Anexo de Proteção de Dados Pessoais

1. Objeto

Este anexo disciplina o tratamento de dados pessoais realizado para prestar a plataforma TransOne à CONTRATANTE, nos limites das funcionalidades contratadas e efetivamente utilizadas. Complementa o Contrato Geral SaaS nas matérias específicas de proteção de dados, sem alterar o objeto comercial contratado.

2. Integração ao Contrato Principal

Este anexo integra a contratação somente quando identificado, disponibilizado e aceito pelas partes, conforme o Contrato Geral SaaS e o Termo de Contratação aplicáveis. As definições e condições gerais desses instrumentos continuam válidas, salvo disposição específica deste anexo sobre proteção de dados.

3. Definições

Aplicam-se as definições do Contrato Geral SaaS e da Lei Geral de Proteção de Dados Pessoais (LGPD). Neste anexo, Contrato Principal significa o Contrato Geral SaaS e o Termo de Contratação aceitos pelas partes; dados da operação são os dados pessoais tratados na utilização da plataforma pela CONTRATANTE.

4. Papéis das partes

Em regra, a CONTRATANTE determina as finalidades e os meios essenciais do tratamento dos dados de sua operação e atua como controladora. A CONTRATADA atua como operadora ao tratar esses dados para prestar a plataforma segundo instruções legítimas. A qualificação jurídica depende da atividade concreta, não apenas da denominação deste anexo.

Para finalidades próprias, como gestão da relação contratual, faturamento, segurança da plataforma, prevenção à fraude, cumprimento de obrigação legal e exercício de direitos, a CONTRATADA poderá atuar como controladora independente.

5. Instruções documentadas

As instruções da CONTRATANTE decorrem do Contrato Principal, das funcionalidades habilitadas, das configurações realizadas por ela e de solicitações legítimas documentadas. A CONTRATADA as observará no escopo do serviço e da legislação aplicável.

Instruções que exijam desenvolvimento, operação manual relevante ou exportação especial poderão depender de avaliação técnica e de serviço adicional expressamente aceito. Isso não condiciona o atendimento de dever legal básico a nova contratação.

6. Finalidades do tratamento

Como operadora, a CONTRATADA trata dados para disponibilizar e manter as funções contratadas da plataforma, autenticar acessos, registrar e apoiar operações de transporte, executar integrações utilizadas, prestar suporte e proteger o serviço, conforme as instruções legítimas da CONTRATANTE.

7. Categorias de titulares

Conforme o uso efetivo da plataforma, os dados poderão se referir a usuários, empregados, colaboradores, motoristas, proprietários, representantes, clientes, fornecedores, contatos, remetentes, expedidores, destinatários, recebedores e responsáveis operacionais ligados à atividade logística. Esta relação não implica tratamento obrigatório de todas as categorias.

8. Categorias de dados pessoais

Podem integrar o tratamento, conforme as funções utilizadas: identificação e contato; cadastro e documentação profissional; dados de motoristas e veículos vinculáveis a pessoas; viagens, cargas, entregas e ocorrências; localização e rastreamento; documentos fiscais ou regulatórios; dados financeiros necessários às funções contratadas; registros de acesso, eventos e dados recebidos por integrações.

9. Operações de tratamento

As operações podem incluir recebimento, registro, organização, consulta, armazenamento, uso, compartilhamento necessário a integrações habilitadas, exportação e eliminação, de acordo com a função efetivamente utilizada e o ciclo de vida do serviço. Nem toda operação ocorre para todos os dados ou clientes.

10. Obrigações da CONTRATANTE

À CONTRATANTE, quando controladora, cabem a definição das finalidades e bases legais, a transparência perante os titulares, a legitimidade dos dados inseridos e das instruções, a configuração dos acessos e a orientação dos usuários que autorizar. Deve evitar dados desnecessários e conduzir as respostas a titulares e autoridades sob sua responsabilidade, com a cooperação cabível da CONTRATADA.

11. Obrigações da CONTRATADA

À CONTRATADA cabem observar instruções legítimas, limitar o tratamento às finalidades aplicáveis, controlar acessos, manter confidencialidade, adotar medidas técnicas e administrativas adequadas, exigir obrigações compatíveis de seus suboperadores e cooperar com a CONTRATANTE nos limites de sua atuação. Permanecem suas obrigações legais próprias e sua responsabilidade por falhas que lhe sejam imputáveis.

12. Confidencialidade

O acesso a dados pessoais será limitado às pessoas que precisem deles para executar atividades autorizadas, sujeitas a dever compatível de confidencialidade. Aplicam-se as disposições de sigilo do Contrato Principal e as hipóteses legais de divulgação obrigatória.

13. Segurança

A CONTRATADA adotará medidas técnicas e administrativas proporcionais aos riscos e compatíveis com o serviço prestado, incluindo controle de acesso e proteção dos ambientes sob sua responsabilidade. A CONTRATANTE deverá administrar permissões e credenciais de seus usuários. Nenhuma das partes garante segurança absoluta ou recuperação integral em todas as circunstâncias.

14. Suboperadores

A CONTRATANTE concede a autorização geral prevista no Contrato Principal para uso de suboperadores necessários ao serviço, como provedores de infraestrutura, armazenamento, comunicação, monitoramento, APIs e integrações. A CONTRATADA exigirá obrigações compatíveis de proteção de dados e permanece responsável por seus deveres próprios.

A relação específica de suboperadores será mantida separadamente e disponibilizada por canal apropriado, conforme o Contrato Principal. Alterações ordinárias seguem o Contrato Principal; transparência e comunicação adicionais serão observadas quando exigidas por lei ou condição específica aceita.

15. Transferência internacional

Se necessária ao serviço, eventual transferência internacional observará a LGPD, a regulamentação da ANPD, os mecanismos jurídicos admitidos e medidas adequadas de proteção. As partes cooperarão nos requisitos que lhes couberem. Esta cláusula não afirma que a infraestrutura atual realiza transferência internacional nem substitui o mecanismo exigido para uma operação concreta.

16. Solicitações de titulares

Quando receber solicitação referente a dados que trata somente como operadora, a CONTRATADA poderá encaminhá-la à CONTRATANTE controladora e auxiliá-la de forma razoável, conforme as informações e recursos disponíveis. A CONTRATADA não decidirá, em nome da CONTRATANTE, sobre finalidade ou instrução que caiba a esta, ressalvado dever legal próprio.

17. Autoridades e requisições legais

Cada parte atenderá as requisições legais que lhe forem dirigidas. Quando permitido e pertinente ao tratamento da CONTRATANTE, a CONTRATADA a informará sobre requisição recebida e cooperará dentro de seu papel, sem divulgar dados além do necessário para cumprir obrigação legal válida.

18. Incidentes de segurança

A parte que identificar incidente envolvendo dados pessoais relacionados ao serviço comunicará a outra sem demora injustificada, com as informações disponíveis, e cooperará na avaliação, contenção, documentação e mitigação dos efeitos. Quando atuar como operadora, a CONTRATADA fornecerá à CONTRATANTE controladora as informações de que dispuser para apoiar seus deveres legais.

As comunicações à ANPD e aos titulares cabem ao controlador nas hipóteses exigidas pela regulamentação, preservadas obrigações legais próprias de cada parte. A cooperação da operadora não transfere automaticamente os deveres do controlador.

19. Cooperação

As partes trocarão as informações razoavelmente necessárias ao cumprimento de suas obrigações de proteção de dados relacionadas ao serviço, respeitados seus papéis, os limites técnicos, a confidencialidade, os direitos de terceiros e as condições do Contrato Principal.

20. Auditoria e evidências

A CONTRATADA poderá demonstrar o cumprimento das obrigações aplicáveis por documentos, políticas, respostas a questionários, relatórios ou outras evidências razoavelmente necessárias. Auditoria técnica presencial ou intrusiva dependerá de justificativa e acordo prévio sobre escopo e condições que protejam a segurança, a infraestrutura, informações de outros clientes, a confidencialidade e a propriedade intelectual.

21. Retenção

A retenção observará a necessidade operacional, as instruções legítimas, o Contrato Principal e as obrigações legais aplicáveis. Os ciclos técnicos de backup e as retenções necessárias ao exercício de direitos não autorizam conservação indefinida. Os dados mantidos após o encerramento continuarão protegidos e terão uso limitado à finalidade que justificar a conservação.

22. Exclusão ou devolução

Ao fim do tratamento, a CONTRATANTE deverá providenciar a exportação dos dados que deseja conservar pelos meios e formatos nativamente disponíveis, conforme a janela aplicável do Contrato Principal. Exportação especial ou migração poderá exigir escopo e aceite específicos, sem afastar direitos e deveres legais de acesso a dados pessoais.

A exclusão ou anonimização observará as regras operacionais e legais pertinentes. Cópias de backup seguirão seus ciclos técnicos e não são objeto de exclusão instantânea individual, permanecendo protegidas enquanto retidas.

23. Encerramento do tratamento

Encerrada a prestação, o tratamento operacional será descontinuado conforme o Contrato Principal, ressalvados dados cuja conservação seja necessária por obrigação legal, exercício de direitos, solicitações legítimas em curso ou ciclo técnico de backup. Não se presume continuidade de acesso à plataforma após o encerramento.

24. Responsabilidade

As responsabilidades entre as partes e as limitações contratualmente válidas seguem o Contrato Principal, conforme o fato e a imputação de cada parte. Este anexo não cria limite autônomo nem afasta direitos dos titulares, poderes de autoridades ou responsabilidades que a lei não permita limitar.

25. Prevalência

Em conflito específico de proteção de dados entre este anexo aceito e disposição geral do Contrato Geral SaaS, prevalecerá este anexo somente nessa matéria, observada a hierarquia documental do Contrato Principal e a legislação obrigatória. Preço, limites da licença, serviços, disponibilidade, prazo contratual e propriedade intelectual não são alterados por este anexo.

26. Vigência

Uma vez identificado e aceito pelas partes, este anexo acompanhará o Contrato Principal enquanto houver tratamento abrangido por ele. Obrigações de confidencialidade, conservação legítima, exclusão e cooperação subsistirão na extensão necessária após o encerramento, conforme o Contrato Principal e a lei. Alterações desta versão dependerão do procedimento de comunicação e aceite aplicável.