Acordo de Tratamento de Dados

1. Partes e como este Acordo vale

1.1. Este Acordo é celebrado entre:

• o Escritório — o advogado, a advogada ou a sociedade de advogados (ou outra pessoa, física ou jurídica) que contrata o IAdvogar e cria um escritório na plataforma, representado pelo proprietário do escritório cadastrado; e
• a TBC — TBC Tecnologia e Engenharia Ltda., CNPJ 48.400.839/0001-43, com sede em São Paulo/SP, titular do serviço IAdvogar.

1.2. Este Acordo faz parte do contrato de uso do IAdvogar formado pelos Termos de Uso ("Contrato") e vale para todo escritório que usa a plataforma, desde o aceite dos Termos de Uso. Ele cumpre o dever de o operador tratar os dados segundo as instruções do controlador (art. 39 da Lei nº 13.709/2018, a "LGPD").

1.3. O Escritório que precisar de uma via assinada (por exemplo, para a própria auditoria ou para clientes corporativos) pode pedir pelo contato do encarregado (cláusula 16). A via assinada repete este texto, com os dados do Escritório preenchidos, e pode ser assinada eletronicamente.

1.4. Em caso de conflito entre este Acordo e os Termos de Uso sobre proteção de dados pessoais, prevalece este Acordo.

2. Definições

• Dados do Escritório: os dados pessoais que o Escritório e as pessoas da equipe dele inserem, recebem ou produzem no IAdvogar sobre clientes, partes, testemunhas, parceiros, contatos, visitantes da página do escritório e outros terceiros — inclusive os que chegam pelo portal de documentos, pelo questionário, pela agenda online, pelo aceite de proposta, pelo formulário da página do escritório e, quando disponível, pelo WhatsApp do escritório. Estão descritos no Anexo I.
• Dados da Conta: os dados dos usuários do IAdvogar (cadastro, acesso, cobrança, uso, suporte, aceite e registros de acesso). Sobre eles a TBC é controladora, nos termos da Política de Privacidade, e eles não são regidos por este Acordo, salvo onde estiver dito.
• Suboperador: prestador contratado pela TBC que trata Dados do Escritório para executar uma função do IAdvogar (Anexo III).
• Incidente: evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de Dados do Escritório (Resolução CD/ANPD nº 15/2024, art. 3º, XII).
• Titular: a pessoa natural a quem se referem os Dados do Escritório.
• Os demais termos têm o sentido do art. 5º da LGPD.

3. Objeto e papéis

3.1. Este Acordo regula o tratamento dos Dados do Escritório pela TBC.

3.2. Sobre os Dados do Escritório, o Escritório é o controlador e a TBC é a operadora (art. 5º, VI e VII, da LGPD). Não há controle conjunto: a TBC não decide para que finalidade os Dados do Escritório são tratados. A escolha dos meios técnicos (como o provedor que atende uma função, o local do armazenamento ou a forma da cópia de segurança) é feita pela TBC dentro do serviço contratado e não muda esse papel.

3.3. A TBC trata como controladora, para finalidade própria, apenas registros técnicos ligados ao uso do serviço pelo Escritório que não contêm o conteúdo dos casos — por exemplo, consumo de inteligência artificial (função, modelo, quantidade e custo), espaço ocupado, cobrança, segurança, prevenção de fraude e contagens de uso de recursos —, como descreve a Política de Privacidade.

3.4. A descrição do tratamento (titulares, categorias de dados, operações, finalidade e duração) está no Anexo I.

4. Instruções do Escritório

4.1. A TBC trata os Dados do Escritório somente para prestar o serviço contratado e de acordo com as instruções documentadas do Escritório, que são:

• a) este Acordo, os Termos de Uso e a Política de Privacidade;
• b) as funções que o Escritório e a equipe dele acionam na plataforma (por exemplo, cadastrar um cliente, gerar uma peça, pedir uma análise à inteligência artificial, enviar um e-mail, mandar um documento para assinatura, eliminar um cliente pela lixeira);
• c) as configurações escolhidas pelo Escritório (permissões de cada pessoa, casos reservados, integrações, agenda, WhatsApp, página do escritório, assinatura eletrônica); e
• d) instruções escritas adicionais enviadas pelo proprietário do escritório e aceitas pela TBC, desde que compatíveis com o serviço.

4.2. A TBC não usa os Dados do Escritório para finalidade própria, não os vende, não os cede, não os usa para publicidade nem para treinar modelo de inteligência artificial, e não os combina com dados de outros escritórios.

4.3. Se a TBC entender que uma instrução viola a LGPD ou outra norma, avisará o Escritório e poderá suspender o cumprimento daquela instrução até o esclarecimento.

4.4. Se a lei obrigar a TBC a tratar Dados do Escritório de outro modo (por exemplo, por ordem judicial), a TBC avisará o Escritório antes, salvo se a lei ou a ordem proibirem o aviso.

5. Deveres do Escritório

5.1. O Escritório, como controlador, declara e garante que:

• a) tem base legal (arts. 7º e 11 da LGPD) para cada tratamento que ordena, inclusive de dados sensíveis, de dados de crianças, adolescentes e idosos e de dados protegidos por sigilo profissional;
• b) dá aos titulares as informações exigidas pelo art. 9º da LGPD, inclusive sobre o uso de prestadores e de inteligência artificial, quando cabível;
• c) trata dados de crianças e adolescentes no melhor interesse deles (art. 14 da LGPD);
• d) define quem da equipe acessa o quê, mantém as permissões atualizadas, retira o acesso de quem sai e zela para que cada pessoa guarde a própria senha e use a verificação em duas etapas quando possível; e
• e) responde aos titulares, à ANPD e à OAB pelas decisões sobre os Dados do Escritório.

5.2. O Escritório não deve inserir na plataforma dados que não sejam necessários ao seu trabalho (art. 6º, III, da LGPD) e deve usar os campos e recursos de sigilo (como casos reservados) quando o caso pedir.

6. Confidencialidade e sigilo profissional

6.1. A TBC reconhece que os Dados do Escritório são, em regra, protegidos pelo sigilo profissional do advogado e pela inviolabilidade dos instrumentos de trabalho e das comunicações relativas ao exercício da advocacia (arts. 7º, II, e 34, VII, da Lei nº 8.906/1994, o Estatuto da Advocacia, e Código de Ética e Disciplina da OAB), e os trata com o cuidado correspondente.

6.2. Só têm acesso aos Dados do Escritório as pessoas da TBC que precisam dele para prestar o serviço, todas obrigadas a sigilo por contrato ou por lei. O dever de sigilo continua depois do fim do Contrato.

6.3. O acesso do suporte da TBC à conta do Escritório acontece apenas pelo Modo Suporte, autenticado, com motivo obrigatório e registro de quem acessou, quando e o motivo, guardado por 5 anos. No Modo Suporte, a equipe só visualiza; não altera nenhum dado do escritório. Sem o código de acesso gerado pelo usuário, vê apenas os cadastros de clientes e os prazos; documentos e financeiro ficam fechados, e caso reservado aparece só como "Caso reservado". O código é gerado pelo próprio usuário em Meus dados, vale por 2 horas e pode ser cancelado por ele. A lista de acessos à conta é fornecida ao Escritório a pedido.

6.4. Se uma autoridade pedir Dados do Escritório à TBC, a TBC: (a) só entregará diante de ordem legal válida; (b) entregará o mínimo exigido; e (c) avisará o Escritório antes, salvo proibição legal ou judicial, para que ele possa defender o sigilo profissional.

7. Segurança

7.1. A TBC adota as medidas técnicas e administrativas descritas no Anexo II, aptas a proteger os Dados do Escritório de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (arts. 46 e 47 da LGPD), adequadas à natureza dos dados e ao sigilo profissional.

7.2. A TBC pode substituir uma medida por outra de nível igual ou superior, sem aviso. Não reduzirá o nível de proteção durante o Contrato.

7.3. A segurança também depende do Escritório: senhas fortes, verificação em duas etapas, permissões adequadas e cuidado com links do portal e de propostas, que dão acesso a quem os tiver.

8. Suboperadores

8.1. O Escritório autoriza, de forma geral, a TBC a contratar os suboperadores listados no Anexo III, que é a mesma lista do item 10 da Política de Privacidade.

8.2. A TBC avisará o Escritório, por e-mail ao proprietário do escritório e por aviso na plataforma, com pelo menos 30 dias de antecedência, sobre a inclusão ou a troca de suboperador que trate Dados do Escritório, dizendo quem é, o que fará e onde tratará os dados. Quando a troca for urgente para manter a segurança ou a continuidade do serviço (por exemplo, a falha grave de um prestador), o aviso será feito em seguida, com o motivo.

8.3. O Escritório pode se opor, de forma fundamentada, dentro do prazo do aviso. As partes buscarão uma solução — por exemplo, deixar de usar a função que depende daquele suboperador. Não havendo solução, o Escritório pode encerrar o Contrato sem multa, com a devolução proporcional prevista nos Termos de Uso para quem recusa uma versão nova do serviço.

8.4. A TBC contrata cada suboperador com obrigações de proteção de dados compatíveis com as deste Acordo, na medida em que o contrato de cada prestador permita, supervisiona o cumprimento e responde perante o Escritório pelos atos do suboperador como se fossem seus, nos limites da cláusula 15.

9. Transferência internacional

9.1. Os Dados do Escritório guardados — banco de dados e arquivos em uso — ficam no Brasil, em São Paulo. A cópia de segurança própria da TBC fica num armazenamento privado da Cloudflare (R2), fora do Brasil.

9.2. Algumas funções dependem de suboperadores no exterior (Anexo III): inteligência artificial, transcrição e voz, pesquisa na web, envio de e-mail, assinatura eletrônica e, quando disponível, WhatsApp. Os Dados do Escritório vão a eles só quando o Escritório aciona a função, e só no necessário para ela.

9.3. O fundamento dessas transferências é o art. 33, IX, da LGPD, combinado com a base legal que o Escritório tem para o tratamento — em regra, a execução do contrato com o cliente ou o exercício regular de direitos em processo (art. 7º, V e VI) —, que a Resolução CD/ANPD nº 19/2024 (art. 9º, II, "c") reconhece como mecanismo válido. A TBC está conferindo com cada suboperador a possibilidade de adotar as cláusulas-padrão contratuais aprovadas pela ANPD (Anexo II da Resolução CD/ANPD nº 19/2024) e, quando as adotar, informará o Escritório e o item 10 da Política de Privacidade.

9.4. O Escritório pode deixar de usar as funções que dependem de suboperador no exterior — por exemplo, retirando a permissão "Usa a IA" da equipe ou não ligando o WhatsApp —, e o restante do serviço continua funcionando.

10. Inteligência artificial

10.1. As funções de inteligência artificial do IAdvogar são assistivas: sugerem textos, cálculos e análises que o profissional revisa e decide usar. Nenhuma função toma, sozinha, decisão com efeito jurídico sobre um titular.

10.2. Os provedores de inteligência artificial (Anexo III) recebem só o conteúdo que a função acionada precisa. Pelos contratos de API vigentes, eles não usam esse conteúdo para treinar os modelos deles e podem guardá-lo por um período limitado para monitorar abuso — em regra, até 30 dias. A TBC não usa os Dados do Escritório para treinar modelo próprio.

10.3. Antes de trocar o provedor principal de inteligência artificial por outro que não esteja no Anexo III, a TBC seguirá a cláusula 8.

11. Incidentes de segurança

11.1. A TBC comunicará ao Escritório, sem demora indevida e em até 48 horas depois de saber que um incidente atingiu Dados do Escritório, pelo e-mail do proprietário do escritório e por aviso na plataforma.

11.2. A comunicação trará o que a TBC souber naquele momento sobre: (a) a descrição do incidente e, se possível, a causa; (b) a natureza e as categorias dos dados afetados; (c) o número de titulares afetados e, quando aplicável, quantos são crianças, adolescentes ou idosos; (d) as medidas de segurança usadas antes e depois do incidente; (e) os riscos e os possíveis impactos aos titulares; (f) as medidas tomadas e as que serão tomadas para reverter ou reduzir os efeitos; (g) a data do incidente, se conhecida, e a data em que a TBC soube dele; e (h) o contato do encarregado da TBC. O que ainda não for conhecido será enviado assim que apurado.

11.3. Cabe ao Escritório, como controlador, avaliar o incidente e, se houver risco ou dano relevante, comunicar a ANPD e os titulares no prazo da Resolução CD/ANPD nº 15/2024 (3 dias úteis contados de quando o controlador souber que o incidente afetou dados pessoais). Como os Dados do Escritório costumam estar protegidos por sigilo profissional, a Resolução os trata como critério de risco relevante (art. 5º, V). A TBC fornecerá as informações técnicas necessárias para essa comunicação e para a complementação dela.

11.4. A TBC não comunicará os clientes do Escritório nem a ANPD em nome do Escritório sem pedido dele, salvo se a lei exigir. Quando o mesmo incidente atingir também Dados da Conta, a TBC fará a comunicação que lhe cabe como controladora: quando houver risco ou dano relevante, o encarregado da TBC comunica a ANPD e os titulares em até 3 dias úteis.

11.5. A TBC mantém registro de todo incidente, inclusive os não comunicados, por no mínimo 5 anos (Resolução CD/ANPD nº 15/2024, art. 10), com a data e a forma do aviso ao Escritório quando ele atingir Dados do Escritório.

12. Pedidos dos titulares

12.1. A plataforma oferece ao Escritório ferramentas para atender os direitos dos titulares (art. 18 da LGPD): consulta e exportação dos dados, correção direta nas telas, eliminação de um cliente pela lixeira e exportação dos dados do escritório.

12.2. Se a TBC receber um pedido de titular sobre Dados do Escritório, encaminhará o pedido ao Escritório em até 2 dias úteis, informará o titular de que o encaminhou e não responderá no mérito.

12.3. Quando o atendimento de um pedido exigir uma ação que o Escritório não consiga fazer pela plataforma, a TBC ajudará em até 5 dias úteis depois do pedido do Escritório, para que ele cumpra os prazos do art. 19 da LGPD.

12.4. A TBC também auxiliará o Escritório, na medida do razoável, no registro das operações (art. 37), no relatório de impacto à proteção de dados (art. 38) e nas respostas à ANPD que envolvam o funcionamento do IAdvogar.

13. Fim do contrato: devolução e eliminação

13.1. Durante todo o Contrato, o Escritório pode exportar os Dados do Escritório pela exportação "Dados do escritório" (Excel ou JSON). Os arquivos (PDFs e imagens) podem ser baixados um a um na tela Documentos, ou pedidos em cópia completa em [email protected].

13.2. Cancelar a assinatura não apaga os Dados do Escritório: a conta volta ao plano Grátis. A eliminação acontece quando o Escritório elimina um cliente (lixeira de 30 dias; depois, eliminados automaticamente — salvo se ainda houver valores em aberto ligados a ele, caso em que ele fica na lixeira até esses valores serem resolvidos) ou quando a conta do proprietário é excluída: o pedido de exclusão tem carência de 30 dias, em que o Escritório ainda pode exportar tudo e desistir; vencida a carência, os Dados do Escritório são eliminados, conforme a Política de Privacidade. Escritório com outros membros não é eliminado pela saída de um deles.

13.3. Os dados eliminados saem das cópias de segurança no ciclo normal delas: até 8 semanas para o banco de dados e até 90 dias para os arquivos. Essas cópias são usadas só para recuperação em caso de falha e não são restauradas para a conta.

13.4. Ficam guardados depois da eliminação só os dados que a lei mande guardar ou que sejam necessários ao exercício de direitos, como descreve a Política de Privacidade (art. 16 da LGPD) — por exemplo, os registros financeiros que o próprio Escritório manteve, com o CPF ou o CNPJ mascarado, e as propostas aceitas.

13.5. A pedido do Escritório, a TBC confirmará por escrito a eliminação.

13.6. Se a TBC encerrar o serviço IAdvogar, avisará o Escritório com a antecedência prevista nos Termos de Uso e manterá a exportação disponível durante esse prazo.

14. Informações e auditoria

14.1. A TBC fornecerá ao Escritório, mediante pedido escrito e no máximo uma vez a cada 12 meses (ou a qualquer tempo, depois de um incidente ou por exigência da ANPD), as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo, como respostas a questionário de segurança, a descrição das medidas do Anexo II e a lista atualizada de suboperadores, em até 30 dias.

14.2. Auditoria presencial ou por terceiro independente depende de acordo prévio sobre escopo, data, sigilo e custos. Ela não pode dar acesso a dados de outros escritórios nem a segredos comercial e industrial da TBC, e o custo é do Escritório, salvo se apontar descumprimento relevante deste Acordo.

15. Responsabilidade

15.1. Cada parte responde pelos danos que causar por violação da LGPD ou deste Acordo, nos termos dos arts. 42 a 45 da LGPD. A TBC, como operadora, responde solidariamente perante o titular quando descumprir a legislação de proteção de dados ou não seguir as instruções lícitas do Escritório (art. 42, § 1º, I).

15.2. Como dizem os Termos de Uso (item 12), o teto e as exclusões de responsabilidade dos Termos não se aplicam à responsabilidade da TBC como agente de tratamento prevista na LGPD, nem a danos causados por dolo ou culpa grave. Nenhuma regra deste Acordo ou dos Termos reduz os direitos dos titulares.

15.3. A parte que indenizar um titular por dano causado pela outra pode cobrar desta o que pagou, na medida da participação dela no dano (art. 42, § 4º).

16. Encarregado, vigência, alterações e foro

16.1. Encarregado da TBC: Tiago Lopes Gama — [email protected] (assunto "Privacidade" ou "Encarregado"). O contato do Escritório para assuntos deste Acordo é o e-mail do proprietário do escritório cadastrado na plataforma, que o Escritório deve manter atualizado.

16.2. Este Acordo vigora enquanto a TBC tratar Dados do Escritório, inclusive depois do fim do Contrato, até a eliminação completa prevista na cláusula 13. As obrigações de sigilo continuam depois disso.

16.3. A TBC pode atualizar este Acordo para acompanhar a lei, a regulamentação da ANPD ou mudanças do serviço, com aviso ao Escritório pelo menos 30 dias antes de a mudança valer, salvo quando a lei exigir prazo menor. A atualização não pode reduzir a proteção dos Dados do Escritório sem a concordância dele; se a mudança afetar as condições aceitas, aplica-se a regra de novo aceite e de recusa dos Termos de Uso.

16.4. Este Acordo é regido pela lei brasileira. O foro é o previsto nos Termos de Uso.

Anexo I — Descrição do tratamento

• Titulares: clientes do Escritório e seus representantes; partes contrárias e outras pessoas citadas em processos; testemunhas; parceiros e correspondentes; visitantes da página do Escritório; pessoas que pedem reunião pela agenda online, enviam documentos pelo portal, respondem ao questionário, recebem ou aceitam proposta, recebem e-mails do Escritório ou, quando disponível, conversam pelo WhatsApp do Escritório; pessoas citadas no Chat da equipe.
• Categorias de dados: identificação (nome, CPF ou CNPJ, RG, data de nascimento, estado civil, profissão, nacionalidade, gênero); contato e endereço; dados processuais e de casos; documentos e o conteúdo deles; dados financeiros e de honorários (inclusive extratos bancários importados); mensagens e anotações; respostas a questionários; transcrições de áudio salvas; registros técnicos de aceites e formulários (data, hora, endereço IP e navegador).
• Dados sensíveis e de grupos vulneráveis possíveis: conforme o conteúdo dos casos, dados de saúde, de origem racial ou étnica, de convicção religiosa, de opinião política, de filiação sindical, de vida sexual, genéticos ou biométricos; dados de crianças, adolescentes e idosos; e dados que exigem a mesma cautela, como antecedentes e peças de processo criminal.
• Operações: coleta, recepção, armazenamento, organização, consulta, edição, processamento por inteligência artificial quando o usuário aciona, envio de e-mails e mensagens, compartilhamento com suboperadores, cópia de segurança, exportação e eliminação.
• Finalidade: prestar ao Escritório o serviço IAdvogar — gestão de clientes, casos, prazos, documentos, finanças e comunicação, com apoio de inteligência artificial.
• Duração: enquanto durar o Contrato e, depois, pelos prazos da cláusula 13.

Anexo II — Medidas de segurança

• Isolamento: regras de acesso aplicadas no servidor do banco de dados, registro por registro, por usuário e por escritório; não é possível contorná-las pelo navegador.
• Controle de acesso no escritório: permissões por módulo e por cargo definidas pelo proprietário; casos reservados visíveis só a quem ele autorizar; registro de quem abriu cada caso ou baixou cada documento.
• Autenticação: senhas guardadas só como resumo criptográfico; bloqueio de senhas sabidamente vazadas; verificação em duas etapas por aplicativo autenticador disponível aos usuários; verificação contra robôs nas telas abertas na internet; limites de tentativas.
• Criptografia: todo o tráfego por HTTPS/TLS; dados guardados com criptografia em repouso pelo provedor do banco de dados; acesso às integrações de agenda guardado de forma cifrada.
• Arquivos: em repositórios privados, sem link público permanente; acesso por link assinado de validade curta; só formatos de documento e imagem aceitos no portal.
• Aplicação: política de segurança de conteúdo (CSP) em modo de bloqueio e cabeçalhos de segurança; decisões de modelo de IA e de limites tomadas no servidor; testes automáticos e conferências de segurança antes de cada publicação; regras internas que impedem alteração ou exclusão de dados por atualização do sistema sem cópia e ensaio prévios.
• Suporte: Modo Suporte só para visualizar (a equipe não altera nenhum dado do escritório), com motivo obrigatório, registro guardado por 5 anos e código do usuário para abrir documentos e financeiro.
• Continuidade: cópia diária do provedor do banco (7 dias) e cópia diária própria (14 diárias e 8 semanais), com espelho dos arquivos; monitoramento de disponibilidade e alertas automáticos.
• Incidentes: roteiro escrito de resposta a incidentes, com responsáveis, prazos e modelos de comunicação; registro de todo incidente, inclusive os não comunicados, por no mínimo 5 anos (Resolução CD/ANPD nº 15/2024, art. 10); comunicação à ANPD e aos titulares, quando houver risco ou dano relevante, em até 3 dias úteis, pelo encarregado, nos dados em que a TBC é controladora (nos Dados do Escritório, a comunicação cabe ao Escritório, com o apoio da cláusula 11).
• Pessoas: acesso administrativo restrito a quem precisa; dever de sigilo; encarregado indicado.

Anexo III — Suboperadores autorizados

Lista vigente na data de "última atualização" deste Acordo. A tabela completa, com os dados que cada um recebe e o papel de cada um, está no item 10 da Política de Privacidade.

Não são suboperadores, porque recebem só o necessário para consultas a pedido do usuário e respondem pelas próprias bases: CNJ (DataJud e Diário de Justiça Eletrônico Nacional), BrasilAPI e, como reserva dela, Minha Receita, ViaCEP, Banco Central e Registro.br. A Google e a Microsoft, na sincronização da agenda, são provedoras da conta do próprio usuário.