ACORDO DE TRATAMENTO DE DADOS PESSOAIS (DPA) — SGI PRO

Versão dos Termos: 2026-09-04.1

Versão 2.0 — SaaS · Vigente a partir de 16 de agosto de 2026

Papel das partes

O SGI PRO é um serviço em nuvem. Os dados que o CONTROLADOR insere são armazenados e processados em infraestrutura sob responsabilidade da TECHBUILD, e não na máquina do usuário. Portanto:

• CONTROLADOR: o CLIENTE (a organização que contrata o SGI PRO) — e/ou o cliente final dele, quando o assinante é consultor prestando serviço a terceiros. É o CONTROLADOR quem decide quais dados pessoais inserir, para quê, e por quanto tempo.
• OPERADOR: TECHBUILD SOLUTIONS DESENVOLVIMENTO LTDA, CNPJ 58.215.979/0001-03, com sede na Avenida Paulista, nº 1636, Conjunto 5, Pavimento 11, Edifício Paulista Corporate, Bela Vista, São Paulo/SP, CEP 01310-200, que trata os dados exclusivamente conforme as instruções documentadas do CONTROLADOR, materializadas neste DPA e nas funcionalidades do serviço.

A TECHBUILD TEM ACESSO TÉCNICO AOS DADOS. Isso é declarado de forma expressa porque o serviço hospeda o banco de dados do CONTROLADOR: afirmar o contrário seria falso. O acesso não é discricionário — ocorre nas hipóteses da cláusula 3.4, é registrado em trilha e o CONTROLADOR pode pedir o extrato dos acessos ao seu ambiente.

O acesso da TECHBUILD é restrito, registrado e finalístico — ver cláusula 3.4.

1. Objeto

1.1. Este DPA disciplina o tratamento de dados pessoais realizado pela TECHBUILD, na qualidade de OPERADORA, por conta e ordem do CONTROLADOR, no âmbito da prestação do serviço SGI PRO, em conformidade com a Lei nº 13.709/2018 (LGPD).

1.2. Este DPA integra e complementa o Contrato de Licença de Uso (EULA). Em caso de conflito sobre matéria de proteção de dados, prevalece este DPA.

1.3. O tratamento ocorre em ambiente de nuvem sob gestão da TECHBUILD, com os dados armazenados em território brasileiro (ver cláusula 7).

2. Natureza, finalidade e dados tratados

2.1. Finalidade. Viabilizar a operação do sistema de gestão do CONTROLADOR — segurança da informação, privacidade, qualidade, ambiental, continuidade e demais disciplinas suportadas — incluindo armazenamento, organização, consulta, geração de relatórios e exportação.

2.2. Duração. Enquanto vigente o contrato, mais o prazo de retenção da cláusula 6.

2.3. Categorias de titulares. Colaboradores, prepostos, prestadores, clientes e demais pessoas cujos dados o CONTROLADOR opte por inserir.

2.4. Categorias de dados. Dados de identificação e contato profissional (nome, cargo, e-mail, telefone), dados de vínculo funcional, registros de treinamento e competência, registros de acesso e auditoria, e quaisquer outros que o CONTROLADOR insira.

2.4.1. Dados sensíveis — fora do escopo do serviço. O SGI PRO não se destina ao tratamento de dados pessoais sensíveis (art. 5º, II da LGPD), tais como dados de saúde, biométricos, genéticos, de origem racial ou étnica, convicção religiosa, opinião política ou filiação sindical.

2.4.2. O CONTROLADOR compromete-se a não inserir dados sensíveis no serviço. Caso o faça, assume integralmente a responsabilidade pela base legal, pelas medidas adicionais exigidas e pelas consequências, permanecendo a TECHBUILD como OPERADORA nos limites deste DPA.

2.5. A TECHBUILD não trata os dados para finalidade própria, não os comercializa, não os usa para publicidade e não os utiliza para treinar modelos de IA — ver cláusula 4.3.

3. Obrigações da OPERADORA (TECHBUILD)

3.1. Tratar os dados somente conforme instruções documentadas do CONTROLADOR, salvo obrigação legal — hipótese em que informará o CONTROLADOR previamente, exceto se a lei vedar a comunicação, caso em que registrará o fundamento da vedação.

3.2. Garantir que o pessoal autorizado esteja sujeito a dever de confidencialidade.

3.3. Adotar as medidas técnicas e administrativas da cláusula 5.

3.4. Acesso técnico restrito. O acesso de pessoal da TECHBUILD a dados do CONTROLADOR ocorre apenas: (i) para suporte solicitado pelo CONTROLADOR; (ii) para investigação de incidente; ou (iii) por obrigação legal. Todo acesso é registrado em trilha de auditoria e o CONTROLADOR pode solicitar o extrato dos acessos ao seu ambiente.

3.5. Auxiliar o CONTROLADOR no atendimento a solicitações de titulares (art. 18) e a requisições da ANPD, disponibilizando os recursos do produto para exportar, corrigir e eliminar dados. A TECHBUILD não responde diretamente ao titular do CONTROLADOR — quem responde é o CONTROLADOR.

3.6. Manter registro das operações de tratamento que executa por conta do CONTROLADOR.

4. Subcontratação (suboperadores)

4.1. O CONTROLADOR autoriza previamente a TECHBUILD a subcontratar os suboperadores listados em 4.2, e a substituí-los mediante aviso prévio de 30 (trinta) dias, período em que o CONTROLADOR poderá objetar fundamentadamente e, não havendo solução, rescindir sem ônus.

4.2. Suboperadores atuais:

4.3. Recursos de inteligência artificial — desativados por padrão (opt-in). Os recursos de IA do SGI PRO não são ativados automaticamente. A ativação depende de ação afirmativa do CONTROLADOR no ambiente dele, precedida de aviso de que o conteúdo submetido será processado por suboperador situado no exterior. Enquanto não ativados, nenhum dado do CONTROLADOR é enviado ao suboperador de IA.

4.4. A TECHBUILD não autoriza qualquer suboperador a usar os dados do CONTROLADOR para finalidade própria, incluindo treinamento de modelos de inteligência artificial.

4.5. A TECHBUILD responde perante o CONTROLADOR pelos atos dos suboperadores.

5. Segurança e incidentes

5.1. Medidas técnicas atualmente implementadas: isolamento dos dados por CONTROLADOR aplicado no próprio armazenamento, de modo que uma falha isolada da aplicação não é suficiente para atravessá-lo; cifragem dos dados pessoais em repouso, com material criptográfico separado por CONTROLADOR; cifragem de todo o tráfego; verificação em duas etapas disponível para as contas; trilha de auditoria à prova de adulteração, em que remover ou alterar um registro é detectável; verificação antivírus dos arquivos enviados; e rotina de cópia de segurança automatizada, com verificação de integridade do arquivo gerado e teste de restauração.

5.1.1. A descrição detalhada dos controles — mecanismos, algoritmos e topologia — integra o pacote técnico fornecido sob acordo de confidencialidade, e não é publicada, para não facilitar o trabalho de quem tenta contorná-los.

5.2. Notificação de incidente. A TECHBUILD comunicará o CONTROLADOR em até 48 (quarenta e oito) horas do conhecimento de incidente de segurança que possa acarretar risco ou dano relevante, com as informações do art. 48, §1º da LGPD disponíveis no momento, complementadas conforme apuradas.

O prazo de 48 horas é promessa contratual do OPERADOR ao CONTROLADOR e não se confunde com o prazo de comunicação à ANPD, que é dever do CONTROLADOR e observa a regulamentação da autoridade. O prazo aqui corre do conhecimento do incidente pelo OPERADOR, e a comunicação inicial é feita com as informações disponíveis naquele momento, complementadas conforme apuradas — não se aguarda a apuração completa para comunicar.

5.3. A comunicação do incidente à ANPD e aos titulares é dever do CONTROLADOR, com o apoio informacional da TECHBUILD.

6. Término, devolução e eliminação

6.1. Encerrado o contrato, o CONTROLADOR poderá exportar seus dados pelos recursos do produto durante 30 (trinta) dias.

6.2. Findo esse prazo, a TECHBUILD eliminará os dados pessoais do CONTROLADOR em até 30 (trinta) dias, salvo obrigação legal de retenção — hipótese em que informará qual.

6.3. Backups. A política de backup da TECHBUILD retém os 8 (oito) conjuntos completos mais recentes, por rotação. Os dados do CONTROLADOR permanecem nos conjuntos ainda retidos até que a rotação os substitua — cifrados e sem uso para qualquer finalidade.

6.4. Destruição da chave (crypto-shredding). A eliminação prevista em 6.2 inclui o descarte definitivo da chave criptográfica associada aos dados do CONTROLADOR. No ambiente em operação, a destruição da chave torna os dados cifrados irrecuperáveis de imediato.

6.5. Alcance sobre os backups, declarado. Os conjuntos de backup já tomados antes da destruição da chave podem conter o material criptográfico correspondente àquele período. Esses conjuntos não são utilizados para finalidade alguma e são substituídos pela rotação prevista em 6.3 — os 8 (oito) conjuntos completos mais recentes. Concluída essa rotação, não resta cópia da chave, e a irrecuperabilidade passa a valer também sobre o histórico de backup. A TECHBUILD declara este intervalo em vez de afirmar efeito imediato sobre o histórico, por ser o que a arquitetura atual sustenta.

7. Transferência internacional

7.1. Os dados do CONTROLADOR são armazenados e processados em território brasileiro, em infraestrutura contratada pela TECHBUILD.

7.2. Não há transferência internacional para o armazenamento principal.

7.3. Há duas transferências internacionais, ambas acessórias e declaradas:

7.4. As transferências acima têm fundamento no art. 33, IX da LGPD — necessárias à execução do contrato de que o titular é parte ou de procedimentos preliminares a ele —, amparadas pelos compromissos contratuais firmados com cada suboperador.

7.5. O CONTROLADOR que não desejar a transferência decorrente dos recursos de IA simplesmente não os ativa; o serviço permanece integralmente funcional sem eles.

8. Encarregado (DPO)

8.1. Encarregado pelo Tratamento de Dados Pessoais da TECHBUILD: Gustavo Henrique da Silva — contato: dpo@sgicore.com.br

8.2. O CONTROLADOR indicará seu próprio encarregado no ambiente do produto.

9. Responsabilidade

9.1. Cada parte responde por suas próprias obrigações nos termos da LGPD.

9.2. Limitação de responsabilidade. Ressalvado o disposto em 9.3, a responsabilidade total da TECHBUILD perante o CONTROLADOR, por qualquer causa relacionada a este DPA, fica limitada ao valor efetivamente pago pelo CONTROLADOR nos 12 (doze) meses anteriores ao evento que lhe deu origem.

9.3. A limitação de 9.2 não se aplica a dolo, fraude, ou violação deliberada do dever de confidencialidade — e não afasta a responsabilidade perante o TITULAR dos dados, que é regida pelos arts. 42 a 45 da LGPD e independe do que as partes convencionem entre si.

10. Disposições gerais

10.1. Auditoria. O CONTROLADOR poderá solicitar informações para demonstrar conformidade, e a TECHBUILD as fornecerá em até 15 (quinze) dias. Auditoria presencial não está prevista nesta fase; a demonstração de conformidade é feita por meio da documentação, dos relatórios do próprio serviço e das certificações e relatórios dos subprocessadores de infraestrutura.

10.2. Alterações. Alterações materiais serão comunicadas com 30 (trinta) dias de antecedência.

10.3. Foro. Comarca de São Paulo, Estado de São Paulo, sede da OPERADORA, com renúncia a qualquer outro.