DPA – Acordo de Tratamento de Dados Pessoais

O presente Acordo de Tratamento de Dados Pessoais (“DPA”) é celebrado entre, de um lado, a pessoa jurídica contratante dos serviços Out‑Sig, titular do tenant Microsoft 365 (“CONTROLADOR”), e, de outro lado, a empresa WGET SOLUÇÕES LTDA, na qualidade de fornecedora da plataforma Out‑Sig (“OPERADORA”), tendo por objeto estabelecer as condições sob as quais a OPERADORA realizará o tratamento de dados pessoais em nome do CONTROLADOR, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).Para fins deste instrumento, consideram-se dados pessoais quaisquer informações relacionadas a pessoa natural identificada ou identificável, e tratamento toda operação realizada com dados pessoais, incluindo coleta, acesso, utilização, processamento e eliminação.A OPERADORA compromete-se a tratar os dados pessoais exclusivamente de acordo com as instruções documentadas do CONTROLADOR e apenas na medida necessária para a execução dos serviços contratados por meio da plataforma Out‑Sig, que consiste na gestão e aplicação automatizada de assinaturas de e-mail no ambiente Microsoft 365.No contexto da execução do serviço, poderão ser tratados dados pessoais como nome completo, endereço de e-mail corporativo, cargo, departamento, telefone corporativo e demais informações constantes no diretório da organização, necessárias para a composição das assinaturas. Adicionalmente, poderão ser tratados dados relativos às licenças atribuídas aos usuários no ambiente Microsoft 365, exclusivamente para fins operacionais e comerciais da OPERADORA, incluindo relacionamento com o CONTROLADOR, sempre respeitando a legislação aplicável.A OPERADORA não acessa, armazena, analisa ou utiliza o conteúdo das mensagens de e-mail enviadas ou recebidas pelos usuários do CONTROLADOR, garantindo que qualquer operação técnica necessária para inserção de assinaturas ocorre de forma automatizada e sem leitura ou retenção do conteúdo das comunicações.O tratamento de dados pessoais realizado pela OPERADORA tem como finalidade exclusiva a prestação dos serviços contratados, incluindo a padronização de assinaturas de e-mail, gestão de identidade visual corporativa e suporte técnico da solução.A OPERADORA compromete-se a não utilizar os dados pessoais para qualquer finalidade diversa daquelas previstas neste instrumento, nem a compartilhar tais dados com terceiros, salvo quando necessário para a execução do serviço, cumprimento de obrigação legal ou mediante autorização prévia do CONTROLADOR. Poderão ser utilizados suboperadores para suporte à infraestrutura da solução, incluindo, mas não se limitando a, provedores de computação em nuvem como Microsoft Azure. Nesses casos, a OPERADORA assegura que tais suboperadores estarão sujeitos a obrigações contratuais compatíveis com os requisitos de proteção de dados estabelecidos neste DPA e na legislação aplicável.A OPERADORA declara que adota medidas técnicas e organizacionais adequadas para garantir a segurança dos dados pessoais, incluindo criptografia em trânsito, controle de acesso restrito baseado no princípio do menor privilégio, autenticação segura via Microsoft Entra ID (Azure AD), registro de logs de auditoria e monitoramento contínuo dos sistemas. O acesso a dados pessoais por colaboradores da OPERADORA é limitado ao estritamente necessário e condicionado a obrigações de confidencialidade.Os dados pessoais tratados serão mantidos apenas pelo período necessário para a execução das finalidades descritas neste Acordo, sendo eliminados ou anonimizados após o término da prestação dos serviços, salvo quando sua manutenção for necessária para cumprimento de obrigações legais ou regulatórias.As permissões concedidas pelo CONTROLADOR à aplicação Out‑Sig no ambiente Microsoft 365 permanecerão válidas apenas durante a vigência do contrato, podendo ser revogadas a qualquer momento e devendo ser descontinuadas ao término da relação contratual.A OPERADORA compromete-se a auxiliar o CONTROLADOR, sempre que razoavelmente possível, no atendimento às solicitações de titulares de dados pessoais, incluindo pedidos de acesso, correção, anonimização ou exclusão de dados, nos termos da LGPD.Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos dados pessoais tratados, a OPERADORA deverá comunicar o CONTROLADOR em prazo razoável, informando, na medida do possível, a natureza do incidente, os dados potencialmente afetados, as medidas técnicas e de segurança adotadas e as ações executadas para mitigação dos riscos.O CONTROLADOR poderá, mediante aviso prévio razoável e de forma proporcional, solicitar informações sobre os mecanismos de segurança adotados pela OPERADORA, não sendo garantido acesso a informações que comprometam segredos comerciais, segurança do ambiente ou direitos de terceiros.A responsabilidade de cada uma das partes será limitada às suas respectivas obrigações legais e contratuais, sendo certo que o CONTROLADOR é responsável pela legitimidade do tratamento de dados pessoais realizado em seu ambiente e pela obtenção das bases legais necessárias, enquanto a OPERADORA responde pela execução do tratamento conforme suas instruções e pela adoção de medidas adequadas de segurança.Este Acordo observa os princípios da boa-fé, finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção e responsabilização, conforme previstos na LGPD, e poderá ser atualizado mediante comunicação ao CONTROLADOR para refletir alterações legais, regulatórias ou operacionais.