Anexo de Tratamento de Dados

O Estabelecimento é o controlador dos dados pessoais de seus clientes, profissionais e contatos. É ele quem decide o que coletar, para que usar, para quem enviar mensagens e por quanto tempo manter.

A Azendy é a operadora desses dados: trata-os exclusivamente para fornecer a Plataforma, seguindo as instruções do Estabelecimento.

A Azendy é controladora apenas dos dados da relação comercial com o próprio Estabelecimento (cadastro da conta, cobrança, suporte, segurança e registros de acesso), conforme a Política de Privacidade.

Objeto e finalidade: fornecer as funcionalidades contratadas — agenda, cadastro de clientes, atendimento por WhatsApp, comanda, financeiro, comissão, nota fiscal, agendamento online e, quando contratados, os recursos de inteligência artificial.

Duração: enquanto o contrato estiver vigente, mais o período de devolução e eliminação previsto na seção 9.

Titulares: clientes do Estabelecimento, profissionais e colaboradores, leads e contatos.

Tipos de dados: identificação e contato (nome, telefone, e-mail, CPF/CNPJ quando informado), histórico de atendimento e agendamentos, valores e pagamentos, conteúdo das conversas do canal de atendimento (texto, imagem, áudio e documentos), fotos e vídeos enviados pelo Estabelecimento, e — quando o Estabelecimento usa fichas de anamnese — dados pessoais sensíveis de saúde.

Dados sensíveis e menores de idade. A Plataforma permite registrar dados de saúde (anamnese) e atender pessoas menores de 18 anos. Nesses casos, cabe ao Estabelecimento obter o consentimento específico e destacado exigido pelos arts. 11 e 14 da LGPD — a Plataforma oferece o campo de consentimento e guarda o texto exato assinado, mas quem responde pela coleta é o controlador.

A Azendy trata os dados apenas: (a) conforme as instruções documentadas do Estabelecimento — que incluem o uso normal da Plataforma e suas configurações; (b) para cumprir obrigação legal ou ordem de autoridade, hipótese em que informa o Estabelecimento quando a lei permitir.

A Azendy não vende dados pessoais e não os usa para:

• publicidade própria dirigida aos clientes do Estabelecimento;
• treinar modelos de inteligência artificial de terceiros;
• finalidade alheia à prestação do serviço, ressalvado o uso de dados agregados e anonimizados (que não identificam pessoa nem estabelecimento) para métricas e melhoria da Plataforma.

O acesso aos dados é restrito a quem precisa dele para operar a Plataforma, sob dever de confidencialidade que sobrevive ao fim do vínculo.

Acesso de suporte. Para diagnosticar problemas, a equipe da Azendy pode acessar a conta do Estabelecimento vendo as mesmas telas que ele vê. Esse acesso é registrado (quem entrou, quando entrou e quando saiu), expira automaticamente e fica disponível ao Estabelecimento mediante solicitação. Ele acontece para resolver chamado, investigar incidente ou cumprir obrigação legal.

Medidas técnicas e organizacionais mantidas pela Azendy:

• isolamento lógico entre estabelecimentos em todas as consultas ao banco de dados;
• criptografia em trânsito (HTTPS/TLS) e dos volumes em repouso;
• controle de acesso por papel e permissão, com autenticação em duas etapas disponível;
• registro de auditoria das ações administrativas e do acesso de suporte;
• segredos em cofre gerenciado, nunca no código;
• cópias de segurança automáticas diárias do banco de dados;
• canal de recebimento de vulnerabilidades em security@azendy.com.br.

O Estabelecimento autoriza a Azendy a contratar subprocessadores para a execução do serviço. A lista nominal e atualizada — com finalidade, dados acessados e país — está em azendy.com.br/subprocessadores.

Antes de incluir novo subprocessador que trate dados dos clientes do Estabelecimento, a Azendy atualiza aquela página e comunica os estabelecimentos ativos com 15 dias de antecedência. O Estabelecimento que discordar pode encerrar o contrato sem multa até a data da mudança.

A Azendy responde perante o Estabelecimento pelos atos de seus subprocessadores, nos limites da seção 11.

Parte do tratamento ocorre fora do Brasil, em especial nos Estados Unidos — hospedagem, canal de WhatsApp e recursos de inteligência artificial. A lista de subprocessadores identifica o país de cada um. Essas transferências são necessárias à execução do contrato e contam com as salvaguardas contratuais aplicáveis (LGPD, art. 33).

O pedido de um cliente do Estabelecimento (acesso, correção, eliminação, portabilidade, revogação de consentimento) deve ser atendido pelo próprio Estabelecimento, que é o controlador e tem as ferramentas da Plataforma para isso.

Quando o pedido chegar diretamente à Azendy, ela o encaminha ao Estabelecimento sem respondê-lo no mérito, e informa o titular sobre esse encaminhamento.

Quando o atendimento depender de ação que só a Azendy pode executar, ela apoia o Estabelecimento em até 10 dias corridos do pedido — prazo calculado para caber nos 15 dias que a LGPD dá ao controlador (art. 19, II).

Encerrado o contrato, o Estabelecimento tem 30 dias para solicitar a exportação dos seus dados em formato estruturado e de uso comum.

Passada essa janela, a Azendy elimina ou anonimiza os dados pessoais tratados por conta do Estabelecimento, exceto o que precisar manter para: cumprir obrigação legal ou fiscal (por exemplo, guarda de documentos fiscais), exercer direito em processo, ou manter registros de acesso exigidos pelo Marco Civil da Internet. O que for mantido continua protegido por este Anexo.

A Azendy confirma a eliminação por escrito, quando solicitada.

Ao confirmar incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Azendy comunica o Estabelecimento em até 48 horas, informando: o que aconteceu, quais dados e quantos titulares foram afetados, quando ocorreu e quando foi detectado, o que já foi feito e o que se recomenda fazer.

O prazo é curto de propósito: quem comunica a ANPD e os titulares é o controlador, e o prazo dele é de 3 dias úteis contados do conhecimento (Resolução CD/ANPD nº 15/2024). A Azendy presta as informações necessárias para essa comunicação e coopera com as autoridades.

Cada parte responde pelas obrigações que lhe cabem neste Anexo. Em especial, o Estabelecimento responde por:

• ter base legal para os dados que insere e para as mensagens que dispara;
• obter e registrar o consentimento quando essa for a base legal — inclusive para marketing — e respeitar os pedidos de descadastro;
• o conteúdo das mensagens enviadas aos seus clientes, inclusive as geradas com IA;
• a exatidão dos dados e a gestão dos acessos da própria equipe;
• o consentimento específico exigido para dados de saúde e de menores de idade.

A limitação de responsabilidade prevista nos Termos de Serviço aplica-se também a este Anexo, ressalvadas as hipóteses em que a lei não admite limitação.

Mediante pedido razoável e não mais de uma vez por ano — ou sempre que houver incidente que afete o Estabelecimento —, a Azendy disponibiliza as informações necessárias para demonstrar o cumprimento deste Anexo, preservados segredos de negócio e a segurança dos demais estabelecimentos.

Este Anexo vigora enquanto durar o contrato. Alterações relevantes serão comunicadas com antecedência razoável, e a versão vigente é sempre a publicada nesta página, com a data indicada no topo.

Encarregado pelo Tratamento de Dados Pessoais: privacidade@azendy.com.br

Azendy Tecnologia LTDA - ME — CNPJ 62.492.990/0001-80.