Acordo de tratamento de dados

1. Partes, objeto e vigência

1.1. Este acordo integra os Termos de uso como Anexo I e vale entre a assistência assinante (“controlador”, “você”) e a PC Builder Informática Ltda. (“operador”, “nós”), CNPJ 22.930.884/0001-16, Av. Rouxinol, 613 — Moema, São Paulo/SP, CEP 04516-001.

1.2. Ele rege o tratamento de dados pessoais que fazemos por sua conta ao prestar o MONAD, conforme a LGPD (Lei 13.709/2018). Para os dados da sua própria conta, em que somos controlador, vale a Política de privacidade.

1.3. Vigência: enquanto durar o contrato e, depois, até a exclusão dos dados nos prazos da seção 9.

2. Termos usados

Dados pessoais, titular, tratamento, controlador, operador, encarregado, anonimização e incidente têm o significado do art. 5º da LGPD. “Sub-operador” é o fornecedor que contratamos para tratar dados por nossa conta. “Dados operacionais” são os dados que você e a sua equipe inserem ou que chegam à sua conta pelo uso do serviço.

3. O que é tratado

4. Instruções do controlador

4.1. Tratamos os dados operacionais apenas conforme as suas instruções documentadas, que são: os Termos de uso e seus anexos; as configurações que você faz na conta (por exemplo, ligar o atendente, conectar um número, enviar o certificado digital, integrar uma conta bancária, gerar o executável da Diag Tool, convidar usuários); e pedidos adicionais por escrito ao suporte, feitos pelo dono ou por administrador da conta.

4.2. Se uma instrução, a nosso ver, violar a lei, avisamos você antes de executá-la.

4.3. Não tratamos os dados operacionais para fins próprios. Podemos gerar dados agregados e anonimizados, que não identificam ninguém, para operar e melhorar o serviço.

5. Obrigações do operador

5.1. Confidencialidade. Nossa equipe e quem nos presta serviço só acessam dados operacionais com necessidade e sob dever de sigilo. O acesso do suporte à sua conta exige justificativa (chamado, incidente, obrigação legal) e fica registrado; acessos técnicos diretos ao banco ou aos serviços, fora do sistema de suporte, são anotados em registro operacional com quem, por quê e quando, e o acesso a dados operacionais da sua conta por esse caminho exige a mesma justificativa do suporte (chamado, incidente ou obrigação legal).

5.2. Segurança. Mantemos as medidas da seção 10 da Política de privacidade: isolamento por conta no banco de dados, criptografia em trânsito e em repouso, controle de acesso por perfil, segredos em cofre, auditoria, cópias de segurança e monitoramento. Revisamos essas medidas conforme os riscos e a tecnologia evoluem.

5.3. Sub-operadores. Você autoriza os sub-operadores da seção 8. Publicamos mudanças na Política de privacidade e avisamos o dono da conta por e-mail com 15 dias de antecedência quando um novo fornecedor passar a receber dados operacionais. Se você não concordar, pode cancelar o contrato sem multa antes de a mudança valer. Respondemos pelos sub-operadores como se fôssemos nós.

5.4. Transferência internacional. Só transferimos dados operacionais para o exterior nos casos da seção 7 da Política de privacidade, com as garantias do art. 33 da LGPD.

5.5. Direitos dos titulares. Se um titular nos procurar diretamente, encaminhamos o pedido a você em até 5 dias úteis e o apoiamos com as informações e as ferramentas necessárias (consulta, correção, exportação e exclusão de cadastros). Não respondemos ao titular em seu lugar, salvo obrigação legal.

5.6. Incidentes. Ao confirmar um incidente de segurança que atinja dados operacionais seus, avisamos o dono da conta em até 48 horas, informando a natureza do incidente, os dados e titulares afetados, as medidas tomadas e as recomendadas, e atualizamos o aviso conforme apurarmos mais. Comunicações à ANPD e aos titulares sobre os dados dos quais você é controlador são suas; nós fornecemos o que for preciso.

5.7. Registro e evidências. Mantemos o registro das operações de tratamento (LGPD, art. 37) e fornecemos, a pedido razoável e até uma vez por ano, evidências do cumprimento deste acordo (descrição das medidas, registros de auditoria da sua conta, relatórios de exportação ou exclusão). Auditoria por terceiro independente pode ser feita com aviso de 30 dias, em horário comercial, às suas custas, sem acesso a dados de outras assistências.

5.8. Fim do tratamento. Ao fim do contrato, devolvemos os dados pela exportação (Termos, seção 5.6) e os excluímos ou anonimizamos nos prazos da seção 9, exceto o que a lei mandar guardar.

5.9. Cooperação. Cooperamos com você e com a ANPD em fiscalizações relacionadas ao tratamento coberto por este acordo.

6. Obrigações do controlador

• ter base legal para cada dado que insere (contrato com o cliente, obrigação fiscal, legítimo interesse ou consentimento) e informar os seus clientes sobre o tratamento, inclusive sobre o uso do MONAD, do WhatsApp conectado e do atendimento automatizado;
• cadastrar apenas os dados necessários; não inserir dados sensíveis, de crianças ou de terceiros sem relação com o atendimento;
• no WhatsApp, escrever apenas para quem tem relação com a assistência ou pediu contato, com opção de parar de receber mensagens (ver a Política de uso aceitável);
• na Diag Tool, obter a autorização do cliente antes de executar o programa, o acesso remoto ou o backup, e usá-la só em equipamentos sob sua responsabilidade (ver os Termos da Diag Tool);
• responder aos pedidos dos seus clientes sobre os dados deles e usar as ferramentas do sistema para corrigir e excluir cadastros;
• definir os perfis de acesso da equipe, desligar quem sai e manter o e-mail do dono da conta atualizado;
• nomear um contato para assuntos de proteção de dados, quando a lei exigir, e nos informar quem é.

7. Regras específicas

7.1. Conversas de WhatsApp

Guardamos as mensagens recebidas e enviadas pelo número conectado (textos, áudios, imagens e documentos), as transcrições dos áudios e os metadados (número, data e hora, quem respondeu). Elas ficam visíveis para os usuários da conta com perfil para isso e são usadas pelo atendente para responder. Ficam guardadas enquanto a conta existir; você pode pedir a exclusão de conversas específicas ao suporte. Conversas anteriores à conexão, que estão só no aparelho, não são importadas.

7.2. Inteligência artificial

Para gerar respostas, resumos, transcrições e diagnósticos, enviamos aos provedores da seção 8 trechos das conversas e os dados da conta necessários. Os provedores não usam esses dados para treinar modelos e os retêm só pelo prazo das políticas deles. Não usamos os dados para decisões automatizadas com efeito jurídico ou relevante sobre os titulares; a supervisão humana das respostas é sua, conforme a Política de uso aceitável.

7.3. Diag Tool

Os dados coletados no computador do cliente (configuração, sistema, nome do computador, nome do usuário do Windows, IP local, resultados de testes, capturas de tela, relatório e eventos de backup) ficam na sua conta, vinculados à ordem de serviço e ao técnico quando o programa é executado com a ordem informada e com a autorização de sessão ligada. O conteúdo dos arquivos copiados em um backup não passa pelo MONAD: recebemos apenas o registro do evento (tipo, destino, tamanho e progresso). Quando o técnico ativa o acesso remoto, a senha da conta criada no computador fica guardada em cofre e o acesso é registrado; encerrá-lo ao fim do atendimento é sua obrigação.

7.4. Documentos fiscais e certificado digital

O certificado digital A1 que você envia é guardado pelo parceiro fiscal Notaas, no Brasil, e usado apenas para assinar documentos fiscais que você comandar. Emitimos, consultamos e cancelamos documentos só sob seu comando no sistema. No fim do contrato, pedimos a desativação do seu cadastro e do certificado no parceiro.

7.5. Cobrança dos seus clientes

Ao gerar uma cobrança pelas integrações bancárias, enviamos ao banco ou meio de pagamento os dados do pagador exigidos por ele (nome, CPF ou CNPJ, endereço no caso do boleto, valor e vencimento). Esses fornecedores tratam os dados sob os termos e as obrigações regulatórias deles.

8. Sub-operadores autorizados

A lista vigente, com o papel de cada fornecedor, os dados que recebe, o país e o mecanismo de transferência, está na seção 6 da Política de privacidade e faz parte deste acordo. Na versão de 15 de outubro de 2026 são: Supabase (banco de dados, autenticação e arquivos, hospedados em São Paulo); Hostinger (servidor em São Paulo); Resend (e-mails, EUA); xAI, OpenAI e Anthropic (modelos de inteligência artificial e transcrição, EUA); PostHog (medição de uso do aplicativo, União Europeia, sem dados operacionais legíveis: telas mascaradas e sem identificação direta); Notaas (emissão fiscal, Brasil); Banco Inter, InfinitePay e Mercado Pago (integrações da assistência e pagamentos anteriores, Brasil); Stripe (cartão da assinatura, com tratamento no exterior conforme a atividade); e a infraestrutura própria da PC Builder Informática para cópias de segurança, no Brasil.

9. Retenção e exclusão

9.1. Após o fim do acesso, a conta fica 30 dias em modo leitura para exportação. Depois, excluímos ou anonimizamos os dados operacionais em até 60 dias. As cópias de segurança são substituídas no ciclo normal de rotação.

9.2. Ficam guardados pelo prazo legal, e só para atender a lei, os documentos fiscais emitidos, os registros de cobrança, os registros de acesso (6 meses) e um registro mínimo de auditoria sem dados pessoais.

9.3. Você pode pedir a exclusão antecipada, por escrito, pelo dono da conta; e pode, a qualquer momento, excluir cadastros individuais pelo sistema.

10. Responsabilidade

Cada parte responde pelas próprias violações da LGPD. Nós respondemos quando descumprirmos este acordo ou as suas instruções lícitas; você responde pela licitude do tratamento que nos instrui a fazer e pelas suas obrigações como controlador. A limitação de responsabilidade dos Termos de uso (seção 13) se aplica no que a lei permitir.

11. Disposições finais

11.1. Em conflito entre este acordo e os Termos de uso sobre dados pessoais, este acordo prevalece. 11.2. Alterações seguem a regra dos Termos (aviso de 30 dias para mudanças relevantes). 11.3. Contato para este acordo: o encarregado, Thiago Sierra, privacidade@monad.com.br.

Histórico de versões

• 1.4 — 15 de outubro de 2026. Stripe na lista de fornecedores para o cartão da assinatura (seção 8). Incorporado pelos Termos v1.14.
• 1.3 — 27 de setembro de 2026. PostHog na lista de sub-operadores (seção 8), para a medição de uso do aplicativo na União Europeia, com o conteúdo das telas mascarado. Incorporado pelos Termos de uso v1.12.
• 1.2 — 25 de setembro de 2026. Acesso técnico direto a dados operacionais da sua conta exige a mesma justificativa do suporte: chamado, incidente ou obrigação legal (5.1). Incorporado pelos Termos de uso v1.10.
• 1.1 — 24 de setembro de 2026. Acessos técnicos diretos, fora do sistema de suporte, passam a ser anotados em registro operacional (5.1). Incorporado pelos Termos de uso v1.3.
• 1.0 — 24 de setembro de 2026. Primeira publicação, como Anexo I dos Termos de uso v1.1.