Acordo de Tratamento de Dados (DPA) — DuLicita

Este Acordo de Tratamento de Dados ("DPA") integra o Contrato Eletrônico de Licenciamento de Uso de Software e Prestação de Serviços em Nuvem — SaaS DuLicita, celebrado entre DUO SISTEMAS INTELIGENTES LTDA (CNPJ 53.552.100/0001-97) e a conta contratante ("CONTRATANTE"), e disciplina o tratamento de dados pessoais realizado no âmbito da prestação do serviço, em conformidade com a Lei nº 13.709/2018 (LGPD).

1. Definição dos papéis

1.1. A CONTRATANTE é controladora dos dados pessoais de terceiros (por exemplo, clientes, fornecedores ou colaboradores próprios) que decida inserir na Plataforma no exercício de sua atividade.

1.2. A DUO SISTEMAS atua, quanto a esses dados, como operadora, tratando-os exclusivamente conforme as instruções documentadas da CONTRATANTE e para a finalidade de prestação do serviço contratado.

1.3. Quanto aos dados cadastrais dos próprios Usuários da CONTRATANTE (nome, e-mail, telefone, credenciais de acesso), a DUO SISTEMAS atua como controladora, nos termos da Política de Privacidade.

2. Objeto, natureza e finalidade do tratamento

2.1. Objeto: viabilizar o funcionamento da Plataforma DuLicita como ferramenta de monitoramento e inteligência em licitações públicas, incluindo armazenamento, processamento e disponibilização dos Dados da CONTRATANTE inseridos no Workspace.

2.2. Natureza: tratamento eletrônico automatizado, incluindo coleta, armazenamento, organização, consulta, uso em análises (inclusive assistidas por inteligência artificial) e eliminação, restrito ao necessário para a prestação do serviço.

2.3. Duração: enquanto durar a relação contratual e pelo prazo de retenção aplicável após seu término, nos termos da Cláusula 6 deste DPA e da Política de Privacidade.

3. Categorias de dados e de titulares

3.1. As categorias de dados pessoais tratados dependem do uso que a CONTRATANTE faz da Plataforma, podendo incluir, tipicamente: nomes, dados de contato, cargos e informações inseridas em documentos, propostas ou registros de relacionamento comercial que a CONTRATANTE decida armazenar no Workspace.

3.2. Não é finalidade da Plataforma o tratamento de dados sensíveis (art. 5º, II, LGPD); a inserção de dados dessa categoria por decisão exclusiva da CONTRATANTE é de sua responsabilidade, cabendo-lhe a base legal específica exigida pela LGPD.

3.3. As categorias de titulares dependem dos registros que a CONTRATANTE decida inserir — tipicamente, contatos e representantes de terceiros com quem a CONTRATANTE se relacione no exercício de sua atividade.

4. Instruções documentadas

4.1. A DUO SISTEMAS tratará os dados pessoais estritamente conforme as instruções documentadas da CONTRATANTE, refletidas na configuração e no uso da Plataforma, e para a finalidade deste DPA.

4.2. Caso uma instrução da CONTRATANTE, na avaliação razoável da DUO SISTEMAS, viole a LGPD ou outra norma aplicável, a DUO SISTEMAS informará a CONTRATANTE antes de executá-la, sem prejuízo do direito de suspender a execução até o esclarecimento.

5. Segurança e confidencialidade

5.1. A DUO SISTEMAS adota medidas técnicas e administrativas de segurança da informação compatíveis com o porte do serviço e com os riscos envolvidos, incluindo controle de acesso, isolamento lógico entre Workspaces de diferentes contratantes, criptografia em trânsito e cópias de segurança.

5.2. O acesso aos Dados da CONTRATANTE por colaboradores da DUO SISTEMAS é restrito ao necessário para a prestação do serviço e sujeito a obrigação de confidencialidade.

6. Suboperadores e transferência internacional

6.1. A DUO SISTEMAS pode utilizar suboperadores para viabilizar a prestação do serviço (por exemplo, processamento de pagamentos, armazenamento em nuvem, envio de comunicações eletrônicas), listados e mantidos atualizados na Lista de Suboperadores.

6.2. Qualquer transferência internacional de dados pessoais decorrente do uso de um suboperador observará as hipóteses e salvaguardas da LGPD e as normas vigentes da ANPD, conforme indicado na própria Lista de Suboperadores.

6.3. A substituição ou inclusão de novo suboperador com acesso a dados pessoais será refletida na Lista de Suboperadores; alterações que aumentem materialmente o risco ao titular serão comunicadas à CONTRATANTE pelos canais de contato.

7. Incidentes de segurança

7.1. Identificado incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados tratados sob este DPA, a DUO SISTEMAS comunicará a CONTRATANTE em prazo razoável, com as informações disponíveis sobre a natureza dos dados afetados, os titulares envolvidos, os riscos e as medidas técnicas de segurança adotadas para a proteção dos dados.

7.2. Quando exigido pela LGPD, a comunicação à ANPD e aos titulares afetados será feita pela parte responsável conforme o papel de controlador/operador de cada conjunto de dados, mediante aprovação humana autorizada — nunca de forma automática.

8. Direitos dos titulares

8.1. Recebida solicitação de titular de dados diretamente pela DUO SISTEMAS relativa a dados tratados sob instrução da CONTRATANTE, a DUO SISTEMAS informará a CONTRATANTE e prestará a colaboração razoável necessária para o atendimento do pedido, sem responder diretamente ao titular em nome da CONTRATANTE, salvo instrução em contrário.

9. Auditoria e cooperação

9.1. A CONTRATANTE poderá solicitar, mediante aviso razoável e sem acesso a dados de outros clientes da DUO SISTEMAS, informações e evidências razoáveis do cumprimento deste DPA, incluindo a Lista de Suboperadores vigente e a documentação de segurança disponível publicamente.

10. Retenção, devolução e eliminação

10.1. Encerrada a relação contratual, a DUO SISTEMAS disponibilizará à CONTRATANTE, pelos mecanismos de exportação da Plataforma e por prazo razoável, os Dados da CONTRATANTE armazenados, eliminando-os ou anonimizando-os ao final desse prazo, ressalvada a retenção exigida por obrigação legal, nos termos da Política de Privacidade.

11. Obrigações da CONTRATANTE

11.1. A CONTRATANTE é responsável por garantir que possui base legal adequada para inserir dados pessoais de terceiros na Plataforma e por atender, na qualidade de controladora desses dados, as solicitações dos respectivos titulares que não competirem à DUO SISTEMAS nos termos deste DPA.

11.2. A DUO SISTEMAS não responde por instrução lícita e documentada da CONTRATANTE que, mesmo executada corretamente, resulte em tratamento inadequado por decisão exclusiva desta.

12. Vigência

12.1. Este DPA permanece vigente enquanto durar o Contrato ao qual está vinculado, sobrevivendo suas obrigações de confidencialidade e retenção pelo prazo indicado na Cláusula 10.