Acordo de Tratamento de Dados (DPA)

1.1. Este Acordo de Tratamento de Dados (“DPA”) disciplina o tratamento de dados pessoais realizado pelo LexNode por conta do Cliente no fornecimento do serviço de dados jurídicos por API, e integra os Termos de Uso.

1.2. Em matéria de proteção de dados pessoais, havendo conflito entre este DPA e os Termos de Uso, prevalece o DPA.

1.3. Os dados cadastrais, de cobrança e de uso do próprio Cliente são tratados pelo LexNode na condição de controlador, conforme a Política de Privacidade, e não são objeto deste DPA.

2.1. Os termos abaixo têm o significado que lhes atribui a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018):

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
• Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, consulta, compartilhamento e eliminação;
• Controlador: quem toma as decisões referentes ao tratamento de dados pessoais;
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador;
• Titular: a pessoa natural a quem se referem os dados pessoais;
• Incidente de segurança: evento que possa acarretar acesso, destruição, perda, alteração ou divulgação não autorizada de dados pessoais;
• ANPD: Autoridade Nacional de Proteção de Dados.

3.1. O Cliente é o controlador dos dados pessoais que consulta, recebe e utiliza por meio da API: é ele quem define as finalidades desse tratamento no contexto da sua atividade.

3.2. O LexNode é o operador em relação a esses dados, tratando-os por conta do Cliente e nos limites deste DPA.

3.3. Cada parte cumpre as obrigações que a LGPD atribui ao seu respectivo papel e responde perante titulares e autoridades na medida da sua atuação.

4.1. Constituem instruções documentadas do Cliente: os Termos de Uso, este DPA, a documentação técnica publicada e os parâmetros das operações realizadas pelo próprio Cliente ou, em seu nome, por agente por ele autorizado — chamadas de API e de tools do canal para agentes, filtros de consulta, monitores configurados e endpoints de webhook cadastrados.

4.2. O LexNode tratará dados pessoais por conta do Cliente somente conforme essas instruções, salvo quando obrigado por lei ou por ordem de autoridade — hipótese em que informará o Cliente, se a comunicação não for vedada.

4.3. O LexNode informará o Cliente se identificar que uma instrução viola a LGPD ou outra norma de proteção de dados.

5.1. O LexNode assegura que o acesso a dados pessoais tratados por conta do Cliente é restrito a pessoal autorizado, sujeito a compromisso de confidencialidade e limitado ao necessário para a operação do serviço.

6.1. O LexNode adota, no mínimo, as seguintes medidas de segurança:

• criptografia em trânsito (TLS) em todas as interfaces;
• armazenamento de chaves de API exclusivamente em forma de hash (SHA-256) — a chave em claro não é retida após a emissão;
• gate de confidencialidade que bloqueia a disponibilização compartilhada de processos sob segredo de justiça;
• registro de auditoria de toda leitura compartilhada de dados, incluindo a decisão do gate de confidencialidade;
• segregação lógica dos dados por conta e por subdivisão da conta;
• assinatura HMAC-SHA256 dos webhooks, com carimbo de tempo e proteção contra reapresentação (replay);
• prazos máximos de retenção (TTL) por tipo de conteúdo;
• cópia de segurança diária do banco de dados pelo provedor de infraestrutura, com retenção conforme o plano contratado ao provedor — os arquivos mantidos em armazenamento de objetos não integram essa cópia;
• controle de acesso por papéis e princípio do menor privilégio.

6.2. As medidas podem evoluir com a técnica, vedada a redução do nível geral de proteção durante a vigência do contrato.

7.1. O Cliente autoriza, de forma geral, o uso de suboperadores nas seguintes categorias: infraestrutura de nuvem (hospedagem, banco de dados e armazenamento); processamento de pagamentos (Stripe, restrito a dados de cobrança); e envio de e-mail transacional.

7.2. A lista atualizada de suboperadores é publicada nesta página, com data de atualização, e identifica a finalidade, os dados alcançados e o local de tratamento de cada um.

7.3. Mudanças materiais de suboperadores serão comunicadas com antecedência razoável. O Cliente pode apresentar objeção fundamentada; não havendo alternativa viável, poderá encerrar o contrato sem penalidade.

7.4. O LexNode impõe aos suboperadores obrigações de proteção de dados equivalentes às deste DPA e responde perante o Cliente pela atuação deles.

8.1. O LexNode notificará o Cliente, sem demora injustificada após tomar ciência, sobre incidente de segurança que afete dados pessoais tratados por sua conta e possa acarretar risco ou dano relevante a titulares.

8.2. A notificação conterá, na medida do conhecido: a natureza do incidente, os dados e titulares afetados (ainda que por estimativa), as medidas adotadas ou propostas e um ponto de contato.

8.3. As comunicações à ANPD e aos titulares relativas a dados tratados por conta do Cliente cabem ao Cliente, na condição de controlador, com a cooperação do LexNode.

9.1. O LexNode encaminhará ao Cliente, sem demora injustificada, os pedidos de titulares que receber e que digam respeito a dados tratados por conta do Cliente.

9.2. O LexNode prestará ao Cliente o apoio razoável para o atendimento desses pedidos, considerando a natureza do tratamento e as funcionalidades disponíveis na plataforma.

10.1. O LexNode disponibilizará ao Cliente informações e evidências razoáveis para demonstrar o cumprimento deste DPA, como documentação das medidas de segurança e registros de auditoria pertinentes.

10.2. O Cliente, diretamente ou por auditor independente sujeito a confidencialidade, pode auditar o cumprimento deste DPA mediante aviso prévio de no mínimo 30 (trinta) dias, no máximo uma vez a cada 12 (doze) meses, em horário comercial, sem acesso a dados de outros clientes nem a segredos de negócio do LexNode, e arcando com os custos da auditoria.

11.1. Encerrada a relação contratual, o LexNode eliminará ou devolverá ao Cliente, conforme sua escolha, os dados pessoais tratados por sua conta — configurações, resultados entregues e registros a ela vinculados —, salvo quando a lei exigir a retenção.

11.2. Os dados de fontes públicas judiciais mantidos no repositório do LexNode independentemente de qualquer cliente não constituem dados tratados por conta do Cliente e permanecem regidos pela Política de Privacidade e por suas salvaguardas.

11.3. Registros de auditoria podem ser retidos pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos em processo judicial, administrativo ou arbitral.

12.1. Cada parte responde pelos danos a que der causa no tratamento de dados pessoais, na medida da sua atuação e do seu papel, nos termos dos arts. 42 a 45 da LGPD.

12.2. Aplica-se a este DPA a limitação de responsabilidade prevista nos Termos de Uso, exceto naquilo que a lei vedar.

13.1. Este DPA vigora enquanto vigorar a relação contratual entre as partes e, no que couber, enquanto o LexNode retiver dados pessoais tratados por conta do Cliente.

13.2. Alterações deste DPA seguem o procedimento de alteração dos Termos de Uso.

13.3. Comunicações relativas a este DPA devem ser dirigidas a contato@lexnode.com.br.