1. Partes e definições
Este DPA é celebrado entre Benaia.ai ("Operadora") e o cliente contratante ("Controladora"), e regula o tratamento de dados pessoais realizado pela Operadora em nome da Controladora no âmbito do contrato principal de prestação de serviços.
2. Objeto e finalidade do processamento
A Operadora processará dados pessoais exclusivamente para prover as funcionalidades de governança, classificação de risco, documentação e auditoria de sistemas de IA, conforme instruções documentadas da Controladora.
3. Tipos de dados pessoais processados
- Dados de identificação (nome, e-mail corporativo, cargo)
- Metadados de sistemas de IA cadastrados pela Controladora
- Dados de conformidade e relatórios de auditoria
- Logs de acesso, uso e operação
3.1. Descobertas de uso de ferramentas de IA
Quando a Controladora conecta fontes de telemetria (proxy, DLP, EDR, SIEM), a plataforma registra o uso de ferramentas de IA no ambiente corporativo. O nível de identificação é decidido e configurado pela Controladora, que permanece responsável pela finalidade, pela base legal e pela comunicação aos trabalhadores. A Operadora apenas executa a configuração escolhida.
- Somente contagem de equipamentos (padrão) — registra a quantidade de equipamentos que utilizaram a ferramenta. Identificadores recebidos na ingestão são descartados e substituídos por valor derivado não reversível, usado apenas para contagem de unicidade.
- Agregação por área — acrescenta o departamento ou unidade organizacional, sem identificar pessoas. A Controladora reconhece que, em áreas pequenas, a agregação pode identificar indiretamente.
- Identificação individual — registra o equipamento ou usuário. Constitui monitoramento de trabalhador e exige da Controladora base legal declarada, justificativa documentada, política de uso comunicada e prazo de retenção não superior a 365 dias.
No nível de identificação individual, a identidade é visível apenas aos perfis autorizados pela Controladora, cada consulta é registrada em trilha de acesso e os identificadores são eliminados automaticamente ao fim do prazo de retenção. A redução do nível de identificação elimina definitivamente os identificadores já registrados.
4. Sub-processadores autorizados
- Supabase Inc. — banco de dados e autenticação — EUA / União Europeia
- Anthropic PBC — processamento de IA (modelos Claude) — EUA
- Resend Inc. — emails transacionais — EUA
- Vercel Inc. — infraestrutura e CDN — EUA / União Europeia
- Sentry — monitoramento de erros — EUA
Mudanças na lista de sub-processadores serão comunicadas com 30 dias de antecedência.
5. Transferências internacionais de dados
Transferências internacionais são realizadas com base em cláusulas contratuais padrão e demais salvaguardas previstas no art. 33 da LGPD.
6. Medidas de segurança técnicas e organizacionais
- Criptografia AES-256 em repouso e TLS 1.3 em trânsito
- Controle de acesso baseado em papéis (RBAC) e segregação por organização
- Row-Level Security em todas as tabelas multi-tenant
- Backups automáticos diários com retenção de 30 dias
- Registros de auditoria com hash SHA-256 por entrada — qualquer alteração invalida o hash
7. Notificação de incidentes
A Benaia.ai notificará a Controladora sobre incidentes de segurança com dados pessoais sem demora indevida e em prazo que permita à Controladora cumprir suas obrigações perante a ANPD e os titulares. Nas situações que envolvam risco ou dano relevante aos titulares, a notificação inicial ocorrerá em até 24 (vinte e quatro) horas após a confirmação do incidente, com relatório complementar em até 5 (cinco) dias úteis.
Base legal: LGPD art. 48; Resolução ANPD nº 15/2024.
8. Direitos dos titulares
A Operadora apoia a Controladora no atendimento aos direitos previstos no art. 18 da LGPD (acesso, correção, anonimização, eliminação, portabilidade, oposição e revisão de decisões automatizadas).
9. Exclusão de dados ao término do contrato
Encerrado o contrato, todos os dados pessoais serão excluídos ou anonimizados em até 30 dias, exceto quando a retenção for exigida por obrigação legal.
10. Vigência e rescisão
Este DPA vigora enquanto durar o contrato principal e prevalece em caso de conflito sobre as disposições relativas a proteção de dados pessoais.
