ACORDO DE TRATAMENTO

DE DADOS PESSOAIS

Anexo I aos Termos de Uso da Plataforma AssistJur.IA

Documento

Acordo de Tratamento de Dados Pessoais (DPA) — Anexo I aos Termos de Uso AssistJur.IA

Versão

v1

Data

16/05/2026

Status

MINUTA — sujeita a revisão jurídica antes de publicação

Vinculação

Anexo I e parte integrante dos Termos de Uso da Plataforma AssistJur.IA v2. Prevalece sobre os Termos em matéria de proteção de dados pessoais.

Operadora

BR Consultoria — [CNPJ a preencher] — [endereço a preencher]

Encarregado/DPO

[nome, e-mail e telefone a preencher]

Base normativa

Lei 13.709/2018 (LGPD) · Resoluções da ANPD · Marco Civil da Internet (Lei 12.965/2014)

Como ler este documento

Esta minuta utiliza marcadores visuais para sinalizar pontos abertos:

texto amarelo

Dado, valor ou decisão de negócio pendente de confirmação antes da publicação.

[colchetes]

Variável contratual a ser preenchida.

Preâmbulo

O presente Acordo de Tratamento de Dados Pessoais ("DPA") integra, na qualidade de Anexo I, os Termos de Uso da Plataforma AssistJur.IA ("Termos") celebrados entre a Operadora e o Cliente, e disciplina, de forma específica, o tratamento de dados pessoais decorrente da prestação de serviços da Plataforma, em conformidade com a Lei 13.709/2018 (LGPD).

Em caso de conflito entre estes Termos e o presente DPA quanto à proteção de dados pessoais, prevalecerá o disposto neste DPA.

Cláusula 1 — Objeto

1.1. Este DPA disciplina o tratamento de Dados Pessoais realizado pela Operadora no contexto da prestação de serviços da Plataforma AssistJur.IA ao Cliente, estabelecendo papéis, obrigações, salvaguardas técnicas e organizacionais e direitos das Partes.

1.2. Os termos iniciados em maiúscula não definidos neste DPA têm o significado atribuído nos Termos. Os termos próprios da LGPD seguem as definições do art. 5º da referida lei.

Cláusula 2 — Definições

Para os fins deste DPA, além das definições constantes dos Termos e da LGPD:

Termo

Definição

ANPD

Autoridade Nacional de Proteção de Dados.

Suboperador

Terceiro contratado pela Operadora para realizar parte do tratamento de Dados Pessoais em nome do Cliente (hospedagem, modelos de IA, observabilidade, etc.).

Incidente de Segurança

Evento que possa acarretar risco ou dano relevante aos titulares de Dados Pessoais, nos termos do art. 48 da LGPD.

Instruções Documentadas

Instruções do Cliente quanto ao tratamento de Dados Pessoais, formalizadas nos Termos, neste DPA, na Proposta Comercial e em comunicações escritas registradas.

Dados Pessoais Sensíveis

Conforme art. 5º, II, LGPD — incluindo, no contexto trabalhista, dados de saúde e eventual filiação sindical.

Dados Anonimizados

Dados sobre os quais, considerados meios técnicos razoáveis e disponíveis no momento do tratamento, não seja possível a reidentificação do titular (art. 5º, III, LGPD).

Cláusula 3 — Papéis das Partes (Modelo Dual)

3.1. Cliente como Controlador. Em relação aos Documentos do Caso e aos Dados Pessoais neles contidos — incluindo dados de reclamantes, testemunhas, prepostos, partes adversas, advogados, peritos e demais titulares mencionados nos autos —, o Cliente atua como Controlador e a Operadora atua como Operadora, tratando dados exclusivamente conforme as Instruções Documentadas do Cliente.

3.2. Operadora como Controladora Independente. Em relação aos Dados de Conta, Dados de Uso, dados de cobrança, dados de suporte, telemetria, analytics, segurança e melhoria da Plataforma, a Operadora atua como Controladora independente, sob os termos da Política de Privacidade publicada na Plataforma.

3.3. Cliente também como Controlador para Dados de Conta. Quanto aos Dados de Conta de seus Usuários Autorizados, o Cliente também atua como Controlador no contexto de sua organização interna.

3.4. Este DPA aplica-se primariamente à hipótese da Cláusula 3.1 (Operadora como Operadora). O regime aplicável à hipótese da Cláusula 3.2 consta da Política de Privacidade.

3.5. Cada Parte responde pelo cumprimento das obrigações que lhe são atribuíveis na qualidade jurídica em que atua, nos termos do art. 42 da LGPD.

Cláusula 4 — Tratamento conforme Instruções Documentadas

4.1. A Operadora trata Dados Pessoais exclusivamente para os fins, na medida e pelo prazo necessários à execução da Plataforma, conforme detalhamento do Anexo A deste DPA (Descrição do Tratamento) e das Instruções Documentadas do Cliente.

4.2. A Operadora não trata Dados Pessoais para finalidades próprias divergentes das instruções do Cliente, salvo quanto às hipóteses da Cláusula 3.2 (Controladora Independente) e do permitido por lei.

4.3. Caso, no entender da Operadora, uma instrução do Cliente viole a LGPD ou outra norma aplicável, a Operadora informará o Cliente sem demora injustificada e poderá suspender a execução da instrução até esclarecimento.

4.4. Alterações materiais nas Instruções Documentadas devem ser registradas por escrito, mediante aditamento, comunicação formal ou registro na Plataforma.

Cláusula 5 — Confidencialidade do Pessoal

5.1. A Operadora obriga-se a garantir que toda pessoa autorizada a tratar Dados Pessoais sob este DPA — empregados, prestadores e Suboperadores — esteja submetida a obrigação contratual ou estatutária de confidencialidade.

5.2. O acesso aos Dados Pessoais é restrito ao estritamente necessário ao desempenho das funções (princípio da necessidade e do menor privilégio).

5.3. A obrigação de confidencialidade subsiste após o término do vínculo do pessoal envolvido.

Cláusula 6 — Medidas Técnicas e Organizacionais de Segurança

6.1. A Operadora adota e mantém medidas técnicas e organizacionais adequadas à proteção dos Dados Pessoais contra acessos não autorizados, perda, destruição, alteração, divulgação indevida ou qualquer outra forma de tratamento inadequado, nos termos do art. 46 da LGPD.

6.2. As medidas adotadas constam do Anexo B deste DPA (Medidas Técnicas e Organizacionais), incluindo criptografia, controle de acesso, segregação por Cliente, autenticação multifator, logs auditáveis, gestão de vulnerabilidades, backup, continuidade e prevenção de Prompt Injection.

6.3. As medidas podem evoluir para refletir o estado da técnica, sem redução do nível de proteção. Alterações materiais que reduzam o nível de proteção exigem comunicação prévia ao Cliente.

Cláusula 7 — Auxílio aos Direitos dos Titulares

7.1. Os direitos dos titulares (art. 18 LGPD — acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento, oposição etc.) são exercidos primariamente perante o Cliente, na qualidade de Controlador dos Documentos do Caso.

7.2. Caso titular contate diretamente a Operadora com pedido de exercício de direitos relativos a Documentos do Caso, a Operadora não responderá diretamente e encaminhará o pedido ao Cliente em até 5 (cinco) dias úteis, informando o titular do encaminhamento.

7.3. A Operadora prestará ao Cliente, sob solicitação razoável, auxílio técnico necessário ao atendimento dos direitos dos titulares, na medida em que tal auxílio dependa de funcionalidades, dados ou acessos sob controle da Operadora.

7.4. Auxílios extraordinários, recorrentes ou que exijam desenvolvimento técnico específico podem ensejar custos adicionais, mediante orçamento prévio.

Cláusula 8 — Incidentes de Segurança

8.1. A Operadora notificará o Cliente sobre Incidentes de Segurança envolvendo Dados Pessoais sob este DPA, sem demora injustificada e em prazo não superior a 2 (dois) dias úteis a partir do conhecimento do Incidente.

8.2. Conteúdo da notificação. A notificação conterá, na medida da informação disponível: (i) descrição da natureza do Incidente; (ii) categorias e número aproximado de titulares e registros afetados; (iii) ponto de contato para informações adicionais; (iv) prováveis consequências; (v) medidas adotadas ou propostas para mitigar o Incidente e seus efeitos.

8.3. Informações inicialmente indisponíveis serão fornecidas ao Cliente em complementações sucessivas, à medida que o Incidente for investigado.

8.4. A obrigação de notificação à ANPD e aos titulares, quando aplicável, é do Cliente, na qualidade de Controlador, sem prejuízo de comunicações próprias da Operadora quando a Operadora também figurar como Controladora.

8.5. Modelo de notificação de Incidente consta do Anexo D deste DPA.

Cláusula 9 — Suboperadores

9.1. O Cliente autoriza, de forma geral, a contratação pela Operadora dos Suboperadores listados no Anexo C deste DPA, para hospedagem, processamento, modelos de inteligência artificial, armazenamento, segurança, autenticação, suporte, observabilidade e demais atividades acessórias.

9.2. A lista atualizada de Suboperadores fica disponível em página pública da Plataforma — [link a definir] — com indicação de finalidade, país de processamento, medidas de segurança e tipo de tratamento.

9.3. Notificação prévia de alterações. A Operadora notificará o Cliente sobre adições ou substituições de Suboperadores com antecedência mínima de 30 (trinta) dias. Substituições emergenciais por razões de segurança, continuidade ou exigência legal podem ocorrer em prazo menor, com comunicação posterior.

9.4. Direito de oposição. O Cliente pode opor-se a Suboperador novo por razões fundadas em proteção de dados, dentro de 15 (quinze) dias da notificação. Não havendo solução técnica que endereçe a oposição, o Cliente pode rescindir o contrato sem ônus, observado prazo razoável de transição.

9.5. Encadeamento contratual. A Operadora celebrará com cada Suboperador contrato que imponha obrigações de proteção de dados materialmente equivalentes às deste DPA, e responderá perante o Cliente pelo cumprimento dessas obrigações pelos Suboperadores.

Cláusula 10 — Transferência Internacional de Dados

10.1. O Cliente reconhece que parte do tratamento, em particular o uso de modelos de inteligência artificial (Anthropic, OpenAI, Google) e infraestrutura de nuvem, envolve transferência internacional de Dados Pessoais, em regra para os Estados Unidos da América e demais países onde os Suboperadores mantenham infraestrutura.

10.2. As transferências observam as bases legais do art. 33 da LGPD e os critérios da ANPD, incluindo (a) compromisso contratual entre as Partes e Suboperadores; (b) cláusulas contratuais específicas; (c) garantias técnicas e organizacionais; (d) avaliação de adequação do país receptor, quando aplicável.

10.3. A Operadora compromete-se a manter, junto a cada Suboperador estrangeiro, salvaguardas contratuais materialmente equivalentes à LGPD, incluindo cláusulas de finalidade, segurança, confidencialidade, auditoria e cooperação em pedidos de titulares e autoridades.

10.4. Quando exigido pela ANPD ou alterada a regulamentação aplicável, as Partes cooperarão de boa-fé para adequação dos instrumentos de transferência.

Cláusula 11 — Não-Treinamento de Modelos de IA

11.1. Vedação principal. A Operadora não utilizará Documentos do Caso, Dados Pessoais, Dados Pessoais Sensíveis, Outputs ou informações confidenciais do Cliente para treinamento, fine-tuning, ajuste de pesos ou melhoria de modelos de inteligência artificial próprios ou de terceiros, salvo autorização prévia, específica e por escrito do Cliente.

11.2. Compromissos quanto a Suboperadores. A Operadora exigirá de cada Suboperador de modelos de IA cláusula contratual de opt-out de treinamento sobre dados do Cliente, sempre que essa opção esteja disponível na oferta enterprise/API do Suboperador.

11.3. Exceção: Dados Anonimizados. A vedação da Cláusula 11.1 não impede o uso de Dados Derivados — anonimizados, agregados e sem possibilidade de reidentificação — para métricas operacionais, monitoramento de segurança, auditoria, melhoria da Plataforma, calibração interna de prompts e análise estatística.

11.4. Eventual autorização específica do Cliente para uso de seus dados em treinamento deverá ser objeto de instrumento próprio, destacado, com finalidade, escopo, prazo e condições expressas.

Cláusula 12 — Dados Pessoais Sensíveis (Contexto Trabalhista)

12.1. As Partes reconhecem que os Documentos do Caso submetidos à Plataforma contêm, com frequência, Dados Pessoais Sensíveis — em especial dados relativos à saúde do reclamante, eventual filiação sindical, dados étnico-raciais incidentalmente referidos e demais categorias do art. 5º, II, LGPD.

12.2. Bases legais. O tratamento desses dados pela Operadora, em nome do Cliente, ampara-se nas bases legais do art. 11 da LGPD aplicáveis ao Controlador, em especial: (i) cumprimento de obrigação legal ou regulatória pelo Cliente; (ii) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral; (iii) tutela da saúde, quando aplicável.

12.3. Cuidados redobrados. Dados Pessoais Sensíveis recebem tratamento com cuidados adicionais: acesso restrito ao estritamente necessário, criptografia, segregação lógica por Cliente, redução do escopo de retenção e mascaramento em telemetria e logs sempre que tecnicamente viável.

Cláusula 13 — Auditoria

13.1. O Cliente tem direito de auditar o cumprimento, pela Operadora, das obrigações deste DPA, observados:

• aviso prévio mínimo de 30 (trinta) dias, salvo Incidente de Segurança em curso;
• frequência máxima de 1 (uma) auditoria por ano, salvo determinação de autoridade ou Incidente;
• escopo limitado ao necessário e proporcional, preservando confidencialidade de outros Clientes e segredos da Operadora;
• custos da auditoria a cargo do Cliente, exceto quando a auditoria comprovar descumprimento material pela Operadora.

13.2. Auditoria por relatórios. O Cliente reconhece como meio de prova satisfatório, para verificação periódica de conformidade, a apresentação pela Operadora de relatórios de auditoria de terceiros, certificações reconhecidas (ex.: SOC 2 Tipo II, ISO 27001, ISO 27701) e relatórios anuais de segurança e proteção de dados.

13.3. Auditoria presencial ou inspeção mais profunda fica reservada a hipóteses motivadas, tais como Incidente de Segurança relevante, indícios fundados de descumprimento ou determinação de autoridade.

Cláusula 14 — Devolução e Eliminação de Dados

14.1. Encerrado o contrato, o Cliente terá 90 (noventa) dias para solicitar a exportação dos Documentos do Caso e Outputs pelos meios disponibilizados na Plataforma.

14.2. Decorrido o prazo da Cláusula 14.1, a Operadora procederá à eliminação ou anonimização dos Dados Pessoais sob tratamento na qualidade de Operadora, salvo retenção autorizada pela Cláusula 14.4.

14.3. A Operadora fornecerá, sob solicitação do Cliente, declaração formal de eliminação e/ou anonimização dos Dados, indicando a data e o escopo da operação.

14.4. Retenção autorizada. A Operadora poderá reter Dados Pessoais após o encerramento, observando o princípio da minimização, quando exigido para: (i) cumprimento de obrigação legal ou regulatória; (ii) defesa em processos judiciais, administrativos ou arbitrais; (iii) auditoria; (iv) segurança; (v) cobrança de valores devidos; (vi) prazos de retenção próprios de logs técnicos e Dados de Uso, conforme Política de Retenção e Exclusão de Dados.

Cláusula 15 — Responsabilidade

15.1. Cada Parte responde pelas obrigações que lhe são imputáveis na qualidade jurídica em que atua, nos termos do art. 42 e seguintes da LGPD.

15.2. Aplica-se ao presente DPA o regime de limitação de responsabilidade previsto na Cláusula 16 dos Termos, ressalvadas as exceções legais e contratuais (dolo, fraude, violação intencional da LGPD).

15.3. A Parte que tiver pago indenização a titular poderá exercer direito de regresso contra a outra Parte, na proporção de sua responsabilidade pelo dano (art. 42, §4º, LGPD).

Cláusula 16 — Vigência

16.1. Este DPA vigora enquanto vigentes os Termos e, no que aplicável, permanece em vigor após o término dos Termos, no que diz respeito a obrigações que, por sua natureza, sobrevivem ao encerramento (confidencialidade, segurança, devolução, eliminação, auditoria, responsabilidade).

16.2. Alterações materiais neste DPA seguem o procedimento da Cláusula 19 dos Termos, com antecedência mínima de 30 (trinta) dias.

Cláusula 17 — Disposições Finais

17.1. Os Anexos A, B, C e D são parte integrante deste DPA.

17.2. As comunicações entre as Partes em matéria de proteção de dados são direcionadas ao Encarregado/DPO da Operadora — [e-mail a preencher] — e ao ponto de contato indicado pelo Cliente no cadastro da conta.

17.3. Aplicam-se subsidiariamente as disposições gerais dos Termos quanto a foro, lei aplicável, alterações e demais matérias não tratadas neste DPA.

ANEXO A

Descrição do Tratamento de Dados Pessoais

Item

Descrição

Natureza do tratamento

Recepção, leitura, extração, organização, análise, sumarização, classificação, comparação, geração de minutas, transcrição, armazenamento, indexação em RAG segregado, geração de Outputs e disponibilização ao Cliente.

Finalidades

Apoio à atuação jurídica do Cliente em contencioso trabalhista, cível e empresarial: análise documental, identificação de pedidos, riscos e lacunas, geração de minutas técnicas (defesas, recursos, manifestações, razões finais, relatórios), transcrição de audiências, auditoria de peças e demais funções da Plataforma.

Categorias de titulares

Reclamantes, reclamados (clientes finais), prepostos, testemunhas, advogados das partes, peritos, magistrados, terceiros mencionados nos autos e Usuários Autorizados do Cliente.

Categorias de dados pessoais

Identificação (nome, CPF, RG, CTPS, OAB), contato, dados profissionais (cargo, função, jornada), remuneração e verbas, dados financeiros, dados processuais, dados patrimoniais incidentais, dados de credenciais (Usuários Autorizados), dados de uso da Plataforma.

Categorias de dados sensíveis

Saúde (atestados, laudos, exames, CID), filiação sindical (quando referida), dados étnico-raciais e religiosos incidentalmente referidos nos autos, biometria (quando excepcionalmente presente).

Duração do tratamento

Durante a vigência dos Termos + 90 dias para exportação pós-encerramento + prazos de retenção autorizados na Cláusula 14.4.

Bases legais (art. 7º e 11 LGPD)

Para o Cliente (Controlador): execução de contrato com o cliente final, cumprimento de obrigação legal/regulatória, exercício regular de direitos em processo judicial/administrativo/arbitral, legítimo interesse e, para dados sensíveis, hipóteses do art. 11 (notadamente exercício regular de direitos e tutela da saúde). Para a Operadora: cumprimento das instruções do Cliente.

ANEXO B

Medidas Técnicas e Organizacionais de Segurança

1. Controles de acesso

• Autenticação por credenciais individuais; vedado compartilhamento.
• Autenticação multifator (MFA) obrigatória para Administradores e contas enterprise; habilitada por padrão para demais usuários.
• Controle de acesso baseado em papéis (RBAC) com princípio do menor privilégio.
• Revogação imediata de credenciais em caso de desligamento ou suspeita de comprometimento.

2. Criptografia

• Criptografia em trânsito: TLS 1.2 ou superior em todas as comunicações.
• Criptografia em repouso: padrão de mercado para os Suboperadores de armazenamento.

3. Segregação lógica

• Bases de conhecimento (RAG) segregadas logicamente por Cliente.
• Vedado acesso cruzado entre Clientes na operação ordinária.
• Pessoal de suporte acessa dados de um Cliente apenas mediante necessidade demonstrada e registro de auditoria.

4. Logs e auditoria

• Logs técnicos e operacionais de acesso, autenticação, ações administrativas, processamento e eventos de segurança.
• Retenção dos logs por período próprio, observada a minimização.
• Trilha auditável para comprovação de aceite, versões e ações do usuário.

5. Prevenção e mitigação de Prompt Injection

• Controles técnicos e procedimentais para detecção de instruções maliciosas inseridas em documentos submetidos.
• Bloqueio de execução de instruções de sistema injetadas em conteúdo adversarial.
• Sinalização ao usuário e registro do evento.

6. Gestão de vulnerabilidades

• Atualização regular de dependências e modelos.
• Monitoramento de vulnerabilidades conhecidas (CVE) nos componentes utilizados.
• Resposta a alertas críticos em prazo proporcional à gravidade.

7. Backup e continuidade

• Backups regulares dos dados sob responsabilidade da Operadora.
• Testes periódicos de restauração.
• Plano de continuidade e recuperação em construção, com cronograma compartilhado mediante NDA.

8. Anti-alucinação e qualidade do Output

• Princípio de não-inferência sem base documental.
• Ancoragem de afirmações factuais em documento, página e trecho, sempre que aplicável.
• Sinalização explícita de lacunas, contradições e fontes insuficientes.
• Bloqueio de Outputs em caso de contradição crítica, com encaminhamento a revisão humana.

9. Governança e treinamento

• Política interna de proteção de dados.
• Treinamento periódico do pessoal em LGPD e segurança da informação.
• Designação de Encarregado/DPO.

ANEXO C

Suboperadores Autorizados

A lista pública atualizada fica disponível em [link a definir]. A relação abaixo reflete o estado na data de publicação deste DPA.

Suboperador

Finalidade

País

Salvaguardas

Anthropic

Modelos de IA (Claude API) para análise documental e geração de Outputs.

EUA

Contrato enterprise com opt-out de treinamento; cláusulas de confidencialidade e segurança equivalentes à LGPD.

OpenAI

Modelos de IA (Custom GPT / API) para automação operacional e legado.

EUA

Contrato API com configuração de não-treinamento; cláusulas de proteção de dados.

Google (Gemini)

Modelos de IA (Gemini Gems) para transcrição de audiências.

EUA / diversos

Configuração enterprise com proteção de dados; cláusulas contratuais padrão.

[Provedor de cloud / hosting]

[Hospedagem, armazenamento, infraestrutura]

[país]

[salvaguardas a preencher]

[Provedor de e-mail transacional]

[Comunicações operacionais com Usuários]

[país]

[salvaguardas a preencher]

[Observabilidade / monitoramento]

[Logs, métricas, alertas de segurança]

[país]

[salvaguardas a preencher]

[Pagamento / cobrança]

[Processamento de pagamentos]

[país]

[salvaguardas a preencher]

Observação: a lista acima é referencial. Antes da publicação, confirmar e completar todos os Suboperadores efetivamente em uso, com nome jurídico, finalidade, país, base de transferência internacional e salvaguardas.

ANEXO D

Modelo de Notificação de Incidente de Segurança

Modelo de comunicação a ser enviado ao Cliente, ao Encarregado e, quando aplicável, à ANPD. Os campos devem ser preenchidos com a melhor informação disponível no momento; informações pendentes são complementadas em comunicações sucessivas.

Campo

Conteúdo

1. Identificação do Incidente

Código interno, data de detecção, data estimada de ocorrência, status (em andamento / contido / encerrado).

2. Natureza do Incidente

Descrição objetiva: acesso não autorizado, vazamento, perda, alteração indevida, indisponibilidade, ataque externo, falha técnica, erro humano, etc.

3. Categorias de dados afetados

Dados de identificação, contato, profissionais, financeiros, processuais, sensíveis (saúde, sindical), credenciais.

4. Volume estimado

Número aproximado de titulares afetados, registros afetados e percentual sobre a base.

5. Causa provável

Causa raiz identificada ou hipótese investigativa em curso.

6. Consequências e riscos

Riscos identificados aos titulares, gravidade, possibilidade de exploração maliciosa.

7. Medidas adotadas

Contenção, mitigação, comunicação interna, preservação de evidências, revogação de credenciais, patches aplicados.

8. Medidas propostas

Ações de remediação adicionais e cronograma.

9. Recomendações ao Cliente

Ações que o Cliente deve adotar (revogar credenciais, comunicar titulares, comunicar ANPD, conservar evidências, etc.).

10. Ponto de contato

Nome, função, e-mail e telefone do responsável pela Operadora no incidente; Encarregado/DPO.

11. Cronograma de atualização

Frequência de comunicações de status e próxima atualização prevista.

AssistJur.IA — DPA (Anexo I) — v1 — 16/05/2026
Documento sujeito a revisão jurídica antes da publicação.
Itens em destaque amarelo indicam decisões pendentes de confirmação pela Operadora.