Acordo de Tratamento de Dados

Última atualização: 20 de outubro de 2026

Preâmbulo

Este Acordo de Tratamento de Dados (“DPA”) integra e complementa os Termos de Uso (o “Contrato”) celebrados entre o CONTRATANTE e a MUPI SYSTEMS LTDA. (CNPJ 26.882.608/0001-80), titular da plataforma SIG Virtual, e disciplina o tratamento de dados pessoais realizado pela LICENCIANTE por conta do CONTRATANTE na prestação do serviço. Foi elaborado em conformidade com a Lei n.º 13.709/2018 (LGPD) e com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD). Os termos em maiúsculas não definidos aqui têm o significado que lhes é atribuído no Contrato.

1. Definições

1.1. “LEGISLAÇÃO DE PROTEÇÃO DE DADOS”: a LGPD, a regulamentação editada pela ANPD e demais normas de proteção de dados aplicáveis ao tratamento.

1.2. “DADOS PESSOAIS”, “DADOS PESSOAIS SENSÍVEIS”, “TITULAR”, “TRATAMENTO”, “INCIDENTE DE SEGURANÇA” e “ANPD” têm o sentido da LEGISLAÇÃO DE PROTEÇÃO DE DADOS.

1.3. “CONTROLADOR”: o CONTRATANTE, a quem competem as decisões sobre as finalidades e os meios do TRATAMENTO dos DADOS PESSOAIS inseridos ou recebidos na CONTA.

1.4. “OPERADOR”: a LICENCIANTE, que trata DADOS PESSOAIS em nome e conforme as instruções do CONTROLADOR.

1.5. “SUBOPERADOR”: terceiro contratado pela LICENCIANTE para tratar DADOS PESSOAIS na prestação do serviço.

2. Objeto e Papéis

2.1. Este DPA rege o TRATAMENTO de DADOS PESSOAIS realizado pela LICENCIANTE, como OPERADOR, em nome do CONTRATANTE, como CONTROLADOR, na execução do Contrato, e o integra para todos os fins.

2.2. O CONTRATANTE é responsável por possuir base legal válida para o TRATAMENTO e por cumprir seus deveres de CONTROLADOR, inclusive a transparência perante os TITULARES. A LICENCIANTE trata os DADOS PESSOAIS exclusivamente para prestar o serviço, conforme o Anexo I.

2.3. Quando o CONTRATANTE contratar serviços profissionais da LICENCIANTE, como o de compliance officer externo, a LICENCIANTE também atuará como OPERADOR no acesso e na análise de relatos e documentos, limitada ao escopo e às instruções da respectiva contratação.

2.4. Não se incluem neste DPA os DADOS PESSOAIS que a LICENCIANTE trata para finalidades próprias, como o cadastro e a cobrança do CONTRATANTE, a segurança da PLATAFORMA e as métricas de uso, regidos pela Política de Privacidade do SIG Virtual e pela Política de Privacidade do grupo Mupi Systems.

2.5. Em caso de conflito entre o Contrato e este DPA quanto ao TRATAMENTO de DADOS PESSOAIS, prevalece este DPA.

3. Instruções de Tratamento

3.1. A LICENCIANTE tratará DADOS PESSOAIS apenas conforme as instruções documentadas do CONTRATANTE, materializadas neste DPA, no Contrato e nas funcionalidades e configurações da PLATAFORMA, salvo obrigação legal ou regulatória, hipótese em que informará o CONTRATANTE previamente, salvo vedação legal.

3.2. A LICENCIANTE informará o CONTRATANTE se, em sua avaliação, uma instrução violar a LEGISLAÇÃO DE PROTEÇÃO DE DADOS, podendo deixar de cumpri-la até que seja confirmada ou alterada.

4. Confidencialidade e Acesso pela Equipe da LICENCIANTE

4.1. A LICENCIANTE assegura que as pessoas autorizadas a tratar DADOS PESSOAIS estão sujeitas a obrigação de confidencialidade e recebem treinamento adequado.

4.2. O acesso da equipe da LICENCIANTE ao conteúdo da CONTA, em especial a relatos dos canais de denúncia e ouvidoria, limita-se ao necessário para: (a) atender a solicitação de suporte do CONTRATANTE; (b) prevenir ou responder a INCIDENTE DE SEGURANÇA; (c) cumprir obrigação legal ou ordem de autoridade competente; ou (d) executar serviço profissional contratado nos termos da cláusula 2.3.

5. Segurança

5.1. A LICENCIANTE adota as medidas técnicas e administrativas descritas no Anexo II para proteger os DADOS PESSOAIS contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, considerando o estado da técnica, a natureza dos dados, os custos e os riscos envolvidos.

5.2. A LICENCIANTE poderá atualizar essas medidas ao longo do tempo, desde que não reduza o nível geral de proteção.

6. Suboperadores

6.1. O CONTRATANTE autoriza, de forma geral, a contratação dos SUBOPERADORES constantes da lista de suboperadores vigente, que integra este DPA como Anexo III.

6.2. A LICENCIANTE informará o CONTRATANTE, por e-mail e com antecedência mínima de 30 (trinta) dias, sobre a inclusão ou a substituição de SUBOPERADOR, salvo quando a substituição for urgente por razões de segurança ou continuidade do serviço, hipótese em que a comunicação será feita assim que possível.

6.3. O CONTRATANTE poderá objetar à alteração, por motivo fundado de proteção de dados, dentro do prazo da cláusula 6.2. Não sendo possível sanar a objeção, o CONTRATANTE poderá rescindir o serviço afetado sem ônus, com devolução proporcional dos valores pré-pagos relativos a período posterior à rescisão.

6.4. A LICENCIANTE vincula cada SUBOPERADOR a obrigações de proteção de dados compatíveis com as deste DPA e responde perante o CONTRATANTE pelos atos dos SUBOPERADORES, nos termos da LEGISLAÇÃO DE PROTEÇÃO DE DADOS.

7. Uso de Inteligência Artificial

7.1. As funcionalidades de inteligência artificial da PLATAFORMA utilizam o SUBOPERADOR indicado para esse fim no Anexo III. A classificação assistida de denúncias e de manifestações de ouvidoria só ocorre quando habilitada pelo CONTRATANTE nas configurações do respectivo canal; as demais funcionalidades de IA são executadas quando acionadas por USUÁRIO AUTORIZADO.

7.2. A LICENCIANTE envia ao provedor de IA apenas o conteúdo necessário à funcionalidade, removendo campos de identificação, como e-mail, telefone e CPF, e mascarando e-mails e números de CPF encontrados em texto livre. O CONTRATANTE reconhece que o texto livre de relatos pode conter outras informações capazes de identificar pessoas.

7.3. A LICENCIANTE utiliza o provedor de IA por meio de contratação empresarial (API) cujos termos vedam o uso dos dados enviados para treinamento de modelos, e não utiliza DADOS PESSOAIS do CONTRATANTE para treinar modelos próprios ou de terceiros.

7.4. Os resultados gerados por IA são sugestões de apoio e não constituem decisão. Cabe ao CONTRATANTE revisá-los e decidir sobre o tratamento de cada caso, inclusive para atender ao art. 20 da LGPD quando houver decisão que afete interesses de TITULARES.

8. Assistência ao Controlador

8.1. A LICENCIANTE auxiliará o CONTRATANTE, na medida do razoável e considerando a natureza do TRATAMENTO: (a) a responder às solicitações de TITULARES (confirmação, acesso, correção, anonimização, eliminação, portabilidade e demais direitos do art. 18 da LGPD), preferencialmente por meio das funcionalidades da PLATAFORMA; (b) a cumprir deveres de segurança e de comunicação de INCIDENTES; (c) na elaboração de relatório de impacto à proteção de dados pessoais, fornecendo as informações sobre o TRATAMENTO realizado pela LICENCIANTE; e (d) no atendimento a requisições da ANPD relacionadas ao serviço.

8.2. Recebendo solicitação de TITULAR referente a DADOS PESSOAIS tratados em nome do CONTRATANTE, a LICENCIANTE a encaminhará ao CONTRATANTE e não responderá por conta própria, salvo instrução.

9. Incidentes de Segurança

9.1. A LICENCIANTE notificará o CONTRATANTE, por e-mail, sem demora injustificada e em até 1 (um) dia útil da ciência, sobre INCIDENTE DE SEGURANÇA envolvendo DADOS PESSOAIS tratados na PLATAFORMA, de modo que o CONTRATANTE possa cumprir o prazo de comunicação à ANPD e aos TITULARES previsto na Resolução CD/ANPD n.º 15/2024.

9.2. A notificação conterá, na medida do disponível, e será complementada à medida que novas informações forem apuradas: (a) a descrição da natureza e da categoria dos DADOS PESSOAIS afetados; (b) as categorias e o número aproximado de TITULARES envolvidos; (c) as medidas técnicas e de segurança utilizadas para proteger os dados; (d) os riscos relacionados ao INCIDENTE; (e) as medidas adotadas ou propostas para reverter ou mitigar seus efeitos; e (f) o contato do encarregado da LICENCIANTE.

9.3. A comunicação de INCIDENTE não constitui reconhecimento de culpa ou responsabilidade pela LICENCIANTE.

10. Transferência Internacional

10.1. Os DADOS PESSOAIS são tratados em data centers no Brasil ou no exterior, nos locais indicados no Anexo III, atualmente com predominância dos Estados Unidos.

10.2. A transferência internacional é realizada com fundamento em um dos mecanismos do art. 33 da LGPD, observada a Resolução CD/ANPD n.º 19/2024, e o SUBOPERADOR destinatário deve garantir nível de proteção compatível com o previsto na LEGISLAÇÃO DE PROTEÇÃO DE DADOS e neste DPA.

11. Auditoria e Demonstração de Conformidade

11.1. A LICENCIANTE disponibilizará ao CONTRATANTE as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, por meio de documentação, certificações e relatórios de terceiros dos provedores de infraestrutura (por exemplo, ISO/IEC 27001) e respostas a questionários de segurança, em prazo de até 30 (trinta) dias da solicitação.

11.2. Não sendo suficientes as informações da cláusula 11.1, ou havendo determinação de autoridade, o CONTRATANTE poderá realizar auditoria, diretamente ou por auditor independente vinculado a confidencialidade, mediante aviso com 30 (trinta) dias de antecedência, no máximo uma vez a cada 12 (doze) meses, salvo após INCIDENTE DE SEGURANÇA que o afete. A auditoria será realizada em horário comercial, sem comprometer a segurança, a operação e a confidencialidade de dados de outros clientes, correndo os custos por conta do CONTRATANTE.

12. Término

12.1. Encerrado o Contrato, a LICENCIANTE, ressalvada a exportação prevista no Contrato, eliminará os DADOS PESSOAIS tratados em nome do CONTRATANTE, observados os prazos de retenção de cópias de segurança e as conservações exigidas por obrigação legal ou regulatória, durante as quais os dados permanecerão protegidos nos termos deste DPA.

12.2. Mediante solicitação, a LICENCIANTE fornecerá declaração de eliminação dos DADOS PESSOAIS.

13. Disposições Gerais

13.1. Este DPA vigora enquanto a LICENCIANTE tratar DADOS PESSOAIS em nome do CONTRATANTE, inclusive após o término do Contrato, até a eliminação prevista na cláusula 12.

13.2. Alterações deste DPA observam as regras de alteração do Contrato.

13.3. Questões sobre este DPA podem ser dirigidas ao encarregado pelo tratamento de dados pessoais da LICENCIANTE, pelo e-mail dpo@mupisystems.com.br.

Anexo I – Descrição do Tratamento

• Natureza e finalidade: prestação do serviço de gestão integrada e compliance: gestão de documentos, políticas e normas ISO, gestão de pessoas, canal de ética e denúncias, ouvidoria, canal de privacidade, indicadores, riscos, planos de ação e relatórios.
• Operações: coleta, recepção, registro, organização, armazenamento, consulta, classificação, uso, disponibilização, transmissão e eliminação.
• Categorias de titulares: USUÁRIOS AUTORIZADOS e demais colaboradores do CONTRATANTE; USUÁRIOS FINAIS, como denunciantes, autores de manifestações de ouvidoria e titulares que exercem direitos pelo canal de privacidade; pessoas mencionadas em relatos, como denunciados e testemunhas; e terceiros citados em documentos, como fornecedores e partes interessadas.
• Categorias de dados: identificação e contato (nome, e-mail, telefone, CPF); dados funcionais (cargo, setor, jornada, registros de ponto, férias, avaliações e planos de desenvolvimento); conteúdo de relatos, manifestações, mensagens e anexos; registros de leitura e confirmação de políticas; dados técnicos e de auditoria (endereço IP, data e hora, ações realizadas).
• Dados sensíveis: relatos e manifestações podem conter DADOS PESSOAIS SENSÍVEIS, como informações sobre saúde, origem racial, orientação sexual ou convicção religiosa, inseridos por USUÁRIOS FINAIS ou pelo CONTRATANTE. A avaliação da base legal e da necessidade desses dados cabe ao CONTRATANTE.
• Duração: enquanto vigente o Contrato, acrescida dos prazos de retenção nele previstos.

Anexo II – Medidas de Segurança

• Criptografia em trânsito (TLS) nas conexões com a PLATAFORMA e no envio de e-mails.
• Senhas armazenadas com funções de hash com salt, nunca em texto legível.
• Hospedagem em provedores de nuvem com certificação ISO/IEC 27001.
• Isolamento lógico dos dados por CONTA.
• Controle de acesso por perfil e princípio do menor privilégio, definidos pelo CONTRATANTE dentro da CONTA.
• Trilha de auditoria das ações realizadas nos canais de denúncia e ouvidoria.
• Acompanhamento de relatos pelo denunciante por protocolo e senha, sem necessidade de identificação.
• Proteção contra robôs e limite de tentativas nos formulários públicos.
• Arquivos privados armazenados sem acesso público e disponibilizados por links temporários assinados.
• Rotinas de cópia de segurança e recuperação de desastres.
• Confidencialidade e treinamento do pessoal com acesso a DADOS PESSOAIS.

Anexo III – Suboperadores

A lista vigente de suboperadores, com finalidade e localização, está publicada na página Suboperadores.