1. Partes e papéis
- Operadora: JP COMPANY INFORMÁTICA LTDA, nome fantasia avera, inscrita no CNPJ sob o nº 36.640.744/0001-18, com sede na Avenida Brigadeiro Faria Lima, 1572, São Paulo/SP, CEP 01451-001.
- Controlador: o advogado ou a Empresa (escritório) que contrata a Plataforma Avera Tyr, conforme definidos nos Termos de Uso.
Este acordo integra os Termos de Uso e é aceito junto com eles. Ele se aplica aos dados pessoais contidos nos processos, casos e documentos que o controlador insere na Plataforma ou obtém por meio dela, inclusive os dados processuais consultados nos tribunais e no CNJ a seu pedido. O tratamento em que a avera é controladora, como dados de cadastro e de faturamento, segue a Política de Privacidade.
2. Objeto e instruções do controlador
- A avera trata os dados pessoais somente para prestar os serviços contratados, inclusive a execução dos Agentes de IA solicitados pelo controlador, e conforme as instruções documentadas do controlador (art. 39 da LGPD).
- Os Termos de Uso, este acordo e as configurações e ações do controlador na Plataforma constituem as instruções documentadas. Instruções adicionais podem ser enviadas ao encarregado da avera.
- A avera não trata esses dados para finalidade própria, não os vende e não os compartilha com terceiros além dos suboperadores da seção 7 e das autoridades, quando houver determinação legal ou judicial, caso em que comunica o controlador sempre que a lei permitir.
- A avera informa o controlador se entender que uma instrução viola a LGPD.
- Cabe ao controlador ter base legal para o tratamento e informar os titulares, nos termos da LGPD.
- Categorias de titulares: clientes do controlador, partes, testemunhas, advogados, magistrados, servidores e demais pessoas mencionadas nos processos e documentos.
- Categorias de dados: dados de identificação e contato, dados processuais e, conforme o conteúdo dos autos, dados pessoais sensíveis e dados de crianças e adolescentes.
3. Não uso para treinamento de IA
- A avera não usa os dados pessoais nem o conteúdo dos documentos do controlador para treinar, ajustar (fine-tuning) ou melhorar modelos de inteligência artificial.
- A avera contrata os provedores de IA (OpenAI e Anthropic) com acordos de tratamento de dados que proíbem o uso do conteúdo enviado para treinar ou melhorar os modelos deles.
- Na OpenAI, a conta da avera opera com retenção zero de dados (Zero Data Retention), e as requisições aos modelos são feitas sem armazenamento das respostas. Os arquivos indexados para consulta pelos Agentes de IA ficam em repositório exclusivo de cada processo, até serem excluídos nos termos da seção 10.
- O Treinamento da IA gera instruções de estilo exclusivas da conta do advogado, usadas somente para ele, sem treinar ou ajustar modelos.
4. Confidencialidade
A avera mantém os dados pessoais em sigilo e concede acesso a eles somente às pessoas que precisam desse acesso para prestar os serviços, sujeitas a dever de confidencialidade. Esse dever continua após o término deste acordo.
5. Medidas de segurança
A avera adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD), descritas na Política de Segurança da Informação, entre elas:
- Criptografia em trânsito: HTTPS (TLS) com HSTS em todo acesso, e TLS nas conexões com fornecedores, tribunais e CNJ.
- Criptografia em repouso: criptografia do provedor de nuvem no banco de dados, nos documentos e nas cópias de segurança, e AES-256-GCM adicional nas credenciais de acesso aos tribunais.
- Controle de acesso: contas individuais, senhas armazenadas como hash, bloqueio por tentativas, segundo fator disponível, isolamento do conteúdo por Empresa e verificação de acesso a cada processo.
- Registros (logs): trilha de auditoria de alterações e de acessos, com usuário, endereço IP e data e hora, que só aceita inclusões. Senhas, segredos e tokens não são gravados.
- Ambiente: contêineres sem privilégios de administrador, políticas de rede, implantação declarativa e versionada, e cópias de segurança automáticas.
A avera pode atualizar essas medidas, desde que não reduza o nível geral de proteção.
6. Local de processamento e transferência internacional
- Os dados pessoais são armazenados e processados na Microsoft Azure, em data center nos Estados Unidos, e processados pelos provedores de IA nos Estados Unidos.
- Essas transferências internacionais ocorrem nas hipóteses do art. 33 da LGPD, com a adoção das cláusulas-padrão contratuais ou de outro mecanismo previsto no Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024).
- O controlador autoriza essas transferências ao aceitar este acordo. A avera informa o controlador antes de alterar o país de processamento.
7. Suboperadores
O controlador autoriza a avera a contratar os suboperadores abaixo, cada um sob contrato que impõe obrigações de proteção de dados no mínimo equivalentes às deste acordo:
- Microsoft Azure (Microsoft Corporation): hospedagem, Kubernetes, banco de dados, armazenamento de documentos e cópias de segurança, nos Estados Unidos.
- OpenAI (OpenAI, L.L.C.): execução dos Agentes de IA e indexação de documentos para consulta, nos Estados Unidos.
- Anthropic (Anthropic, PBC): execução de Agentes de IA, nos Estados Unidos.
- Amazon Web Services: envio de e-mails transacionais, nos Estados Unidos.
- Asaas: pagamentos, no Brasil. Recebe somente dados de cobrança, nunca o conteúdo de processos ou documentos.
A avera informa o controlador com pelo menos 30 dias de antecedência sobre a inclusão ou a substituição de suboperador, por e-mail ou aviso na Plataforma e pela atualização desta página. O controlador pode se opor por motivo razoável ligado à proteção de dados. Se não houver solução, pode encerrar a contratação sem multa. A avera responde perante o controlador pelos atos dos suboperadores.
8. Incidentes de segurança
- A avera comunica ao controlador, em até 48 horas da confirmação, o incidente de segurança que envolva dados pessoais tratados em seu nome.
- A comunicação descreve, na medida do que já for conhecido, a natureza do incidente, os dados e titulares afetados, os riscos, as medidas adotadas e o contato para informações. Informações novas são enviadas assim que conhecidas.
- A avera contém o incidente, preserva os registros e auxilia o controlador na comunicação à ANPD e aos titulares (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024).
9. Direitos dos titulares
A avera auxilia o controlador a atender às solicitações dos titulares (art. 18 da LGPD), com as funcionalidades da Plataforma ou mediante pedido ao encarregado. Solicitações que a avera receber diretamente de titulares sobre dados tratados para o controlador são encaminhadas a ele, sem resposta de mérito pela avera.
10. Retenção, devolução e eliminação
- Os dados pessoais são mantidos enquanto durar a contratação ou até que o controlador os exclua na Plataforma.
- Documentos excluídos pelo controlador são removidos também dos repositórios de consulta dos provedores de IA.
- Ao término da contratação, o controlador pode solicitar a exportação do conteúdo em até 30 dias. Depois desse prazo, a avera elimina os dados pessoais, inclusive nos suboperadores, salvo quando a conservação for exigida por lei (art. 16 da LGPD).
- Os registros de acesso e de auditoria seguem os prazos da Política de Privacidade.
11. Auditoria e prestação de informações
- A avera fornece ao controlador, mediante pedido ao encarregado, as informações necessárias para demonstrar o cumprimento deste acordo, inclusive descrição das medidas de segurança, lista atualizada de suboperadores e respostas a questionários de segurança.
- O controlador pode, uma vez por ano ou após incidente, realizar auditoria por si ou por auditor independente obrigado a sigilo, com aviso prévio de 30 dias, em horário comercial, de forma a não comprometer a segurança nem a confidencialidade de outros clientes. Os custos da auditoria são do controlador.
- A avera também colabora com a ANPD, nos termos da lei.
12. Governança, vigência e disposições finais
- Encarregado: o encarregado pelo tratamento de dados pessoais da avera é , .
- Governança: a avera mantém registro das operações de tratamento (art. 37 da LGPD), revisa as medidas de segurança pelo menos uma vez por ano e orienta as pessoas com acesso aos dados sobre proteção de dados.
- Vigência: este acordo vale enquanto a avera tratar dados pessoais em nome do controlador. As obrigações de confidencialidade e de eliminação continuam após o término.
- Prevalência: em caso de conflito sobre proteção de dados, prevalece este acordo sobre os Termos de Uso.
- Contratação assinada: clientes que precisarem de versão assinada deste acordo podem solicitá-la pelo e-mail [email protected].
- Alterações: alterações relevantes são comunicadas com antecedência, e a data da última atualização aparece no topo desta página.
- Lei e foro: aplicam-se a lei brasileira e o foro previsto nos Termos de Uso.