Adendo de proteção de dados

Este Adendo integra os Termos de uso do LiberaGD e regula o tratamento de dados pessoais que o LiberaGD realiza por conta e ordem da empresa contratante. Vale automaticamente para todo cliente com contrato ativo, sem necessidade de assinatura separada — se o seu jurídico preferir uma via assinada, envie o pedido para liberagdbrasil@gmail.com.

Vigora enquanto durar o contrato e, quanto às obrigações de sigilo, segurança e eliminação, permanece exigível depois do término.

• Controladora: a empresa integradora contratante, que decide as finalidades e os meios do tratamento dos dados dos seus projetos, dos titulares de unidade consumidora e dos seus leads (art. 5º, VI da LGPD).
• Operador: o LiberaGD, operado por 61.130.180 Raphael Alves Balliana (CNPJ 61.130.180/0001-10), que trata esses dados exclusivamente segundo as instruções da controladora (art. 5º, VII da LGPD).

Quanto aos dados de cadastro e de uso dos usuários da plataforma, o LiberaGD atua como controlador — regidos pela Política de privacidade, não por este Adendo.

• Natureza e finalidade: armazenar, organizar, consultar e disponibilizar os dados para a pré-análise técnica e comercial de projetos de geração distribuída, incluindo checklist documental, geração de documentos, propostas e acompanhamento comercial.
• Categorias de titulares: titulares de unidade consumidora e seus representantes; leads comerciais; usuários da conta da controladora.
• Categorias de dados: identificação (nome, CPF ou CNPJ), contato (e-mail, telefone), localização (endereço e coordenadas da instalação), dados técnicos do projeto e documentos anexados pela controladora.
• Duração: enquanto durar o contrato, observado o prazo de eliminação da cláusula 8.

O LiberaGD trata os dados apenas conforme as instruções da controladora, materializadas: (a) pelo uso normal das funções da plataforma pelos usuários dela; e (b) por instrução escrita enviada ao canal de contato.

O LiberaGD não usa os dados da controladora para finalidade própria, não os comercializa, não os usa para treinar modelos de inteligência artificial e não os combina com dados de outros clientes. Se entendermos que uma instrução recebida viola a LGPD, comunicamos a controladora antes de executá-la.

Nos termos dos art. 46 a 49 da LGPD, mantemos no mínimo:

• Isolamento lógico por cliente aplicado no banco de dados (Row Level Security), não apenas na aplicação.
• Armazenamento privado de documentos, acessível somente por link temporário assinado.
• Criptografia em trânsito em todas as conexões, com HSTS, e senhas armazenadas apenas como hash.
• Controle de acesso por papel dentro da conta da controladora, administrado por ela.
• Trilha de auditoria das ações relevantes, imutável pelo usuário.
• Limitação de tentativas de autenticação por IP e por conta.
• Dever de sigilo de toda pessoa com acesso técnico aos dados, que permanece após o fim do vínculo.

A controladora autoriza, de forma geral, a contratação dos suboperadores listados na Política de privacidade — hoje Supabase, Anthropic, Autentique e OpenStreetMap/Nominatim.

Antes de incluir ou substituir suboperador que trate dados da controladora, comunicamos por e-mail com antecedência mínima de 30 dias. Se a controladora se opuser de forma fundamentada nesse prazo, pode rescindir o contrato sem multa. O LiberaGD responde pelos atos dos seus suboperadores perante a controladora.

Em caso de incidente de segurança envolvendo dados da controladora, o LiberaGD comunica a controladora em até 24 horas do momento em que tomar conhecimento, antes de qualquer análise conclusiva, informando o que se sabe até ali: natureza do incidente, dados e titulares potencialmente afetados, medidas já tomadas e ponto de contato técnico.

A decisão de comunicar a ANPD e os titulares é da controladora, que é quem tem esse dever legal (art. 48 da LGPD) — o prazo do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) é de 3 dias úteis. O prazo interno de 24 horas acima existe justamente para que a controladora tenha tempo hábil de cumpri-lo. O LiberaGD presta todo o apoio técnico necessário à investigação e à comunicação.

Pedidos de titulares (art. 18 da LGPD) devem ser dirigidos à controladora. A plataforma permite que ela mesma acesse, corrija, exporte e exclua os dados de qualquer projeto ou lead. Se um titular nos procurar diretamente, encaminhamos o pedido à controladora e informamos o titular, sem responder pelo mérito. Se a controladora precisar de apoio técnico para atender um pedido, prestamos sem custo adicional.

Encerrado o contrato, a controladora tem 30 dias corridos para exportar seus dados. Findo o prazo, eliminamos os dados de projeto, leads, propostas e documentos armazenados.

Podemos reter o mínimo necessário para cumprir obrigação legal ou para exercício regular de direito em processo (art. 16, I e III da LGPD) — nesse caso, o dado retido continua protegido por este Adendo e não é usado para nenhuma outra finalidade.

Mediante pedido escrito e com aviso de 15 dias, o LiberaGD fornece à controladora as informações necessárias para demonstrar o cumprimento deste Adendo — descrição das medidas de segurança, lista de suboperadores e registro das operações de tratamento (art. 37 da LGPD) na parte que diz respeito a ela. O limite é informação que exponha segredo de negócio ou dados de outros clientes.

Cada parte responde pelos danos decorrentes do descumprimento das suas próprias obrigações, nos termos dos art. 42 a 45 da LGPD. A controladora é responsável pela licitude da coleta e por ter base legal para inserir dados de terceiros na plataforma; o LiberaGD é responsável por tratar esses dados apenas conforme instruído e por manter as medidas de segurança desta cláusula 5.