Anexo II — Acordo de Tratamento de Dados Pessoais (DPA)

Anexo integrante dos Termos de Serviço do xLumen.

Data da última atualização: 08/06/2026 Versão: 1.0

Este Acordo de Tratamento de Dados Pessoais (“Acordo” ou “DPA”) integra os Termos de Serviço do xLumen e regula o tratamento de Dados Pessoais realizado pela xLumen, na qualidade de Operadora, por conta e ordem do Contratante, na qualidade de Controlador, no escopo da Cláusula 11 dos Termos de Serviço. Os termos iniciados em maiúscula não definidos aqui têm o significado atribuído nos Termos de Serviço ou na Lei nº 13.709/2018 (LGPD).

1. Definições

1.1. Para os fins deste Acordo, em consonância com o art. 5º da LGPD:

Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável, incluindo, quando aplicável, Dados Pessoais Sensíveis (sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde ou vida sexual, dado genético ou biométrico).
Titular: pessoa natural a quem se referem os Dados Pessoais objeto de Tratamento, notadamente Clientes Finais e Usuários Autorizados do Contratante.
Controlador: a quem competem as decisões sobre as finalidades e os meios do Tratamento. Quanto aos Dados Pessoais inseridos e trafegados na Plataforma, o Contratante é o Controlador.
Operador(a): quem realiza o Tratamento em nome do Controlador. Quanto aos referidos Dados Pessoais, a xLumen é a Operadora.
Suboperador: terceiro contratado pela Operadora para realizar Tratamento em apoio à prestação dos serviços.
Tratamento: toda operação realizada com Dados Pessoais (coleta, acesso, armazenamento, processamento, transmissão, eliminação, entre outras).
Incidente: acesso não autorizado ou situação acidental ou ilícita de destruição, perda, alteração, comunicação ou difusão de Dados Pessoais.

2. Objeto e papéis

2.1. Este Acordo aplica-se ao Tratamento dos Dados Pessoais de Clientes Finais e Usuários Autorizados contidos no Conteúdo do Contratante, realizado pela xLumen exclusivamente para a prestação dos serviços contratados.

2.2. Em relação a esses dados, o Contratante é o Controlador e a xLumen é a Operadora, na forma da Cláusula 11.2 dos Termos de Serviço.

2.3. Os Dados Pessoais que a xLumen trata como Controladora (notadamente dados cadastrais, de cobrança e de uso do próprio Contratante e de seus Usuários Autorizados) são regidos pela Política de Privacidade (Anexo I), e não por este Acordo.

3. Condições gerais do Tratamento

3.1. Legitimidade. O Controlador garante que os Dados Pessoais compartilhados com a Operadora estão amparados por base legal válida e adequada às finalidades do Tratamento, mantendo a Operadora indene de qualquer responsabilidade nesse sentido.

3.2. Finalidade e instruções. A Operadora tratará os Dados Pessoais somente para a prestação dos serviços e conforme as instruções documentadas do Controlador, não os utilizando para finalidade própria diversa, ressalvada a geração de dados agregados, anonimizados e/ou estatísticos na forma da Cláusula 10.7 dos Termos de Serviço.

3.3. Dados Pessoais Sensíveis. Quando o Controlador, em razão de sua área de atuação (ex.: saúde), inserir Dados Pessoais Sensíveis na Plataforma, é o único responsável pela base legal e pelas medidas adicionais exigidas pela LGPD, na forma da Cláusula 4.6 dos Termos de Serviço.

3.4. Duração. O Tratamento ocorrerá pelo tempo necessário às finalidades, encerrando-se também por solicitação expressa de devolução e/ou exclusão pelo Controlador, observados o prazo de exportação da Cláusula 9.6 dos Termos de Serviço e as hipóteses legais de guarda e retenção mínima.

4. Obrigações do Controlador

4.1. O Controlador compromete-se a:

(a) garantir a conformidade, a legalidade e a existência de base legal válida para compartilhar os Dados Pessoais com a Operadora e para o Tratamento em seu nome;
(b) fornecer instruções e regras de Tratamento dentro dos limites técnicos da Plataforma e da LGPD;
(c) realizar a gestão e o controle de acessos de seus Usuários Autorizados, respondendo por seus atos e solicitações;
(d) comunicar a Operadora, em tempo hábil, sobre solicitações de Titulares ou de autoridades quando depender de atuação da Operadora;
(e) auxiliar a Operadora, quando aplicável, na elaboração de relatórios de impacto à proteção de dados (RIPD) e no fornecimento de informações exigidas por autoridades.

5. Obrigações da Operadora

5.1. A Operadora compromete-se a:

(a) tratar os Dados Pessoais apenas para as finalidades deste Acordo e conforme as instruções do Controlador, observada a capacidade técnica da Plataforma;
(b) informar o Controlador, em tempo hábil, sobre solicitações de Titulares ou de autoridades de que tome conhecimento, auxiliando-o a respondê-las;
(c) informar o Controlador caso esteja impedida de cumprir alguma instrução ou caso entenda que uma instrução viola a legislação aplicável;
(d) não compartilhar os Dados Pessoais com terceiros sem autorização do Controlador, ressalvados os Suboperadores e as hipóteses previstas neste Acordo, nos Termos de Serviço ou em lei;
(e) garantir que as pessoas autorizadas a tratar os Dados Pessoais estejam sujeitas a obrigação de confidencialidade;
(f) eliminar ou devolver os Dados Pessoais ao término, na forma da Seção 3.4 deste Acordo, respeitadas as hipóteses legais de retenção;
(g) auxiliar o Controlador, na medida de sua capacidade técnica, na segurança dos dados e na elaboração de RIPD.

5.2. A Operadora não está obrigada a cumprir instruções do Controlador que estejam em desacordo com a LGPD.

6. Segurança da informação

6.1. As Partes adotarão medidas técnicas e administrativas de segurança adequadas e proporcionais aos riscos, aptas a proteger a confidencialidade, a integridade e a disponibilidade dos Dados Pessoais, na forma da Cláusula 11.3 dos Termos de Serviço, considerando o estado da arte, os custos de implementação e a natureza dos dados.

6.2. A realização de testes ou avaliações de segurança (incluindo análise de vulnerabilidade ou pentest) sobre a Plataforma ou a infraestrutura da Operadora depende de autorização prévia, expressa e por escrito da Operadora, na forma da Política de Uso Aceitável (Anexo III).

7. Incidentes de segurança

7.1. Tomando ciência inequívoca de um Incidente que possa acarretar risco ou dano relevante aos Titulares, a xLumen comunicará o Controlador sem demora injustificada e, em todo caso, em até 2 (dois) dias úteis, na forma da Cláusula 11.6 dos Termos de Serviço.

7.2. A comunicação conterá, sempre que possível: (i) data e hora da ciência; (ii) os tipos de dados afetados; (iii) a volumetria estimada de Titulares afetados; (iv) a descrição das possíveis consequências; (v) as medidas adotadas para contenção; e (vi) um canal de contato para mais informações.

7.3. A comunicação será enviada, se ao Controlador, ao e-mail cadastrado na Plataforma e/ou pela página oficial de status; e, se à Operadora, ao e-mail [email protected].

7.4. As Partes analisarão conjuntamente as circunstâncias do Incidente para decidir se este se enquadra na exigência legal de comunicação à ANPD e aos Titulares, cabendo ao Controlador, como regra, o cumprimento dessa obrigação perante a autoridade.

7.5. Caso o Controlador identifique, em seu ambiente ou em sua interação com a Plataforma, qualquer Incidente que coloque em risco a segurança da Plataforma ou da infraestrutura da Operadora, deverá notificá-la imediatamente, sem que isso transfira a responsabilidade do Incidente à Operadora.

8. Suboperadores e transferência internacional

8.1. O Controlador autoriza a Operadora a contratar Suboperadores para a prestação dos serviços, por categorias — incluindo provedores de infraestrutura e hospedagem em nuvem, processamento de pagamentos, fornecimento de modelos de inteligência artificial, comunicação por mensagens e monitoramento técnico —, na forma da Cláusula 11.4 dos Termos de Serviço.

8.2. A Operadora responde por seus Suboperadores e deles exige o cumprimento de obrigações e de níveis de segurança compatíveis com este Acordo.

8.3. O Tratamento por agentes de IA processa Conteúdo do Contratante por meio dos fornecedores de modelos referidos na Cláusula 5.3 dos Termos de Serviço, exclusivamente para a prestação do serviço de atendimento e agendamento.

8.4. Transferência internacional. O Controlador reconhece e autoriza que o Tratamento poderá envolver transferência internacional de Dados Pessoais, hipótese em que a Operadora adotará ao menos uma das bases do art. 33 da LGPD, incluindo cláusulas-padrão contratuais aprovadas pela ANPD, na forma da Cláusula 11.9 dos Termos de Serviço.

9. Direitos dos Titulares

9.1. A Operadora disponibilizará ao Controlador meios para atender às solicitações de Titulares (acesso, correção, eliminação, portabilidade, entre outras), nos termos da LGPD.

9.2. Recebendo solicitação diretamente de um Titular relativa a dados tratados como Operadora, a xLumen indicará o Controlador competente e a ele encaminhará a solicitação, abstendo-se de atendê-la sem a instrução do Controlador.

10. Responsabilidade

10.1. A responsabilidade por descumprimento das obrigações deste Acordo será apurada na forma da LGPD, sem prejuízo das limitações de responsabilidade previstas na Cláusula 12 dos Termos de Serviço.

10.2. O Controlador reconhece que o Tratamento realizado conforme as finalidades e instruções por ele definidas exime a Operadora de responsabilidade por eventual ilicitude do Tratamento atribuível ao Controlador, assumindo este integralmente as perdas e danos daí decorrentes, na forma da Cláusula 12.1 dos Termos de Serviço.

11. Disposições gerais

11.1. Este Acordo deve ser lido e interpretado à luz da LGPD, prevalecendo, quanto à matéria de proteção de dados, sobre eventuais disposições conflitantes de outros instrumentos entre as Partes.

11.2. Este Acordo vincula-se aos Termos de Serviço e vigora enquanto durar o Tratamento de Dados Pessoais pela Operadora, subsistindo as obrigações que, por sua natureza, devam perdurar após o término, na forma da Cláusula 9.7 dos Termos de Serviço.