Acordo de Processamento de Dados — Crisarium

Versão 1.0 · vigente desde 05/10/2026

Este Acordo integra o contrato entre a organização contratante ("Controladora") e a Segurança em Jogo LTDA, CNPJ 58.907.118/0001-88 ("Operadora"), formado pelo pedido aceito, pelos Termos de Uso e pela Política de Reembolso. Ele regula o tratamento de dados pessoais que a Operadora faz em nome da Controladora nos planos para organizações do Crisarium, nos termos da LGPD (Lei 13.709/2018, em especial arts. 37 a 40) e, quando aplicável, do GDPR (art. 28). Em caso de conflito sobre dados pessoais, prevalece este Acordo.

1. Papéis

• A Controladora decide quem participa dos exercícios, quais dados envia e para que usa os resultados. É responsável pela base legal do tratamento e por informar os participantes.
• A Operadora trata os dados apenas para prestar o serviço contratado, conforme este Acordo e as instruções documentadas da Controladora. Usar a plataforma conforme suas funções e configurar sessões são instruções documentadas.
• Para os dados que trata por conta própria (conta dos administradores, faturamento, segurança da plataforma), a Operadora é controladora, nos termos da Política de Privacidade.

2. O tratamento

3. Obrigações da Operadora

A Operadora:

• trata os dados só conforme este Acordo e as instruções da Controladora, e a avisa se uma instrução lhe parecer contrária à lei;
• não usa os dados para finalidade própria, não os vende e não os usa para treinar modelos de inteligência artificial, próprios ou de terceiros;
• garante que as pessoas autorizadas a tratar os dados estão sujeitas a sigilo;
• mantém as medidas de segurança do Anexo I;
• não acessa o conteúdo das sessões (decisões, justificativas, relatórios, plano de crise), salvo: (a) a pedido formal da Controladora; ou (b) quando a Controladora autorizar, na plataforma, o acesso aos relatórios de uma sessão para controle de qualidade, autorização que pode ser revogada a qualquer momento. Cada acesso fica registrado;
• auxilia a Controladora a atender pedidos de titulares (acesso, correção, exclusão, explicação de resultado automatizado), encaminhando em até 5 dias úteis os pedidos que receber diretamente;
• auxilia a Controladora em relatórios de impacto e consultas a autoridades, na medida das informações de que dispõe;
• disponibiliza as informações necessárias para demonstrar o cumprimento deste Acordo (seção 8).

4. Obrigações da Controladora

A Controladora:

• tem base legal para o tratamento e informa os participantes. A plataforma exibe a cada participante, antes da primeira rodada, uma tela de ciência com o que é registrado, quem vê e por quanto tempo;
• não usa os relatórios como base exclusiva para decisões de contratação, promoção, remuneração ou desligamento;
• só envia, no recurso de aderência, documentos que tem direito de usar, sem dados pessoais desnecessários;
• mantém seguras as credenciais dos seus administradores.

5. Suboperadores

A Controladora autoriza os suboperadores do Anexo II, onde constam, para cada um, a atividade, os dados recebidos, o local do tratamento e o mecanismo de transferência. A Operadora celebra com cada um contrato que replica as obrigações de segurança, sigilo e proteção de dados deste Acordo, e responde por eles perante a Controladora.

Mudanças: a Operadora avisa os administradores por e-mail com 30 dias de antecedência antes de incluir ou trocar um suboperador. Se a Controladora se opuser por motivo razoável de proteção de dados e as partes não chegarem a uma solução, pode encerrar o contrato com reembolso proporcional ao prazo restante do plano.

6. Transferência internacional

Os dados ficam armazenados no Brasil. Quando um suboperador os trata em outro país, a transferência se apoia:

• para os Estados Unidos e demais países sem decisão de adequação, nas cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024), adotadas no contrato da Operadora com o suboperador, inclusive para as transferências posteriores que ele fizer;
• para países da União Europeia, na decisão de adequação (Resolução CD/ANPD nº 32/2026).

O mecanismo de cada suboperador está no Anexo II. Para Controladoras na União Europeia, o Brasil conta com decisão de adequação da Comissão Europeia; não se aplicam as cláusulas contratuais-padrão europeias.

7. Incidentes de segurança

A Operadora comunica à Controladora qualquer incidente de segurança que afete os dados deste Acordo sem demora indevida e em até 24 horas da ciência, com as informações disponíveis: natureza do incidente, dados e titulares afetados, consequências prováveis e medidas tomadas ou propostas. As informações faltantes são enviadas assim que obtidas. A comunicação à ANPD, a outras autoridades e aos titulares cabe à Controladora, com o apoio da Operadora; o prazo regulatório da Controladora é curto (3 dias úteis na ANPD), por isso o prazo acima.

8. Demonstração de conformidade

A Operadora mantém publicados na página de confiança o documento de segurança, a lista de suboperadores e este Acordo. A Controladora pode enviar um questionário de segurança por ano, respondido em até 30 dias. Auditoria presencial só em caso de incidente relevante ou exigência de autoridade, com aviso de 30 dias, às custas da Controladora e sem acesso a dados de outros clientes.

9. Retenção, devolução e exclusão

Antes da exclusão, o administrador pode exportar os relatórios. A pedido da Controladora, a Operadora exclui os dados antes desses prazos. A pessoa excluída pelo administrador tem nome, e-mail e certificado removidos das sessões encerradas; suas decisões permanecem atribuídas ao papel ("participante removido").

10. Responsabilidade

Cada parte responde pelos danos que causar por violação deste Acordo ou da lei de proteção de dados, nos termos da LGPD (art. 42). Aplicam-se as limitações dos Termos de Uso, salvo onde a lei não permitir.

11. Vigência

Este Acordo vale enquanto houver tratamento de dados da Controladora pela Operadora, inclusive após o fim do contrato, até a exclusão dos dados.

Versão 1.0 · vigente desde 05/10/2026.

Anexo I — Medidas de segurança

• Dados armazenados e processados no Brasil (São Paulo), com criptografia em trânsito e em repouso.
• Isolamento entre organizações no banco de dados, com política por linha e teste automatizado a cada mudança que tenta ler dados de outra organização.
• Participantes entram por link pessoal enviado por e-mail, sem senha; cada uso fica registrado. Administradores e equipe interna usam senha e segundo fator obrigatório, com bloqueio após 3 tentativas erradas.
• O navegador nunca acessa o banco de dados diretamente; as credenciais ficam em cookies protegidos.
• Plano de crise: só PDF e Word conferidos pelo conteúdo; recusa de arquivos com sinais suspeitos; leitura na memória sem gravação do arquivo; texto extraído cifrado até a confirmação; a leitura por IA é isolada, sem ferramentas nem acesso a outros dados.
• A equipe interna não acessa conteúdo de sessões sem pedido ou autorização registrada da Controladora; todas as ações administrativas ficam em registro de auditoria.
• E-mails sempre identificados como simulação, sem pedir senha ou pagamento, com página pública de conferência de convites.
• Dependências com versão fixa e alertas automáticos de vulnerabilidade.
• Plano de resposta a incidentes próprio e exercitado.

Anexo II — Suboperadores e transferência internacional