Acordo de Tratamento de Dados (DPA)

Integra os Termos de Serviço entre a LAW AGENT BRASIL LTDA ("Operadora") e o Usuário ("Controlador"), disciplinando o tratamento de dados pessoais realizado em nome do Controlador. A AI BRAINS LABS LLC atua como Suboperadora (execução técnica do processamento e suporte).

1. Definições

Aplicam-se as definições do Art. 5º da LGPD e do Regulamento de Transferência Internacional (Res. CD/ANPD 19/2024).

2. Objeto e papéis

2.1. A Operadora (e, sob sua responsabilidade, a Suboperadora) trata os dados pessoais dos Inputs exclusivamente segundo as instruções documentadas do Controlador, para gerar os resultados solicitados pelo SISTEMA.

2.2. O Controlador é responsável pela definição das finalidades e pela base legal (tipicamente Art. 7º, V e VI; Art. 11, II, "d", para dados sensíveis em exercício de direitos).

3. Obrigações da Operadora (e da Suboperadora)

(i) tratar os dados apenas conforme instruções do Controlador; (ii) não utilizar os dados para treinamento de IA; (iii) assegurar confidencialidade das pessoas autorizadas; (iv) adotar as medidas de segurança da Cláusula 6; (v) auxiliar o Controlador nos direitos dos titulares (Art. 18) e no Relatório de Impacto (Art. 38); (vi) comunicar incidentes (Cláusula 7); (vii) eliminar/devolver dados ao término (Cláusula 8). A Operadora responde pela atuação da Suboperadora.

4. Subprocessadores

4.1. O Controlador autoriza a Operadora a contratar, como Suboperadora, a AI Brains Labs LLC e, por meio desta, os seguintes subprocessadores de dados pessoais:

4.1.1 A relação vigente é mantida e versionada em lawagent-ai.com/subprocessadores, prevalecendo a versão ali publicada.

4.1.2 Serviços fora do perímetro de dados pessoais. O SISTEMA integra serviços de terceiros destinados exclusivamente à consulta de fontes públicas, identificados por função e não por fornecedor, podendo o prestador de cada função ser substituído sem alteração deste DPA:

4.1.3 Os serviços da Cláusula 4.1.2 não recebem dados pessoais — não lhes são transmitidos nome de parte, número de processo, conteúdo de documentos do Usuário nem informação que identifique clientes do Usuário — e, por isso, não constituem subprocessadores para os fins deste DPA.

4.1.4 Caso a arquitetura passe a exigir a transmissão de dado pessoal a qualquer dos serviços da Cláusula 4.1.2, o prestador correspondente será reclassificado como subprocessador e incluído na relação da Cláusula 4.1, observada a comunicação prévia da Cláusula 4.3.

4.2. A Operadora impõe à Suboperadora e demais subprocessadores obrigações equivalentes às deste DPA.

4.3. A inclusão ou substituição de subprocessador será comunicada ao Controlador com antecedência mínima de 30 (trinta) dias, podendo o Controlador opor-se por motivo legítimo e fundamentado no prazo de 15 (quinze) dias da comunicação. Não havendo solução consensual em 30 (trinta) dias da oposição, o Controlador poderá rescindir sem ônus quanto à funcionalidade afetada.

5. Transferência internacional de dados

5.1. O processamento de IA ocorre no exterior, de forma efêmera, por necessidade técnica (indisponibilidade dos modelos avançados em região brasileira); o armazenamento permanece no Brasil (São Paulo).

5.2. A transferência internacional de dados pessoais da Operadora à Suboperadora é amparada pelas Cláusulas-Padrão Contratuais aprovadas pelo Anexo II da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, adotadas em sua integralidade e sem alteração, e firmadas entre a Operadora e a Suboperadora em instrumento próprio, disponível ao Controlador mediante solicitação fundamentada.

Para os fins da Cláusula 4 do Anexo II, aplica-se a Opção B — transferência realizada exclusivamente entre operadores, figurando a Operadora (Law Agent Brasil) como parte exportadora e a Suboperadora (AI Brains Labs) como parte importadora, sendo os Estados Unidos da América o país de destino.

A transferência ulterior aos provedores de infraestrutura e de processamento é amparada por instrumento firmado entre a Suboperadora e cada provedor, com salvaguardas equivalentes.

5.3. Salvaguardas: armazenamento no Brasil; retenção zero (ZDR); criptografia em trânsito e repouso; não-treinamento.

6. Segurança da informação

Isolamento por RLS; criptografia; controle de acesso e segregação de privilégios; URLs assinadas privadas; logs de acesso. Medidas revisadas conforme o estado da arte.

7. Comunicação de incidentes

7.1 Incidente de segurança que possa acarretar risco ou dano relevante será comunicado ao Controlador em prazo não superior a 3 (três) dias da ciência pela Operadora, com as informações necessárias ao cumprimento das obrigações de notificação à ANPD e aos titulares (art. 48 da LGPD).

7.2 A comunicação conterá, na medida do conhecido: natureza do incidente; categorias e número aproximado de titulares e de registros afetados; consequências prováveis; medidas adotadas e propostas; e canal de contato. Informação indisponível na comunicação inicial será prestada de forma incremental, sem que sua ausência justifique atraso.

7.3 A Suboperadora obriga-se a comunicar a Operadora em prazo não superior a 24 (vinte e quatro) horas da ciência, de modo a viabilizar o cumprimento do prazo da Cláusula 7.1.

7.4 A comunicação a titulares e à ANPD compete ao Controlador. A Operadora e a Suboperadora não se comunicarão diretamente com titulares sobre o incidente sem anuência prévia do Controlador, salvo determinação legal ou de autoridade.

8. Término, eliminação e devolução

8.1 Encerrado o contrato, a Operadora manterá disponível ao Controlador, por 30 (trinta) dias, mecanismo de exportação dos dados em formato estruturado e de uso corrente.

8.2 Decorrido esse prazo, os dados pessoais serão eliminados dos ambientes de produção em até 30 (trinta) dias e das cópias de segurança conforme o ciclo de rotação, que não excederá 90 (noventa) dias, mantidos isolados e inacessíveis nesse intervalo.

8.3 A Operadora emitirá ao Controlador declaração de eliminação, com data e escopo.

8.4 A conservação por exigência legal é admitida, limitada ao mínimo necessário, com registro do fundamento e manutenção das obrigações de segurança e confidencialidade enquanto durar.

9. Auditoria

Mediante notificação razoável e sob confidencialidade, a Operadora disponibiliza informações/relatórios para demonstrar conformidade, podendo a verificação ser satisfeita por relatórios/certificações de terceiros.

10. Responsabilidade e lei aplicável

Observa-se a LGPD (Arts. 42-45), com direito de regresso entre as partes. Rege-se pela lei brasileira; eventual litígio segue o foro do ToS.

11. Encarregado pelo Tratamento de Dados Pessoais

11.1 Nos termos do art. 41 da LGPD, o Encarregado da Operadora é Lahire Faria, e o canal de contato para titulares e para a ANPD é adm@lawagentapp.com.

11.2 O Encarregado da Suboperadora é André Estrella, contato support@aibrainslabsapp.com.

11.3 Alteração de Encarregado será divulgada nesta página.

12. Descrição do tratamento

12.1 Categorias de titulares: advogados e demais profissionais usuários do Usuário; clientes e partes contrárias identificados em documentos submetidos ao SISTEMA; terceiros mencionados nesses documentos.

12.2 Categorias de dados pessoais: dados de identificação e contato dos usuários; conteúdo de peças, documentos e comunicações submetidos ao SISTEMA; dados de identificação de partes e terceiros neles contidos; registros de acesso e de uso.

12.3 Dados sensíveis: o SISTEMA pode processar dados pessoais sensíveis (art. 5º, II, da LGPD) presentes em documentos submetidos pelo Usuário, notadamente em matéria trabalhista, previdenciária, de família e criminal. O Usuário, na qualidade de Controlador, define a base legal aplicável, tipicamente o art. 11, II, "d" (exercício regular de direitos em processo).

12.4 Finalidade: geração de resultados solicitados pelo Usuário no SISTEMA, suporte técnico e segurança.

12.5 Natureza e duração: tratamento automatizado, pelo prazo da contratação e pelos prazos de eliminação da Seção 8.

12.6 Periodicidade da transferência internacional: contínua, a cada operação que dependa de processamento por modelos de inteligência artificial.

13. Solicitação de autoridade estrangeira

13.1 Recebendo a Suboperadora ordem de autoridade governamental estrangeira de acesso a dados pessoais tratados sob este DPA, obriga-se a: (i) notificar a Operadora e, por meio desta, o Controlador, imediatamente, salvo vedação legal expressa; (ii) impugnar a ordem pelos meios cabíveis; (iii) limitar a divulgação ao mínimo exigido; e (iv) manter registro da solicitação e da resposta.

13.2 Havendo vedação legal de notificação, a Suboperadora notificará tão logo cesse o impedimento.

13.3 A Suboperadora não concedeu e não concederá acesso direto, geral ou irrestrito a dados pessoais tratados sob este DPA a qualquer autoridade.