01Partes, papéis e objeto
Este acordo deverá ser assinado pelo cliente e pela pessoa jurídica responsável pela novexia, com identificação completa. Aplica-se apenas às operações em que a novexia atuar como operadora sob instruções documentadas do controlador. Finalidades próprias, como faturamento e gestão contratual, deverão ser mapeadas separadamente. O anexo operacional é obrigatório e integra o acordo.
02Instruções e limites
A operadora deverá limitar o tratamento ao objeto, à duração, às finalidades e às categorias descritas no anexo. Novas utilizações, treinamento de modelos e compartilhamentos não previstos dependem de análise e autorização documentada quando cabível. Instruções incompatíveis com a legislação deverão ser sinalizadas ao controlador para solução, sem execução automática.
03Pessoas autorizadas e medidas de proteção
As partes deverão documentar controles proporcionais ao risco, incluindo concessão e revogação de acessos, proteção de credenciais, segregação de ambientes, registros de operação, cópias de segurança e recuperação, conforme a arquitetura contratada. Pessoas com acesso deverão estar vinculadas a dever de confidencialidade. O anexo deverá indicar quais medidas estão efetivamente implementadas, sem presumir certificações.
04Suboperadores e transferências
A relação de suboperadores deverá identificar entidade, atividade, localização e dados envolvidos. O acordo exige comunicação prévia de alterações e um procedimento de objeção justificada. Obrigações de proteção compatíveis deverão ser transmitidas aos suboperadores. Transferências internacionais somente poderão ocorrer com mecanismo jurídico adequado e documentação específica aprovada antes do início.
05Assistência e incidentes
A operadora deverá auxiliar o controlador, dentro do escopo de sua atuação, com solicitações de titulares, avaliação de riscos e informações de conformidade. Ao tomar conhecimento de incidente envolvendo dados do contrato, deverá avisar o controlador sem demora indevida, apresentar os fatos disponíveis, preservar evidências e atualizar o relato. O anexo definirá contatos e prazo operacional que permitam ao controlador cumprir suas obrigações legais. A comunicação a titulares e autoridades será coordenada conforme a atribuição legal de cada parte.
06Verificação e encerramento
O controlador poderá solicitar evidências proporcionais ao tratamento contratado. Auditorias deverão preservar a segurança, o sigilo de terceiros e a continuidade operacional. Ao final, os dados deverão ser devolvidos ou eliminados conforme instrução válida, ressalvadas obrigações de conservação. O anexo definirá formato de exportação, prazo, tratamento de backups e confirmação de conclusão. Responsabilidades seguirão o contrato e a legislação, sem afastar direitos de titulares.
07Anexo operacional a preencher
O acordo somente estará pronto para uso após o preenchimento e aprovação dos pontos abaixo.
- Identificação das partes, contatos e responsáveis; serviços e duração.
- Finalidades, operações, titulares, categorias de dados e dados sensíveis, se houver.
- Sistemas, países, suboperadores e mecanismos de transferência.
- Controles técnicos implementados e evidências; acessos e canais seguros.
- Prazos de retenção, devolução, eliminação e ciclos de backup.
- Contatos de incidentes, prazo de aviso e apoio a solicitações de titulares.