Acordo de Tratamento de Dados (DPA)

1. Introdução

Este Acordo de Tratamento de Dados Pessoais (“DPA”) estabelece as condições aplicáveis ao tratamento de dados pessoais realizado pela Claryn Tecnologia e Inovação Ltda. (“Claryn”) em nome de seus clientes, no contexto da contratação e uso da plataforma Claryn.

Este DPA integra, conforme aplicável:

Contrato SaaS;
Proposta Comercial / Order Form;
Termos de Uso;
Política de Privacidade;
Política de Uso Aceitável;
Lista de Suboperadores;
demais documentos contratuais aplicáveis.

Em caso de conflito entre este DPA e os Termos de Uso sobre tratamento de dados pessoais em nome do cliente, este DPA prevalecerá.

2. Partes

2.1 Cliente

Pessoa jurídica que contrata a plataforma Claryn e define as finalidades e os meios essenciais do tratamento dos dados pessoais inseridos, enviados, configurados ou processados na plataforma.

Para fins deste DPA, o Cliente atua, em regra, como Controlador.

2.2 Claryn

Razão social: Claryn Tecnologia e Inovação Ltda. CNPJ: 66.688.275/0001-78 Endereço registrado: Avenida das Américas, 4200, Bloco 01, Sala 305 - Centro Empresarial Barra Shopping, Barra da Tijuca, Rio de Janeiro - RJ, 22640-907 Contato de privacidade: privacidade@claryn.com.br Contato de segurança: security@claryn.com.br

Para fins deste DPA, a Claryn atua, em regra, como Operadora quando trata dados pessoais em nome do Cliente, conforme instruções documentadas.

3. Definições

Para fins deste DPA:

LGPD: Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais.

Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável.

Dados Pessoais Sensíveis: dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos, quando vinculados a pessoa natural.

Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.

Operador: pessoa natural ou jurídica que realiza tratamento de dados pessoais em nome do controlador.

Suboperador: terceiro contratado pela Claryn para realizar tratamento de dados pessoais em apoio à prestação dos serviços.

Titular: pessoa natural a quem se referem os dados pessoais.

Tratamento: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.

Dados do Cliente: dados, documentos, arquivos, registros, evidências, configurações, metadados e demais informações inseridas, enviadas, geradas ou processadas pelo Cliente, seus usuários ou terceiros autorizados na plataforma Claryn.

4. Escopo deste DPA

Este DPA se aplica ao tratamento de dados pessoais realizado pela Claryn em nome do Cliente, no contexto da prestação dos serviços contratados.

O tratamento poderá ocorrer nos seguintes módulos, conforme contratação e uso efetivo:

gestão de riscos;
gestão de controles;
políticas e aceite;
auditorias;
evidências;
planos de ação;
privacidade e LGPD;
solicitações de titulares;
mapeamento de dados;
RoPA;
DPIA/RIPD;
contratos e DPAs;
gestão de terceiros;
compartilhamento seguro de arquivos;
canal de denúncia;
portal do titular;
incidentes;
postura de segurança;
automações;
integrações;
funcionalidades de IA, quando habilitadas.

O escopo específico dos serviços será definido no contrato, proposta comercial, módulos contratados e configurações realizadas pelo Cliente.

5. Natureza e Finalidade do Tratamento

A Claryn tratará dados pessoais em nome do Cliente para as seguintes finalidades:

disponibilizar e operar a plataforma;
armazenar dados inseridos pelo Cliente;
processar fluxos configurados pelo Cliente;
permitir acesso por usuários autorizados;
registrar logs e trilhas de auditoria;
gerar relatórios, evidências e registros;
executar automações e integrações configuradas;
permitir suporte técnico;
manter segurança, disponibilidade e integridade da plataforma;
prevenir fraude, abuso ou uso indevido;
cumprir obrigações legais e contratuais aplicáveis;
executar outras instruções documentadas do Cliente.

A Claryn não utilizará Dados do Cliente para finalidades próprias incompatíveis com este DPA, salvo quando exigido por lei, necessário à segurança da plataforma, previsto contratualmente ou autorizado pelo Cliente.

6. Categorias de Dados Pessoais

A depender do uso da plataforma pelo Cliente, os dados pessoais tratados poderão incluir:

nome;
e-mail;
telefone;
cargo;
departamento;
empresa;
identificadores internos;
dados profissionais;
dados de acesso;
logs de autenticação;
registros de atividade;
metadados de arquivos;
informações em documentos, evidências, políticas, contratos, riscos e auditorias;
dados de fornecedores;
dados de colaboradores;
dados de titulares;
dados de denunciantes, denunciados ou envolvidos, quando aplicável;
dados inseridos em solicitações de titulares;
dados contidos em arquivos enviados pelo Secure Exchange;
dados necessários à operação de módulos contratados.

7. Dados Pessoais Sensíveis

A Claryn não solicita que o Cliente insira dados pessoais sensíveis, salvo quando isso for necessário ao uso legítimo de determinado módulo ou fluxo configurado pelo Cliente.

O Cliente é responsável por avaliar:

necessidade do tratamento;
proporcionalidade;
base legal aplicável;
controles de acesso;
retenção;
minimização;
informações aos titulares;
riscos envolvidos.

Quando dados sensíveis forem inseridos na plataforma, a Claryn os tratará conforme instruções documentadas do Cliente e medidas de segurança aplicáveis.

8. Categorias de Titulares

Os dados pessoais tratados em nome do Cliente poderão se referir a:

colaboradores;
candidatos;
prestadores de serviço;
fornecedores;
representantes de terceiros;
clientes do Cliente;
titulares de dados;
denunciantes;
denunciados;
testemunhas;
auditores;
consultores;
usuários administrativos;
usuários convidados;
pessoas mencionadas em documentos, evidências, contratos, políticas, riscos, incidentes ou arquivos.

As categorias efetivas dependerão do uso realizado pelo Cliente.

9. Instruções do Cliente

A Claryn tratará dados pessoais conforme instruções documentadas do Cliente, incluindo:

contrato;
proposta comercial;
configurações da plataforma;
permissões atribuídas;
fluxos configurados;
integrações habilitadas;
solicitações de suporte;
instruções escritas fornecidas por canais autorizados.

Caso a Claryn entenda que uma instrução viola a legislação aplicável ou cria risco relevante, poderá informar o Cliente e suspender a execução da instrução até esclarecimento, quando razoável e permitido.

10. Responsabilidades do Cliente

O Cliente é responsável por:

definir as finalidades do tratamento;
definir bases legais aplicáveis;
informar titulares quando necessário;
obter consentimento quando aplicável;
configurar permissões e acessos;
garantir que usuários estejam autorizados;
manter dados corretos e atualizados;
não inserir dados excessivos ou desnecessários;
responder solicitações de titulares quando atuar como controlador;
avaliar riscos de privacidade;
conduzir DPIA/RIPD quando necessário;
cumprir obrigações legais e regulatórias aplicáveis;
validar interpretações jurídicas com assessoria própria;
garantir que o uso da plataforma esteja alinhado às políticas internas da organização.

11. Responsabilidades da Claryn

A Claryn é responsável por:

tratar dados pessoais conforme instruções documentadas do Cliente;
adotar medidas técnicas, administrativas e organizacionais razoáveis de segurança;
restringir acesso aos dados a pessoas autorizadas;
manter confidencialidade;
apoiar o Cliente, dentro de limites razoáveis, no cumprimento de obrigações relacionadas à proteção de dados;
comunicar incidentes de segurança aplicáveis conforme este DPA;
manter lista de suboperadores;
exigir obrigações de proteção de dados de suboperadores relevantes;
excluir ou devolver Dados do Cliente conforme contrato e política de retenção;
disponibilizar informações razoáveis sobre suas práticas de segurança e privacidade.

12. Segurança da Informação

A Claryn adotará medidas de segurança compatíveis com a natureza dos dados, o contexto do tratamento e os riscos envolvidos.

As medidas podem incluir, conforme aplicável:

criptografia em trânsito;
criptografia em repouso;
controle de acesso;
autenticação multifator;
segregação lógica entre clientes;
gestão de permissões;
logs e trilhas de auditoria;
monitoramento de segurança;
backups;
gestão de vulnerabilidades;
práticas de desenvolvimento seguro;
proteção de segredos;
resposta a incidentes;
revisão de acessos administrativos;
retenção controlada de logs.

O Cliente reconhece que medidas de segurança são continuamente aprimoradas e podem variar conforme módulo, ambiente, plano contratado e evolução da plataforma.

13. Confidencialidade

A Claryn deverá tratar Dados do Cliente como informações confidenciais.

Pessoas autorizadas a acessar Dados do Cliente deverão estar sujeitas a deveres de confidencialidade compatíveis com suas funções.

A Claryn limitará o acesso a Dados do Cliente a pessoas, sistemas e suboperadores que necessitem desse acesso para prestação dos serviços, suporte, segurança, cumprimento legal ou execução contratual.

14. Suboperadores

O Cliente autoriza a Claryn a contratar suboperadores para apoiar a prestação dos serviços.

Suboperadores podem ser utilizados para:

hospedagem;
infraestrutura cloud;
armazenamento;
CDN;
envio de e-mails;
autenticação;
monitoramento;
logs;
suporte;
analytics;
pagamentos;
segurança;
processamento por IA, quando aplicável.

A Claryn deverá manter uma lista de suboperadores disponível em documento próprio.

A Claryn buscará impor aos suboperadores obrigações de proteção de dados compatíveis com este DPA, considerando a natureza dos serviços prestados.

15. Alterações na Lista de Suboperadores

A Claryn poderá alterar sua lista de suboperadores.

Quando houver alteração relevante, a Claryn poderá comunicar o Cliente ou atualizar a lista pública de suboperadores.

O Cliente poderá apresentar objeção razoável ao uso de novo suboperador quando houver risco relevante e fundamentado à proteção de dados pessoais.

Caso as partes não consigam resolver a objeção de forma razoável, o Cliente poderá encerrar o serviço afetado conforme contrato aplicável.

16. Transferência Internacional de Dados

A Claryn poderá utilizar suboperadores ou infraestrutura que envolvam transferência internacional de dados pessoais.

Quando aplicável, a Claryn buscará adotar mecanismos e salvaguardas compatíveis com a LGPD, contratos e regulamentação aplicável.

A lista de suboperadores poderá indicar, sempre que possível, país, região ou localidade principal de processamento.

17. Atendimento a Direitos dos Titulares

Quando a Claryn receber solicitação de titular relacionada a dados tratados em nome do Cliente, poderá:

encaminhar a solicitação ao Cliente;
orientar o titular a contatar o Cliente;
apoiar o Cliente na localização, exportação, correção ou exclusão de dados, quando tecnicamente possível e contratualmente aplicável.

O Cliente é responsável por avaliar e responder solicitações de titulares quando atuar como controlador.

A Claryn poderá cobrar custos razoáveis por solicitações complexas, repetitivas, desproporcionais ou que exijam trabalho técnico adicional, conforme contrato aplicável.

18. Incidentes de Segurança

A Claryn deverá comunicar o Cliente quando identificar incidente de segurança que envolva Dados do Cliente e possa gerar risco relevante aos titulares ou ao Cliente.

A comunicação poderá incluir, conforme informações disponíveis:

natureza do incidente;
dados ou categorias de dados potencialmente afetados;
categorias de titulares potencialmente afetados;
data ou período estimado;
medidas adotadas;
medidas recomendadas ao Cliente;
status da investigação;
ponto de contato.

A Claryn poderá atualizar as informações conforme a investigação evoluir.

Quando a Claryn atuar como operadora, o Cliente será responsável por avaliar comunicações à ANPD, titulares ou outras autoridades, salvo obrigação direta aplicável à Claryn.

19. Apoio à Conformidade

A Claryn poderá apoiar o Cliente, dentro de limites razoáveis, em temas como:

resposta a direitos de titulares;
informações sobre segurança da plataforma;
informações sobre suboperadores;
exportação de dados;
exclusão de dados;
investigação de incidentes;
evidências de controle técnico;
informações para auditorias ou due diligence.

Esse apoio estará sujeito a disponibilidade técnica, razoabilidade, segurança, confidencialidade e condições comerciais aplicáveis.

20. Auditorias e Informações de Segurança

A Claryn poderá disponibilizar informações razoáveis sobre seu programa de segurança e privacidade, como:

visão geral de segurança;
visão geral de privacidade;
lista de suboperadores;
política de divulgação de vulnerabilidades;
resumos de controles;
questionários de segurança;
evidências públicas ou compartilháveis;
relatórios de auditoria ou pentest, quando existirem e conforme NDA.

O Cliente não poderá realizar testes de segurança, varreduras, auditorias técnicas, pentests ou avaliações intrusivas contra a infraestrutura da Claryn sem autorização prévia e expressa.

Auditorias presenciais, técnicas ou individualizadas estarão sujeitas a acordo prévio, escopo, confidencialidade, disponibilidade, segurança e eventual cobrança.

21. Retenção e Exclusão

A retenção e exclusão de Dados do Cliente seguirão:

contrato aplicável;
Proposta Comercial;
configurações da plataforma;
Política de Retenção e Exclusão de Dados;
obrigações legais;
necessidades de segurança;
backups;
logs;
exercício regular de direitos.

Após encerramento do contrato, a Claryn poderá disponibilizar período de exportação dos Dados do Cliente conforme contrato aplicável.

Após esse período, os dados poderão ser excluídos, anonimizados ou mantidos apenas quando necessário para cumprimento legal, segurança, auditoria, prevenção a fraude, resolução de disputas ou exercício regular de direitos.

Dados em backups poderão permanecer até expiração do ciclo técnico de retenção.

22. Devolução e Exportação de Dados

Quando tecnicamente possível e conforme contrato aplicável, o Cliente poderá exportar dados da plataforma em formatos disponíveis.

A Claryn poderá oferecer exportações por:

interface da plataforma;
relatórios;
arquivos estruturados;
APIs;
solicitação de suporte;
processo assistido, quando contratado.

A exportação poderá não incluir dados derivados internos, logs técnicos, informações de segurança, dados de outros clientes, segredos internos, métricas agregadas ou registros que a Claryn precise manter por obrigação legal ou segurança.

23. Uso de Dados Agregados ou Anonimizados

A Claryn poderá utilizar dados agregados, estatísticos, anonimizados ou desidentificados para:

melhoria da plataforma;
métricas internas;
análises de desempenho;
segurança;
benchmarking;
desenvolvimento de funcionalidades;
relatórios agregados;
pesquisa e inovação.

Esses dados não devem identificar o Cliente, usuários ou titulares de forma razoável.

24. Inteligência Artificial

Quando funcionalidades de IA estiverem habilitadas, a Claryn poderá processar Dados do Cliente para executar instruções do Cliente dentro da plataforma.

A Claryn deverá informar, em documento específico ou configuração aplicável:

quais funcionalidades usam IA;
quais dados podem ser processados;
quais fornecedores podem estar envolvidos;
quais controles estão disponíveis;
se há transferência internacional;
se dados são usados ou não para treinamento de modelos.

Como regra inicial, a Claryn não deve usar Dados do Cliente para treinar modelos de terceiros, salvo autorização contratual específica ou configuração expressa aplicável.

O Cliente é responsável por revisar resultados gerados por IA antes de utilizá-los em decisões, documentos, auditorias, obrigações legais ou comunicações externas.

25. Canal de Denúncia

Quando o Cliente utilizar o Canal de Denúncia, poderá haver tratamento de dados pessoais de denunciantes, denunciados, testemunhas e pessoas mencionadas.

O Cliente é responsável por:

definir a finalidade do canal;
definir política de confidencialidade;
restringir acessos;
avaliar denúncias;
cumprir legislação aplicável;
preservar direitos dos envolvidos;
definir retenção dos registros;
comunicar titulares ou autoridades quando aplicável.

A Claryn atuará como operadora na disponibilização técnica do canal, salvo quando tratar dados para finalidades próprias, como segurança da plataforma.

26. Portal do Titular

Quando o Cliente utilizar o Portal do Titular, a Claryn processará solicitações, documentos e metadados conforme configuração e instruções do Cliente.

O Cliente é responsável por:

avaliar identidade do solicitante;
responder à solicitação;
definir prazos e bases legais;
decidir sobre acesso, correção, exclusão, oposição ou demais direitos;
manter registro da resposta;
cumprir obrigações como controlador.

A Claryn poderá apoiar tecnicamente o fluxo, mas não substitui a avaliação jurídica do Cliente.

27. Secure Exchange

Quando o Cliente utilizar o Secure Exchange, a Claryn processará arquivos, links, metadados, registros de acesso e informações relacionadas ao compartilhamento seguro conforme configuração do Cliente.

O Cliente é responsável por:

definir destinatários;
configurar expiração, senha, OTP ou restrições;
avaliar conteúdo compartilhado;
garantir base legal;
orientar usuários;
remover ou expirar compartilhamentos quando necessário.

A Claryn adotará medidas de segurança razoáveis para proteger o fluxo, conforme arquitetura e funcionalidades disponíveis.

28. Responsabilidade por Dados Inseridos

O Cliente é exclusivamente responsável pelo conteúdo, legalidade, necessidade, precisão e proporcionalidade dos dados inseridos na plataforma.

A Claryn não tem obrigação geral de revisar previamente os Dados do Cliente.

A Claryn poderá atuar quando identificar indício de violação legal, contratual, de segurança ou de uso aceitável.

29. Limitação de Responsabilidade

A responsabilidade da Claryn no contexto deste DPA seguirá os limites definidos no contrato aplicável, salvo quando a legislação aplicável determinar de forma diversa.

A Claryn não será responsável por:

instruções fornecidas pelo Cliente;
dados inseridos indevidamente pelo Cliente;
acessos autorizados pelo Cliente;
configurações inadequadas do Cliente;
falhas de sistemas de terceiros fora do controle da Claryn;
ausência de base legal definida pelo Cliente;
uso da plataforma em desacordo com contrato, lei ou políticas aplicáveis.

30. Vigência

Este DPA permanecerá vigente enquanto a Claryn tratar dados pessoais em nome do Cliente no contexto dos serviços contratados.

As obrigações de confidencialidade, segurança, retenção, exclusão, responsabilidade e proteção de dados poderão sobreviver ao término do contrato conforme necessário.

31. Alterações neste DPA

A Claryn poderá atualizar este DPA para refletir mudanças legais, regulatórias, técnicas, operacionais ou comerciais.

Quando alterações relevantes forem feitas, a Claryn poderá comunicar o Cliente por meios apropriados.

Em contratos específicos, alterações poderão depender de aceite ou aditivo, conforme previsto contratualmente.

32. Legislação Aplicável e Foro

Este DPA será regido pelas leis da República Federativa do Brasil.

O foro será definido no contrato principal celebrado entre as partes.

Na ausência de definição específica, aplica-se o foro previsto nos Termos de Uso ou no Contrato SaaS aplicável.

33. Contato

Dúvidas sobre este DPA podem ser enviadas para:

privacidade@claryn.com.br

Comunicações de segurança:

security@claryn.com.br

Assuntos contratuais:

juridico@claryn.com.br

34. Idioma

Esta versão em português é a versão oficial e prevalecerá em caso de conflito com qualquer tradução.

Versões em outros idiomas são fornecidas apenas por conveniência.

35. Anexo I — Descrição do Tratamento

Objeto

Prestação da plataforma Claryn para operação de governança, riscos, segurança, privacidade e conformidade.

Duração

Durante a vigência do contrato e pelo período adicional necessário para retenção, backup, obrigações legais, segurança, auditoria ou exercício regular de direitos.

Natureza do tratamento

Coleta, recepção, armazenamento, organização, consulta, processamento, registro, compartilhamento controlado, transmissão, exclusão, auditoria, geração de relatórios e demais operações necessárias à prestação dos serviços.

Finalidades

Operar a plataforma, permitir uso dos módulos contratados, registrar evidências, executar fluxos, manter segurança, prestar suporte e cumprir obrigações contratuais.

Categorias de titulares

Colaboradores, usuários, clientes, representantes, fornecedores, terceiros, titulares de dados, denunciantes, denunciados, testemunhas, auditores, consultores e demais pessoas mencionadas em registros ou documentos inseridos pelo Cliente.

Categorias de dados

Dados de identificação, contato, profissionais, funcionais, logs, metadados, documentos, evidências, registros de conformidade, registros de incidentes, arquivos e outros dados inseridos pelo Cliente.

Dados sensíveis

Podem existir conforme uso da plataforma pelo Cliente, especialmente em denúncias, incidentes, solicitações de titulares, documentos, evidências ou arquivos.

Suboperadores

Conforme Lista de Suboperadores vigente.

36. Anexo II — Medidas de Segurança

A Claryn poderá adotar, conforme aplicável:

controle de acesso baseado em papéis e permissões;
autenticação multifator;
criptografia em trânsito;
criptografia em repouso;
segregação lógica entre clientes;
trilhas de auditoria;
logs de autenticação;
logs administrativos;
monitoramento de segurança;
gestão de vulnerabilidades;
backups;
proteção de segredos;
gestão de mudanças;
práticas de desenvolvimento seguro;
revisão de acessos administrativos;
controles de fornecedores;
resposta a incidentes;
políticas internas de segurança e privacidade.

37. Itens Pendentes Antes da Publicação

Antes de publicar ou usar este DPA, preencher ou confirmar:

CNPJ;
endereço registrado;
foro contratual;
lista inicial de suboperadores;
região de hospedagem;
provedores de IA;
política final de retenção e exclusão;
período de exportação após encerramento;
política de comunicação de incidentes;
limites de responsabilidade;
compatibilidade com Contrato SaaS;
compatibilidade com Proposta Comercial;
compatibilidade com Política de Privacidade;
revisão por advogado.