Proteção de Dados

OMNIAI ENTERPRISE DATA PROCESSING ADDENDUM (DPA) – VERSÃO 1.0

Data de Vigência: 15 de Abril de 2026

Escopo de Conformidade: Global (LGPD - Brasil e GDPR - União Europeia)

Este Adendo de Processamento de Dados ("DPA" ou "Adendo") é parte integrante e inseparável do OmniAI Enterprise Master Service Agreement ("MSA") celebrado entre a Omni Inbox.AI ("Operador" ou "Processor") e o Cliente ("Controlador" ou "Controller"). O objetivo deste documento é estabelecer de forma rigorosa as obrigações, diretrizes técnicas e responsabilidades legais de ambas as Partes referentes ao tratamento de Dados Pessoais, assegurando a plena conformidade com as Leis de Proteção de Dados Aplicáveis.

1. DEFINIÇÕES TÉCNICAS E JURÍDICAS

Para os fins deste DPA, aplicam-se as seguintes definições, complementando e aprofundando as do MSA:

"Leis de Proteção de Dados Aplicáveis": Refere-se a toda legislação, regulamento e norma de privacidade e proteção de dados aplicável ao tratamento de Dados Pessoais sob o Contrato. Inclui, de forma não exaustiva, a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) do Brasil e o Regulamento Geral sobre a Proteção de Dados (GDPR - Regulamento UE 2016/679).
"Dados Pessoais Sensíveis": Dados que revelem origem racial ou étnica, convicções religiosas ou políticas, filiação sindical, dados referentes à saúde ou vida sexual, ou dados genéticos/biométricos, cujo processamento exige salvaguardas adicionais.
"Incidente de Segurança": Qualquer violação confirmada que resulte na destruição, perda, alteração, divulgação ou acesso não autorizado, acidental ou ilícito, aos Dados Pessoais transmitidos, armazenados ou processados no ecossistema OmniAI.
"Sub-operador": Qualquer terceiro contratado pela OmniAI que tenha acesso ou processe Dados Pessoais em nome do Cliente.
"Titular dos Dados": A pessoa singular a quem os Dados Pessoais se referem.

2. PAPÉIS E DIRETRIZES DE PROCESSAMENTO (A POLÍTICA ZERO-TRUST)2.1 Papéis e Responsabilidades

Controlador (Cliente): O Cliente é o único Controlador dos Dados Pessoais e é responsável por: (i) determinar os fins e os meios do processamento; (ii) garantir a legalidade da recolha e a precisão dos dados; e (iii) assegurar a base legal adequada (incluindo consentimento, contrato ou legítimo interesse) para todo o processamento.
Operador (OmniAI): A OmniAI atua estritamente como Operadora, processando Dados Pessoais apenas de acordo com as instruções documentadas do Cliente (MSA e este DPA) e para os fins legítimos estipulados. A OmniAI não processará Dados Pessoais para os seus próprios fins comerciais sem autorização documentada.

2.2 Proibição Absoluta de Treinamento de Modelos (Zero-Trust AI)

Reforçando o princípio de "Zero-Trust AI" do MSA, a OmniAI garante que os Dados Pessoais do Cliente nunca serão utilizados para treinar, aprimorar ou alimentar modelos de inteligência artificial de fundação, públicos ou de terceiros, sob pena de violação material deste DPA. Todo o processamento neural e de machine learning ocorre em instâncias exclusivas do Cliente (Multi-tenant isolation).2.3 Escopo do Processamento

Objeto e Âmbito: Fornecimento dos serviços de inteligência artificial contratados (Inbox, Sales, Recovery e Voice).
Duração: Pelo período de vigência do MSA, estendendo-se pela janela de extração/exclusão pós-rescisão.
Natureza e Finalidade: Processamento automatizado e neural (IA) para orquestração, análise e automação de operações corporativas do Cliente, visando a execução eficiente dos serviços.
Categorias de Titulares: Clientes, funcionários, colaboradores, leads e outros terceiros cujos dados sejam inseridos na plataforma pelo Cliente.
Tipos de Dados: Dados de identificação (nome, e-mail, telefone), dados profissionais, dados de comunicação (e-mails, transcrições de voz) e metadados de uso.

3. MEDIDAS DE SEGURANÇA TÉCNICAS E ORGANIZACIONAIS (TOMs)

A OmniAI implementará e manterá uma arquitetura de segurança de nível industrial para garantir a confidencialidade, integridade e resiliência contínua dos sistemas e serviços de processamento.

Criptografia de Ponta: Utilização obrigatória de criptografia padrão AES-256 para dados em repouso (at rest) e protocolos TLS 1.3 ou superior para dados em trânsito (in transit), incluindo Perfect Forward Secrecy.
Isolamento Lógico e Multi-tenant: Arquitetura que garante o isolamento lógico rigoroso entre clientes, assegurando que os dados de um cliente nunca sejam acessíveis por outro.
Controle de Acesso (Privilégio Mínimo): Acesso aos sistemas de produção restrito por Autenticação de Múltiplos Fatores (MFA) e concedido apenas sob o princípio do menor privilégio, estritamente para suporte técnico.
Gestão de Resiliência: Manutenção de backups redundantes geolocalizados e testes anuais do Plano de Recuperação de Desastres (Disaster Recovery Plan).
Monitoramento e Detecção: Sistemas de monitoramento 24/7/365, incluindo mecanismos de prevenção de intrusão (IPS), para detecção imediata de anomalias.
Testes de Segurança: Realização periódica (mínimo anual) de testes de penetração e avaliação de vulnerabilidades por terceiros independentes.
Treinamento de Pessoal: Treinamento regular e obrigatório de todo o pessoal envolvido no processamento de Dados Pessoais.

4. NOTIFICAÇÃO E GESTÃO DE INCIDENTES DE SEGURANÇA

Em caso de Incidente de Segurança confirmado que afete os Dados Pessoais do Cliente:

SLA de Notificação: A OmniAI notificará o Cliente sem demora injustificada, com um prazo máximo estrito de 48 (quarenta e oito) horas a partir da confirmação do evento.
Conteúdo da Notificação: A notificação incluirá a natureza do incidente, categorias de dados afetados, dados de contato do DPO, prováveis consequências e medidas de mitigação tomadas.
Obrigação de Auxílio Regulatório: A OmniAI cooperará integralmente com o Cliente, fornecendo informações adicionais conforme razoavelmente solicitado, para permitir que o Cliente cumpra suas próprias obrigações de reporte perante as Autoridades Nacionais de Proteção de Dados (ANPD no Brasil, ou autoridades da UE) e aos Titulares dos Dados.

5. CADEIA DE SUBPROCESSAMENTO

Autorização e Objeção: O Cliente concede autorização geral para que a OmniAI utilize Sub-operadores. A OmniAI notificará o Cliente com 30 (trinta) dias de antecedência sobre a adição ou substituição de qualquer Sub-operador, concedendo o direito de objeção por motivos fundamentados de proteção de dados.
Obrigações e Responsabilidade Solidária: A OmniAI garante que todos os Sub-operadores estarão sujeitos a contratos que impõem obrigações de proteção de dados não menos restritivas do que as estabelecidas neste DPA. A OmniAI assume a responsabilidade solidária perante o Cliente pelas ações ou omissões de seus Sub-operadores que violem este DPA.

6. DIREITOS DOS TITULARES DOS DADOS E ASSISTÊNCIA

Tratamento de Solicitações Diretas: Caso a OmniAI receba uma solicitação direta de um Titular dos Dados (ex: acesso, exclusão), ela não responderá e encaminhará a demanda ao Cliente no prazo de 5 (cinco) dias úteis, para que o Controlador tome a decisão e ação apropriada.
Função da Plataforma: A OmniAI fornece as ferramentas técnicas (painéis de controle e APIs) necessárias na plataforma para que o próprio Cliente execute as ações de exclusão, anonimização ou portabilidade exigidas pelos titulares.
Assistência para DPIA/RIPD: A OmniAI prestará assistência razoável ao Cliente para a realização de avaliações de impacto à proteção de dados (DPIA no GDPR ou RIPD na LGPD), quando exigido por lei, e para consultas a Autoridades.

7. TRANSFERÊNCIAS INTERNACIONAIS

Mecanismos de Conformidade: Para transferências de Dados Pessoais para fora da jurisdição de origem (como fora do Brasil ou EEE), a OmniAI aplicará as Cláusulas Contratuais Padrão (Standard Contractual Clauses - SCCs) da União Europeia (quando aplicável) ou outros mecanismos equivalentes reconhecidos, a fim de garantir um nível de proteção equivalente ao exigido pela legislação local.
Transparência: A OmniAI manterá o Cliente informado sobre os países terceiros onde os Dados Pessoais estão sendo processados.

8. DISPOSIÇÕES ESPECÍFICAS: BRASIL (LGPD)

Em relação ao tratamento de Dados Pessoais sujeito à Lei nº 13.709/2018 (LGPD):

Encarregado de Dados (DPO): O Cliente pode contatar o DPO da OmniAI para questões de proteção de dados através do endereço eletrônico security@omni-inbox.ai.
Relatório de Impacto (RIPD): A OmniAI cooperará razoavelmente com o Cliente na elaboração do RIPD.
Foro de Arbitragem: Disputas relacionadas a dados e a este DPA no Brasil serão resolvidas exclusivamente via CAEJUD – Câmara de Mediação e Arbitragem Extra Judicial do Brasil Ltda, conforme detalhado no MSA principal.

Em relação ao tratamento de Dados Pessoais sujeito ao Regulamento UE 2016/679 (GDPR):

Cumprimento do Artigo 28: A OmniAI garante o cumprimento integral dos requisitos do Artigo 28 do GDPR, atuando estritamente como processador sob as instruções do Cliente.
Direito de Auditoria: O Cliente tem o direito de realizar auditorias anuais. Mediante aviso prévio de 60 (sessenta) dias e celebração de acordo de confidencialidade (NDA), o Cliente poderá solicitar um resumo executivo das auditorias independentes da OmniAI (ex: SOC 2 Type II) ou realizar uma auditoria razoável para atestar a conformidade com o Artigo 28 do GDPR. O Cliente arcará com os custos de tal auditoria.

10. CICLO DE VIDA E ELIMINAÇÃO DOS DADOS

Instruções Pós-Término e Janela de Extração: Após o término do MSA, as obrigações deste DPA permanecem vigentes. Transcorrido o período de 60 (sessenta) dias concedido para a extração de dados pelo Cliente, a OmniAI procederá com a sanitização e eliminação irreversível de todos os Dados Pessoais dos seus sistemas de produção e backups.
Retenção Legal: A retenção de cópias dos Dados Pessoais só será mantida quando estritamente exigida por lei aplicável (ex: retenção de registros fiscais ou de auditoria).
Certificação de Eliminação: Mediante solicitação formal por escrito do Cliente, a OmniAI emitirá um Certificado de Eliminação de Dados, assinado por um executivo responsável, atestando o cumprimento da eliminação segura dos dados.

CANAL CORPORATIVO

Dúvidas jurídicas ou de privacidade?

Fale com a OmniAI pelo canal oficial.

Entrar em contato

Data Processing Addendum