Acordo de Tratamento de Dados Pessoais

Versão 2026.10. Aceito em nome do órgão contratante pelo administrador do ambiente, no painel de gestão.

1. Partes e papéis

1.1. O órgão contratante (Município, por sua secretaria ou unidade) é o controlador dos dados pessoais tratados no seu ambiente organizacional (LGPD, art. 5º, VI).

1.2. Nabram, titular do serviço IAJus Corporativo, é operador (LGPD, art. 5º, VII) e trata os dados somente conforme as instruções do controlador expressas no contrato, neste acordo e nas configurações do ambiente (art. 39).

2. Objeto, finalidade e vedação de treinamento

2.1. O tratamento tem por finalidade exclusiva prestar o serviço contratado: receber instruções e documentos dos usuários, gerar respostas e arquivos, armazenar e disponibilizar o conteúdo aos usuários autorizados do ambiente.

2.2. Categorias de titulares: servidores usuários e pessoas mencionadas nos documentos (cidadãos, pacientes, fornecedores). Categorias de dados: cadastrais dos usuários e quaisquer dados contidos nos documentos inseridos, inclusive dados pessoais sensíveis referentes à saúde (art. 11).

3. O operador não utilizará e não permitirá que suboperadores utilizem o conteúdo inserido pelos usuários (instruções, documentos e respostas geradas) para treinamento ou aprimoramento de modelos de inteligência artificial, nem para qualquer finalidade diversa da prestação do serviço.

4. Segurança (art. 46)

4.1. O operador adota medidas técnicas e administrativas aptas a proteger os dados, incluindo criptografia em trânsito (TLS) e em repouso (AES-256), controle de acesso por perfil, isolamento entre organizações, registro de auditoria e cópias de segurança cifradas.

4.2. O pessoal do operador não acessa o conteúdo inserido pelos usuários, salvo por instrução expressa e documentada do controlador para atendimento de chamado específico, com registro da ocorrência.

5. Suboperadores

5.1. O controlador autoriza os suboperadores listados na página de suboperadores, que estão sujeitos a obrigações de proteção de dados equivalentes às deste acordo. Inclusão ou substituição será comunicada ao controlador com antecedência mínima de 30 dias, podendo ele se opor.

6. Transferência internacional (art. 33)

6.1. O processamento pelos modelos de IA pode ocorrer fora do Brasil, nos países informados na página de suboperadores, com base em cláusulas contratuais que garantem o cumprimento dos princípios, direitos do titular e regime de proteção da LGPD (art. 33, II), na forma da regulamentação da ANPD.

7. Direitos dos titulares e cooperação

7.1. O operador auxilia o controlador a atender pedidos dos titulares (art. 18), por meio das funções de exclusão e exportação do ambiente e, quando necessário, por chamado de suporte.

8. Incidentes de segurança (art. 48)

8.1. O operador comunicará ao controlador, em até 48 horas da ciência, incidente que possa acarretar risco ou dano relevante aos titulares, com a descrição da natureza dos dados afetados, dos titulares envolvidos, das medidas de segurança, dos riscos e das medidas adotadas, para que o controlador comunique a ANPD e os titulares.

9. Retenção e término (art. 16)

9.1. Os dados são mantidos durante a vigência ou pelo prazo de retenção configurado pelo controlador. Encerrada a vigência, ficam disponíveis por 30 dias para exportação e são então eliminados, inclusive em backups, que expiram pela rotação em até 30 dias, salvo obrigação legal de guarda.

10. Auditoria e responsabilidade

10.1. O operador disponibiliza ao controlador as informações necessárias para demonstrar o cumprimento deste acordo e responde nos termos dos arts. 42 a 45 da LGPD.

Versão do documento: 2026.10 · IAJus Corporativo · titular do serviço: Nabram