o apoio da Kitopus.

9. Duração, Devolução e Eliminação

Este DPA vigora enquanto durar a prestação dos serviços. Ao término do contrato, a Kitopus, conforme opção do Controlador:

• disponibilizará os dados para exportação por até 30 (trinta) dias; e/ou
• eliminará os dados pessoais tratados por conta do Controlador, certificando a eliminação mediante solicitação;

ressalvados os dados cuja retenção seja exigida por obrigação legal ou regulatória, que serão mantidos pelo prazo necessário, com acesso restrito.

10. Auditoria

O Controlador poderá, mediante solicitação prévia e razoável, verificar o cumprimento deste DPA, por meio de:

• questionários e documentação de segurança e conformidade fornecidos pela Kitopus;
• relatórios e evidências dos controles implementados;
• auditoria específica, mediante acordo prévio quanto a escopo, data e confidencialidade, limitada a uma vez por ano, salvo após incidente de segurança relevante ou exigência de autoridade.

11. Responsabilidade

A responsabilidade de cada parte sob este DPA observa as limitações previstas no contrato de serviços, ressalvadas as hipóteses em que a LGPD estabeleça regime próprio de responsabilidade. Cada parte responde pelos danos que der causa por descumprimento das suas obrigações na legislação de proteção de dados.