Contrato de Prestação de Serviços de Software como Serviço (SaaS) — Plataforma ControLED

Contrato de Prestação de Serviços de Software como Serviço (SaaS) — Plataforma ControLED

Versão: 1.2.0

Pelo presente instrumento particular, de um lado:

Qualificação das Partes

CONTRATADA

VPLAY LTDA, pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 48.289.442/0001-26, com sede na Av. Colombo Machado Sales, nº 422, Jardim Dourado, Porto Belo/SC, CEP 88210-000, neste ato representada na forma de seu contrato social.

CONTRATANTE

[conforme sua organização], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [conforme sua organização], com sede em [conforme sua organização], neste ato representada na forma de seu ato constitutivo.

As Partes acima qualificadas têm entre si justo e contratado o presente Contrato de Prestação de Serviços de Software como Serviço (SaaS), mediante as cláusulas e condições a seguir estabelecidas.

Cláusula Primeira — Do Objeto

1.1. O presente Contrato tem por objeto a prestação, pela CONTRATADA à CONTRATANTE, de serviços de software no modelo SaaS (Software as a Service) da plataforma ControLED para operação de mídia digital out-of-home (OOH).

1.2. Os serviços contratados compreendem:

• Gestão e controle de telas e painéis LED;

• Distribuição e programação de conteúdo digital;

• Suporte técnico especializado em horário comercial.

1.3. O presente Contrato não contempla fornecimento, locação, comodato ou cessão de equipamentos de hardware, salvo contratação específica por instrumento próprio.

Cláusula Segunda — Da Vigência e Renovação

2.1. O presente Contrato entra em vigor na data de seu aceite digital e terá vigência inicial de 12 (doze) meses.

2.2. Decorrido o período inicial, o Contrato será renovado automaticamente por períodos sucessivos de 12 (doze) meses, salvo manifestação expressa em contrário de qualquer das Partes, mediante aviso prévio de 90 (noventa) dias corridos antes do término da vigência em curso.

Cláusula Terceira — Do Valor e das Condições de Pagamento

3.1. Pela prestação dos serviços objeto deste Contrato, a CONTRATANTE pagará à CONTRATADA os valores discriminados na tabela a seguir:

VALOR DE IMPLANTAÇÃO (pagamento único): R$ [conforme sua organização]

VALOR MENSAL RECORRENTE: R$ [conforme sua organização]

3.2. O valor de implantação será faturado em parcela única após a ativação dos serviços.

3.3. O valor mensal recorrente será faturado mensalmente no dia [conforme sua organização] de cada mês, com a primeira cobrança em [conforme sua organização].

3.4. A CONTRATADA emitirá a nota fiscal eletrônica em até 2 (dois) dias úteis após cada pagamento da fatura e a encaminhará aos contatos indicados pela CONTRATANTE para fins financeiros.

3.5. O pagamento poderá ser efetuado mediante:

• Cobrança recorrente automática via Mercado Pago (preapproval), na qual a CONTRATANTE autoriza débito mensal no método de pagamento cadastrado em sua conta MP. O e-mail do pagador é [conforme sua organização];

• Cobrança manual via PIX, transferência bancária ou boleto bancário, com prazo de vencimento descrito em cada fatura;

• Outras formas acordadas entre as Partes por escrito, sendo que os dados bancários informados pela CONTRATADA devem ser de titularidade de pessoa jurídica vinculada ao mesmo CNPJ emissor da respectiva nota fiscal.

3.6. Os valores serão reajustados anualmente, a cada 12 (doze) meses contados do início da vigência contratual ou da última renovação, pela variação positiva acumulada do INPC (Índice Nacional de Preços ao Consumidor), ou por índice oficial que venha a substituí-lo.

3.7. Não haverá reajuste proporcional em período inferior a 12 (doze) meses. A renovação contratual e eventual reajuste ocorrerão apenas ao final de cada período completo de 12 (doze) meses de vigência.

3.8. Em caso de atraso no pagamento, incidirão sobre o valor em atraso:

• Multa moratória de 2% (dois por cento);

• Juros de mora de 0,033% (zero vírgula zero trinta e três por cento) ao dia, calculados pro rata die;

• Correção monetária conforme legislação aplicável.

3.9. Em caso de inadimplemento superior a 20 (vinte) dias corridos, a CONTRATADA poderá suspender total ou parcialmente os serviços até a regularização integral dos débitos, sem prejuízo das demais medidas legais cabíveis. A suspensão automática por inadimplência é efetivada por meio da própria plataforma ControLED — o player continuará reproduzindo o conteúdo já em cache local, e o endpoint de sincronização retornará HTTP 402 (Payment Required) até a regularização.

3.10. Disputas sobre processamento de pagamentos. Caso a CONTRATANTE comprove documentalmente (comprovante de débito, extrato bancário, protocolo da operadora) que o pagamento foi efetuado mas não creditado à CONTRATADA por falha exclusiva da operadora de pagamento (Mercado Pago ou similar), a CONTRATADA: (i) suspenderá a contagem do prazo de inadimplemento durante a investigação; (ii) não aplicará multa, juros nem correção monetária até a resolução; e (iii) manterá os serviços ativos. Caracterizada a falha exclusiva da operadora, os encargos moratórios serão afastados.

Cláusula Quarta — Das Obrigações da CONTRATANTE

4.1. Constituem obrigações da CONTRATANTE:

• Efetuar os pagamentos nos prazos estabelecidos neste Contrato;

• Fornecer informações completas e precisas necessárias à execução dos serviços;

• Manter infraestrutura mínima adequada (energia elétrica estável, internet com banda suficiente, ambiente físico adequado);

• Garantir a regularidade jurídica e a licitude dos conteúdos veiculados;

• Obter todas as autorizações de direito de imagem e direitos autorais para o conteúdo exibido;

• Zelar pela segurança de credenciais, senhas e acessos de usuários autorizados, habilitando autenticação multifator (MFA TOTP) sempre que possível;

• Comunicar à CONTRATADA, de forma tempestiva, qualquer irregularidade ou falha identificada nos serviços.

Cláusula Quinta — Das Obrigações da CONTRATADA

5.1. Constituem obrigações da CONTRATADA:

• Disponibilizar a plataforma ControLED conforme o escopo contratado;

• Prestar suporte técnico remoto em horário comercial, de segunda a sexta-feira, das 8h às 18h (horário de Brasília);

• Adotar medidas técnicas e administrativas razoáveis de segurança da informação (criptografia em trânsito, Row Level Security no banco, Vault para segredos, validação HMAC de webhooks);

• Praticar política de retenção de logs operacionais conforme Política de Privacidade vigente, incluindo arquivamento em frio em formato Parquet quando aplicável;

• Manter a operação da plataforma em conformidade com boas práticas de mercado: monitoramento contínuo, controle de acesso, registro e tratamento de incidentes, gestão de mudanças, aplicação de correções de segurança e comunicação prévia de manutenções programadas;

• Garantir SLA mínimo de disponibilidade mensal de 99,5% (noventa e nove vírgula cinco por cento) da plataforma, definida como a capacidade do player sincronizar o manifesto e receber comandos dentro de 120 (cento e vinte) segundos em condições normais, ressalvadas indisponibilidades decorrentes de caso fortuito, força maior, falhas de infraestrutura da CONTRATANTE ou de terceiros por ela contratados, e janelas de manutenção programada previamente comunicadas com antecedência mínima de 48 (quarenta e oito) horas, executadas preferencialmente entre 00h00 e 06h00 (horário de Brasília), ressalvadas janelas emergenciais necessárias à mitigação de incidentes de segurança ou indisponibilidade crítica, as quais poderão ser executadas a qualquer tempo mediante notificação simultânea às CONTRATANTES afetadas;

• Notificar a CONTRATANTE sobre atualizações, manutenções programadas e alterações relevantes na plataforma;

• Atender chamados técnicos nos seguintes prazos: (a) incidentes críticos com indisponibilidade total, resposta inicial em até 4 (quatro) horas úteis; (b) incidentes de alta severidade com degradação relevante, resposta em até 8 (oito) horas úteis; (c) solicitações não críticas, resposta em até 2 (dois) dias úteis;

• Notificar a CONTRATANTE, na qualidade de Operador para Controlador, em até 48 (quarenta e oito) horas a partir do conhecimento de incidente de segurança que afete dados pessoais sob seu tratamento, fornecendo as informações necessárias para subsidiar a notificação da CONTRATANTE à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares no prazo de 3 (três) dias úteis previsto na Resolução CD/ANPD nº 15/2024.

5.2. O descumprimento do SLA de disponibilidade, quando imputável exclusivamente à CONTRATADA, assegurará à CONTRATANTE, mediante solicitação por escrito em até 30 (trinta) dias do fechamento do mês de apuração, crédito compensatório sobre a mensalidade subsequente, nos seguintes percentuais: (i) 10% (dez por cento) se a disponibilidade mensal for inferior a 99,5% e igual ou superior a 98,0%; e (ii) 20% (vinte por cento) se a disponibilidade mensal for inferior a 98,0%, sem prejuízo da apuração de perdas e danos quando cabíveis.

Cláusula Sexta — Da Propriedade Intelectual e Licença de Uso

6.1. Todos os direitos de propriedade intelectual sobre a plataforma ControLED pertencem exclusivamente à CONTRATADA, incluindo software, códigos-fonte, algoritmos, arquitetura, marcas, logotipos, documentação técnica, manuais, materiais de treinamento, melhorias, atualizações e obras derivadas.

6.2. A CONTRATANTE recebe, pelo presente instrumento, licença de uso limitada, não exclusiva, não transferível e temporária da plataforma ControLED, restrita ao período de vigência deste Contrato e ao escopo comercial contratado.

6.3. É expressamente vedado à CONTRATANTE, sem autorização prévia e por escrito da CONTRATADA:

• Copiar, reproduzir, modificar ou criar obras derivadas da plataforma;

• Distribuir, sublicenciar, comercializar ou ceder a terceiros o acesso à plataforma;

• Realizar engenharia reversa, descompilação ou desmontagem do software;

• Utilizar a plataforma fora dos limites e finalidades estabelecidos neste Contrato.

6.4. A violação das disposições desta cláusula constituirá justa causa para rescisão imediata do Contrato, sem prejuízo das medidas judiciais cabíveis.

6.5. Conteúdos de mídia em modelo cross-cliente.

6.5.1. A CONTRATANTE reconhece que a plataforma ControLED admite que arquivos de mídia uploadados em sua organização sejam vinculados a campanhas executadas em outras organizações cujo usuário possua membership ativo ("uso cross-cliente"). Os direitos autorais, marcas, direito de imagem e demais direitos sobre o conteúdo permanecem com o respectivo titular originário.

6.5.2. A CONTRATANTE declara que o conteúdo por ela uploadado pode ser utilizado pelos usuários por ela autorizados em quaisquer organizações da plataforma, sob responsabilidade exclusiva do titular dos direitos autorais, sem que a CONTRATADA assuma qualquer obrigação de validar a autorização para uso cross-cliente.

6.5.3. Em caso de rescisão deste Contrato pela CONTRATANTE, as mídias por ela uploadadas que estejam em uso ativo em campanhas de outras organizações permanecerão acessíveis a tais campanhas até o término natural das mesmas, ressalvado o direito da CONTRATANTE de solicitar expressamente a remoção via canal de privacidade (privacidade@controled.com.br), hipótese em que a CONTRATADA notificará as organizações impactadas com antecedência mínima de 30 (trinta) dias antes da eliminação.

Cláusula Sétima — Da Proteção de Dados e Confidencialidade

7.1. As Partes declaram conhecimento e comprometimento com a Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD), responsabilizando-se pelo tratamento de dados pessoais realizado no âmbito deste Contrato, conforme suas respectivas atribuições legais. A CONTRATANTE atua como Controladora e a CONTRATADA como Operadora, nos termos do art. 5º, VI e VII da LGPD, conforme detalhado no Anexo I deste Contrato (DPA — Acordo de Tratamento de Dados Pessoais).

7.2. As Partes comprometem-se a:

• Adotar medidas técnicas e administrativas adequadas para proteção de dados pessoais;

• Cooperar mutuamente em caso de incidentes de segurança envolvendo dados pessoais;

• Notificar a outra Parte sobre qualquer violação de dados de que tome conhecimento nos prazos do Anexo I (DPA);

• Observar os princípios da LGPD, especialmente finalidade, adequação, necessidade e segurança.

7.3. As Partes obrigam-se a manter confidencialidade sobre todas as informações técnicas, comerciais, estratégicas e operacionais compartilhadas em razão deste Contrato, utilizando-as exclusivamente para sua execução.

7.4. A obrigação de confidencialidade estabelecida nesta cláusula permanecerá vigente pelo prazo de 5 (cinco) anos contados do término deste Contrato, independentemente do motivo de seu encerramento.

7.5. A CONTRATANTE declara estar ciente de que o aceite digital deste Contrato registra, para fins de evidência jurídica nos termos da Lei nº 14.063/2020 e da Medida Provisória nº 2.200-2/2001, os seguintes dados do(s) representante(s) que efetuar(em) o aceite: identificador do usuário, endereço IP, identificação do navegador (User-Agent), data e horário (timestamp), hash SHA-256 do conteúdo aceito, snapshot das variáveis aplicadas ao texto contratual e declaração expressa do representante quanto aos seus poderes de representação. Tais registros são mantidos pelo prazo equivalente à vigência do Contrato, acrescido de 5 (cinco) anos.

7.6. A CONTRATANTE autoriza a CONTRATADA a tratar dados pessoais por meio dos suboperadores listados no Anexo I deste Contrato e em https://controled.com.br/legal/subprocessadores. Alterações materiais nessa lista serão comunicadas com antecedência mínima de 30 (trinta) dias, conforme cláusula 5 do Anexo I.

Cláusula Oitava — Da Rescisão

8.1. O presente Contrato poderá ser rescindido sem justa causa por qualquer das Partes, mediante comunicação por escrito com antecedência mínima de 90 (noventa) dias corridos, sem incidência de multa rescisória, desde que o aviso prévio seja integralmente cumprido. Caso a Parte resiliente deixe de cumprir, total ou parcialmente, o prazo de aviso prévio, deverá pagar à outra Parte o valor proporcional às mensalidades correspondentes ao período não cumprido, sem prejuízo dos valores já vencidos.

8.2. Constituem hipóteses de rescisão por justa causa, com efeito imediato e independentemente de aviso prévio, sem incidência de multa em desfavor da Parte inocente, permanecendo a Parte infratora responsável pelas obrigações vencidas, pelas penalidades expressamente previstas neste Contrato e por eventuais perdas e danos comprovadamente causados:

• Inadimplemento contratual não sanado no prazo de 15 (quinze) dias corridos após notificação;

• Violação de cláusulas de confidencialidade, propriedade intelectual ou proteção de dados;

• Fraude, dolo ou uso ilícito da plataforma;

• Recuperação judicial, falência, insolvência civil ou dissolução de qualquer das Partes, na forma da lei.

8.3. A rescisão do Contrato não prejudicará os direitos e obrigações vencidos até a data de encerramento, incluindo valores devidos, encargos moratórios e indenizações aplicáveis.

8.4. Após a rescisão, a CONTRATANTE deverá cessar imediatamente o uso da plataforma, e a CONTRATADA desativará os acessos conforme cronograma previamente comunicado.

8.5. Após a rescisão, os dados pessoais da CONTRATANTE serão tratados conforme política de retenção descrita na Política de Privacidade vigente e na cláusula 11 do Anexo I (DPA), observado o seguinte:

• Dados de aceite contratual, comprovantes fiscais e logs de auditoria são preservados pelo prazo de 5 (cinco) anos contados do término da vigência (CC art. 206 §5º I e CTN art. 173);

• Logs de exibição agregados em frio (DigitalOcean Spaces) são preservados por 12 (doze) meses;

• Demais dados pessoais não cobertos por obrigação legal de retenção são eliminados ou anonimizados em até 90 (noventa) dias após o término;

• A CONTRATANTE poderá solicitar cópia de seus dados pessoais nos termos da cláusula 11 do Anexo I, em formato e prazo a serem definidos caso a caso entre as Partes conforme volume e complexidade.

Cláusula Nona — Da Limitação de Responsabilidade

9.1. A responsabilidade civil agregada da CONTRATADA perante a CONTRATANTE, por todos e quaisquer danos diretos comprovados decorrentes da execução deste Contrato, fica limitada ao valor total efetivamente pago pela CONTRATANTE à CONTRATADA nos 12 (doze) meses imediatamente anteriores ao fato gerador da responsabilização.

9.2. Em nenhuma hipótese a CONTRATADA responderá por danos indiretos, lucros cessantes, perda de oportunidade, perda de receita, perda de imagem, danos consequenciais ou punitivos, ainda que previsíveis na data da contratação.

9.3. Os limites previstos nesta cláusula não se aplicam aos casos de: (i) dolo ou culpa grave da CONTRATADA comprovados judicialmente; (ii) violação dolosa de obrigação de confidencialidade; ou (iii) violação dolosa de obrigação relativa à proteção de dados pessoais nos termos da LGPD, ressalvadas as hipóteses do art. 43 da LGPD.

9.4. As Partes reconhecem expressamente que os valores praticados neste Contrato levam em consideração a alocação de riscos consubstanciada na presente cláusula, em linha com a autonomia das partes e a função social do contrato (CC art. 421-A).

Cláusula Décima — Da Indenização

10.1. Indenização pela CONTRATANTE. A CONTRATANTE indenizará e manterá indene a CONTRATADA contra quaisquer reclamações, perdas, danos e despesas (incluindo honorários advocatícios razoáveis) decorrentes de:

• Conteúdos veiculados na plataforma em desconformidade com a legislação aplicável, incluindo direitos autorais, direito de imagem, normas publicitárias setoriais ou do CONAR;

• Uso da plataforma em desconformidade com este Contrato ou com os Termos de Uso vigentes;

• Violação de direitos de terceiros pela CONTRATANTE ou por seus usuários autorizados;

• Reclamações relacionadas a campanhas, ofertas comerciais ou comunicações publicitárias da CONTRATANTE.

10.2. Indenização pela CONTRATADA. A CONTRATADA indenizará e manterá indene a CONTRATANTE contra reclamações de terceiros alegando que a plataforma ControLED viola direitos de propriedade intelectual exigíveis no Brasil, desde que a CONTRATANTE: (a) notifique a CONTRATADA por escrito em até 10 (dez) dias úteis do recebimento da reclamação; (b) permita à CONTRATADA conduzir a defesa ou negociar acordo; e (c) coopere razoavelmente com a defesa. Esta obrigação está sujeita ao limite da cláusula 9.1.

10.3. Exclusões. A obrigação de indenização da CONTRATADA não se aplica quando a alegação decorrer de: (i) uso da plataforma fora do escopo contratado; (ii) modificações da plataforma não autorizadas pela CONTRATADA; (iii) combinação da plataforma com produtos de terceiros não fornecidos pela CONTRATADA; (iv) conteúdo enviado pela CONTRATANTE.

Cláusula Décima Primeira — Do Anexo I (DPA)

11.1. As Partes reconhecem o Anexo I deste Contrato — Acordo de Tratamento de Dados Pessoais (DPA) — como instrumento integrante e indissociável do presente Contrato, regulando o tratamento de dados pessoais nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018) e das Resoluções aplicáveis da Autoridade Nacional de Proteção de Dados (ANPD).

11.2. O aceite digital deste Contrato produz pleno e idêntico efeito de aceite do Anexo I, dispensando aceite digital separado.

11.3. Em caso de conflito entre disposições do corpo principal deste Contrato e do Anexo I em matéria de proteção de dados pessoais, prevalecerão as disposições do Anexo I.

Cláusula Décima Segunda — Das Comunicações

12.1. Todas as comunicações entre as Partes relacionadas a este Contrato deverão ser realizadas por escrito, admitindo-se meios eletrônicos com comprovação de recebimento, incluindo notificações automáticas pelo sistema ControLED registradas no painel da CONTRATANTE.

12.2. Para fins de comunicação oficial, a CONTRATADA indica os seguintes contatos:

• Assuntos jurídicos: legal@controled.com.br

• Suporte técnico: suporte@controled.com.br

• Privacidade e proteção de dados (DPO): dpo@controled.com.br

• Solicitações LGPD: privacidade@controled.com.br

• Financeiro: financeiro@controled.com.br

12.3. A CONTRATANTE deverá manter atualizados, em seu cadastro na plataforma ControLED, os contatos oficiais para fins deste Contrato.

Cláusula Décima Terceira — Das Disposições Gerais

13.1. A eventual tolerância de qualquer das Partes quanto ao descumprimento de obrigação contratual não importará em novação, renúncia ou alteração das disposições deste Contrato.

13.2. Se qualquer disposição deste Contrato for considerada nula, inválida ou inexequível, as demais cláusulas permanecerão válidas e plenamente eficazes.

13.3. Este Contrato substitui e cancela quaisquer acordos, negociações, tratativas ou ajustes anteriores, verbais ou escritos, relativos ao mesmo objeto.

13.4. Qualquer aditamento, alteração ou modificação deste Contrato somente será válido se formalizado por escrito e assinado por ambas as Partes, admitindo-se nova versão publicada e digitalmente aceita por meio da própria plataforma ControLED.

Cláusula Décima Quarta — Do Foro

14.1. Fica eleito o foro da Comarca de Porto Belo, Estado de Santa Catarina, com renúncia expressa a qualquer outro, por mais privilegiado que seja, para dirimir quaisquer controvérsias oriundas do presente Contrato.

Cláusula Décima Quinta — Do Aceite Digital

15.1. As Partes reconhecem expressamente a validade jurídica do aceite digital deste Contrato, realizado pelo representante legal da CONTRATANTE devidamente cadastrado e autenticado na plataforma ControLED, nos termos da Lei nº 14.063/2020 e da Medida Provisória nº 2.200-2/2001.

15.2. O aceite digital produz todos os efeitos legais e contratuais previstos no presente instrumento, sendo dispensada a assinatura física em meio papel.

15.3. O aceite digital deste Contrato, na forma da cláusula 7.5, importa em aceite simultâneo e indissociável do Anexo I (DPA).

Aceite registrado eletronicamente com identificação do usuário, endereço IP, navegador, timestamp, snapshot das variáveis aplicadas e declaração expressa de poderes de representação, conforme Política de Privacidade vigente. Hash SHA-256 deste documento garante integridade do conteúdo aceito.

Anexo I — Acordo de Tratamento de Dados Pessoais (DPA)

Parte integrante e indissociável do Contrato de Prestação de Serviços de Software como Serviço (SaaS) — Plataforma ControLED v1.2.0.

1. Definições. Para fins deste Anexo I:

• "Controlador" significa a CONTRATANTE, a quem competem as decisões sobre o tratamento dos dados pessoais;

• "Operador" significa a CONTRATADA, que realiza o tratamento em nome do Controlador;

• "Suboperador" significa terceiro contratado pelo Operador para realizar parte do tratamento;

• "LGPD" significa a Lei nº 13.709/2018 e suas alterações posteriores;

• "ANPD" significa a Autoridade Nacional de Proteção de Dados;

• "Incidente de Segurança" tem o significado do art. 2º, X, da Resolução CD/ANPD nº 15/2024;

• Demais termos não definidos têm o significado atribuído pela LGPD (art. 5º).

2. Papéis. A CONTRATANTE é Controladora dos dados pessoais tratados na plataforma ControLED. A CONTRATADA atua como Operadora, tratando os dados exclusivamente conforme instruções documentadas neste Contrato e seus anexos. A CONTRATADA não utilizará os dados para finalidades próprias além das estritamente necessárias à prestação dos serviços.

3. Categorias de dados pessoais tratados. No âmbito deste Contrato, são tratadas as seguintes categorias:

• Dados de cadastro da Controladora: nome, e-mail, CNPJ, razão social, nome fantasia, endereço comercial;

• Dados de usuários autorizados: nome, e-mail, telefone (opcional), número WhatsApp (opt-in), endereço IP, User-Agent, timestamps de autenticação e ações relevantes;

• Dados de operação: arquivos de mídia uploadados com metadados (hash SHA-256, dimensões, duração), configurações de telas e sequências, logs de exibição (identificadores de tela, cliente e mídia, timestamps);

• Dados de cobrança: e-mail do pagador no Mercado Pago, identificador de preapproval, registros de pagamento;

• Dados de aceite contratual: identificador do usuário, IP, User-Agent, timestamp, hash SHA-256 do conteúdo aceito, snapshot das variáveis e declaração de mandato.

A CONTRATADA não trata dados pessoais sensíveis (LGPD art. 5º, II) no curso normal da prestação dos serviços. Caso a CONTRATANTE faça upload de conteúdos contendo dados sensíveis (ex: imagens identificáveis de menores, dados de saúde em campanhas), a CONTRATANTE é exclusivamente responsável pela conformidade legal de tal tratamento.

4. Finalidades e bases legais. O tratamento é realizado exclusivamente para:

• Execução do Contrato (LGPD art. 7º, V): prestação dos serviços contratados, autenticação, controle de acesso, cobrança, comunicação operacional;

• Cumprimento de obrigação legal (LGPD art. 7º, II): emissão de notas fiscais, retenção fiscal, atendimento a requisições de autoridades competentes;

• Legítimo interesse (LGPD art. 7º, IX): segurança da informação, prevenção de fraudes, melhoria do serviço com dados agregados e anonimizados;

• Consentimento específico (LGPD art. 7º, I): notificações WhatsApp via Chatwoot, mediante opt-in explícito.

É vedado à CONTRATADA utilizar os dados pessoais da CONTRATANTE para treinamento de modelos de inteligência artificial, perfilamento comercial ou marketing direto a terceiros, salvo consentimento específico e em destaque.

5. Suboperadores autorizados. A CONTRATANTE autoriza a CONTRATADA a contratar os seguintes suboperadores, listados publicamente em https://controled.com.br/legal/subprocessadores:

• Supabase Inc. (sede EUA com infraestrutura principal em sa-east-1/Brasil) — banco Postgres, autenticação, storage, edge functions, vault de segredos;

• DigitalOcean LLC (EUA) — hospedagem da aplicação web e arquivamento em frio de logs em DigitalOcean Spaces;

• Mercado Libre Brasil (Mercado Pago) (Brasil) — processamento de cobrança recorrente (preapproval) e recebimento de pagamentos;

• Resend Inc. (EUA) — envio de e-mail transacional;

• Chatwoot — envio de notificações WhatsApp (mediante opt-in);

• Upstash Inc. (EUA) — rate limiting de endpoints de API (apenas tokens efêmeros, sem PII).

A CONTRATADA garantirá que cada suboperador esteja vinculado contratualmente a obrigações de proteção de dados não inferiores às deste Anexo I. Alterações materiais na lista de suboperadores (inclusão ou substituição) serão comunicadas à CONTRATANTE com antecedência mínima de 30 (trinta) dias via e-mail e publicação na URL acima, conferindo à CONTRATANTE direito de oposição fundamentado dentro do prazo. A ausência de oposição equivale a aceitação tácita.

6. Transferência internacional de dados. Determinados suboperadores realizam tratamento fora do território brasileiro. Em conformidade com o art. 33 da LGPD e com a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, a adequação dessas transferências internacionais é assegurada por:

• Cláusulas-Padrão Contratuais (CPCs) aprovadas pela ANPD no Anexo II da Resolução nº 19/2024, integradas aos contratos com cada suboperador internacional; ou

• Cláusulas contratuais específicas equivalentes, conforme avaliação documentada e auditável da CONTRATADA, quando aplicável.

Cópias dos instrumentos contratuais e respectivas garantias estão disponíveis à CONTRATANTE mediante requisição motivada ao DPO (dpo@controled.com.br), preservados sigilos comerciais.

7. Notificação de incidentes de segurança. A CONTRATADA notificará a CONTRATANTE em até 48 (quarenta e oito) horas a partir do conhecimento de incidente de segurança que afete dados pessoais sob seu tratamento, fornecendo as informações exigidas pelo art. 5º da Resolução CD/ANPD nº 15/2024 para subsidiar a notificação da CONTRATANTE à ANPD e aos titulares no prazo de 3 (três) dias úteis previsto naquela Resolução. A notificação preliminar poderá ser complementada com informações adicionais à medida que a investigação avance.

8. Direitos do titular. A CONTRATADA cooperará com a CONTRATANTE no atendimento de solicitações de titulares relativas aos direitos previstos no art. 18 da LGPD, fornecendo as informações e meios técnicos necessários em até 10 (dez) dias úteis do recebimento da solicitação por escrito, sem custo adicional dentro de volumes razoáveis e desde que a solicitação refira-se a tratamento efetivamente realizado pela CONTRATADA.

9. Medidas técnicas e administrativas de segurança. A CONTRATADA adota e mantém as seguintes medidas, sem prejuízo de outras igualmente proporcionais ao risco:

• Criptografia em trânsito (TLS 1.2 ou superior) em todas as conexões;

• Senhas armazenadas como hash bcrypt (sem texto claro);

• Autenticação multifator (MFA TOTP) disponível para todos os usuários;

• Controle de acesso baseado em funções (RBAC) e Row Level Security (RLS) em todas as tabelas de negócio;

• Vault Supabase para armazenamento criptografado de segredos de integração;

• HMAC para validação de webhooks externos;

• Logs de auditoria para rastreamento de ações administrativas e operacionais;

• Isolamento de dados por organização (multi-tenant);

• Cold archive de logs antigos em DigitalOcean Spaces com criptografia em repouso (SSE);

• Rate limiting e detecção de padrões suspeitos em endpoints públicos;

• Backups gerenciados Supabase (Point-in-Time Recovery).

10. Direito de auditoria. A CONTRATANTE poderá auditar o cumprimento deste Anexo I uma vez por ano, mediante aviso prévio de 30 (trinta) dias, em horário comercial, sem prejuízo das operações da CONTRATADA. A auditoria poderá ser realizada por terceiro independente acordado entre as Partes, sujeito a obrigações de confidencialidade. Como alternativa à auditoria presencial, a CONTRATADA poderá disponibilizar relatório de conformidade resumido (formato SOC ou equivalente) anualmente. Custos da auditoria correm por conta da CONTRATANTE, salvo se constatada falha material atribuível à CONTRATADA.

11. Devolução e eliminação de dados. Mediante solicitação por escrito da CONTRATANTE recebida durante a vigência do Contrato ou em até 30 (trinta) dias contados do seu término, a CONTRATADA disponibilizará à CONTRATANTE cópia dos dados pessoais sob seu tratamento, em formato e prazo a serem definidos caso a caso entre as Partes conforme volume e complexidade. Dados não cobertos por obrigação legal de retenção serão eliminados ou anonimizados conforme os prazos descritos na Política de Privacidade vigente. Dados cobertos por obrigação legal (fiscais, contratuais, aceites, logs de auditoria) permanecerão arquivados pelos prazos legais aplicáveis (CC art. 206 §5º I e CTN art. 173).

12. Confidencialidade dos colaboradores. A CONTRATADA garante que seus colaboradores, prepostos, prestadores de serviço e terceiros com acesso a dados pessoais sob seu tratamento estão sujeitos a obrigação contratual de confidencialidade equivalente à deste Anexo I, mantida mesmo após o término do respectivo vínculo.

13. Sobrevivência. As obrigações de confidencialidade, de preservação de registros de incidentes históricos e de eliminação de dados sobrevivem ao término deste Contrato pelos prazos da Política de Privacidade vigente e, em especial, do art. 16 da LGPD e dos arts. 206 §5º I do Código Civil e 173 do Código Tributário Nacional.

Fim do Anexo I.