Acordo de Tratamento de Dados (DPA)
Versão 2026-10-08-rascunho-3. Entre o Cliente e Enrico Pinheiro de Oliveira Tecnologia da Informacao LTDA (Orbis Health Tech), CNPJ 66.357.012/0001-86.
1. Partes e objeto
Este Acordo de Tratamento de Dados ("Acordo") é celebrado entre o Cliente que contrata a Coloquia ("Cliente") e Enrico Pinheiro de Oliveira Tecnologia da Informacao LTDA (Orbis Health Tech), inscrita no CNPJ sob o nº 66.357.012/0001-86, com sede em Rua João Cordeiro, 1333, Loja 06, Aldeota, Fortaleza/CE, CEP 60110-301 ("Coloquia"). Ele integra os Termos de Uso e regula o tratamento de dados pessoais que a Coloquia realiza em nome do Cliente, nos termos da Lei nº 13.709/2018 (LGPD). Em conflito com os Termos quanto à proteção de dados, prevalece este Acordo. [PENDENTE DE PARECER JURÍDICO: forma de aceite (adesão no cadastro ou aceite separado) e versão assinada para clientes empresariais.]
2. Papéis das partes
- Cliente, controlador: nos dados das conversas da conta de WhatsApp conectada (mensagens, contatos, grupos, mídias e transcrições), o Cliente decide finalidades e meios e é o controlador (LGPD, art. 5º, VI).
- Coloquia, operadora: a Coloquia trata esses dados em nome do Cliente, apenas para prestar o serviço, e é operadora (LGPD, arts. 5º, VII, e 39).
- Fora deste Acordo: nos dados de cadastro, acesso, cobrança e uso da conta, a Coloquia é controladora, conforme a Política de Privacidade.
- Assistentes de IA: os assistentes conectados pelo Cliente (por exemplo Claude, da Anthropic, ou ChatGPT, da OpenAI) são contratados por ele diretamente e não são suboperadores da Coloquia. O que o assistente lê pelo conector é tratado por instrução do Cliente e segundo o contrato dele com esse fornecedor.
3. Descrição do tratamento
| Finalidade | Manter o conector ligado à conta de WhatsApp do Cliente, guardar o histórico no ambiente dedicado, permitir que os assistentes de IA do Cliente busquem, leiam e resumam conversas, transcrever áudios quando ativo e enviar mensagens a pedido do Cliente ou do seu assistente. |
|---|---|
| Titulares | Contatos do Cliente, participantes dos grupos de que ele faz parte, o próprio Cliente e seus colaboradores. |
| Dados | Número, nome e foto de perfil exibidos no WhatsApp; mensagens; mídias; transcrições; metadados (data, hora, conversa, remetente). |
| Dados sensíveis | Podem existir, a critério dos usuários (por exemplo, saúde, ou dados sob sigilo profissional). A Coloquia não os seleciona nem os classifica. |
| Local | Ambiente dedicado e isolado do Cliente, hoje em infraestrutura própria da Coloquia no Brasil, com migração prevista para servidor dedicado (VPS). Mídias no volume do ambiente ou, quando ligado, no Cloudflare R2. |
| Duração | Enquanto a assinatura estiver ativa, mais os prazos da seção 10. |
4. Instruções do Cliente
A Coloquia trata os dados apenas conforme instruções documentadas do Cliente: (a) estes documentos; (b) as configurações do portal, como transcrição, transcrição de grupos e regras de armazenamento; e (c) os comandos enviados ao conector pelos assistentes de IA que o Cliente autorizou. Se entender que uma instrução viola a lei, a Coloquia avisará o Cliente e poderá deixar de cumpri-la. A Coloquia não usa os dados das conversas para finalidade própria, não os vende, não os usa para publicidade e não treina modelos de IA com eles.
5. Obrigações do Cliente
- Ter base legal para tratar os dados dos seus contatos com ferramentas de IA, inclusive consentimento específico para dados sensíveis, quando necessário (LGPD, arts. 7º e 11).
- Informar seus contatos de que usa IA para gerir as conversas e, se aplicável, de que áudios podem ser transcritos por fornecedor nos EUA; avaliar desligar a transcrição se trata dados sensíveis ou sigilosos.
- Guardar a URL do conector, a chave de acesso e as contas que autorizam os assistentes, e girar a chave no portal se suspeitar de vazamento.
- Cumprir a Política de Uso Aceitável da Coloquia.
6. Confidencialidade
Quem tem acesso administrativo na Coloquia está sujeito a dever de confidencialidade. O acesso é restrito ao necessário para operar, dar suporte e corrigir falhas, e é registrado. O painel da Coloquia não guarda o conteúdo das conversas, que fica no ambiente do Cliente. [PENDENTE DE PARECER JURÍDICO: forma do compromisso de confidencialidade com colaboradores e prestadores.]
7. Suboperadores
O Cliente autoriza, de forma geral, os suboperadores abaixo. A Coloquia exige deles proteção compatível com este Acordo, na medida em que os termos desses fornecedores permitam, e responde pelos atos deles nos limites da LGPD.
| Suboperador | Atividade · País |
|---|---|
| OpenAI OpCo, LLC [CONFIRMAR ENTIDADE CONTRATANTE] | Transcrição de áudios, quando ativa; recebe só o arquivo de áudio, sem nome ou número do contato · Estados Unidos |
| Cloudflare, Inc. | Túnel e DNS entre o assistente e o ambiente, com tráfego cifrado; guarda as mídias (R2) quando o armazenamento em nuvem está ligado · Global [CONFIRMAR REGIÃO DO BUCKET] |
| Asaas [CONFIRMAR RAZÃO SOCIAL] | Não recebe dados das conversas; trata só dados de cobrança, conforme a Política de Privacidade · Brasil |
| Hospedagem | Hoje, infraestrutura própria da Coloquia no Brasil; o futuro provedor de VPS será informado antes da migração |
A Coloquia avisará com pelo menos 30 dias de antecedência a inclusão ou troca de suboperadores que tratem dados das conversas. O Cliente poderá se opor e, se a objeção não puder ser atendida, cancelar sem ônus.
8. Transferência internacional
- Com a transcrição ativa, os áudios vão à API da OpenAI nos Estados Unidos: é uma transferência internacional (LGPD, art. 33). Por padrão, só áudios de conversas individuais; grupos apenas no plano que oferece a opção e com ativação do Cliente. Desligada a transcrição, nenhum áudio é enviado.
- Segundo a política pública da OpenAI, dados da API não são usados para treinar modelos, e registros de monitoramento de abuso podem ser mantidos por até 30 dias. A Coloquia não tem Retenção Zero de Dados (ZDR).
- Não há DPA assinado entre a Coloquia e a OpenAI com as cláusulas-padrão da ANPD (Resolução CD/ANPD nº 19/2024). [PENDENTE DE PARECER JURÍDICO: mecanismo do art. 33 aplicável e adequação dos termos da OpenAI.]
- O tráfego pela rede global da Cloudflare e o armazenamento no R2 podem envolver servidores fora do Brasil. [PENDENTE DE PARECER JURÍDICO: enquadramento.]
9. Medidas de segurança
- ambiente dedicado e isolado por Cliente, não compartilhado, com rede e chaves próprias;
- segredos cifrados no banco; chave do conector girável pelo portal (a anterior expira em 60 minutos);
- tráfego HTTPS por túnel, sem portas abertas no servidor; o endereço público expõe só o conector;
- login sem senha (Google ou código por e-mail válido por 10 minutos);
- ações destrutivas no WhatsApp (sair de grupo, apagar mensagens, gerenciar participantes) bloqueadas por padrão, e limites de envio;
- acesso administrativo restrito e registrado; a trilha de auditoria não guarda conteúdo de mensagens;
- envio à OpenAI limitado ao arquivo de áudio.
A Coloquia não declara certificações de segurança. [A DEFINIR: política de backup, cifragem em repouso e prazo de expiração das cópias de segurança.]
10. Fim do tratamento e exclusão
- Cancelamento: acesso até o fim do período pago; depois, o aparelho é desconectado e, após 7 dias, o ambiente e todos os dados das conversas (inclusive mídias no R2 e transcrições) são excluídos definitivamente.
- Falta de pagamento: exclusão após 15 dias de suspensão.
- Reembolso ou chargeback: acesso encerrado na hora e exclusão agendada para 7 dias depois.
- A exclusão é registrada e gera comprovante por e-mail. Antes dela, o Cliente pode exportar seus dados pelo portal (seção "Privacidade"). Cópias de segurança expiram em até [30] dias [A CONFIRMAR]. Dados só são conservados além disso se a lei exigir (LGPD, art. 16).
11. Pedidos de titulares
Pedidos de titulares (LGPD, art. 18) sobre dados das conversas que chegarem à Coloquia serão encaminhados ao Cliente sem demora indevida, sem resposta direta no mérito, salvo instrução do Cliente ou obrigação legal. A Coloquia oferece os meios técnicos para atendê-los: exportação, limpeza de mídias e exclusão do ambiente pelo portal. [PENDENTE DE PARECER JURÍDICO: prazo de encaminhamento.]
12. Incidentes de segurança
Ao tomar conhecimento de incidente que possa acarretar risco ou dano relevante aos titulares dos dados das conversas, a Coloquia avisará o Cliente pelo e-mail cadastrado em prazo curto [PENDENTE DE PARECER JURÍDICO: prazo, compatível com a comunicação à ANPD da Resolução CD/ANPD nº 15/2024], informando, na medida do que se souber: dados e titulares afetados, medidas de segurança existentes, riscos, medidas de mitigação e um contato. Cabe ao Cliente, como controlador, decidir a comunicação à ANPD e aos titulares (LGPD, art. 48), com o apoio razoável da Coloquia.
13. Auditoria por documentação
A Coloquia comprovará o cumprimento deste Acordo por documentação: este Acordo, a Política de Privacidade, o registro das operações de tratamento (LGPD, art. 37) na parte relativa ao Cliente, a lista de suboperadores, os registros de exclusão e respostas a questionários razoáveis de segurança, até uma vez por ano, salvo após incidente ou por ordem de autoridade. Inspeções presenciais ou técnicas não estão incluídas. [PENDENTE DE PARECER JURÍDICO: suficiência para clientes regulados, como clínicas e escritórios de advocacia.]
14. Responsabilidade
A responsabilidade das partes segue a LGPD (arts. 42 a 45) e a seção de responsabilidade dos Termos de Uso, que se aplica a este Acordo. A Coloquia não responde pelo tratamento feito pelos assistentes de IA conectados pelo Cliente nem por bloqueios do número pelo WhatsApp. Nada aqui limita direitos dos titulares ou do consumidor. [PENDENTE DE PARECER JURÍDICO: validade do limite de responsabilidade dos Termos frente às obrigações de operador.]
15. Vigência, alterações e foro
Este Acordo vigora enquanto a Coloquia tratar dados das conversas em nome do Cliente, incluindo os prazos de exclusão. Mudanças relevantes serão avisadas por e-mail e identificadas pela versão no topo. Aplica-se a lei brasileira, no foro [LEGAL_FORUM], ressalvado o direito do consumidor de propor ação no foro do seu domicílio.
Privacidade: [email protected] · Encarregado (DPO): [email protected] · Suporte: [email protected]