LumeraA.1. Papéis e instruções
Para os dados pessoais tratados na Plataforma por conta do Cliente, o Cliente atuará como Controlador e a LumeraTec como Operadora, nos termos da Lei nº 13.709/2018 (LGPD), salvo quando a natureza de determinada operação exigir classificação diversa.
A LumeraTec tratará dados pessoais apenas conforme instruções documentadas do Cliente, inclusive as decorrentes do uso normal da Plataforma, e para as finalidades de prestar, proteger, manter, suportar e cumprir obrigações relacionadas aos serviços contratados.
Caso a LumeraTec entenda que uma instrução viola a legislação aplicável, poderá suspender sua execução e solicitar esclarecimento ou ajuste antes de prosseguir, salvo obrigação legal em contrário.
A.2. Escopo do tratamento
| Objeto | Prestação de software SaaS omnichannel, automação, integrações, workflows e recursos de IA. |
|---|---|
| Duração | Durante a vigência contratual e pelos períodos de retenção legal ou técnica previstos nos Termos. |
| Titulares | Contatos, leads, clientes finais, usuários, colaboradores e demais pessoas cujos dados sejam inseridos ou trafeguem sob responsabilidade do Cliente. |
| Dados | Identificação e contato; conteúdo de mensagens; registros de atendimento; arquivos e documentos; metadados; dados de integração; logs; e outras categorias definidas pelo Cliente. |
| Operações | Coleta, recepção, organização, acesso, processamento, classificação, armazenamento, consulta, transmissão, extração, backup, suporte, exclusão e demais operações necessárias à prestação do serviço. |
A.3. Segurança e confidencialidade
A LumeraTec manterá medidas técnicas e administrativas adequadas aos riscos do tratamento, observando os princípios de segurança, prevenção e responsabilização, além das exigências aplicáveis da LGPD.
Pessoas autorizadas a acessar dados pessoais estarão sujeitas a deveres de confidencialidade e acesso limitado às necessidades de suas funções.
A LumeraTec poderá atualizar controles de segurança ao longo do tempo, desde que não reduza materialmente o nível global de proteção aplicável aos dados pessoais do Cliente.
A.4. Suboperadores
O Cliente autoriza, de forma geral, a contratação de suboperadores necessários à prestação do serviço, incluindo provedores de nuvem, bancos de dados, armazenamento, mensageria, observabilidade, e-mail, telecomunicações, pagamentos, segurança e inteligência artificial.
A LumeraTec imporá aos suboperadores obrigações de proteção de dados, confidencialidade e segurança compatíveis com a natureza do tratamento e permanecerá responsável, perante o Cliente, por suas próprias obrigações de seleção e contratação.
Quando uma substituição ou inclusão de suboperador puder gerar alteração material no risco de tratamento, a LumeraTec disponibilizará informação razoável sobre a mudança. O Cliente poderá apresentar objeção fundamentada em proteção de dados; as Partes buscarão solução comercial e tecnicamente razoável.
A.5. Transferência internacional
Dados pessoais poderão ser tratados ou armazenados fora do Brasil quando necessário à prestação do serviço ou por suboperadores, desde que observados os mecanismos de transferência internacional admitidos pela LGPD e pela regulamentação da ANPD, incluindo, quando aplicável, cláusulas-padrão contratuais ou outro mecanismo legalmente válido.
A LumeraTec adotará medidas razoáveis para que os destinatários estrangeiros estejam sujeitos a garantias compatíveis com a proteção exigida pela legislação brasileira.
A.6. Direitos dos titulares e assistência
A LumeraTec prestará assistência razoável ao Cliente, dentro do escopo e das funcionalidades da Plataforma, para atendimento de solicitações de titulares relativas aos dados tratados por conta do Cliente.
Se receber diretamente solicitação de titular referente a dados controlados pelo Cliente, a LumeraTec poderá encaminhá-la ao Cliente, salvo obrigação legal de responder diretamente.
A.7. Incidentes de segurança
A LumeraTec manterá processo de resposta a incidentes e comunicará ao Cliente, sem demora injustificada, incidente confirmado envolvendo dados pessoais tratados por conta do Cliente que possa exigir avaliação de risco ou comunicação regulatória.
A notificação conterá, na medida do conhecido no momento: natureza do incidente; categorias de dados e titulares potencialmente afetados; medidas de contenção e mitigação; riscos identificados; e ponto de contato para acompanhamento. Informações poderão ser fornecidas em etapas.
A LumeraTec cooperará razoavelmente com o Cliente para que este avalie suas obrigações legais, inclusive prazos aplicáveis de comunicação à ANPD e aos titulares. A comunicação externa pelo Cliente permanecerá sob sua responsabilidade enquanto Controlador.
A.8. Auditoria e comprovação
Mediante solicitação razoável e respeitados segredos comerciais, segurança e confidencialidade de outros clientes, a LumeraTec fornecerá informações suficientes para demonstrar o cumprimento das obrigações deste Anexo.
Auditorias presenciais ou testes intrusivos dependerão de acordo prévio sobre escopo, data, segurança, confidencialidade e custos, e não poderão comprometer a disponibilidade da Plataforma ou dados de terceiros.
A.9. Devolução, exclusão e retenção
No término da prestação, os dados pessoais tratados por conta do Cliente serão devolvidos, exportados, excluídos ou anonimizados conforme a Seção 9 dos Termos, ressalvadas retenções exigidas por lei, exercício regular de direitos, segurança, prevenção a fraude e ciclos técnicos de backup.
A.10. Responsabilidade e prevalência
Cada Parte será responsável pelo cumprimento das obrigações legais que lhe competirem em razão de seu papel de agente de tratamento, sem prejuízo das regras de responsabilidade previstas na LGPD e das limitações contratuais válidas entre as Partes.
Em caso de conflito entre este Anexo e os Termos sobre tratamento de dados pessoais por conta do Cliente, prevalecerá este Anexo. Em caso de conflito com norma cogente, prevalecerá a norma legal aplicável.
Referências normativas consideradas na revisão
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).
- Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança.
- Resolução CD/ANPD nº 19/2024 — Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais.
- Demais normas brasileiras aplicáveis à contratação e à atividade do Cliente.