Adendo de Proteção de Dados

Cláusula 01 — Definições

Para os fins deste Adendo, aplicam-se as seguintes definições:

Controlador ("Cliente"): o contratante dos serviços OkTalk — pessoa jurídica ou profissional autônomo que determina as finalidades e os meios do tratamento de dados pessoais de seus usuários finais.

Operador: G. Almeida Teleinformática (OCTEK), CNPJ 01.646.313/0001-84, com sede em Barra Mansa/RJ, que realiza o tratamento de dados pessoais em nome e sob instrução do Controlador.

Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável — conforme Art. 5º, I da LGPD — processada por meio dos serviços OkTalk.

Dados Sensíveis: dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico — conforme Art. 5º, II da LGPD.

Usuários Finais: pessoas naturais (clientes, pacientes, colaboradores, consumidores) com quem o Controlador se comunica por meio da plataforma OkTalk.

Incidente de Segurança: acesso não autorizado, destruição, perda, alteração ou divulgação de Dados Pessoais.

Sub-operador: terceiro contratado pela OCTEK para auxiliar na prestação dos serviços, conforme listagem da Cláusula 7.

ANPD: Autoridade Nacional de Proteção de Dados.

LGPD: Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) e suas regulamentações.

Cláusula 02 — Objeto e Escopo do Tratamento

Este Adendo regula o tratamento de Dados Pessoais de Usuários Finais realizado pela OCTEK na qualidade de Operador, em razão da prestação dos seguintes serviços OkTalk contratados:

Plataforma de mensageria omnichannel: recepção, envio e armazenamento de mensagens via WhatsApp Business API, chat e canais integrados.

VoiceBot e URA inteligente: atendimento automatizado por voz com processamento de áudio e transcrição quando habilitado. Quando o VoiceBot for desenvolvido como projeto específico para o Cliente, os termos de tratamento de dados de voz aplicáveis a esse projeto serão detalhados em escopo próprio, complementar a este Adendo.

Gravação de chamadas: armazenamento de áudio de atendimentos quando a funcionalidade for ativada pelo Cliente.

Histórico e relatórios de atendimento: armazenamento de conversas, métricas e dados de interação para fins de gestão e qualidade.

Integrações com sistemas externos: quando o Cliente ativar conexão com CRM, ERP ou outras plataformas.

A OCTEK trata os Dados Pessoais exclusivamente para viabilizar a prestação dos serviços contratados. Qualquer tratamento para finalidade própria da OCTEK — como melhoria de modelos de IA — somente ocorrerá mediante consentimento específico e destacado do Controlador.

Cláusula 03 — Categorias de Dados e Finalidades

Os Dados Pessoais processados pela OCTEK enquanto Operador incluem as seguintes categorias, conforme os serviços ativados pelo Cliente:

Identificação dos Usuários Finais: nome, número de telefone, e-mail, identificadores de conta (ex.: WhatsApp ID).

Histórico de comunicação: conteúdo de mensagens de texto, áudios, imagens, vídeos e arquivos enviados e recebidos via plataforma. O histórico de mensagens e mídias do WhatsApp processado via OkTalk é retido por 12 meses, contados a partir do recebimento ou envio, salvo instrução diversa do Controlador ou obrigação legal de retenção distinta.

Metadados de comunicação: data, hora, canal, status de entrega, leitura e resposta, tempo de atendimento.

Dados comportamentais: fluxo de navegação no atendimento, respostas a menus de URA, resultado de atendimentos.

Dados de voz: gravações de chamadas e transcrições quando habilitadas pelo Cliente.

Dados Sensíveis: a OCTEK não coleta Dados Sensíveis intencionalmente. Quando enviados pelo Usuário Final no contexto de um atendimento, ficam armazenados no histórico sob exclusiva responsabilidade do Controlador, que deve garantir a base legal adequada (Art. 11 LGPD) e a devida orientação ao Usuário Final.

Cláusula 04 — Instruções do Controlador

A OCTEK realiza o tratamento de Dados Pessoais exclusivamente conforme instruções documentadas do Controlador. Constituem instrução documentada: (a) as configurações de serviço ativadas pelo Cliente na plataforma OkTalk; (b) as integrações por ele habilitadas; (c) os fluxos de atendimento por ele configurados; (d) solicitações formais enviadas ao suporte.

Se o Controlador solicitar tratamento que, na avaliação da OCTEK, contrarie a LGPD ou outra norma aplicável, a OCTEK recusará a instrução e notificará o Controlador por escrito, com indicação da norma violada, antes de executar qualquer ação.

A OCTEK não está obrigada a verificar se as instruções do Controlador são suficientes para garantir a conformidade do tratamento com a LGPD — essa responsabilidade é do Controlador. Porém, alertará proativamente quando identificar risco evidente.

Ausência de instrução específica implica manutenção das configurações padrão da plataforma, que adotam o princípio de Privacy by Default — coletando o mínimo necessário para a operação do serviço.

Cláusula 05 — Obrigações da OCTEK como Operador

Confidencialidade: todos os colaboradores e prestadores da OCTEK com acesso a Dados Pessoais estão vinculados a obrigações de confidencialidade por contrato (NDA), independentemente deste Adendo.

Não-acesso ao conteúdo: a OCTEK não monitora, lê nem acessa o conteúdo das comunicações processadas — mensagens, áudios, arquivos — exceto: (a) quando necessário para suporte técnico autorizado pelo Controlador; (b) quando exigido por ordem judicial competente (Lei 9.296/96); (c) para detecção de ameaças de segurança ao sistema.

Sub-contratação: a OCTEK não sub-contratará novos Operadores para tratamento dos Dados Pessoais do Controlador sem prévia notificação com 30 dias de antecedência por meio dos canais de comunicação cadastrados. O Controlador pode se opor formalmente nesse prazo. A lista atual de Sub-operadores autorizados consta da Cláusula 7.

Notificação de incidente: em caso de Incidente de Segurança que envolva Dados Pessoais do Controlador, a OCTEK notificará o Controlador em até 24 horas após a ciência do evento, por e-mail ao endereço cadastrado na plataforma, com: natureza do incidente, categorias e estimativa de Usuários Finais afetados, medidas de contenção adotadas e contato para esclarecimentos. Essa notificação viabiliza que o Controlador cumpra o prazo de 3 dias úteis à ANPD (Resolução CD/ANPD nº 2/2023).

Cooperação com direitos dos titulares: quando Usuário Final exercer direitos LGPD diretamente com a OCTEK (acesso, exclusão, portabilidade), a OCTEK repassará a solicitação ao Controlador em até 48 horas. A responsabilidade pela resposta ao titular é do Controlador. A OCTEK fornecerá suporte técnico para extração ou exclusão dos dados solicitados.

Registros: a OCTEK manterá logs de acesso a Dados Pessoais por colaboradores internos, disponíveis para auditoria conforme Cláusula 11.

Destino dos dados: ao término deste Adendo, a OCTEK procederá conforme Cláusula 12.

Cláusula 06 — Obrigações do Controlador

Base legal: o Controlador declara e garante que possui base legal válida (Art. 7º ou Art. 11 da LGPD) para cada operação de tratamento que instrui a OCTEK a realizar, e que essa base legal foi obtida antes do início do tratamento.

Opt-in WhatsApp: para uso de qualquer funcionalidade de envio de mensagens proativas via WhatsApp Business API, o Controlador é o único responsável por obter, documentar e armazenar o opt-in explícito de cada Usuário Final, conforme exigido pelas Políticas Comerciais da Meta. A OCTEK pode solicitar evidência desse opt-in a qualquer momento.

Aviso de gravação: se o Controlador ativar a gravação de chamadas, é sua exclusiva responsabilidade garantir que o aviso audível de gravação esteja ativo em todos os fluxos e que os Usuários Finais sejam informados antes da gravação iniciar.

Sistemas automatizados: o Controlador é responsável por informar seus Usuários Finais sobre o uso de VoiceBot ou atendimento automatizado, garantindo o direito de revisão humana (Art. 20 LGPD) quando aplicável.

Dados sensíveis: o Controlador não deve instruir a OCTEK a coletar Dados Sensíveis de Usuários Finais sem base legal específica (Art. 11 LGPD) e sem ter obtido consentimento específico e destacado.

Notificação reversa: se o Controlador tomar ciência de qualquer violação de segurança ou uso indevido dos serviços que possa afetar Dados Pessoais processados pela OCTEK, notificará a OCTEK em até 24 horas pelos canais de suporte disponíveis na plataforma.

Menores: o Controlador não utilizará os serviços OkTalk para comunicação dirigida especificamente a crianças ou adolescentes sem adotar as salvaguardas exigidas pelo Art. 14 da LGPD, incluindo consentimento dos responsáveis legais.

Cláusula 07 — Sub-operadores Autorizados e Operadoras de Interconexão

O Controlador, ao aderir a este Adendo, autoriza expressamente o uso dos seguintes Sub-operadores pela OCTEK para a prestação dos serviços OkTalk. A lista completa e atualizada está disponível em octek.com.br/lgpd.

A OCTEK garante que todos os Sub-operadores estão vinculados a obrigações de proteção de dados equivalentes às deste Adendo, por meio de contratos específicos ou DPAs bilaterais.

Para adição de novo Sub-operador não listado, a OCTEK notificará o Controlador com 30 dias de antecedência por meio dos canais de comunicação cadastrados. Oposição formal dentro desse prazo suspende a integração até resolução bilateral.

Operadoras de interconexão parceiras: adicionalmente aos Sub-operadores listados, o tráfego de voz processado pela OCTEK no âmbito dos serviços OkTalk pode envolver operadoras de interconexão parceiras — prestadoras de Serviço Telefônico Fixo Comutado (STFC) e/ou de Serviço de Comunicação Multimídia (SCM) com as quais a OCTEK mantém acordos de interconexão, para fins de encaminhamento e completamento de chamadas. O processamento de metadados de chamada (números de origem e destino, duração, data e horário) por essas operadoras decorre de obrigação legal de interconexão prevista na Lei nº 9.472/1997 e na regulamentação da ANATEL, constituindo base legal autônoma de tratamento (Art. 7º, II da LGPD), distinta da autorização contratual prevista no caput desta Cláusula. A OCTEK opera softswitch próprio para roteamento e controle de chamadas, minimizando o processamento de dados por terceiros nesta camada do serviço.

Cláusula 08 — Transferências Internacionais de Dados

O uso da WhatsApp Business API implica transferência de dados para a Meta Platforms, Inc. (EUA). Como os Estados Unidos não possuem acordo de adequação com o Brasil, essa transferência está amparada no Art. 33, VI da LGPD — cláusulas contratuais padrão constantes do Data Processing Agreement entre a Meta e a OCTEK na qualidade de parceira oficial da WhatsApp Business Platform (SCCs). O Controlador, ao aderir a este Adendo, reconhece e autoriza essa transferência.

Demais Sub-operadores fora do Brasil (quando aplicável) também operam sob salvaguardas equivalentes, conforme detalhado na Cláusula 7. A OCTEK não realizará transferência internacional para país sem salvaguarda adequada sem notificação prévia ao Controlador.

Os dados de titulares brasileiros são armazenados primariamente em infraestrutura localizada no Brasil. A transferência internacional ocorre apenas no trânsito operacional exigido pelos serviços (ex.: roteamento de mensagem pela rede Meta). A OCTEK acompanha a evolução das condições de faturamento e localização de dados estabelecidas pela Meta para contas brasileiras e poderá atualizar esta Cláusula conforme a Cláusula 14, caso tais condições impliquem mudança relevante no fluxo de dados aqui descrito.

Cláusula 09 — Medidas de Segurança

A OCTEK adota as seguintes medidas técnicas e organizacionais para proteger os Dados Pessoais processados em nome do Controlador:

Técnicas: criptografia em trânsito (TLS 1.2+) e em repouso; autenticação multifator (MFA) em todos os acessos administrativos; controle de acesso por função (RBAC) com princípio do menor privilégio; backups criptografados com teste semestral de restauração; monitoramento contínuo de ameaças e logs de acesso auditáveis.

Organizacionais: todos os colaboradores com acesso a dados do Controlador são vinculados por NDA; treinamentos periódicos de segurança e LGPD; Plano de Resposta a Incidentes documentado com time designado (Encarregado + TI + jurídico); gestão de vulnerabilidades com ciclo de patches definido.

O Controlador reconhece que nenhum sistema oferece segurança absoluta e que as medidas acima representam o estado da arte proporcional ao porte e à natureza das operações da OCTEK.

Se o Controlador exigir medidas de segurança adicionais além das listadas, poderá solicitar via aditivo contratual, sujeito a avaliação de viabilidade e custo adicional — disponível para Clientes que migrem para contratação Enterprise.

Cláusula 10 — Exercício de Direitos dos Titulares

Quando um Usuário Final contatar a OCTEK diretamente para exercer direitos LGPD (acesso, correção, exclusão, portabilidade, oposição, revisão de decisão automatizada), a OCTEK: (a) informará ao Usuário Final que os dados são tratados em nome do Controlador; (b) repassará a solicitação ao Controlador em até 48 horas via e-mail cadastrado; (c) fornecerá suporte técnico para extração, correção ou exclusão dos dados no prazo acordado com o Controlador.

A responsabilidade pela resposta ao Usuário Final dentro do prazo de 15 dias úteis (Art. 18, §3º LGPD) é exclusivamente do Controlador.

Portabilidade: a exportação de dados do Controlador da plataforma OkTalk será fornecida em formato CSV ou JSON, disponível diretamente pelo painel administrativo. Exportações de grande volume podem ter prazo de até 5 dias úteis adicionais.

Exclusão: solicitações de exclusão de dados de Usuários Finais serão processadas tecnicamente pela OCTEK em até 15 dias úteis após instrução formal do Controlador, salvo dados que devam ser retidos por obrigação legal da OCTEK (ex.: logs de acesso pelo prazo do Marco Civil da Internet, CDRs pelo prazo ANATEL).

Cláusula 11 — Auditoria e Prestação de Contas

O Controlador tem direito de verificar o cumprimento deste Adendo pela OCTEK. Para isso, pode solicitar evidências documentais de conformidade (ROPA, logs, contratos com Sub-operadores, certificados de segurança) — a OCTEK responde em até 15 dias úteis pelos canais de suporte.

A OCTEK pode satisfazer obrigações de auditoria apresentando relatório de auditoria independente (ISO 27001, SOC 2, parecer jurídico de terceiro) emitido nos últimos 12 meses.

O Controlador não pode realizar auditoria que exponha dados de outros clientes da OCTEK. O escopo é restrito às operações relacionadas aos dados do próprio Controlador. Auditorias presenciais não são aplicáveis ao plano de adesão eletrônica; Clientes com essa necessidade podem migrar para contratação Enterprise, sujeita ao "DPA — Termo de Adesão" específico.

A OCTEK manterá registros suficientes para demonstrar conformidade com este Adendo pelo prazo de 5 anos após o término do contrato principal.

Cláusula 12 — Vigência, Rescisão e Destino dos Dados

Este Adendo entra em vigor automaticamente no momento em que o Controlador aceita os Termos de Uso da OCTEK, por meio de aceite eletrônico no site ou na plataforma OkTalk, e permanece vigente enquanto o contrato de serviços OkTalk estiver ativo.

Na rescisão do contrato principal, por qualquer motivo, o Controlador tem 30 dias corridos para manifestar sua opção: (a) Devolução: exportação de todos os Dados Pessoais em formato CSV/JSON, disponível pelo painel ou entregue por link seguro de download com validade de 15 dias; ou (b) Exclusão certificada: eliminação definitiva de todos os Dados Pessoais do Controlador dos sistemas da OCTEK, com emissão de Certificado de Destruição de Dados mediante solicitação.

Ausência de manifestação em 30 dias: a OCTEK procederá com a exclusão dos dados.

Exceções à exclusão: a OCTEK manterá apenas os dados que for legalmente obrigada a reter por norma própria (ex.: logs de acesso pelo prazo do Marco Civil, CDRs pelo prazo ANATEL). Esses dados permanecem sob as obrigações de confidencialidade e segurança deste Adendo.

Backups: cópias de segurança são eliminadas no ciclo regular de rotação, que não excede 90 dias após a exclusão dos dados primários.

Cláusula 13 — Responsabilidade e Indenização

A OCTEK responde por danos causados ao Controlador ou a Usuários Finais decorrentes de violação deste Adendo exclusivamente imputável à OCTEK, na qualidade de Operador (Art. 42, §1º LGPD).

O Controlador responde por danos causados a Usuários Finais decorrentes de: (a) ausência de base legal para o tratamento instruído; (b) ausência de opt-in WhatsApp; (c) não ativação do aviso de gravação; (d) qualquer instrução que viole a LGPD.

Este Adendo não limita a responsabilidade de nenhuma das partes por dolo, fraude, danos causados a Usuários Finais por violação de dados sensíveis de saúde, ou penalidades impostas pela ANPD por conduta da própria parte.

Para os fins deste Adendo, a responsabilidade máxima da OCTEK como Operador em relação ao Controlador, por evento, limita-se ao valor pago pelo Controlador nos 3 meses anteriores ao evento que gerou o dano — aplicável exclusivamente à relação B2B entre as partes, não afetando direitos dos Usuários Finais.

Cláusula 14 — Disposições Finais

Hierarquia: este Adendo prevalece sobre os Termos de Uso da OCTEK nas matérias de proteção de dados. Em conflito com proposta comercial individualizada, prevalece a proposta.

Alterações: a OCTEK pode atualizar este Adendo para refletir mudanças regulatórias ou operacionais. A versão vigente está sempre disponível em octek.com.br/dpa, com indicação de data de última atualização. Alterações substanciais serão comunicadas com 30 dias de antecedência pelos canais cadastrados; o uso continuado dos serviços após esse prazo configura aceite da nova versão.

Foro: Comarca de Barra Mansa/RJ, para contratos B2B entre empresas.

Lei aplicável: legislação da República Federativa do Brasil, em especial a LGPD (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e o Código Civil.

Versões anteriores deste Adendo ficam disponíveis mediante solicitação a privacidade@octek.com.br.