Documento legal
Termos de Uso
LGPDCloud é um produto da Befavos Tecnologia LTDA.
Versão 1.1 Revisada em 30 de setembro de 2026
Estes Termos regulam o acesso ao site, à plataforma LGPDCloud e aos recursos contratados para gestão de privacidade, proteção de dados e governança. A contratação identifica o plano, os limites e o preço aplicáveis. O Anexo de Tratamento de Dados integra estes Termos quando a Befavos trata dados pessoais em nome da organização contratante.
1.Fornecedora e contatos
A fornecedora é Befavos Tecnologia LTDA, inscrita no CNPJ sob nº 69.228.511/0001-61, com sede na Rua Leonel Mosele, nº 40, Sala 202, Edifício Ayrton de Menezes, Centro, Concórdia, Santa Catarina, CEP 89700-176, denominada neste documento Befavos. LGPDCloud é o nome do produto e não constitui uma pessoa jurídica distinta.
Site oficial: https://lgpdcloud.com.br. Contato comercial e contratual: [email protected]. Suporte: [email protected]. Privacidade, direitos de titulares e comunicação de incidentes com dados pessoais: [email protected]. Encarregado pelo tratamento de dados pessoais: Anderson Scotton.
2.Definições e documentos da contratação
Contratante é a pessoa jurídica ou o profissional que contrata a plataforma, diretamente ou por representante autorizado. Usuário é a pessoa com acesso autorizado. Administrador é o usuário habilitado a gerir a conta, os vínculos e as permissões da organização. Consultor é o profissional ou organização autorizado a atender uma ou mais empresas, nos limites do plano e do mandato recebido.
Dados da Contratante são os registros, documentos, arquivos, respostas, cadastros e demais informações inseridos ou produzidos em seu ambiente. Ordem de Contratação é o registro do checkout, proposta aceita ou quadro comercial assinado que identifica plano, módulos, quantidades, preços, duração e condições específicas.
Integram a relação contratual estes Termos, sua Ordem de Contratação e o Anexo de Tratamento de Dados. A Política de Privacidade explica as operações de tratamento e os direitos dos titulares; sua ciência não constitui consentimento geral para tratamentos nem autoriza alterar preços ou obrigações contratuais.
Havendo divergência, prevalecem as normas obrigatórias; em seguida, os aditivos e contratos assinados com suas condições específicas; o Anexo de Tratamento de Dados nas matérias de sua competência; a Ordem de Contratação; e estes Termos. Uma proposta comercial não reduz garantias de proteção de dados sem ajuste específico e válido. Condições negociadas não podem ser alteradas por simples atualização da página pública.
3.Aceite e representação
A contratação exige aceite expresso destes Termos pelo responsável autorizado, por mecanismo eletrônico identificável ou assinatura. Antes do aceite, devem estar disponíveis o texto integral e as condições comerciais. A simples visita ao site não constitui contratação de plano pago.
Quem contrata em nome de organização declara possuir os poderes necessários. Usuários convidados devem observar as regras de utilização, mas o convite, isoladamente, não os torna devedores da assinatura empresarial nem lhes atribui poderes para alterar o contrato.
A Befavos poderá manter evidências do aceite, incluindo versão do documento, data, hora, identificador da conta e registros técnicos necessários, conforme a Política de Privacidade. A extração de um PDF ou o cálculo de um hash, isoladamente, não comprovam assinatura, identidade ou consentimento.
A contratação e a administração comercial da conta são destinadas a pessoas com capacidade civil e, como regra, maiores de 18 anos. A participação de adolescentes em atividades empresariais legítimas, como treinamento de aprendizes, depende de autorização da organização, adequação do módulo e observância da legislação e do melhor interesse. Aplicam-se também as salvaguardas do Estatuto Digital da Criança e do Adolescente quando o recurso for destinado ou provavelmente acessado por menores.
4.Escopo e natureza do serviço
A LGPDCloud é disponibilizada como software em nuvem, acessível pela internet. Conforme o plano, pode oferecer inventário e finalidades de tratamento, avaliação de riscos, RIPD, LIA, políticas, consentimentos, gestão de cookies, atendimento de titulares, incidentes, fornecedores, contratos, tarefas, evidências, auditoria, treinamentos e simulações de phishing.
A relação de módulos, usuários, organizações, armazenamento, alunos, campanhas, integrações e demais cotas é aquela informada na contratação. Material demonstrativo e funcionalidades em estudo não integram automaticamente o plano. Serviços de implantação, migração, consultoria, desenvolvimento, representação jurídica ou atuação como encarregado somente integram o serviço quando expressamente contratados.
A plataforma auxilia a organizar trabalho e evidências. Seu uso não garante conformidade integral com a LGPD, ausência de incidentes, aprovação em auditoria, certificação oficial ou imunidade a sanções. Relatórios, modelos, pontuações e sugestões dependem da qualidade e atualidade das informações fornecidas e de avaliação humana competente.
A Befavos continua responsável pelo cumprimento de suas próprias obrigações legais e contratuais. A necessidade de revisão humana não a exonera de falhas que lhe sejam imputáveis.
5.Contas e segurança de acesso
A Contratante deve manter seu cadastro e os contatos de administração, cobrança e segurança atualizados, atribuir acessos individuais, revisar permissões e revogar prontamente acessos de pessoas desligadas ou desautorizadas.
Credenciais são pessoais. É proibido compartilhar senhas, negociar contas ou permitir acesso fora das autorizações concedidas. Os usuários devem proteger dispositivos, usar mecanismos adicionais de autenticação disponibilizados e comunicar suspeitas de comprometimento.
A Befavos poderá exigir verificação proporcional de identidade e representação em alterações sensíveis, recuperação de conta e exportações. Não solicitará senhas por e-mail. Medidas de recuperação não podem revelar dados de outra organização ou dispensar a verificação necessária.
A atribuição de responsabilidade por uso indevido de credenciais considerará a conduta de cada parte, a origem da falha e o nexo causal, sem presunção de responsabilidade absoluta do usuário.
6.Consultores e ambientes de empresas
O acesso de consultor depende de vínculo autorizado e permissões concedidas pela empresa ou por seu representante legítimo. O plano não autoriza acessar informações de empresas sem mandato nem misturar dados entre ambientes.
A empresa deve definir o escopo do trabalho, os poderes de publicação, o acesso a documentos e a continuidade da operação após o desligamento do consultor. O consultor deve agir dentro dessas instruções e cumprir suas obrigações de sigilo e proteção de dados.
Salvo contratação específica com a Befavos, o consultor é responsável por seus próprios serviços profissionais. A disponibilidade de um perfil de consultor não significa que a Befavos garante suas conclusões ou o representa. Comissões e parcerias dependem de instrumento próprio.
7.Uso permitido e restrições
A Contratante recebe licença limitada, não exclusiva e temporária para usar a plataforma nas atividades previstas no plano, inclusive atendimento profissional de clientes quando autorizado. Não adquire propriedade sobre o software ou seu código-fonte.
É proibido: praticar fraude; carregar conteúdo ilícito ou malware; violar direitos de terceiros; acessar ambiente sem autorização; explorar vulnerabilidades sem autorização de teste; contornar cotas ou controles; sobrecarregar o serviço; coletar dados em massa fora das funções autorizadas; copiar ou distribuir o software; remover avisos de titularidade; e realizar engenharia reversa fora das hipóteses legalmente permitidas.
A proteção do software não impede o exercício legítimo de atividade concorrente, o uso de conhecimentos gerais ou a portabilidade dos Dados da Contratante. A extração autorizada de seus próprios documentos e registros não constitui infração de propriedade intelectual.
Tratamentos devem respeitar necessidade e minimização. A Contratante deve evitar inserir senhas, chaves de acesso, prontuários completos ou dados sensíveis sem necessidade. Dados sensíveis e de crianças ou adolescentes só podem ser inseridos quando o módulo e as salvaguardas forem adequados, houver hipótese legal aplicável e as condições do Anexo de Tratamento de Dados forem atendidas.
8.Regras de recursos específicos
Cookies e consentimentos. A Contratante é responsável por inventariar tecnologias de seu site, configurar categorias e finalidades, publicar informações corretas e definir bases legais. Um banner ou registro técnico não substitui o bloqueio efetivo das tecnologias nem torna lícito um consentimento inválido.
Atendimento de titulares, incidentes e documentos públicos. A Contratante responde pela análise jurídica, respostas e publicações que autorizar. Links de acesso, certificados e documentos destinados a terceiros devem ser configurados com exposição mínima. A disponibilização de formulário não significa resposta automática à ANPD nem delegação integral de obrigações legais à Befavos.
Treinamentos. A organização deve informar os participantes sobre dados de matrícula, progresso, avaliações e certificados. As evidências demonstram as atividades registradas; não constituem habilitação profissional ou certificação oficial, salvo indicação expressa e comprovada. A saída de um colaborador não implica, necessariamente, exclusão de evidências cuja conservação seja legítima.
Phishing. Simulações só podem atingir pessoas, domínios e sistemas sobre os quais a Contratante tenha autorização válida. São vedadas campanhas para fraude real, coleta de senhas verdadeiras, instalação de malware, constrangimento ou divulgação indevida de resultados individuais. A Contratante deve definir finalidade, público, comunicações e uso proporcional dos resultados, respeitando direitos trabalhistas e de proteção de dados.
Inteligência artificial. Recursos ou diagnósticos que utilizem IA são auxiliares e podem gerar resultados incorretos ou incompletos. Antes de inserir dados pessoais em recurso de IA externo, devem estar identificados o fornecedor, os dados enviados, as condições de retenção, as possíveis transferências e as instruções aplicáveis. A Contratante deve revisar as saídas antes de decisões ou publicações. Estes Termos não autorizam treinamento de modelos de terceiros com Dados da Contratante nem tornam automático o consentimento de titulares.
9.Planos, pagamentos e alterações
Preço, periodicidade, forma de pagamento, tributos e eventuais valores de implantação constam da Ordem de Contratação. A ativação de recursos pagos depende da confirmação do pagamento ou da condição comercial acordada. A Befavos emitirá os documentos fiscais exigidos.
A cobrança pode ser processada pelo Mercado Pago ou pelo meio informado na contratação. Cartões podem gerar cobranças recorrentes quando autorizadas. Pagamentos por Pix e outros meios seguem a modalidade escolhida; não se presume autorização de débito automático.
A renovação automática só se aplica quando claramente informada e aceita. A duração do acesso e a frequência de pagamento são conceitos distintos: o parcelamento de um plano anual não o transforma em plano mensal.
Mudanças de plano, cotas ou serviços adicionais dependem de solicitação ou aceite do responsável autorizado. Antes da confirmação, devem ser informados o novo preço, a data de efeito e eventual cálculo proporcional. Não haverá cobrança automática de excedentes sem regra previamente aceita.
Salvo condição comercial específica válida, o preço poderá ser reajustado pela variação acumulada positiva do IPCA, a partir do aniversário da contratação ou do último reajuste, respeitado intervalo mínimo de 12 meses e aviso prévio de 30 dias. Na indisponibilidade definitiva do índice, as partes negociarão substituto legal equivalente. Revisões comerciais dependem de novo aceite e não podem servir para contornar a periodicidade mínima legal de reajuste. A renovação não autoriza aumento retroativo nem criação de fidelidade sem concordância expressa.
Testes e gratuidades têm limites e duração informados na oferta. Não serão convertidos em plano pago sem informação clara e autorização de cobrança. A Befavos poderá encerrar ofertas gratuitas, com aviso razoável e oportunidade de exportação dos registros disponíveis.
10.Inadimplência, suspensão e defesa
Valores em atraso poderão sofrer multa de 2% e juros simples de 1% ao mês, calculados proporcionalmente aos dias de atraso, respeitada a legislação e a condição comercial. Valores contestados de boa-fé devem ser examinados, preservando-se o pagamento da parte incontroversa.
A falta de pagamento pode impedir a ativação ou renovação do período não pago. A suspensão por inadimplência será precedida de notificação com pelo menos 10 dias corridos para regularização, ressalvada condição específica legalmente válida. Um período já pago não será reduzido apenas por ausência de pagamento de período futuro.
Em infrações sanáveis, a Befavos notificará o responsável e concederá, como regra, 10 dias corridos para correção. Risco concreto à segurança, fraude, ilegalidade ou ordem obrigatória poderá justificar restrição imediata e proporcional, com informação posterior quando permitida.
A Contratante poderá contestar a medida pelo suporte. A suspensão não implica apagar imediatamente os dados, não dispensa a análise de exportação segura e não autoriza a retenção de documentos como penalidade.
11.Disponibilidade, suporte e evolução
A Befavos empregará diligência para manter o serviço e corrigir falhas. Metas numéricas de disponibilidade, tempos de resposta, recuperação e créditos de serviço somente serão garantidos quando constarem de acordo de nível de serviço expressamente aceito. Não existe garantia de funcionamento ininterrupto ou de segurança absoluta.
O suporte atende problemas de acesso e funcionamento pelo canal indicado. Horários e prioridades especiais dependem do plano. A Befavos informará manutenções programadas com antecedência razoável, preferencialmente de 24 horas, salvo necessidade urgente de segurança ou integridade.
A Befavos poderá atualizar a plataforma sem descaracterizar o núcleo contratado. A retirada material de recurso pago exige informação prévia, alternativa razoável ou rescisão da parte afetada com devolução proporcional do período não prestado.
A Contratante deve manter cópias dos documentos essenciais exportáveis, sem prejuízo do dever da Befavos de proteger os dados sob sua responsabilidade. Planos de continuidade e backups da Befavos não substituem arquivo permanente independente do cliente.
12.Dados, propriedade intelectual e sigilo
A Contratante conserva seus direitos sobre os conteúdos que insere e os registros específicos de sua operação, respeitados os direitos dos titulares e de terceiros. Autoriza a Befavos a processá-los somente para executar o serviço, cumprir instruções legítimas e atender obrigações legais aplicáveis.
Modelos e materiais fornecidos podem ser adaptados e utilizados pela Contratante para sua operação e, quando autorizado, na prestação de serviços a seus clientes. É vedada sua revenda isolada ou redistribuição como biblioteca concorrente. A restrição não alcança normas públicas nem conteúdo criado independentemente pela Contratante.
A Befavos não venderá Dados da Contratante, não os usará para publicidade de terceiros e não divulgará nome, marca, logotipo ou caso de uso do cliente sem autorização separada. Indicadores efetivamente anonimizados poderão apoiar melhoria do serviço, desde que não permitam identificar pessoas ou revelar segredos empresariais.
As partes protegerão informações não públicas recebidas na relação, usando-as apenas para a execução do contrato e restringindo acesso a pessoas sujeitas a sigilo. Excluem-se informações comprovadamente públicas, recebidas licitamente de terceiro, desenvolvidas de forma independente ou exigidas por lei. O sigilo subsiste por cinco anos após o término; dados pessoais e segredos protegidos permanecem resguardados enquanto a obrigação legal ou a natureza da informação exigir.
13.Proteção de dados e incidentes
A Befavos atua como controladora dos tratamentos próprios necessários à relação comercial, administração da plataforma, segurança e obrigações legais. Atua como operadora dos dados tratados por instrução da Contratante. Os papéis dependem das operações concretas, conforme a Política de Privacidade e o Anexo de Tratamento de Dados.
A Contratante responde pela legitimidade das instruções, informações aos titulares, bases legais e decisões de sua operação. A Befavos responde por suas obrigações de segurança, confidencialidade e cumprimento de instruções lícitas. A divisão contratual não elimina direitos dos titulares nem a responsabilidade definida por lei.
Incidentes envolvendo Dados da Contratante serão tratados conforme o Anexo, incluindo aviso sem demora injustificada e prazo contratual de até 24 horas após a ciência de comprometimento de dados pessoais. A comunicação inicial poderá ser complementada conforme a investigação. Obrigações legais de comunicação da controladora não se confundem com esse prazo contratual.
14.Cancelamento e encerramento
Nas assinaturas padrão sem compromisso mínimo específico, o responsável pode solicitar cancelamento pelo recurso disponível na conta ou pelo suporte. A solicitação interrompe a renovação futura e preserva o acesso até o término do período pago, salvo pedido de encerramento antecipado ou fundamento legítimo de suspensão. A confirmação deve indicar a data de efeito.
Planos personalizados, contratos com vigência mínima e serviços profissionais seguem a condição específica expressamente aceita. Eventual multa de saída antecipada deve constar da contratação, ser proporcional e não pode resultar de cláusula oculta. Estes Termos não criam, por si, multa de fidelidade.
A simples interrupção do uso não cancela o contrato. O cancelamento padrão mantém o acesso até o fim do período pago e não gera devolução automática desse período. Se o cliente solicitar encerramento efetivo antecipado de plano anual pago antecipadamente, será devolvido o valor proporcional ao período posterior ao encerramento, salvo condição distinta expressamente negociada e legalmente válida. Em plano mensal, o período corrente mantido à disposição não é restituído automaticamente. Não se presume multa de fidelidade. Permanecem os direitos por cobrança indevida, descumprimento da Befavos ou legislação aplicável.
Quando houver relação de consumo e contratação fora do estabelecimento, será respeitado o direito de arrependimento no prazo legal de sete dias, com restituição legalmente devida. A identificação do cliente como empresa não afasta automaticamente a aplicação do Código de Defesa do Consumidor.
Quando devida restituição proporcional, o cálculo considerará o preço efetivamente pago e os dias do prazo de acesso contratado que não serão prestados. Poderão ser deduzidos apenas valores vencidos legítimos, discriminados ao cliente, sem cobrança automática de parcelas futuras como penalidade. A Befavos informará o cálculo, a forma e o prazo de restituição, observando os prazos legais e do meio de pagamento. No arrependimento sujeito ao Código de Defesa do Consumidor, será solicitado imediatamente o estorno ou a devolução legalmente devida, sem desconto incompatível com esse direito.
A exportação e a destinação dos dados seguem o Anexo. A Befavos poderá encerrar o serviço sem culpa da Contratante mediante aviso mínimo de 60 dias e devolução proporcional do período pago não prestado, sem prejuízo da transição dos dados.
15.Responsabilidade
Cada parte responde por danos que lhe sejam juridicamente imputáveis, observados o descumprimento, o nexo causal e as regras legais. A Befavos não assume o cumprimento das obrigações de governança da Contratante, mas responde pelas falhas do serviço que lhe forem atribuíveis.
Nas relações empresariais em que seja válida a limitação, a responsabilidade contratual agregada de cada parte por danos diretos limita-se aos valores pagos ou devidos pelos serviços nos 12 meses anteriores ao fato; se a relação tiver duração menor, considera-se o valor contratado para os primeiros 12 meses. A limitação não abrange obrigações de pagar o preço.
A limitação não se aplica a dolo ou culpa grave, violação de sigilo ou propriedade intelectual, descumprimento de obrigações de proteção de dados, danos a terceiros titulares de dados ou direitos e responsabilidades que não possam ser limitados por lei. Também não restringe direitos do consumidor ou poderes da ANPD.
Na extensão permitida em relação empresarial, não são indenizáveis danos indiretos meramente especulativos ou lucros cessantes sem demonstração de nexo causal. Nenhuma disposição afasta reparação legalmente obrigatória. Falha de fornecedor utilizado pela Befavos não a exonera automaticamente.
Pedidos de ressarcimento entre as partes serão limitados à parcela comprovadamente imputável à outra parte, com comunicação da reclamação, cooperação e oportunidade de defesa. Nenhuma parte poderá reconhecer obrigações em nome da outra sem autorização.
16.Alterações, comunicações e lei aplicável
Alterações materiais destes Termos serão comunicadas com pelo menos 30 dias de antecedência, com indicação da versão e das mudanças. Mudanças exigidas por lei ou urgência de segurança podem vigorar antes, com justificativa. Alterações substanciais que dependam de manifestação de vontade exigirão novo aceite; não terão efeito retroativo.
Se a Contratante não aceitar mudança material que prejudique o serviço contratado, poderá encerrar a parte afetada antes de sua eficácia, sem multa e com devolução proporcional de valores antecipados de períodos não prestados. Contratos assinados preservam as condições negociadas, alteráveis por aditivo ou previsão expressa válida.
Comunicações serão enviadas aos contatos cadastrados, por e-mail ou pela plataforma, com registro de envio. A prova do envio não constitui presunção absoluta de ciência quando houver falha conhecida de entrega. A ausência de exercício de direito não representa renúncia, e eventual invalidade de cláusula não invalida automaticamente as demais.
Aplica-se a legislação brasileira. Para controvérsias empresariais decorrentes desta contratação, fica eleito o foro de Concórdia, Santa Catarina, em razão da sede da Befavos, ressalvadas competências obrigatórias, o foro assegurado ao consumidor e a proteção do acesso à justiça. O exercício de direitos perante autoridades independe dessa eleição.
A Befavos disponibilizará cópia da versão aceita mediante solicitação.
Anexo de Tratamento de Dados Pessoais
Este Anexo integra a contratação da LGPDCloud pela organização cliente. Seu objeto é regular o tratamento de dados pessoais realizado pela Befavos Tecnologia LTDA por conta e segundo instruções documentadas da Contratante. Não constitui, isoladamente, instrumento de transferência internacional nem substitui os mecanismos exigidos pela LGPD e pela regulamentação da ANPD.
A1Papéis, finalidade e duração
A Contratante atua como controladora dos dados de sua operação; a Befavos atua como operadora ao hospedar, organizar, transmitir, consultar, exportar ou eliminar esses dados para prestar os módulos contratados. Quando a Contratante atuar como operadora de terceiro, deverá comprovar autorização para contratar a Befavos como suboperadora e transmitir as instruções pertinentes. Cada parte atua como controladora de seus tratamentos próprios de relação comercial e cumprimento de obrigações legais.
O tratamento destina-se exclusivamente à execução da plataforma, suporte necessário, proteção dos dados, recuperação de falhas e instruções legítimas do cliente. Sua duração acompanha a prestação e o período de transição e descarte previsto neste Anexo, ressalvadas conservações legais específicas.
Configurações aprovadas, solicitações de administradores autorizados e operações realizadas no âmbito do contrato constituem instruções documentadas. Mudanças incompatíveis com o serviço dependem de acordo específico. A Befavos informará instrução que considere contrária à legislação e poderá suspender apenas a operação afetada até esclarecimento, sem executá-la conscientemente de forma ilícita.
A2Titulares, dados e operações
Conforme os módulos utilizados, os titulares podem ser usuários, representantes, colaboradores, aprendizes, fornecedores, parceiros, clientes, visitantes de sites, solicitantes de direitos, participantes de treinamentos e pessoas citadas em documentos ou incidentes.
As categorias de dados podem compreender identificação e contato; vínculo profissional e permissões; solicitações e respostas de titulares; consentimentos e preferências de cookies; documentos e evidências de governança; registros de incidentes; avaliações de fornecedores; assinaturas e trilhas documentais; matrículas, progresso, respostas e certificados; resultados de simulações autorizadas; e logs necessários de operação. O cliente deve limitar campos livres e anexos ao necessário.
Dados sensíveis e de crianças ou adolescentes não são requisito geral do serviço. Seu tratamento depende de necessidade demonstrável, hipótese legal adequada, instrução explícita, salvaguardas compatíveis e registro das categorias e finalidades pela Contratante. A contratação não autoriza inserção indiscriminada nem uso de legítimo interesse como base para dados sensíveis. Recursos destinados ou provavelmente acessados por menores exigem também as salvaguardas aplicáveis do Estatuto Digital da Criança e do Adolescente.
O serviço não deve receber senhas reais coletadas em simulações, dados de cartão além do fluxo seguro do processador ou dados de alto risco alheios ao propósito do módulo. Se houver inserção incompatível, as partes cooperarão para restringir acesso e providenciar remoção segura, sem destruição de evidência cuja preservação seja legalmente necessária.
A3Obrigações da Contratante
A Contratante definirá finalidades e bases legais, prestará informações aos titulares, garantirá a legitimidade dos dados e instruções, administrará acessos e documentará prazos de retenção e autorizações de publicação. Deve instruir seus usuários sobre uso de campos livres e compartilhamento de links.
Cabe à Contratante decidir sobre solicitações de titulares, realização de avaliações de impacto e comunicações legais relativas à sua operação. A Befavos prestará a assistência prevista neste Anexo, sem assumir as decisões da controladora.
A Contratante comunicará prontamente à Befavos incidentes ou acessos indevidos relacionados à plataforma e manterá contato de segurança alcançável. Deverá conferir, antes da ativação, os suboperadores e as transferências que envolvam seus dados.
A4Obrigações da Befavos e segurança
A Befavos limitará o tratamento às instruções lícitas, restringirá acessos ao necessário e assegurará compromisso de confidencialidade a pessoas autorizadas. Não comercializará os dados nem os utilizará para publicidade, treinamento de modelos externos ou finalidades próprias incompatíveis com este Anexo.
A Befavos manterá medidas técnicas e organizacionais proporcionais ao risco, incluindo gestão de identidades e privilégios, segregação lógica dos ambientes, proteção de comunicações, registros de operações relevantes, proteção de credenciais, gestão de vulnerabilidades, mecanismos de cópia e recuperação e procedimentos de resposta a incidentes.
A configuração concreta de criptografia em repouso, ciclos de backup, recuperação e disponibilidade deverá ser descrita na documentação operacional ou no acordo específico aplicável. Este Anexo não atribui certificações, prazo de recuperação ou percentual de disponibilidade não contratados. As medidas serão revistas diante da evolução do risco e do estado da técnica.
Acesso de suporte ao conteúdo será limitado ao necessário, autorizado por perfil e registrado quando tecnicamente aplicável. Sempre que a situação permitir, a Befavos utilizará dados de teste ou informações mascaradas, em vez de expor dados de produção.
A Befavos manterá registro das operações de tratamento realizadas em nome da Contratante, conforme o art. 37 da LGPD, e evidências proporcionais de suas medidas. A evolução técnica não poderá reduzir materialmente as salvaguardas contratadas sem alternativa de proteção equivalente e comunicação ao cliente.
A5Suboperadores e serviços externos
A Contratante autoriza o uso dos suboperadores identificados na relação fornecida antes da ativação do respectivo tratamento, para funções necessárias de infraestrutura, armazenamento, entrega de mensagens, observabilidade ou processamento contratado. A relação deve indicar entidade, função, categorias de dados, localização ou países envolvidos e mecanismo de transferência quando exigido. Referência genérica a fornecedores não substitui essa relação.
A Befavos vinculará os suboperadores a deveres compatíveis de finalidade, confidencialidade, segurança, assistência e descarte e continuará responsável, perante a Contratante, pelo cumprimento das obrigações que lhes confiar, conforme a lei e o contrato.
A inclusão ou substituição material de suboperador será informada com antecedência mínima de 30 dias. A Contratante poderá apresentar oposição fundamentada em risco de proteção de dados no prazo de 15 dias após a comunicação. As partes buscarão alternativa viável; se não houver solução, o cliente poderá encerrar o módulo afetado antes da mudança, sem multa e com restituição proporcional de valores antecipados não utilizados.
Substituição emergencial indispensável à segurança ou continuidade poderá ocorrer com comunicação tão logo possível e em até cinco dias úteis, descrevendo motivo, prestador, função e garantias. Permanecem a proteção contratada e o direito de oposição da cláusula A5.3. Serviços contratados diretamente pela Contratante terão responsabilidades conforme seu vínculo concreto; a Befavos permanece responsável por seus atos na integração.
A6Transferências internacionais e inteligência artificial
A Befavos não presume residência exclusiva no Brasil. Antes de transferência internacional de dados pessoais, deverá identificar seu fluxo e assegurar mecanismo válido dos arts. 33 a 36 da LGPD e da regulamentação da ANPD, inclusive a Resolução CD/ANPD nº 19/2024 e suas alterações, quando aplicável.
Se o mecanismo adotado forem cláusulas-padrão contratuais da ANPD, elas deverão ser incorporadas integralmente ao instrumento com o importador, com preenchimento das informações necessárias e observância das regras pertinentes. Este Anexo não as substitui e não constitui consentimento específico de titulares para transferência.
A Contratante será informada das categorias, finalidades, destinatários, países, duração e garantias das transferências que envolvam seus dados. A Befavos fornecerá as informações necessárias à transparência pública exigida pela regulamentação. Quando adotadas cláusulas-padrão contratuais, os titulares poderão solicitar seu inteiro teor no prazo regulamentar de 15 dias, ressalvado prazo distinto da ANPD, com proteção legítima dos segredos comerciais sem impedir acesso às garantias que lhes dizem respeito.
Uso de IA externa com dados do cliente exige identificação prévia do fornecedor, função, campos enviados, retenção e transferências, além de instrução compatível. Somente poderá ser ativado com condições contratuais que impeçam uso desses dados para treinamento de modelos gerais e assegurem proteção adequada. Na falta dessas condições, não deverão ser enviados dados pessoais ou informações confidenciais identificáveis. Anonimização deve ser efetiva, não apenas substituição superficial de nomes.
A7Direitos de titulares e cooperação
A Befavos encaminhará ao contato da Contratante, sem demora injustificada e em até dois dias úteis, solicitações recebidas relativas a dados sobre os quais atuar como operadora. Informará o encaminhamento ao solicitante quando possível. Não decidirá o mérito em nome do cliente, salvo instrução ou obrigação legal própria.
Prestará assistência razoável para localizar, acessar, corrigir, exportar, restringir ou eliminar dados, considerando o módulo e os prazos legais. Pedido urgente necessário ao cumprimento de prazo legal terá prioridade. As partes deverão indicar as informações necessárias e a identidade validada, sem coleta excessiva.
Cooperação ordinária, inclusive esclarecimentos sobre segurança e incidentes da Befavos, integra a prestação. Trabalhos extraordinários, como exportações personalizadas ou assessoria extensiva, podem depender de orçamento previamente aceito; nenhuma cobrança poderá impedir o cumprimento de obrigação legal ou a correção de falha imputável à Befavos.
A Befavos cooperará com a Contratante para comunicar imediatamente aos agentes com quem compartilhou os dados as correções, eliminações, anonimizações ou bloqueios pertinentes, para repetição da providência, salvo impossibilidade comprovada ou esforço desproporcional nos termos da LGPD. Também prestará informações proporcionais para relatórios de impacto e esclarecimentos à ANPD, preservados os dados de terceiros e os segredos legalmente protegidos.
A8Incidentes de segurança
Ao tomar ciência de incidente que comprometa dados pessoais tratados para a Contratante, a Befavos a avisará sem demora injustificada e em até 24 horas, pelo contato de segurança cadastrado, com cópia ao administrador quando apropriado. Havendo apenas suspeita plausível ainda não confirmada, poderá enviar alerta preventivo, identificando o grau de certeza. Não aguardará a conclusão da investigação para a comunicação inicial de comprometimento conhecido.
A comunicação informará, conforme disponível: natureza e momento do evento e de sua ciência; categorias e volume estimado de dados e titulares; riscos conhecidos; medidas de contenção e proteção; impacto provável; contato responsável; e próximos passos. Lacunas serão identificadas e complementadas progressivamente. Atualizações relevantes serão enviadas sem demora.
A Befavos conterá o incidente em seu ambiente, preservará evidências, investigará causas e cooperará com a Contratante. A Contratante avaliará comunicações à ANPD e aos titulares conforme risco ou dano relevante e requisitos da Resolução CD/ANPD nº 15/2024. O prazo geral é de três dias úteis contados da ciência, pelo controlador, de que o incidente afetou dados pessoais, ressalvados os regimes específicos legalmente aplicáveis. O prazo contratual de 24 horas da operadora é independente e não fica prorrogado por eventual regime especial da controladora.
A Befavos não realizará comunicação pública em nome da Contratante sem autorização, salvo exigência legal. Nos tratamentos em que atuar como controladora, cumprirá diretamente suas obrigações. Manterá registros dos incidentes, inclusive os não comunicados, por no mínimo cinco anos ou prazo regulamentar superior aplicável, com acesso restrito.
A9Retenção, exportação e encerramento
Durante a vigência, os dados seguirão as instruções de retenção do cliente e a finalidade do módulo. Evidência de auditoria, consentimento, conclusão ou certificado não será apagada indiscriminadamente por expiração de telemetria. A Contratante deve definir prazo probatório e avaliar anonimização, em vez de presumir retenção nominal ilimitada.
No término, a Contratante terá 30 dias corridos para solicitar exportação pelos recursos disponíveis ou entrega assistida segura. Se o acesso regular já tiver sido encerrado, a Befavos disponibilizará via segura de entrega, respeitada a verificação de representação. A exportação padrão abrangerá dados e anexos disponíveis em formatos usuais, sem incluir código-fonte, segredos de outros clientes ou informações que a lei vede revelar.
Após a janela de exportação ou a confirmação de entrega que antecipe seu término, os dados operacionais do ambiente encerrado serão eliminados ou efetivamente anonimizados em até 60 dias corridos, salvo instrução válida de prazo menor ou conservação legal específica. Dificuldade técnica será comunicada imediatamente, com medidas corretivas e cronograma, e não prorroga automaticamente esse prazo. Exportação extraordinária não autoriza retenção indefinida.
Resíduos em backups restritos serão removidos por expiração ou sobrescrita em até 90 dias corridos após o descarte operacional, resultando em prazo padrão máximo de 180 dias corridos após o encerramento, consideradas as etapas anteriores. Não serão reutilizados para outra finalidade nem repostos ao serviço corrente; em restauração necessária, as exclusões serão reaplicadas. Preservação por obrigação legal ou ordem específica será limitada à categoria e ao prazo exigidos, com justificativa e acesso restrito. Esses prazos não afastam atendimento mais breve de direito legalmente exigível.
Conservações excepcionais deverão indicar categoria, finalidade, fundamento, prazo e acesso restrito, observando o art. 16 da LGPD quando encerrado o tratamento. Informações estritamente necessárias ao exercício regular de direitos poderão ser tratadas para essa finalidade própria enquanto subsistir fundamento demonstrável, sem conservar todo o ambiente por mera conveniência. A pedido, a Befavos declarará o que foi eliminado, anonimizado ou mantido, com motivo e prazo. A guarda de documentos fiscais e contratuais próprios não autoriza retenção indefinida dos dados sob instrução da Contratante.
A10Evidências, auditoria e responsabilidade
Mediante pedido fundamentado e confidencial, a Befavos disponibilizará informações proporcionais para demonstrar suas obrigações de tratamento. Quando insuficientes, as partes poderão acordar auditoria por profissional independente, com aviso de 15 dias úteis, escopo, horário e proteção de dados de terceiros. Incidente relevante ou determinação de autoridade pode justificar prazo menor.
A auditoria não autoriza testes invasivos sem acordo nem acesso a dados de outros clientes. Custos ordinários de auditoria solicitada pelo cliente serão dele; correção e apuração de descumprimento comprovado da Befavos serão suportadas por ela, na extensão de sua responsabilidade. Restrições contratuais não impedem fiscalização de autoridade competente.
Cada parte responde segundo os arts. 42 a 45 da LGPD e as demais normas aplicáveis, considerando sua atuação. A distribuição de tarefas não altera direitos de titulares, hipóteses legais de solidariedade ou deveres perante a ANPD. Obrigações de sigilo, descarte, cooperação e responsabilidades pendentes sobrevivem ao encerramento no que for necessário.