DPA — Adendo de Tratamento de Dados Pessoais

1. Definições e Documentos Aplicáveis

Este Adendo de Tratamento de Dados Pessoais ("DPA") integra e complementa os Termos de Uso e a Política de Privacidade da plataforma de mensageria SMS/RCS operada por RCS Inc., inscrita no CNPJ sob o nº CNPJ a ser informado, com sede em endereço a ser informado ("RCS Inc." ou "Operadora"), e passa a reger a relação entre a RCS Inc. e o cliente contratante ("Cliente" ou "Controlador") sempre que houver tratamento de dados pessoais no âmbito da prestação dos serviços.

Os termos "dado pessoal", "titular", "tratamento", "controlador", "operador", "encarregado", "transferência internacional", "eliminação", "anonimização" e "incidente de segurança" têm o significado que lhes atribui a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD"). Aplicam-se ainda, no que couber, o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

Em caso de conflito entre este DPA e os Termos de Uso especificamente quanto à proteção de dados pessoais, prevalecerá este DPA. Nos demais assuntos, prevalecem os Termos de Uso.

2. Objeto e Papéis das Partes (arts. 5º, VI, VII e 39 da LGPD)

Este DPA regula o tratamento de dados pessoais realizado pela RCS Inc. por conta e sob as instruções do Cliente, no contexto do envio de mensagens SMS/RCS e serviços correlatos disponibilizados pela plataforma.

As Partes reconhecem e concordam com a seguinte distribuição de papéis, já definida contratualmente:

• Contatos e mensagens do Cliente: o CLIENTE é o CONTROLADOR e a RCS Inc. é a OPERADORA. O Cliente decide as finalidades e os meios essenciais do tratamento, é o responsável exclusivo pela base de contatos que carrega ou dispara e pela existência de base legal válida para o envio (art. 7º da LGPD), inclusive pelo consentimento ou por outra hipótese legal aplicável.
• Dados de conta e cadastro do Cliente: a RCS Inc. atua como CONTROLADORA dos dados necessários à criação e gestão da conta, faturamento (créditos pré-pagos), prevenção a fraudes, segurança e cumprimento de obrigações legais e regulatórias próprias. O tratamento desses dados é regido pela Política de Privacidade da RCS Inc., e não por este DPA.
• A RCS Inc. não determina as finalidades do envio das mensagens do Cliente, não valida o mérito da comunicação e não constitui, por si, a base legal do disparo, cuja responsabilidade é integralmente do Cliente na qualidade de Controlador.

3. Escopo, Natureza, Finalidade e Duração do Tratamento

A RCS Inc., como Operadora, tratará dados pessoais dos titulares do Cliente estritamente para viabilizar o processamento, o roteamento e a entrega das mensagens SMS/RCS solicitadas pelo Cliente por meio da plataforma, bem como para gerar relatórios de status de entrega, honrar solicitações de descadastro (opt-out) e garantir a segurança e a operação do serviço.

A natureza do tratamento compreende operações de coleta (recepção dos dados enviados pelo Cliente), armazenamento temporário, uso, transmissão a subprocessadores de entrega, registro de logs técnicos e eliminação, conforme as instruções documentadas do Cliente e este DPA.

A duração do tratamento coincide com a vigência da prestação dos serviços ao Cliente, ressalvados os prazos de guarda exigidos por lei (por exemplo, a guarda de registros de conexão e de acesso a aplicações prevista no Marco Civil da Internet) e os prazos necessários ao exercício regular de direitos.

4. Categorias de Dados e de Titulares

No âmbito deste DPA, e na medida em que o Cliente os fornece à plataforma, são tratadas as seguintes categorias, definidas e controladas pelo Cliente:

• Categorias de dados: números de telefone (MSISDN) dos destinatários; conteúdo das mensagens definido pelo Cliente; nome ou identificadores incluídos pelo Cliente na mensagem ou nos campos de personalização; metadados técnicos de envio e entrega (data, hora, status, operadora, código de erro); registros de opt-out (descadastro).
• Categorias de titulares: destinatários das comunicações do Cliente, tais como clientes, leads, usuários ou contatos que compõem a base do Cliente.
• O Cliente compromete-se a NÃO inserir nas mensagens ou nos campos da plataforma dados pessoais sensíveis (art. 5º, II, da LGPD) nem dados de crianças e adolescentes em desacordo com o art. 14 da LGPD, salvo se dispuser de base legal específica e assumir integral responsabilidade por esse tratamento, hipótese em que arcará com as salvaguardas adicionais exigidas.

5. Obrigações da Operadora (arts. 39, 46, 47, 48 e 50 da LGPD)

A RCS Inc., na qualidade de Operadora, obriga-se a tratar os dados pessoais exclusivamente conforme as instruções documentadas do Cliente. Considera-se instrução documentada a configuração do serviço, o uso da plataforma e das APIs, os Termos de Uso e este DPA. Caso receba instrução que entenda violar a LGPD ou demais normas de proteção de dados, a Operadora comunicará o fato ao Cliente.

• Confidencialidade: garantir que toda pessoa autorizada a tratar os dados esteja sujeita a obrigação de sigilo, contratual ou legal, e trate os dados somente na extensão necessária às suas funções.
• Segurança (art. 46): adotar medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo, conforme aplicável, criptografia em trânsito, controle de acesso, segregação de ambientes, registro de logs e políticas internas de segurança da informação.
• Apoio ao Controlador nos direitos do titular: auxiliar o Cliente, na medida do tecnicamente possível, a atender às requisições dos titulares (arts. 18 e 19), repassando-lhe sem demora eventual solicitação recebida diretamente do titular, uma vez que a resposta cabe ao Cliente como Controlador.
• Apoio à ANPD e à conformidade: cooperar com o Cliente no cumprimento de obrigações perante a Autoridade Nacional de Proteção de Dados (ANPD), inclusive no fornecimento de informações necessárias a relatórios de impacto (art. 38) e a respostas a requisições da autoridade.
• Notificação de incidente: comunicar ao Cliente, sem demora injustificada após tomar conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, prestando as informações disponíveis para que o Cliente, como Controlador, avalie e cumpra o dever de comunicação à ANPD e aos titulares (art. 48). A responsabilidade pela comunicação externa é do Controlador.
• Registro das operações: manter registro das operações de tratamento que realizar como Operadora (art. 37).

6. Subprocessadores (Suboperadores) e Autorização Geral

O Cliente concede à RCS Inc. AUTORIZAÇÃO GERAL PRÉVIA para contratar suboperadores (subprocessadores) necessários à prestação dos serviços, desde que a RCS Inc. imponha a eles obrigações de proteção de dados equivalentes às deste DPA e permaneça responsável perante o Cliente pelos atos de seus suboperadores.

Na data deste DPA, os subprocessadores são:

• Anthropic — recursos de inteligência artificial (Studio/IA) — Estados Unidos.
• Railway — hospedagem e infraestrutura da aplicação — Estados Unidos.
• Asaas — processamento de pagamentos e Pix — Brasil.
• RCS Brazil — entrega/roteamento das mensagens às operadoras — Brasil.
• Resend — envio de e-mail transacional — Estados Unidos.
• A RCS Inc. informará o Cliente sobre a inclusão ou substituição de subprocessadores mediante aviso prévio razoável (por e-mail ou na plataforma). O Cliente poderá opor-se por motivo justificado e fundado em proteção de dados; não havendo solução, o Cliente poderá encerrar o uso dos serviços afetados, observado o modelo pré-pago (sem multa e sem fidelidade).

7. Transferência Internacional de Dados (arts. 33 a 36 da LGPD)

A prestação dos serviços pode envolver transferência internacional de dados pessoais para subprocessadores situados no exterior, notadamente Anthropic, Railway e Resend (Estados Unidos).

Tais transferências fundamentam-se no art. 33 da LGPD, em especial na necessidade de execução do contrato e no compromisso de adoção de cláusulas contratuais e garantias adequadas de proteção de dados junto aos referidos subprocessadores, observadas as normas e orientações que venham a ser editadas pela ANPD.

A RCS Inc. compromete-se a manter, com os subprocessadores localizados no exterior, instrumentos contratuais que assegurem nível de proteção compatível com o exigido pela LGPD.

8. Responsabilidades do Cliente (Controlador)

O Cliente, na qualidade de Controlador, é o único responsável pela licitude da coleta e do uso da sua base de contatos e por dispor de base legal válida para cada envio, nos termos do art. 7º da LGPD.

• Garantir consentimento válido ou outra hipótese legal aplicável para as comunicações, mantendo a respectiva prova.
• Respeitar as regras anti-spam e as boas práticas de mensageria; a plataforma honra automaticamente as solicitações de descadastro (opt-out) por palavras como "SAIR" ou "STOP", devendo o Cliente também suspender os envios ao titular que se descadastrar.
• Não utilizar a plataforma para finalidades ilícitas, enganosas, fraudulentas ou que violem direitos de terceiros.
• Fornecer informações verídicas de cadastro e manter atualizados os dados de contato do seu encarregado, quando aplicável.
• Responder, perante os titulares e a ANPD, pelas suas decisões de tratamento, mantendo a RCS Inc. indene por reclamações decorrentes exclusivamente do uso indevido da plataforma pelo Cliente.

9. Devolução e Eliminação dos Dados ao Fim do Tratamento (art. 15 e 16 da LGPD)

Encerrada a prestação dos serviços, a RCS Inc. deixará de tratar os dados pessoais do Cliente como Operadora e, conforme instrução do Cliente e mediante viabilidade técnica, procederá à devolução ou à eliminação dos dados pessoais tratados por sua conta.

Poderão ser retidos os dados estritamente necessários ao cumprimento de obrigação legal ou regulatória, ao exercício regular de direitos, à prevenção a fraudes ou à guarda de registros exigida por lei (art. 16 da LGPD e Marco Civil da Internet), pelo prazo legal correspondente, após o que serão eliminados ou anonimizados.

Dados retidos permanecerão protegidos pelas obrigações de segurança e confidencialidade deste DPA enquanto durar a guarda.

10. Auditoria e Prestação de Contas (art. 6º, X, da LGPD)

A RCS Inc. disponibilizará ao Cliente, mediante solicitação razoável e por escrito, as informações necessárias para demonstrar o cumprimento das obrigações deste DPA, tais como descrição das medidas de segurança adotadas e relatórios de conformidade que possua.

Eventual auditoria adicional observará: aviso prévio razoável; frequência não superior a uma vez ao ano, salvo determinação de autoridade ou incidente relevante; horário comercial; obrigação de sigilo do auditor; e não comprometimento da segurança de dados de outros clientes ou da confidencialidade da Operadora. Os custos de auditorias solicitadas pelo Cliente correrão por conta deste, salvo se apurada infração relevante imputável à RCS Inc.

11. Responsabilidade (arts. 42 a 45 da LGPD; art. 51 do CDC)

Cada Parte responde pelos danos decorrentes do descumprimento das obrigações que lhe cabem neste DPA, na proporção da sua contribuição para o evento danoso, observados os arts. 42 e 43 da LGPD.

Entre empresas (relação B2B), aplicam-se os limites de responsabilidade previstos nos Termos de Uso, inclusive o modelo de serviço em regime de MELHOR ESFORÇO, sem garantia de disponibilidade (uptime) e sem multa por indisponibilidade, dado que a entrega final das mensagens depende de operadoras e provedores terceiros fora do controle da RCS Inc.

Nenhuma cláusula deste DPA ou dos Termos de Uso afasta ou reduz a responsabilidade por dolo ou culpa grave, nem exclui ou limita de forma abusiva a responsabilidade perante consumidores, sendo nula qualquer estipulação em contrário nos termos do art. 51 do CDC. As limitações de responsabilidade têm eficácia restrita às relações entre empresas.

12. Encarregado, Contato e Aceite Eletrônico

O encarregado pelo tratamento de dados pessoais (DPO) da RCS Inc. é o Encarregado de Proteção de Dados, que pode ser contatado pelo e-mail privacidade@rcsinc.com.br. Para assuntos gerais e comerciais, o contato é contato@rcsinc.com.br.

Este DPA é parte integrante e inseparável dos Termos de Uso e é ACEITO ELETRONICAMENTE pelo Cliente no momento da contratação ou do uso da plataforma, produzindo os mesmos efeitos de instrumento assinado, nos termos da legislação brasileira. Ao aceitar os Termos de Uso e/ou utilizar os serviços, o Cliente declara ter lido, compreendido e concordado com este DPA.

Fica eleito o foro da Comarca de Sorocaba/SP para dirimir questões oriundas deste DPA, com renúncia a qualquer outro, por mais privilegiado que seja, aplicando-se a legislação brasileira.