1. Partes e papéis
Este acordo é feito entre a empresa cliente do Pórtico, a controladora, e a Aetos Lab, razão social a informar, CNPJ a informar, com sede em a informar. A Aetos Lab é a operadora.
Controlador é quem toma as decisões sobre o tratamento, e operador é quem trata os dados em nome dele (art. 5º, VI e VII, da Lei nº 13.709/2018, a LGPD). O operador segue as instruções do controlador (art. 39).
Este acordo faz parte dos Termos de Uso e vale para os dados dos leads. Para os dados da conta, como usuários, cobrança e registros de acesso, a Aetos Lab é controladora, e vale a Política de Privacidade. Em assunto de dados dos leads, este acordo prevalece sobre os Termos.
2. Objeto do tratamento
A Aetos Lab trata os dados dos leads só para prestar o Pórtico ao cliente, assim:
- Natureza: coleta em fontes públicas e nos canais do próprio cliente, organização, guarda cifrada, qualificação por IA, preparo de abordagens, envio pelo portão de envio e eliminação.
- Finalidades: as que o cliente aprovar na anamnese, cada uma com a sua LIA, como prospecção de empresas, prospecção de pessoas que mostraram interesse em público, atendimento de quem pediu contato e relacionamento com quem interagiu com as contas do cliente.
- Titulares: pessoas que representam empresas e cujos contatos foram publicados por elas, MEI e empresários individuais, pessoas que pediram contato ao cliente, pessoas que interagiram com as contas dele e pessoas que mostraram em público interesse no que ele vende.
- Dados de empresas: nome, site, endereço comercial, segmento, CNPJ e contato publicado pela própria empresa, com o endereço e a prova de onde estava.
- Dados de quem mostrou interesse em público: só o que a pessoa publicou, isto é, o nome ou o @ como aparece, a rede, o link e um trecho do post, a intenção, a cidade se ela mesma disse, e a data.
- Dados de quem pediu contato ou interagiu: o que a pessoa deu ao cliente, o histórico das conversas, os consentimentos e os pedidos de saída.
- Resultados: a nota de 0 a 100 com a explicação, o funil e as tarefas da equipe.
- Duração: enquanto o contrato durar, mais o prazo de exportação do fim do contrato.
3. O que nunca é tratado
O Pórtico é desenhado para não tratar:
- dados sensíveis, como saúde, religião, opinião política, vida sexual, origem racial e biometria: são descartados na hora (art. 11 da LGPD);
- dados de crianças e adolescentes: são descartados na hora (art. 14 da LGPD);
- fotos de pessoas, documentos e dados de cartão;
- e-mail ou telefone de pessoa buscado fora do lugar em que ela publicou, nem perfis de redes diferentes juntados.
4. Instruções do controlador
As instruções do cliente são estes termos, a anamnese, as LIAs aprovadas e os ajustes que ele faz no Pórtico, como filtros, limites, modelos de mensagem e prazos de guarda. A Aetos Lab trata os dados só conforme essas instruções.
O motor não roda uma finalidade sem a LIA dela aprovada pelo cliente. A Aetos Lab não aprova LIA pelo cliente.
Se uma instrução parecer contrária à LGPD, a Aetos Lab avisa o cliente e pode deixar de cumpri-la até o assunto ser resolvido.
O cliente dá desde já estas instruções fixas, que valem enquanto o contrato durar:
- aplicar na hora, em todos os canais do cliente, todo pedido de saída, inclusive os recebidos pela Aetos Lab;
- apagar as pessoas que mostraram interesse em público e não responderam em 90 dias, ou em até 180 dias quando o cliente estender, com registro;
- descartar na hora dados sensíveis e de crianças e adolescentes;
- segurar no portão de envio toda mensagem que não passe pelas listas de bloqueio, pela base legal ou consentimento, pelo horário, pela frequência e pelo aviso de primeiro contato.
5. Obrigações do controlador
Cabe ao cliente, como controlador:
- ter base legal para cada finalidade (arts. 7º e 10 da LGPD) e aprovar as LIAs com cuidado;
- dar transparência aos titulares, com aviso de privacidade próprio e identificação no primeiro contato;
- indicar encarregado ou canal para os titulares, como a lei pedir;
- responder aos pedidos dos titulares nos prazos legais;
- importar só dados com base legal comprovada;
- elaborar o relatório de impacto à proteção de dados quando a lei ou a ANPD exigir (arts. 10 e 38 da LGPD);
- dar instruções lícitas e manter a anamnese verdadeira.
6. Confidencialidade
Só acessa os dados dos leads quem precisa, e todos assinam dever de sigilo. Pessoas da Aetos Lab só entram na conta do cliente para suporte, com a autorização dele, e cada entrada fica registrada na trilha de auditoria.
O dever de sigilo e de segurança continua depois do fim do contrato (art. 47 da LGPD).
7. Segurança
A Aetos Lab mantém medidas técnicas e administrativas para proteger os dados (arts. 46 a 49 da LGPD), entre elas:
- contatos de pessoas cifrados com AES-256-GCM, com busca por índice cego e contato mascarado na tela;
- isolamento por empresa no banco, com segurança em nível de linha;
- verificação em duas etapas obrigatória para todos os usuários;
- trilha de auditoria que só aceita inclusão, com selo encadeado;
- registro de acessos, conexão cifrada e privilégio mínimo para o próprio aplicativo;
- segredos fora do código e revisões de segurança periódicas;
- banco de dados e processamento na região de São Paulo.
8. Suboperadores
O cliente autoriza a Aetos Lab a contratar os suboperadores da lista publicada na página Suboperadores. A Aetos Lab exige deles, por contrato, proteção equivalente à deste acordo e continua respondendo perante o cliente pelo que eles fizerem.
Para incluir ou trocar um suboperador, a Aetos Lab avisa por e-mail e na página pelo menos 30 dias antes. O cliente pode se opor com motivo razoável. Se não houver solução, ele pode encerrar o contrato sem multa e recebe de volta a parte proporcional do período pago e não usado.
WhatsApp e Instagram: a Aetos Lab é provedora de tecnologia (Tech Provider) da Meta. Quando o cliente conecta as contas dele pelo app da Aetos Lab, a Meta trata as mensagens também como prestadora direta do cliente, pelos termos que ele aceitou com ela, e cobra dele as tarifas das mensagens. Nessa parte, a Aetos Lab responde pelo que faz com os dados dentro do Pórtico e acessa as contas só com as permissões que o cliente concedeu na Meta.
9. Transferência internacional
Os dados ficam guardados em São Paulo. Alguns suboperadores são empresas dos Estados Unidos, e o acesso que eles têm aos dados conta como transferência internacional (Resolução CD/ANPD nº 19/2024).
O cliente autoriza essas transferências, que seguem o art. 33 da LGPD: para os Estados Unidos, pelas cláusulas-padrão contratuais aprovadas pela ANPD, adotadas na íntegra e sem alteração; para a União Europeia, pela decisão de adequação da Resolução CD/ANPD nº 32/2026.
A Aetos Lab entrega ao cliente, quando pedido, as informações de que ele precisa para atender um titular que peça a íntegra das cláusulas.
10. Incidentes de segurança
Se a Aetos Lab confirmar um incidente com dados dos leads, avisa o cliente sem demora, em até 24 horas da confirmação, pelo e-mail do administrador e dentro do Pórtico.
O aviso diz, no que já se souber: o que aconteceu, a data em que soubemos, os tipos de dado e o número aproximado de titulares afetados, os riscos, as medidas tomadas e quem é o contato. O que faltar é mandado assim que se souber.
É o cliente, como controlador, quem comunica a ANPD e os titulares, em até 3 dias úteis e com complemento em até 20 dias úteis, como pede a Resolução CD/ANPD nº 15/2024. A Aetos Lab ajuda com as informações e com o envio, se o cliente pedir.
A Aetos Lab mantém registro de todo incidente, comunicado ou não, por pelo menos 5 anos.
11. Apoio aos direitos dos titulares e à ANPD
O Pórtico tem ferramentas para o cliente achar um titular, mostrar, exportar, corrigir, bloquear e apagar os dados dele, e para registrar o pedido e o prazo.
Se um titular pedir algo diretamente à Aetos Lab, repassamos ao cliente em até 2 dias úteis. Pedido de saída é aplicado na hora, pela instrução fixa da seção 4.
Quando o cliente corrigir, apagar ou bloquear dados, a Aetos Lab repete a medida nos suboperadores que tiverem cópia, como pede o art. 18, § 6º, da LGPD.
A Aetos Lab mantém o registro das operações que faz em nome do cliente (art. 37 da LGPD) e o ajuda a responder à ANPD e a fazer o relatório de impacto, com as informações técnicas que tiver.
12. Retenção, devolução e eliminação
Durante o contrato, os prazos de guarda seguem as regras do Pórtico e os ajustes do cliente.
Quando o contrato termina, por cancelamento ou suspensão, o administrador tem 30 dias para exportar os dados dos leads em planilha. Depois disso, a Aetos Lab elimina os dados dos leads do banco em até 30 dias, e as cópias de segurança somem no ciclo normal de rotação delas.
Ficam só os dados que a lei manda guardar (art. 16 da LGPD), como a trilha de auditoria e as provas de cumprimento, pelo prazo legal e sem o conteúdo dos contatos. A pedido, a Aetos Lab confirma por escrito a eliminação.
13. Auditoria e comprovação
A Aetos Lab entrega ao cliente, quando pedido, as informações necessárias para comprovar o cumprimento deste acordo: a descrição das medidas de segurança, a lista de suboperadores e os registros pertinentes à conta dele.
Se essas informações não bastarem, o cliente pode fazer uma auditoria por ano, com aviso de 30 dias, por conta própria, sob sigilo e sem acesso a dados de outros clientes. A auditoria pode ser feita por questionário ou por auditor independente aceito pelas duas partes.
14. Responsabilidades
Cada parte responde pelos seus atos. A Aetos Lab responde quando descumprir a LGPD ou as instruções lícitas do cliente, caso em que se equipara ao controlador (art. 42, § 1º, I, da LGPD). Nos demais casos, quem responde pelas decisões sobre o tratamento é o cliente.
Ninguém responde quando provar uma das hipóteses do art. 43 da LGPD. Os limites dos Termos de Uso valem até onde a lei permitir.
Cada parte avisa a outra logo que souber de reclamação, processo ou pedido de autoridade sobre os dados dos leads, e as duas colaboram na resposta.
15. Vigência e contato
Este acordo vale enquanto houver tratamento de dados dos leads pela Aetos Lab, inclusive no prazo de exportação, e muda pelas mesmas regras dos Termos de Uso.
Encarregado pelo tratamento de dados pessoais: a informar, pelo e-mail a informar.