ACORDO DE TRATAMENTO DE DADOS PESSOAIS (DPA) ENTRE SSA-MRO E SEUS CLIENTES 

A SSA-MRO SOLUÇÕES PARA MANUTENÇÃO INDUSTRIAL E PREDIAL S.A., pessoa jurídica de direito privado, com sede na Rua Atilio Piffer, 501, Casa Verde, São Paulo/SP, CEP 02516-000, CNPJ nº 26.409.092/0001-51, doravante denominada “Contratada” estabelece o presente Acordo de Tratamento de Dados Pessoais (“DPA”) para regular as condições aplicáveis ao tratamento dos dados pessoais no contexto da utilização da(s) solução(ções) tecnológica(s) contratada(s), fornecidas na modalidade Software as a Service (SaaS).

Ao contratar qualquer um dos produtos e/ou serviços oferecidos pela Contratada, o Contratante manifesta sua adesão expressa aos termos aqui estabelecidos.

CONSIDERANDO QUE:

 (A) A Contratada, conforme o disposto no Contrato Principal e seus aditivos, presta serviços ou concede licenciamento de software à Contratante;

(B) Durante a prestação dos serviços ou do uso do software licenciado, a Contratada poderá realizar o tratamento de dados pessoais de usuários e clientes finais da Contratante. Visando garantir a conformidade com a legislação vigente, as partes resolvem formalizar, neste documento, os termos e condições aplicáveis a tal tratamento.

(C) Em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), este Acordo de Processamento de Dados (DPA) tem como objetivo garantir a legitimidade e a segurança no tratamento de dados pessoais decorrente dos contratos firmados entre a Contratada e os Contratantes de seus sistemas e soluções. No cumprimento deste Acordo, a Contratada realizará o tratamento de dados pessoais sob orientação do Contratante, conforme a LGPD e, quando aplicável, demais legislações de proteção de dados do país do Contratante. As operações de tratamento seguirão as condições estabelecidas neste Acordo.

DEFINIÇÕES PARA FINS DE INTERPRETAÇÃO DESTE DOCUMENTO:

1. “ANPD”: refere-se ao órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados – LGPD e demais leis de proteção de dados no Brasil;
2. “Contrato Principal”: refere-se ao acordo formal assinado entre o Contratante e a Contratada, que estabelece os termos e condições gerais da relação comercial entre as partes. Este termo abrange as expressões “Contrato” e “Acordo Principal” e deve ser entendido como um documento distinto deste DPA.

1.  “LGPD”: refere-se a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018);
2. “Dados Pessoais”: as informações relacionadas a pessoas naturais identificadas ou identificáveis (“Dados Pessoais”);
3. “Contratada”: refere-se à parte que presta serviços a Contratante, assumindo as obrigações e responsabilidades estabelecidas no contrato principal e no presente DPA.
4. “Contratante”: refere-se à parte que contrata os produtos e/ou serviços da Contratada, sendo o responsável pela execução das obrigações estabelecidas no contrato principal e neste DPA.
5.  “Controladora”: refere-se a Empresa Contratante, responsável por tomar as principais decisões sobre o Tratamento de Dados Pessoais, incluindo a definição da finalidade, a natureza dos dados tratados e a duração do tratamento. Cabe à Controladora fornecer instruções claras à SSA-MRO (“Operadora”), assegurando que o tratamento seja realizado de acordo com suas diretrizes e a legislação aplicável. A Controladora mantém o controle sobre os elementos essenciais para o cumprimento da finalidade do tratamento (“Controladora”); 
6. Operadora: a SSA-MRO, que realiza o tratamento de dados pessoais em nome da Controladora (“Operadora”), seguindo suas instruções. No desempenho dessa função, a Operadora pode definir aspectos operacionais e técnicos não essenciais do tratamento, como a implementação de medidas técnicas de segurança; 
7. “Titular de Dados Pessoais”: refere-se à pessoa natural a quem os dados pessoais, objeto de tratamento, dizem respeito. O titular de dados tem direitos garantidos pela Lei Geral de Proteção de Dados Pessoais (LGPD), incluindo o acesso, correção, exclusão e outras formas de controle sobre como seus dados são coletados, utilizados e armazenados durante o tratamento; e
8. “Tratamento”: toda e qualquer operação realizada com dados pessoais, como as que se referem a produção, coleta, recepção, classificação, acesso, utilização, reprodução, transmissão, distribuição, processamento, armazenamento, arquivamento, eliminação, avaliação ou controle da informação, comunicação, modificação, transferência, difusão ou extração.
9. “Partes”: refere-se a Contratante, que contrata os serviços da Contratada, sendo responsável pela execução das obrigações estabelecidas no contrato principal, e à Contratada, que presta serviços a Contratante, assumindo as obrigações e responsabilidades estabelecidas no contrato principal. As Partes são responsáveis pelo cumprimento das disposições acordadas no presente documento, garantindo a conformidade com a legislação aplicável ao Tratamento de Dados Pessoais.
10. “Plataforma:” refere-se a um ambiente tecnológico que integra diferentes componentes, incluindo, mas não se limitando a sistemas SaaS (Software as a Service), softwares, aplicativos e outras soluções digitais. A Plataforma pode incluir recursos como armazenamento de dados, interfaces de usuário, APIs (Application Programming Interfaces) e outras ferramentas que possibilitam a otimização de processos e a melhoria da experiência do usuário.
11. “Titular de Dados Pessoais”: refere-se à pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento.

1. TRATAMENTO DE DADOS PESSOAIS

1. As Partes declaram conhecer e cumprir a legislação vigente referente à proteção de Dados Pessoais, especialmente a Lei Geral de Proteção de Dados Pessoais (“LGPD”) e o Marco Civil da Internet, no âmbito de suas respectivas responsabilidades. 
2. A Controladora é responsável por assegurar a existência de base legal válida para o tratamento e pela obtenção dos consentimentos necessários, quando exigidos, além de fornecer informações adequadas aos titulares. A Operadora compromete-se a tratar os dados pessoais conforme as instruções da Controladora, nos limites legais.

1.3. A Operadora não receberá instruções diretamente dos titulares, salvo autorização expressa da Controladora e/ou determinação legal.

1.4. Os dados pessoais tratados pela Operadora serão coletados, armazenados e utilizados sob as instruções da Controladora, exclusivamente para as seguintes finalidades:

(a) Cumprimento de obrigações contratuais estabelecidas entre as Partes; 

(b) Execução de deveres legais e regulatórios da Controladora e/ou da Operadora, quando aplicável; 

(c) Exercício de direitos em processos judiciais ou administrativos; 

(d) Melhoria e aprimoramento dos serviços e produtos da Operadora e de seus parceiros, assim como para a elaboração de estatísticas e estudos gerais. Nessas situações, os dados pessoais serão tratados de forma a garantir a confidencialidade, preferencialmente de modo anonimizado, sempre que possível, e sem identificar ou especificar o titular de dados pessoais.

1.5. A Controladora autoriza expressamente que a Operadora realize transferências internacionais de dados pessoais para a única e exclusiva intenção de cumprir com as finalidades previstas no contrato principal, vedando-se finalidades diversas.

2. OBRIGAÇÕES DA OPERADORA RELACIONADAS À PROTEÇÃO DE DADOS PESSOAIS

2.1. Com relação à proteção de dados pessoais, a Operadora compromete-se a: 

1. A tratar os dados pessoais apenas na medida necessária para executar o objeto contratual, nos termos do contrato principal e aditivos firmados a Controladora, nos limites do acordo;

1. Informar prontamente à Controladora, salvo proibição legal ou judicial, sobre quaisquer comunicações ou solicitações da ANPD ou outras autoridades competentes envolvendo os dados pessoais tratados;

1. Fornecer, mediante solicitação escrita da Controladora e com antecedência mínima de 48 (quarenta e oito) horas úteis, apoio razoável, na medida de suas atribuições, para avaliações de impacto e consultas à ANPD;
   
   
2. Aplicar, durante todo o tratamento de dados pessoais, medidas técnicas e organizacionais adequadas para proteger os dados, especialmente contra acessos não autorizados, vazamentos, alterações indevidas, destruições acidentais ou ilícitas, entre outros riscos que caracterizem uma “Violação de Dados Pessoais”.);

1. Disponibilizar à Controladora, mediante solicitação: 

1. A extração dos dados pessoais tratados; e/ou 
2. A exclusão de tais dados, tanto nos casos de encerramento do contrato principal quanto por solicitação expressa da Controladora, desde que respeitados os prazos acordados entre as Partes.
   
   

2.2. A Operadora se compromete a disponibilizar os documentos e/ou informações que tiver disponíveis no momento e que sejam necessários para demonstrar o cumprimento das obrigações legais e contratuais.

Importante destacar que:

1. Não serão compartilhados documentos que não sejam imprescindíveis para essa finalidade ou que envolvam informações confidenciais, estratégicas, sigilosas, de produto ou de propriedade intelectual da Operadora (ou de terceiros);
2. A disponibilização só será exigida se os documentos estiverem tecnicamente acessíveis e se estiverem dentro do escopo de responsabilidades da Operadora conforme estabelecido na LGPD.

2.3. Caso a Operadora identifique que sua plataforma está sendo utilizada de forma indevida, seja para fins ilegais, ilícitos, em descumprimento à legislação de proteção de dados ou até mesmo contrários à moralidade, por parte da Controladora ou de qualquer colaborador dela, deverá comunicar o ocorrido. A Controladora, a partir da notificação da Operadora, deverá cessar imediatamente o uso indevido da Plataforma.

3. VIOLAÇÃO DE DADOS PESSOAIS

3.1. A Operadora deverá comunicar a Controladora em até 72 (setenta e duas) horas, contadas a partir da ciência do fato, sobre qualquer incidente que possa representar risco ou danos relevantes aos titulares, permitindo que a Controladora adote medidas e, se for o caso, notifique a ANPD conforme previsto no art. 48 da LGPD.

3.2. A Notificação de incidentes deverá: 

(i) descrever a natureza do incidente; 

(ii) descrever as consequências prováveis do incidente; 

(iii) descrever as medidas tomadas ou propostas pela Operadora em resposta ao incidente; e 

(iv) fornecer o contato do encarregado pelo tratamento dos dados pessoais da Operadora. 

3.3. As informações relacionadas ao incidente reportado, conforme disposto nos itens acima, poderão ser complementadas e/ou atualizadas posteriormente, à medida que surjam novas informações ou seja necessário esclarecer pontos que ainda estejam em apuração no momento do envio inicial.

3.4. Incidentes sem impacto relevante deverão ser documentados internamente pela Operadora, com os registros das medidas adotadas e planos de contenção implementados.

3.5. A Operadora será responsável por eventuais prejuízos devidamente comprovados à Controladora ou aos seus clientes finais, desde que causados exclusivamente por ações ou omissões da Operadora ou de seus Subcontratados.

3.6. Se houver litígio envolvendo tratamento de dados pessoais, qualquer Parte poderá requerer a denunciação da lide à outra, conforme art. 125, II, do CPC — sempre que entender que a responsabilidade recai sobre a Parte adversa ou um terceiro.

4. SUBCONTRATAÇÃO

4.1. A Controladora autoriza a Operadora a subcontratar serviços estritamente necessários à execução do contrato, desde que os subcontratados (i) atuem dentro das finalidades definidas e (ii) cumpram integralmente as obrigações previstas neste Acordo.

4.2.  A Operadora será a única responsável pela sua escolha e pela atuação desses no presente contrato, obrigando-se a garantir que os subcontratados cumprirão o disposto na LGPD e devendo tal obrigação constar nos contratos escritos que a Operadora celebre com os subcontratados.  

5. COMPARTILHAMENTO DE DADOS PESSOAIS

 5.1. Os dados pessoais da Controladora poderão ser compartilhados pela Operadora com terceiros nas seguintes hipóteses:

(a) Sucessão empresarial, como em casos de fusão, aquisição ou incorporação, condicionada à comunicação prévia pela Operadora;

(b) Contratação de serviços de processamento de dados junto a terceiros (suboperadores), como hospedagem em nuvem, restauração de sistemas, consultoria em Tecnologia da Informação, resposta a incidentes ou demandas judiciais e/ou administrativas, bem como com plataformas e ferramentas tecnológicas, inclusive soluções baseadas em inteligência artificial, utilizadas para viabilizar o atendimento ao cliente, otimizar a prestação dos serviços ou implementar melhorias operacionais;

(c) Compartilhamento com empresas do mesmo grupo econômico da Operadora, visando a integração, administração, ou suporte às operações, desde que respeitadas as finalidades originalmente previstas e as exigências legais aplicáveis.

6. AUDITORIA E INSPEÇÃO

6.1. A Operadora se compromete a fornecer à Controladora as informação e documentos necessários para demonstrar conformidade com o presente acordo, desde que relacionados às suas atribuições sob a LGPD e que esteja legal ou contratualmente obrigada a disponibilizar. Informações sigilosas, como segredos comerciais, estratégias de negócio ou propriedade intelectual, não serão compartilhadas, salvo se houver obrigação contratual ou legal expressa nesse sentido.

6.2. A Controladora poderá solicitar à Operadora a realização de auditoria remota para verificar o cumprimento das obrigações previstas neste acordo. O acompanhamento será feito por um colaborador indicado pela Operadora, e eventuais custos incorridos por esta atividade serão arcados exclusivamente pela Controladora.

6.3. A auditoria deve obrigatoriamente atender às seguintes condições: 

1. a) ter como escopo único e exclusivo a verificação do cumprimento das obrigações da Operadora relativas à proteção e privacidade de dados pessoais, garantindo que apenas informações relevantes e compatíveis com essas obrigações sejam auditadas; 
2. b) não resultar em acesso a informações protegidas por sigilo comercial ou direitos de propriedade intelectual da Operadora ou de terceiros; 
3. c) ser tecnicamente viável e razoável, sem comprometer a segurança e integridade dos sistemas da Operadora ou causar impacto em suas operações;
4. d) a Controladora deverá formalizar o pedido com pelo menos 30 (trinta) dias de antecedência, especificando escopo, finalidade e objeto da auditoria;

7. DIREITOS DO TITULAR DE DADOS

7.1. A Controladora será responsável por informar os titulares sobre seus direitos e por garantir seu atendimento, incluindo acesso, retificação, exclusão, limitação, portabilidade ou eliminação de dados.

7.2. A Operadora prestará cooperação e assistência razoáveis, quando necessário, para apoiar a Controladora na resposta às solicitações dos titulares. Isso inclui: 

(i) comunicar a Controladora sobre qualquer solicitação recebida diretamente de titulares de dados; 

(ii) apoiar a Controladora com as informações e medidas necessárias para o atendimento do pedido no exercício dos direitos previstos na legislação brasileira, em especial na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), observadas, quando aplicável e de forma suplementar, as legislações vigentes sobre proteção de dados no país do LICENCIADO; 

7.3. Caso a assistência mencionada acima exija da Operadora recursos significativos como tempo, tecnologia, pessoal ou adaptações técnicas, a prestação de suporte será negociada previamente entre as partes, considerando os esforços envolvidos.

8. ELIMINAÇÃO DE DADOS PESSOAIS

8.1. Após o encerramento do contrato, a Operadora poderá manter dados pessoais apenas se necessário para obrigações legais, auditorias ou proteção de direitos. Após esse prazo, os dados serão excluídos de forma definitiva.

8.2. Caso a exclusão imediata dos dados não seja tecnicamente possível (por exemplo, em backups), a Operadora compromete-se a tornar tais dados inacessíveis e eliminá-los assim que for viável.

9. EXCLUSÃO E LIMITAÇÃO DE RESPONSABILIDADE

9.1. A Operadora não será responsabilizada por danos ou violações decorrentes de instruções fornecidas pela Controladora, caso tais instruções estejam em desconformidade com a legislação aplicável, inclusive a LGPD, desde que o tratamento tenha sido realizado de boa-fé, dentro dos limites contratuais e conforme orientações expressas da Controladora. 

9.2. A responsabilidade da Operadora limita-se a prejuízos diretos e comprovadamente causados por sua ação, omissão ou de seus subcontratados, conforme previsto em lei, e não excederá o valor total do contrato. Não haverá responsabilização por lucros cessantes ou danos indiretos, exceto nos casos de dolo ou negligência grave.

9.3. A Operadora não garante a impossibilidade de ocorrência de eventos danosos. Dada a possibilidade de falhas ou má-fé por parte de seus próprios usuários, ou ainda de ações maliciosas de terceiros, a Controladora reconhece que a responsabilidade civil e administrativa da Operadora se limita exclusivamente aos danos decorrentes de incidentes de segurança causados por conduta culposa ou deliberada da própria Operadora ou de seu corpo funcional.

10. DISPOSIÇÕES GERAIS

10.1. A Controladora é e continuará sendo a proprietária dos dados tratados, assim como será responsável por quaisquer dados de terceiros, inclusive dados pessoais, que inserir no software/plataforma de propriedade da Operadora;

10.2. A Controladora não poderá transferir à Operadora a responsabilidade por falhas relacionadas ao tratamento de dados de sua competência.

10.3. Os termos e condições do DPA integram todos os contratos de licenciamento e serviços firmados e a serem firmados entre a Controladora e a Operadora para todos os fins, sendo que as disposições aqui contidas prevalecem sobre eventuais disposições conflitantes sobre os dados e o tratamento previstos no contrato principal.

11. CONTATOS, DÚVIDAS E SOLICITAÇÕES

11.1. Dúvidas ou solicitações relacionadas ao tratamento de dados pessoais deverão ser direcionadas ao Encarregado de Dados da SSA-MRO, por meio do e-mail: protecaodedados@starian.com.br.

11.2. As comunicações referentes à ocorrência de incidente de segurança deverão ser classificadas como confidenciais, com o emprego de recursos que assegurem que o destinatário efetivamente a receba.

11.3. Fica eleito o foro da comarca de Florianópolis para o processamento e avaliação de qualquer tipo de controvérsia, conflito ou litígio associado aos fatos regrados por este instrumento.

Atualizado em: 04/11/2025