axvenaxvenrastro

Contrato de Tratamento de Dados Pessoais do Axven Rastro

Última atualização: 19 de outubro de 2026

Partes:

1. Objeto

Este contrato regula o tratamento, pela Axven, dos dados pessoais dos Contatos e dos Usuários que o Cliente coloca no Axven Rastro, conforme a LGPD (Lei nº 13.709/2018). Os termos com inicial maiúscula têm o sentido dos Termos de Uso.

2. Papéis

  1. O Cliente decide para que e como os dados dos Contatos são tratados e responde pela base legal, pela transparência com os titulares e pelo conteúdo que envia. É o controlador.
  2. A Axven trata esses dados só para prestar o Rastro e seguindo as instruções do Cliente. É a operadora.
  3. As instruções do Cliente são estes documentos, as configurações que ele faz no Rastro (canais, integrações, IA, retenção, exclusões) e os pedidos por escrito que caibam no serviço contratado.
  4. Se a Axven entender que uma instrução viola a LGPD, avisa o Cliente e pode deixar de cumpri-la.

3. Descrição do tratamento

Ver o Anexo I.

4. Obrigações da Axven

  1. Tratar os dados só para as finalidades do Anexo I, sem usá-los para fins próprios, exceto métricas agregadas e anonimizadas para melhorar o produto.
  2. Garantir que a equipe com acesso aos dados tenha dever de sigilo e acesse só o necessário. O acesso da equipe a um workspace para suporte depende de pedido ou autorização do Cliente, salvo em incidente de segurança.
  3. Manter as medidas de segurança do Anexo II e revisá-las periodicamente.
  4. Ajudar o Cliente a atender os pedidos dos titulares (art. 18 da LGPD), principalmente com as funções de ver, corrigir, exportar e apagar contato no próprio Rastro. Se a Axven receber um pedido direto do titular, encaminha ao Cliente em até 5 dias úteis e não responde no lugar dele, salvo instrução do Cliente.
  5. Ajudar o Cliente, no que estiver ao alcance da Axven, em relatório de impacto, resposta à ANPD e comprovação de medidas de segurança.
  6. Manter o registro das operações de tratamento que faz em nome do Cliente.

5. Suboperadores

  1. O Cliente autoriza a Axven a usar os suboperadores listados na Política de Privacidade (item 4), que fica atualizada no endereço público.
  2. A Axven avisa o Cliente por e-mail sobre suboperador novo com 15 dias de antecedência. O Cliente pode se opor com motivo razoável ligado à proteção de dados. Se não houver solução, pode cancelar sem multa.
  3. A Axven exige de cada suboperador obrigações de proteção de dados equivalentes às deste contrato e responde perante o Cliente pelo descumprimento delas.

6. Transferência internacional

Alguns suboperadores tratam dados fora do Brasil. A Axven garante que essas transferências seguem o art. 33 da LGPD e a regulamentação da ANPD, por meio de cláusulas contratuais com o suboperador.

7. Incidentes de segurança

  1. A Axven avisa o Cliente sem demora indevida e em até 48 horas depois de confirmar um incidente que afete dados do workspace dele.
  2. O aviso traz o que se souber naquele momento e é complementado depois:
    • o que aconteceu;
    • quais dados e quantos titulares foram afetados;
    • as consequências prováveis;
    • as medidas tomadas e as recomendadas.
  3. Como controlador, o Cliente decide sobre a comunicação à ANPD e aos titulares. A Axven fornece as informações necessárias para que o Cliente cumpra o prazo da regulamentação.

8. Auditoria

  1. Uma vez por ano, ou depois de um incidente, o Cliente pode pedir um questionário de segurança respondido e o resumo da última auditoria de segurança do Rastro.
  2. Auditoria presencial ou por terceiro só com aviso de 30 dias, sigilo assinado, sem acesso a dados de outros clientes e com custo do Cliente.

9. Fim do contrato

Quando o contrato termina, a Axven:

  1. mantém os dados disponíveis para exportação por 30 dias;
  2. apaga os dados em até 60 dias, inclusive nas cópias de segurança, no ciclo de rotação delas;
  3. guarda só o que a lei obriga a manter, informando o Cliente.

10. Responsabilidade

Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato, nos termos dos arts. 42 a 45 da LGPD. Os limites de responsabilidade dos Termos de Uso valem aqui, exceto quando a lei não permitir limitação.

11. Vigência

Este contrato vale enquanto houver Dados do Cliente com a Axven, mesmo depois do fim dos Termos de Uso, até a exclusão completa.

Anexo I: descrição do tratamento

Item Descrição
Titulares Contatos do Cliente (clientes e interessados) e Usuários do workspace
Categorias de dados Nome, telefone de WhatsApp, foto de perfil, e-mail; conteúdo das conversas (texto, áudio, imagem, vídeo, documento); origem do contato (anúncio, campanha, identificador do clique); dados comerciais (etapa, valor, motivo de perda, etiquetas, anotações, agendamentos)
Dados sensíveis Possíveis, conforme o nicho do Cliente (por exemplo, saúde em clínicas), quando o Contato os informa na conversa. A base legal é do Cliente (art. 11)
Finalidades Receber, guardar e enviar mensagens; organizar atendimento e funil; agendar; enviar disparos configurados pelo Cliente; responder com o agente de IA quando ligado; gerar relatórios; devolver ao Meta os eventos de funil e venda ligados ao clique no anúncio, quando o Cliente liga essa integração
Duração Enquanto durar o contrato, mais os prazos do item 9
Frequência Contínua

Anexo II: medidas de segurança

  1. Isolamento entre empresas: todo dado tem o identificador do workspace, com regra de acesso no banco (RLS) e teste automático de isolamento a cada mudança no sistema.
  2. Controle de acesso: papéis (dono, gestor, atendente), princípio do menor acesso e registro de auditoria de quem viu, exportou ou apagou dados.
  3. Criptografia: HTTPS em toda conexão; dados em repouso criptografados pelo provedor de banco; chaves de integração guardadas em cofre criptografado; senhas com hash.
  4. Integrações: conferência de assinatura em todo webhook recebido, segredo por canal e limite de requisições nas rotas públicas.
  5. Continuidade: backups diários com teste de restauração; exclusão lógica antes da definitiva.
  6. Desenvolvimento seguro: alterações de banco só por migração versionada, testes antes de publicar e auditoria de segurança antes da venda aberta e a cada fase grande.
  7. Monitoramento: registro de erros e alertas automáticos de falha e de queda de canal.
  8. Pessoas: dever de sigilo para equipe e prestadores; acesso a workspace de Cliente só com autorização ou por incidente.