Este Anexo faz parte do Contrato sempre que a Gomio tratar dados pessoais para o Cliente (cláusula 13 das Condições Gerais). Ele segue a Lei Geral de Proteção de Dados Pessoais (LGPD).
1. Papéis
1.1. O Cliente é o controlador: decide para que e como os dados pessoais são tratados. A Gomio é a operadora: trata os dados em nome do Cliente.
1.2. A Gomio trata os dados pessoais só para executar o Contrato e só conforme as instruções documentadas do Cliente. São instruções documentadas o Contrato, a Proposta e as orientações que o Cliente der por escrito, inclusive por e-mail.
1.3. Se uma instrução parecer contrária à lei, a Gomio avisa o Cliente e pode deixar de cumpri-la até o Cliente decidir.
1.4. A Gomio não usa os Dados do Cliente para fins próprios, não os vende e não autoriza que sejam usados para treinar modelos de IA.
2. Dados e titulares
2.1. São tratados os dados que o serviço exige, descritos no Termo ou na Proposta. Em geral: nome, contato e mensagens dos clientes, usuários e funcionários do Cliente, os documentos que eles enviam e os registros do que o sistema fez.
2.2. Dado pessoal sensível, como dado de saúde, só é tratado quando o Cliente informa por escrito o tipo de dado e a base legal. Quando o Contrato inclui o Anexo C, o isolamento descrito nele vale também para dado sensível.
2.3. O Cliente responde pela base legal do tratamento e por informar os titulares, inclusive sobre o uso de IA e sobre os suboperadores deste Anexo.
3. Suboperadores
3.1. A Gomio usa os suboperadores abaixo. Cada um recebe só os dados necessários à sua função.
| Suboperador | Para quê | Quais dados |
|---|---|---|
| Anthropic (EUA) | Modelo de IA que entende e redige as mensagens | Trechos de mensagens e documentos necessários a cada tarefa |
| [provedor hospedagem] | Hospedagem do sistema no modo gerenciado | Todos os dados do sistema |
| [provedor email] | Envio de e-mails do sistema e de avisos | Endereço e conteúdo de cada e-mail |
| Asaas e Stripe | Cobrança do próprio Cliente | Só os dados de cobrança do Cliente |
3.2. Asaas e Stripe tratam só os dados de cobrança do próprio Cliente. Para esses dados, a Gomio é controladora (cláusula 13.3 das Condições Gerais), e eles aparecem aqui por transparência.
3.3. A Meta não é suboperadora da Gomio. O Cliente contrata a Meta (WhatsApp Business) em nome próprio, e a Gomio só opera essa conta, com o acesso concedido. As regras da Meta valem entre ela e o Cliente.
3.4. Quando a conta de IA é do Cliente (Anexo C), o provedor de IA é contratado pelo Cliente e deixa de ser suboperador da Gomio. Quando o sistema roda na infraestrutura do Cliente, o mesmo vale para a hospedagem.
3.5. A Gomio só usa suboperador que assume, por contrato, obrigações de proteção de dados compatíveis com este Anexo, e responde por ele perante o Cliente.
4. Troca de suboperador
4.1. Antes de incluir ou trocar um suboperador, a Gomio avisa o Cliente por e-mail com 15 dias de antecedência.
4.2. Nesse prazo, o Cliente pode se opor, com motivo ligado à proteção de dados. Se as partes não acharem solução, o Cliente pode encerrar o serviço afetado sem multa.
5. Transferência internacional
5.1. Alguns suboperadores tratam dados fora do Brasil, como a Anthropic, nos EUA.
5.2. A Gomio só faz essa transferência com base nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou em outro mecanismo admitido pela LGPD. A pedido do Cliente, a Gomio informa o mecanismo usado com cada suboperador.
6. Segurança
6.1. A Gomio adota, no mínimo, estas medidas:
- isolamento por cliente: no modo gerenciado, cada cliente tem container, rede e banco de dados próprios;
- criptografia dos dados em trânsito;
- acesso só para quem trabalha no Contrato, no mínimo necessário;
- senhas, chaves e tokens fora do código e dos registros;
- registro das decisões do sistema: cada ação e a regra que a decidiu;
- registros técnicos sem dado pessoal além do necessário.
7. Incidente de segurança
7.1. A Gomio avisa o Cliente em até 48 horas depois de tomar conhecimento de incidente de segurança que envolva Dados do Cliente. O aviso traz o que já se sabe: o que aconteceu, quais dados e titulares podem ter sido afetados, o que já foi feito e o que falta apurar. A Gomio completa o aviso à medida que apura.
7.2. Comunicar a ANPD e os titulares é dever do Cliente, como controlador. A Gomio dá ao Cliente as informações e o apoio para que ele comunique no prazo da Resolução CD/ANPD nº 15/2024.
7.3. A Gomio não comunica o incidente a terceiros em nome do Cliente sem autorização dele, salvo obrigação legal.
8. Direitos dos titulares
8.1. Se um titular fizer um pedido diretamente à Gomio, a Gomio o encaminha ao Cliente em até 2 dias úteis e não responde por conta própria, salvo instrução do Cliente.
8.2. A Gomio ajuda o Cliente a atender pedidos de acesso, correção, portabilidade e eliminação, com os recursos do sistema.
9. Retenção e eliminação
9.1. Durante a vigência, a Gomio guarda os dados pelo tempo que o serviço exige ou pelo prazo que o Cliente definir.
9.2. No fim do Contrato, os dados são exportados e eliminados conforme o Anexo C ou, quando o Termo não inclui o Anexo C, conforme a cláusula 17 das Condições Gerais. Cópias de segurança, quando houver, são apagadas pela rotação, no prazo de retenção do Anexo C.
9.3. Depois do fim, a Gomio guarda só o que a lei a obriga a guardar.
10. Registro e auditoria
10.1. A Gomio mantém registro das operações de tratamento que faz para o Cliente.
10.2. Uma vez por ano, com aviso de 15 dias, o Cliente pode auditar o cumprimento deste Anexo. A auditoria é feita por questionário, documentos e reunião remota. Auditor externo assina compromisso de sigilo. Cada parte arca com os próprios custos.
10.3. Depois de um incidente, o Cliente pode pedir uma auditoria sobre o incidente, fora do limite anual.
11. Responsabilidade
11.1. Entre as partes, vale a cláusula 15 das Condições Gerais. Perante os titulares e a ANPD, vale a lei.
Campos deste documento
- [provedor hospedagem]: nome e país do provedor de hospedagem do modo gerenciado.
- [provedor email]: nome e país do provedor de envio de e-mail.