ACORDO DE TRATAMENTO DE DADOS PESSOAIS (DPA) — PLATAFORMA NEXIRY Versão 1.0 — publicada em 02 de agosto de 2026
Este Acordo de Tratamento de Dados Pessoais ("DPA") regula o tratamento de dados pessoais realizado pela NEXIRY por conta e ordem do CLIENTE, nos termos da Lei nº 13.709/2018 (LGPD). Ele integra e complementa o Termo de Uso e Política de Privacidade da Plataforma Nexiry ("Termo"), do qual é parte inseparável. Em caso de conflito sobre o tratamento de dados pessoais dos Contatos Finais, prevalece este DPA.
Ao aceitar o Termo, o Cliente celebra igualmente este DPA. Uma via assinada pode ser solicitada pelos canais de contato indicados na cláusula 1 do Termo.
1.PARTES
1.1. OPERADORA: NEXIRY TECNOLOGIA E COMUNICACAO LTDA, CNPJ 68.076.089/0001-03, com sede em Ariquemes/RO, Brasil ("Nexiry"). 1.2. CONTROLADOR: a pessoa física ou jurídica que contrata a Plataforma ("Cliente"), identificada pelos dados cadastrais informados na contratação.
2.DEFINIÇÕES
Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado", "eliminação" e "incidente de segurança" têm o significado que lhes atribui o art. 5º da LGPD. "Dados do Cliente": os dados pessoais dos Contatos Finais e demais dados pessoais que o Cliente, seus Usuários ou seus Contatos Finais inserem ou transmitem por meio da Plataforma. "Suboperador": terceiro contratado pela Nexiry que trata Dados do Cliente para viabilizar a prestação do serviço.
3.PAPÉIS DAS PARTES
3.1. Quanto aos Dados do Cliente, o CLIENTE é o CONTROLADOR e a NEXIRY é a
OPERADORA: a Nexiry trata esses dados exclusivamente por conta e ordem do Cliente, para prestar o serviço contratado. 3.2. O Cliente, como Controlador, é responsável por: definir as finalidades do tratamento; assegurar base legal adequada (art. 7º ou art. 11 da LGPD); informar os titulares; e responder aos pedidos de exercício de direitos. 3.3. Quanto aos dados cadastrais, de acesso e de cobrança do próprio Cliente e de seus Usuários, a NEXIRY atua como CONTROLADORA, conforme o Termo. 3.4. A Nexiry não trata Dados do Cliente para finalidades próprias, não os comercializa, não os utiliza para publicidade e não os emprega para treinar modelos ou produtos oferecidos a terceiros.
4.OBJETO, NATUREZA, FINALIDADE E DURAÇÃO
4.1. Objeto e natureza: coleta, recepção, armazenamento, organização, transmissão, exibição, processamento e eliminação de Dados do Cliente, por meios automatizados, para operar a Plataforma de atendimento e comunicação. 4.2. Finalidade: exclusivamente a execução do contrato firmado com o Cliente — receber, organizar, responder e arquivar as conversas dos canais conectados; operar automações, filas, departamentos e relatórios; e prestar suporte. 4.3. Duração: enquanto vigorar o contrato, observada a cláusula 13 (eliminação), que fixa prazo PRÓPRIO E MAIS CURTO para os arquivos de mídia.
5.CATEGORIAS DE DADOS E DE TITULARES
5.1. Categorias de titulares: Contatos Finais do Cliente (clientes, leads e demais pessoas que se comunicam com o Cliente) e Usuários do Cliente. 5.2. Categorias de dados: identificação e contato (nome, número de telefone, identificador no aplicativo de mensagens, foto de perfil quando disponível); conteúdo das comunicações (texto, áudio, imagem, vídeo, documento e contatos compartilhados); metadados das conversas (data, hora, status de entrega, atendente responsável, departamento, etiquetas); e registros de uso da Plataforma pelos Usuários. 5.3. A Plataforma NÃO é destinada ao tratamento de dados pessoais sensíveis (art. 5º, II, da LGPD) nem de dados de crianças e adolescentes, salvo quando isso decorrer exclusivamente das atividades do Cliente e sob responsabilidade dele. Nessa hipótese, cabe ao Cliente, como Controlador, assegurar a base legal adequada — inclusive o consentimento específico e em destaque de ao menos um dos pais ou do responsável legal, quando exigido pelo art. 14 da LGPD — informar os titulares e adotar as salvaguardas adicionais aplicáveis.
6.INSTRUÇÕES DO CONTROLADOR
6.1. A Nexiry trata os Dados do Cliente apenas conforme instruções documentadas do Cliente, que são: o Termo, este DPA, o plano contratado e as configurações e comandos que o Cliente e seus Usuários executam na Plataforma. 6.2. A Nexiry informará o Cliente caso, em sua avaliação, uma instrução viole a LGPD, podendo suspender a execução da instrução até esclarecimento. 6.3. Tratamento fora das instruções só ocorrerá por exigência de lei ou de autoridade competente; nesse caso, a Nexiry informará o Cliente previamente, salvo se a comunicação for vedada por lei.
7.OBRIGAÇÕES DA NEXIRY (OPERADORA)
7.1. Tratar os Dados do Cliente estritamente nos limites deste DPA. 7.2. Manter registro das operações de tratamento que realiza por conta do Cliente (art. 37 da LGPD). 7.3. Assegurar que as pessoas autorizadas a tratar os Dados do Cliente estejam sujeitas a dever de confidencialidade e recebam orientação sobre proteção de dados. 7.4. Aplicar as medidas de segurança da cláusula 9 e revisá-las periodicamente. 7.5. Cooperar com o Cliente e, quando cabível, com a Autoridade Nacional de Proteção de Dados (ANPD). 7.6. Indicar canal de encarregado (DPO), acessível pelo e-mail informado no Termo.
8.OBRIGAÇÕES DO CLIENTE (CONTROLADOR)
8.1. Garantir base legal válida e informar adequadamente os titulares sobre o tratamento realizado por meio da Plataforma. 8.2. Inserir na Plataforma apenas dados necessários à finalidade pretendida. 8.3. Gerenciar os acessos de seus Usuários, mantendo permissões compatíveis com a necessidade de cada função e revogando acessos de desligados. 8.4. Zelar pelas credenciais e comunicar imediatamente qualquer suspeita de uso não autorizado. 8.5. Respeitar as regras dos aplicativos de mensagens conectados, abstendo-se de disparos não solicitados e de qualquer prática vedada pelo Termo.
9.SEGURANÇA DA INFORMAÇÃO
9.1. A Nexiry adota medidas técnicas e administrativas compatíveis com o risco (art. 46 da LGPD), entre elas:
a) criptografia das comunicações em trânsito;
b) criptografia adicional, em repouso, de credenciais de integração e demais campos sensíveis;
c) isolamento lógico por Cliente, com verificação de autorização a cada requisição ao servidor;
d) controle de acesso por perfil, permissão e departamento, definido pelo Cliente;
e) registro de eventos com mascaramento de dados pessoais;
f) cópias de segurança periódicas, com verificação de integridade e procedimento de restauração;
g) revisão periódica de segurança e correção de vulnerabilidades;
h) proteção na borda da Plataforma, com filtragem de tráfego malicioso e mitigação de ataques de negação de serviço.
9.2. As medidas podem evoluir; nenhuma alteração reduzirá o nível de proteção descrito nesta cláusula.
10.SUBOPERADORES
10.1. O Cliente autoriza a Nexiry a contratar Suboperadores para viabilizar o serviço, nas seguintes categorias: infraestrutura de servidores em nuvem; armazenamento de arquivos; rede de distribuição de conteúdo, cache e proteção do domínio contra ataques; provedores dos aplicativos de mensagens conectados pelo Cliente; e meios de pagamento, quanto aos dados de cobrança. 10.2. A Nexiry mantém lista atualizada dos Suboperadores, com identificação e finalidade, fornecida ao Cliente mediante solicitação pelos canais de contato. 10.3. A Nexiry impõe contratualmente aos Suboperadores obrigações de proteção de dados equivalentes às deste DPA e permanece responsável perante o Cliente pelos atos deles. 10.4. Havendo inclusão ou substituição de Suboperador que trate Dados do Cliente, a Nexiry comunicará o Cliente com antecedência razoável. O Cliente poderá se opor por motivo fundado de proteção de dados; não sendo possível uma solução alternativa, o Cliente poderá rescindir o contrato quanto ao serviço afetado, sem multa.
11.INTELIGÊNCIA ARTIFICIAL
11.1. A Plataforma oferece recursos OPCIONAIS de inteligência artificial para apoiar o atendimento, entre eles a TRIAGEM automática: a partir do conteúdo da conversa, o sistema encaminha o atendimento ao departamento adequado, dentre os departamentos previamente curados pelo Cliente, podendo solicitar esclarecimento ao Contato Final antes de decidir e recorrer a um departamento de destino padrão definido pelo Cliente. 11.2. Esses recursos só operam quando o Cliente os habilita e configura em seus fluxos de atendimento. Sem essa configuração, nenhum dado é enviado a provedor de inteligência artificial. 11.3. O provedor de inteligência artificial e o modelo são escolhidos pelo CLIENTE, que fornece e mantém as próprias credenciais de acesso ao provedor. Nessa hipótese, o provedor atua como suboperador do CLIENTE: a Nexiry apenas transmite a ele, sob instrução do Cliente, o conteúdo necessário à execução do fluxo — as mensagens da conversa em curso e as instruções que o próprio Cliente configurou. 11.4. Cabe ao Cliente avaliar as políticas de privacidade, de retenção e de uso para treinamento do provedor que escolher, bem como a localização dos servidores desse provedor, e informar seus titulares quando exigido. As credenciais são armazenadas cifradas e nunca são expostas por meio da API. 11.5. Caso a Nexiry disponibilize recurso próprio de descrição automática de imagens e vídeos para apoiar o atendimento, o provedor correspondente será tratado como suboperador da NEXIRY, sujeito à cláusula 10, e constará da lista de suboperadores. 11.6. A triagem não produz decisão com efeitos jurídicos nem impacto relevante sobre o titular: limita-se a encaminhar o atendimento entre departamentos do Cliente, permanecendo o atendimento humano disponível. Ainda assim, o titular pode pedir revisão humana do encaminhamento pelos canais do Cliente, em observância ao art. 20 da LGPD. 11.7. A Nexiry não utiliza Dados do Cliente para treinar modelos próprios nem de terceiros.
12.INCIDENTES DE SEGURANÇA
12.1. Ao tomar conhecimento de incidente de segurança que envolva Dados do Cliente, a Nexiry comunicará o Cliente sem demora injustificada — e, sempre que possível, em até 48 (quarenta e oito) horas — em prazo que permita ao Cliente cumprir seus próprios deveres legais. Incidentes complexos podem exigir apuração adicional: nesse caso a Nexiry comunica dentro do prazo o que já apurou e complementa as informações conforme a investigação avança. 12.2. A comunicação conterá, na medida do conhecido: descrição da natureza do incidente, categorias e volume aproximado de dados e titulares envolvidos, consequências prováveis, medidas de contenção e correção adotadas ou propostas e canal para mais informações. 12.3. A Nexiry adotará as medidas de contenção, mitigação e correção cabíveis e apoiará o Cliente na comunicação à ANPD e aos titulares, quando exigida pelo art. 48 da LGPD. A decisão sobre comunicar os titulares cabe ao Cliente, como Controlador. 12.4. A comunicação de incidente não constitui, por si só, reconhecimento de culpa ou de responsabilidade.
13.RETENÇÃO E ELIMINAÇÃO
13.1. As mensagens de texto, os cadastros, os metadados das conversas e os registros de atendimento são mantidos enquanto a conta estiver ativa. 13.2. Os ARQUIVOS DE MÍDIA trocados nas conversas — áudios, imagens, vídeos e documentos — têm prazo próprio e mais curto: ficam disponíveis para consulta na Plataforma por, no mínimo, 7 (sete) dias contados do envio ou do recebimento, prazo hoje praticado pela Nexiry. Decorrido esse período, o registro textual da conversa permanece, mas os arquivos podem não estar mais acessíveis — ainda que a conta siga ativa e o contrato em vigor. Cabe ao Cliente, como Controlador, exportar ou arquivar dentro desse prazo o conteúdo de mídia que precise conservar por mais tempo, inclusive para atender pedidos de titulares e obrigações próprias de guarda. 13.3. Encerrado o contrato, o Cliente poderá solicitar a exportação dos dados disponíveis na Plataforma dentro do prazo informado no encerramento. 13.4. Findo esse prazo, a Nexiry eliminará ou anonimizará os Dados do Cliente, ressalvadas as hipóteses de conservação do art. 16 da LGPD — cumprimento de obrigação legal ou regulatória e exercício regular de direitos — e as cópias mantidas em backup, que são eliminadas conforme o ciclo normal de retenção das cópias de segurança. 13.5. As cópias de segurança existem para recuperação de desastre e continuidade do serviço — NÃO são mecanismo de arquivamento nem de consulta a histórico sob demanda. Restaurações ocorrem por iniciativa da Nexiry para reestabelecer a Plataforma e não atendem a pedidos de recuperação de conteúdo já eliminado pelos prazos deste DPA, em especial os arquivos de mídia da cláusula 13.2. 13.6. A pedido do Cliente, a Nexiry declarará por escrito a eliminação realizada.
14.DIREITOS DOS TITULARES
14.1. Recebendo pedido de titular relativo a Dados do Cliente, a Nexiry não responderá diretamente ao titular quanto ao mérito: encaminhará o pedido ao Cliente, a quem cabe decidir e responder, salvo determinação legal em contrário. 14.2. A Nexiry auxiliará o Cliente, com recursos técnicos razoáveis, no atendimento aos direitos do art. 18 da LGPD — confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade e informação sobre compartilhamento.
15.APOIO À CONFORMIDADE
15.1. A Nexiry prestará ao Cliente, mediante solicitação razoável, as informações necessárias para demonstrar o cumprimento deste DPA, inclusive para subsidiar relatório de impacto à proteção de dados pessoais (art. 38 da LGPD). 15.2. O Cliente poderá auditar a conformidade, uma vez por ano ou após incidente relevante, por meio de questionário de segurança, documentação técnica ou relatório de avaliação independente, quando disponível. Auditorias presenciais dependem de agendamento prévio, acordo sobre escopo e confidencialidade, e não podem comprometer a segurança de outros clientes. As auditorias NÃO dão acesso a dados pessoais de outros clientes da Nexiry, a segredos de negócio de terceiros nem a credenciais ou componentes cuja exposição fragilize a segurança da Plataforma.
16.LOCALIZAÇÃO DOS DADOS E TRANSFERÊNCIA INTERNACIONAL
16.1. Os servidores que executam a Plataforma e a base de dados principal — onde ficam as conversas, os cadastros e os registros de atendimento — estão localizados em REGIÃO BRASILEIRA do provedor de infraestrutura em nuvem. 16.2. Serviços acessórios podem armazenar ou processar Dados do Cliente fora do Brasil, a saber: o armazenamento dos arquivos de mídia das conversas; a rede de distribuição de conteúdo, cache e proteção do domínio; as cópias de segurança; e, quando o Cliente habilitar os recursos de inteligência artificial, o provedor por ele escolhido, nos termos da cláusula 11. 16.3. Nessas hipóteses, a transferência observa o art. 33 da LGPD, mediante destinação a país com grau de proteção adequado ou adoção de garantias contratuais e técnicas que preservem o padrão de proteção deste DPA. 16.4. A Nexiry informará o Cliente, na forma da cláusula 10.4, caso passe a hospedar a base de dados principal fora do território brasileiro.
17.RESPONSABILIDADE
17.1. Cada parte responde pelos danos que causar no âmbito de suas obrigações, nos termos dos arts. 42 a 45 da LGPD. 17.2. Os limites de responsabilidade previstos no Termo aplicam-se também a este DPA, exceto quando a lei os afastar. 17.3. O Cliente responde perante a Nexiry pelos danos decorrentes de tratamento sem base legal, de instruções ilícitas ou do uso da Plataforma em desacordo com o Termo.
18.CONFIDENCIALIDADE
18.1. A Nexiry, seus sócios, empregados, prestadores e demais pessoas por ela autorizadas manterão SIGILO sobre os Dados do Cliente e sobre as informações de negócio a que tiverem acesso em razão deste DPA. 18.2. O dever de sigilo é assumido por prazo indeterminado e permanece em vigor após o encerramento do contrato, por qualquer motivo. 18.3. O acesso interno aos Dados do Cliente é restrito às pessoas que dele necessitem para operar, dar suporte ou manter a Plataforma, sob controle de acesso e registro das operações. 18.4. O dever de sigilo não alcança informação que seja ou se torne pública sem violação deste DPA, nem divulgação exigida por lei ou por autoridade competente — caso em que a Nexiry comunicará o Cliente previamente, salvo se a comunicação lhe for vedada.
19.VIGÊNCIA E ALTERAÇÕES
19.1. Este DPA vigora enquanto durar o contrato e, quanto às obrigações de confidencialidade, eliminação e responsabilidade, sobrevive ao seu término. 19.2. Alterações relevantes serão apresentadas na Plataforma e comunicadas ao Cliente. A versão vigente fica permanentemente disponível para consulta, com indicação de versão e data.
20.DISPOSIÇÕES FINAIS
20.1. A invalidade de uma cláusula não afeta as demais. 20.2. Este DPA não estabelece níveis de serviço (SLA) de disponibilidade ou de suporte; compromissos dessa natureza, quando contratados, constarão de instrumento próprio. 20.3. Aplica-se a legislação brasileira, com o foro eleito no Termo. 20.4. Dúvidas e solicitações relativas a este DPA devem ser dirigidas ao encarregado (DPO), pelo e-mail indicado no Termo, com o assunto "Privacidade/LGPD — DPA".