Acordo de Tratamento de Dados Pessoais

Este Acordo de Tratamento de Dados Pessoais (“DPA”) integra os Termos de Uso ou contrato do Cliente quando a VeroAtto Sign tratar dados pessoais em nome dele. Em conflito sobre esse tratamento, prevalece este DPA; condições específicas assinadas prevalecem sobre este texto no ponto expressamente regulado.

O Cliente é controlador quando decide finalidades e elementos essenciais do tratamento em Documentos, contatos e signatários. A VeroAtto Sign é operadora ao hospedar, preparar, enviar, assinar, autenticar, entregar e suportar esses dados conforme instruções. Cada parte permanece controladora dos dados que trata para segurança própria, faturamento, cumprimento legal e defesa.

A configuração da conta, os comandos do usuário autorizado, os Termos e o contrato constituem instruções documentadas. A VeroAtto Sign informará se considerar uma instrução manifestamente contrária à legislação, salvo proibição legal, e poderá suspender a execução necessária à proteção das partes.

• Definir finalidade e base legal para os dados inseridos.
• Fornecer avisos de privacidade e atender direitos dos titulares.
• Garantir exatidão, minimização e legitimidade dos contatos e Documentos.
• Selecionar autenticação e retenção adequadas ao risco.
• Exigir dados ou imagens adicionais de identidade somente quando necessários, proporcionais e juridicamente autorizados, sem qualificá-los como biometria automatizada.
• Proteger e reter de forma adequada os dossiês baixados.
• Administrar usuários, permissões e integrações.
• Não instruir tratamento ilícito nem enviar dados sem salvaguardas necessárias.

• Tratar dados somente para instruções e finalidades contratadas, salvo dever legal.
• Limitar acesso a pessoas autorizadas e sujeitas a confidencialidade.
• Adotar medidas técnicas e administrativas proporcionais.
• Manter registros e informações necessárias para demonstrar cumprimento.
• Apoiar direitos, incidentes e avaliações conforme este DPA.
• Não vender dados nem usar Documentos para publicidade comportamental.

As medidas incluem controle de acesso, separação lógica, proteção de credenciais, armazenamento privado, validação de uploads, hashes, trilha, limitação de tentativas, logs e backups protegidos. A Política de Segurança descreve o estado atual e pode evoluir sem reduzir materialmente o nível global de proteção durante a vigência.

Pessoas autorizadas a tratar dados devem estar vinculadas a dever de confidencialidade legal ou contratual. O dever continua após o término. Acesso para suporte será limitado ao necessário, autorizado ou legalmente exigido.

O Cliente autoriza os subprocessadores listados na página pública correspondente. A VeroAtto Sign celebrará obrigações compatíveis, permanecerá responsável por suas próprias obrigações perante o Cliente e comunicará mudanças conforme contrato e risco.

Transferências observarão os arts. 33 a 36 da LGPD e a regulamentação da ANPD. Quando exigível, serão usadas cláusulas-padrão contratuais, decisão de adequação ou outro mecanismo válido, com transparência e salvaguardas compatíveis.

Se receber pedido relativo a dados controlados pelo Cliente, a VeroAtto Sign poderá encaminhá-lo sem responder em nome do Cliente. Mediante solicitação e considerando natureza do tratamento, fornecerá apoio razoável por recursos da Plataforma ou suporte. O Cliente decide a resposta, salvo obrigação própria da VeroAtto Sign.

A VeroAtto Sign notificará o Cliente sem demora indevida após confirmar incidente de segurança envolvendo dados tratados em seu nome. A comunicação trará informações disponíveis sobre natureza, categorias, titulares, medidas e ponto de contato, podendo ser complementada.

• O Cliente é responsável por avaliar e realizar comunicações regulatórias como controlador, com apoio razoável da VeroAtto Sign.
• A notificação não constitui admissão de culpa ou responsabilidade.
• As partes cooperarão para conter, investigar e evitar recorrência, preservando sigilo e evidências.

A VeroAtto Sign fornecerá informações razoavelmente necessárias para o relatório de impacto ou consulta da atividade contratada. Auditorias devem priorizar documentos, questionários e relatórios existentes; inspeção extraordinária depende de necessidade, confidencialidade, não interferência, aviso e custos acordados, salvo exigência de autoridade.

Quando receber ordem sobre dados do Cliente, a VeroAtto Sign verificará sua validade e, se permitido, informará o Cliente antes da divulgação. Entregará somente o escopo exigido e poderá preservar registros para cumprimento e defesa.

Ao final, o Cliente deve exportar os dados disponíveis. A VeroAtto Sign excluirá, anonimizará ou bloqueará dados conforme instruções e Política de Retenção, ressalvados obrigações legais, segurança, prova, direitos de terceiros e cópias residuais de backup. Dados preservados permanecerão protegidos e fora do uso comum.

Cada parte responde pelo cumprimento das obrigações correspondentes ao seu papel e por seus atos. Nenhuma cláusula transfere ao operador decisões que cabem ao controlador nem limita direitos dos titulares.

Assuntos deste DPA devem ser enviados a privacidade@veroatto.com, com identificação do Cliente e do responsável autorizado.