# ACORDO DE TRATAMENTO DE DADOS PESSOAIS (DPA) **Anexo ao Contrato de Prestação de Serviços de Plataforma Calm Mind Enterprise** > ⚠️ **AVISO INTERNO (REMOVER ANTES DE USO REAL)**: Este é um template adaptado de DPAs públicos brasileiros (referências: Pipefy, RD Station, TOTVS, Conta Azul). Antes de assinar com primeiro cliente Enterprise pagante, submeter à revisão de advogado especializado em LGPD (~R$ 1.500-3.000 one-time). Pontos críticos que precisam validação jurídica: limitação de responsabilidade (Cláusula 14), prazos de notificação de incidente (Cláusula 9), direito de auditoria (Cláusula 11), eliminação de dados pós-contrato (Cláusula 12). --- ## QUALIFICAÇÃO DAS PARTES **CONTROLADOR** [RAZÃO SOCIAL DO CLIENTE], CNPJ [XX.XXX.XXX/0001-XX], com sede em [ENDEREÇO COMPLETO], neste ato representado por [NOME, CARGO, CPF]. **OPERADOR** [RAZÃO SOCIAL CALM MIND] LTDA., CNPJ [XX.XXX.XXX/0001-XX], com sede em [ENDEREÇO COMPLETO], neste ato representado por [NOME, CARGO, CPF]. As Partes, em razão do Contrato Principal celebrado em [DATA], pelo qual o OPERADOR fornece ao CONTROLADOR a plataforma Calm Mind Enterprise, **acordam o presente Acordo de Tratamento de Dados Pessoais (DPA)**, regido pela Lei nº 13.709/2018 (LGPD) e regulamentação aplicável. --- ## CLÁUSULA 1 — OBJETO 1.1. Este DPA regula o tratamento de dados pessoais realizado pelo OPERADOR em nome do CONTROLADOR, no contexto da execução do Contrato Principal. 1.2. Em caso de conflito entre este DPA e o Contrato Principal em matéria de proteção de dados, **prevalece este DPA**. --- ## CLÁUSULA 2 — DEFINIÇÕES Para os fins deste DPA, aplicam-se as definições do **Art. 5º da LGPD**, em especial: - **Dado pessoal**: informação relacionada a pessoa natural identificada ou identificável - **Dado pessoal sensível**: dado sobre origem racial, convicção religiosa, opinião política, filiação a sindicato, **dado referente à saúde** ou à vida sexual, dado genético ou biométrico - **Tratamento**: toda operação realizada com dados pessoais (coleta, uso, armazenamento, eliminação, etc.) - **Controlador**: pessoa a quem competem as decisões sobre o tratamento (o CONTROLADOR neste DPA) - **Operador**: pessoa que realiza o tratamento em nome do Controlador (o OPERADOR neste DPA) - **Titular**: pessoa natural a quem se referem os dados (colaboradores do CONTROLADOR) - **Incidente de segurança**: evento que possa acarretar risco ou dano relevante aos titulares --- ## CLÁUSULA 3 — ESCOPO DO TRATAMENTO 3.1. **Natureza do tratamento**: prestação de serviços de plataforma digital de gestão de saúde mental corporativa e prevenção de risco psicossocial. 3.2. **Finalidade**: viabilizar acesso de colaboradores do CONTROLADOR a recursos de bem-estar emocional, atendimento psicológico, monitoramento agregado e anônimo de indicadores de saúde mental organizacional, e cumprimento da NR-1 (riscos psicossociais). 3.3. **Categorias de titulares**: colaboradores ativos do CONTROLADOR, incluindo eventualmente prestadores PJ habilitados pelo CONTROLADOR. 3.4. **Categorias de dados pessoais tratados**: - Dados de identificação (nome, e-mail corporativo, cargo, time) - Dados sensíveis de saúde (humor, ansiedade, conteúdo de diário emocional, histórico de consultas) - Dados de uso da plataforma (acessos, frequência) - Metadados de integrações ativadas pelo CONTROLADOR (Slack, Teams, Calendar, HRIS) — **nunca conteúdo de mensagens** 3.5. **Duração**: durante toda a vigência do Contrato Principal, salvo obrigação legal de retenção (Cláusula 12). --- ## CLÁUSULA 4 — OBRIGAÇÕES DO OPERADOR O OPERADOR compromete-se a: 4.1. Tratar os dados pessoais **exclusivamente** conforme instruções documentadas do CONTROLADOR (este DPA + Contrato Principal + comunicações formais), salvo obrigação legal aplicável. 4.2. Garantir que toda pessoa autorizada a tratar os dados está submetida a obrigação contratual ou legal de **confidencialidade**. 4.3. Adotar **medidas técnicas e organizacionais de segurança** descritas na Cláusula 8 deste DPA. 4.4. Auxiliar o CONTROLADOR no atendimento de **direitos dos titulares** (Cláusula 10), no atendimento à ANPD e nas avaliações de impacto (DPIA) quando necessário. 4.5. **Anonimizar tecnicamente** todo dado pessoal disponibilizado ao CONTROLADOR para fins gerenciais, garantindo k-anonimato mínimo de **10 (dez) pessoas** por agrupamento. O CONTROLADOR jamais terá acesso a dados pessoais individualmente identificáveis de seus colaboradores. 4.6. Manter **registro das operações de tratamento** conforme Art. 37 da LGPD, disponível ao CONTROLADOR mediante solicitação. 4.7. Auxiliar o CONTROLADOR no cumprimento de obrigações legais decorrentes da NR-1 atualizada (PGR — Programa de Gerenciamento de Riscos Psicossociais), incluindo geração de relatórios em formato compatível com auditoria fiscalizadora. --- ## CLÁUSULA 5 — OBRIGAÇÕES DO CONTROLADOR O CONTROLADOR compromete-se a: 5.1. Obter, manter e demonstrar **base legal adequada** para o tratamento dos dados de seus colaboradores, especialmente quando se tratar de dados sensíveis (Art. 11 da LGPD). 5.2. Garantir que seus colaboradores foram **informados** sobre o tratamento e, quando aplicável, **manifestaram consentimento livre, informado e inequívoco**. 5.3. Não utilizar a plataforma para **finalidade diversa** da contratada, especialmente vedando-se: vigilância individual de colaboradores, discriminação trabalhista, decisão de demissão baseada em dados da plataforma. 5.4. Manter atualizada a estrutura organizacional (gestores, times, colaboradores ativos) no painel administrativo. 5.5. Notificar o OPERADOR de qualquer **alteração legal** ou administrativa que afete o tratamento. --- ## CLÁUSULA 6 — SUBPROCESSADORES 6.1. O CONTROLADOR **autoriza** o OPERADOR a contratar subprocessadores para auxiliar na execução do Contrato Principal. 6.2. A lista de subprocessadores está disponível em **calm-mind-app.com/subprocessors**, atualizada continuamente. 6.3. **Subprocessadores essenciais** na data deste DPA: | Subprocessador | Função | Localização | |---|---|---| | Supabase Inc. | Banco de dados, autenticação, armazenamento | EUA | | Railway Corp | Hospedagem do backend | EUA | | Cloudflare Inc. | CDN, DNS, segurança | Edge global | | Sentry / Functional Software | Monitoramento de erros | EUA | | Stripe Inc. | Processamento de pagamentos (faturamento ao CONTROLADOR) | EUA | | Anthropic / OpenAI | Agente conversacional de IA (com cláusula de não-treinamento) | EUA | 6.4. O OPERADOR notificará o CONTROLADOR por e-mail com antecedência de **30 (trinta) dias** sobre qualquer alteração na lista de subprocessadores. O CONTROLADOR pode opor-se motivadamente em até 15 dias; em caso de oposição não solucionada, qualquer Parte pode rescindir o Contrato Principal sem penalidade. 6.5. O OPERADOR é responsável pelo cumprimento das obrigações de proteção de dados por seus subprocessadores. --- ## CLÁUSULA 7 — TRANSFERÊNCIA INTERNACIONAL DE DADOS 7.1. Alguns subprocessadores tratam dados em jurisdição internacional (EUA). O OPERADOR garante essa transferência por meio de: - **Cláusulas contratuais específicas** com cada subprocessador internacional, em moldes equivalentes às cláusulas-padrão aceitas pela ANPD (Art. 35 da LGPD) - Verificação de **adequação operacional** do subprocessador às práticas LGPD - Disponibilização das cláusulas mediante solicitação do CONTROLADOR --- ## CLÁUSULA 8 — SEGURANÇA DA INFORMAÇÃO O OPERADOR adota e mantém medidas técnicas e organizacionais de segurança, incluindo: 8.1. **Criptografia em trânsito** (TLS 1.3 ou superior) e **em repouso** (AES-256 ou equivalente) 8.2. **Autenticação multifator (MFA)** obrigatória para acesso administrativo 8.3. **Single Sign-On (SSO)** integrado ao provedor de identidade do CONTROLADOR (SAML 2.0 ou OIDC), eliminando senhas próprias para colaboradores quando aplicável 8.4. **Segregação multi-tenant** via Row Level Security (RLS) no banco de dados, impedindo qualquer acesso cruzado entre clientes 8.5. **K-anonimato técnico (≥10 pessoas)** em todo dado agregado disponibilizado para acesso administrativo 8.6. **Auditoria contínua** de todo acesso administrativo, com logs imutáveis retidos por no mínimo 12 meses 8.7. **Backup point-in-time** de até 14 dias 8.8. **Monitoramento** de anomalias e tentativas de acesso indevido (Sentry, alertas automáticos) 8.9. **Pentest anual** por empresa especializada independente 8.10. **Controle de acesso baseado em papel (RBAC)** em 5 níveis: super administrador, administrador do tenant, gestor de RH, gestor, colaborador. --- ## CLÁUSULA 9 — INCIDENTE DE SEGURANÇA 9.1. Caso o OPERADOR identifique incidente de segurança que envolva dados pessoais do CONTROLADOR, **notificará o CONTROLADOR sem demora injustificada, em prazo não superior a 48 (quarenta e oito) horas** após a confirmação do incidente. 9.2. A notificação conterá: - Descrição da natureza do incidente - Categorias e número estimado de titulares afetados - Categorias e número estimado de registros afetados - Medidas adotadas ou propostas - Contato do DPO do OPERADOR para mais informações 9.3. O OPERADOR auxiliará o CONTROLADOR na comunicação à ANPD e aos titulares afetados, quando obrigatória nos termos do Art. 48 da LGPD. 9.4. O CONTROLADOR é responsável pela decisão final sobre notificações à ANPD e aos titulares, mediante orientação do OPERADOR. --- ## CLÁUSULA 10 — DIREITOS DOS TITULARES 10.1. O OPERADOR auxiliará o CONTROLADOR no atendimento dos direitos previstos no Art. 18 da LGPD, incluindo: - Confirmação de tratamento - Acesso aos dados - Correção - Anonimização, bloqueio ou eliminação - Portabilidade - Eliminação dos dados tratados com base em consentimento - Informação sobre compartilhamentos - Revogação de consentimento 10.2. Solicitações recebidas diretamente pelo OPERADOR de titulares serão atendidas em até **15 (quinze) dias úteis**, com comunicação ao CONTROLADOR. 10.3. O OPERADOR disponibiliza, no aplicativo do colaborador, **funcionalidades de auto-serviço** para exercício dos principais direitos (exportação, exclusão). --- ## CLÁUSULA 11 — DIREITO DE AUDITORIA 11.1. O CONTROLADOR pode auditar o cumprimento deste DPA pelo OPERADOR, mediante **aviso prévio de 30 (trinta) dias**, durante horário comercial, sem prejudicar as operações do OPERADOR. 11.2. A auditoria pode ser realizada por equipe interna do CONTROLADOR ou por terceiro independente sob obrigação de confidencialidade. 11.3. Custos da auditoria são por conta do CONTROLADOR, exceto quando constatada inconformidade material, hipótese em que serão arcados pelo OPERADOR. 11.4. Alternativamente à auditoria presencial, o OPERADOR pode demonstrar conformidade por meio de **certificações reconhecidas** (ISO 27001, SOC 2 Type II) ou relatórios de auditoria independente. --- ## CLÁUSULA 12 — DEVOLUÇÃO E ELIMINAÇÃO DE DADOS 12.1. Ao término do Contrato Principal, por qualquer motivo, o OPERADOR: a) Disponibilizará ao CONTROLADOR, em até **30 (trinta) dias**, os dados pessoais em formato estruturado, comum e legível por máquina (JSON + CSV); b) **Eliminará** todos os dados pessoais do CONTROLADOR de seus sistemas em até **60 (sessenta) dias** após o término, **ressalvadas** as hipóteses legais de retenção (obrigações fiscais, prontuários psicológicos por 5 anos conforme Conselho Federal de Psicologia, logs de auditoria por 12 meses). 12.2. **Dados anonimizados** (sem qualquer possibilidade de identificação) podem ser mantidos pelo OPERADOR para fins estatísticos e de melhoria do produto, conforme Art. 12, §1º da LGPD. 12.3. O OPERADOR fornecerá **certificado de eliminação** mediante solicitação. --- ## CLÁUSULA 13 — CONFIDENCIALIDADE 13.1. As Partes obrigam-se a manter sob estrita confidencialidade todas as informações de natureza não pública trocadas durante a execução do Contrato Principal. 13.2. A obrigação de confidencialidade subsiste por **5 (cinco) anos** após o término do Contrato Principal, salvo dados pessoais que seguem regime LGPD permanente. --- ## CLÁUSULA 14 — LIMITAÇÃO DE RESPONSABILIDADE 14.1. A responsabilidade total e cumulativa do OPERADOR perante o CONTROLADOR, decorrente ou relacionada a este DPA e ao Contrato Principal, **fica limitada ao valor total efetivamente pago pelo CONTROLADOR ao OPERADOR nos últimos 12 (doze) meses anteriores ao evento gerador**. 14.2. Esta limitação **não se aplica** a: - Dolo ou culpa grave comprovada do OPERADOR - Violação de obrigação de confidencialidade por má-fé - Multas administrativas aplicadas pela ANPD diretamente ao OPERADOR 14.3. Nenhuma das Partes responderá por **danos indiretos**, lucros cessantes, perda de oportunidade ou danos emergentes consequenciais. --- ## CLÁUSULA 15 — DISPOSIÇÕES GERAIS 15.1. **Vigência**: este DPA entra em vigor na data de sua assinatura e vigora pelo prazo do Contrato Principal, sobrevivendo às disposições aplicáveis após sua extinção (notadamente Cláusulas 9, 12, 13, 14). 15.2. **Alterações**: alterações neste DPA somente são válidas se firmadas por escrito por ambas as Partes. 15.3. **Lei aplicável**: legislação brasileira, com destaque para a Lei nº 13.709/2018 (LGPD). 15.4. **Foro**: comarca de [CIDADE/UF da sede do OPERADOR ou foro eleito], com exclusão de qualquer outro, por mais privilegiado que seja. --- ## ASSINATURAS E, por estarem assim justas e contratadas, as Partes assinam o presente DPA em 2 (duas) vias de igual teor e forma. **Local e data**: ______________________, ___ de ______________ de 2026. --- **CONTROLADOR** _______________________________________ [Nome do representante] [Cargo] [RAZÃO SOCIAL DO CLIENTE] --- **OPERADOR** _______________________________________ [Nome do representante] [Cargo] [RAZÃO SOCIAL CALM MIND] --- ## TESTEMUNHAS 1. Nome: _______________________________ CPF: _____________________ 2. Nome: _______________________________ CPF: _____________________ --- ## ANEXO ÚNICO — DETALHAMENTO DE TRATAMENTO Em conformidade com o **Art. 37 da LGPD**, segue detalhamento operacional: | Item | Descrição | |---|---| | Finalidade específica | Bem-estar, prevenção de risco psicossocial, atendimento psicológico | | Categorias de dados | Conforme Cláusula 3.4 | | Base legal | Consentimento (sensíveis) + execução de contrato + tutela da saúde | | Compartilhamentos | Subprocessadores da Cláusula 6 | | Período de retenção | Conforme Cláusula 12 | | Forma e duração | Plataforma SaaS multi-tenant, durante vigência do contrato | | Responsável pelo tratamento | DPO do OPERADOR: dpo@calm-mind-app.com | --- **FIM DO DPA**