Acordo de Tratamento de Dados Pessoais

Registro de alterações

1. Partes e papéis

1.1. Controlador do tratamento (titular do banco de dados pessoais): o Cliente, que decide a finalidade e o conteúdo dos dados que carrega no XEN.

1.2. Operador do tratamento: Xeneural Technologies E.I.R.L., RUC 20606521261.

1.3. A Xeneural não adquire titularidade sobre os dados, não os usa para fins próprios e não os utiliza para treinar modelos de inteligência artificial, próprios nem de terceiros.

2. Objeto, natureza e duração

2.1. A Xeneural trata os dados pessoais exclusivamente para prestar o Serviço XEN conforme o contrato, a configuração que o Cliente realiza na plataforma e as suas instruções escritas.

2.2. Categorias de titulares: trabalhadores, clientes, fornecedores, contatos e signatários designados pelo Cliente.

2.3. Categorias de dados: identificação, contato, trabalhistas, de frequência, econômicos e tributários, documentos e assinaturas, e os demais que o Cliente decida incorporar. Se o Cliente incorporar dados sensíveis, garante que conta com o consentimento por escrito ou a base legal que a lei exige.

2.4. Duração: a do contrato principal. As obrigações de confidencialidade, devolução e supressão sobrevivem ao seu término.

3. Instruções

3.1. A Xeneural trata os dados somente segundo as instruções documentadas do Cliente: o contrato, este Acordo, a configuração do XEN e as solicitações escritas do seu contato designado. Não trata os dados com outra finalidade nem os transfere fora do previsto aqui.

3.2. Se a Xeneural considerar que uma instrução infringe a normativa de proteção de dados, comunica-o ao Cliente de imediato e pode suspender a sua execução até que se esclareça.

3.3. Quando uma lei obrigar a Xeneural a tratar os dados de outro modo, informa o Cliente antes de fazê-lo, salvo se essa lei o proibir.

4. Obrigações da Xeneural

4.1. Confidencialidade do pessoal. Toda pessoa com acesso aos dados está sujeita a obrigação escrita de confidencialidade antes de acessá-los, recebe formação em proteção de dados ao ingressar e a cada ano, e acessa somente o necessário para a sua função. A Xeneural conserva o registro dessa formação e desses compromissos.

4.2. Medidas técnicas e organizacionais. A Xeneural aplica as medidas do Anexo de Segurança (seção 9), mantém-nas sob um sistema de gestão em conformidade com a ISO/IEC 27001:2022 e as revisa pelo menos uma vez por ano. A Xeneural pode atualizá-las desde que não reduza de forma substancial o nível de segurança do Serviço, e informa o Cliente das mudanças relevantes a seu pedido.

4.3. Assistência ao Cliente. A Xeneural assiste o Cliente no atendimento dos direitos dos titulares (encaminhamento de toda solicitação recebida em no máximo dois (2) dias úteis), nas avaliações de impacto, nas consultas à autoridade e na notificação de incidentes. O XEN permite ao Cliente acessar, retificar, exportar e suprimir dados por si mesmo.

4.4. Registro. A Xeneural mantém um registro das atividades de tratamento que realiza por conta do Cliente e de todo acesso de suporte aos seus dados, disponível mediante solicitação.

4.5. Demonstração do cumprimento. A Xeneural põe à disposição do Cliente a informação necessária para demonstrar o cumprimento deste Acordo e da normativa aplicável.

5. Incidentes de segurança

5.1. "Incidente de Segurança" é toda violação da segurança da Xeneural ou dos seus suboperadores que provoque, de forma acidental ou ilícita, a destruição, perda, alteração, comunicação ou acesso não autorizados aos dados pessoais tratados por conta do Cliente; não o são as tentativas malsucedidas que não comprometem a sua confidencialidade, integridade nem disponibilidade. A Xeneural notifica ao Cliente todo Incidente de Segurança sem demora indevida e no máximo dentro das vinte e quatro (24) horas seguintes ao momento em que tem conhecimento razoável de que ele ocorreu, pelo e-mail do contato designado, com a informação disponível: natureza do incidente, categorias e número aproximado de titulares e de registros afetados, medidas adotadas e recomendadas, e ponto de contato.

5.2. A Xeneural completa a informação por fases, à medida que a obtém, e entrega um relatório com causa raiz, impacto e medidas corretivas em no máximo dez (10) dias úteis. A notificação ou a resposta a um Incidente de Segurança não implica reconhecimento de culpa nem de responsabilidade.

5.3. Essa notificação permite ao Cliente cumprir os seus próprios prazos perante a Autoridade Nacional de Proteção de Dados Pessoais do Peru (48 horas) ou perante a autoridade de controle que lhe corresponda (72 horas no RGPD). A Xeneural não comunica o incidente a terceiros nem ao público em nome do Cliente sem a sua autorização escrita, salvo obrigação legal própria.

6. Suboperadores

6.1. O Cliente autoriza de forma geral os suboperadores que figuram na lista pública de xeneural.com/legal/subencargados, incorporada a este Acordo, cada um vinculado por contrato escrito com obrigações equivalentes às deste Acordo.

6.2. A Xeneural publica qualquer inclusão ou substituição de um suboperador, com o seu nome, a sua finalidade e o país de tratamento, e a comunica por e-mail aos assinantes do aviso, com pelo menos trinta (30) dias de antecedência ao seu acesso aos dados. Dentro desse prazo, o Cliente pode objetar por escrito indicando motivos razoáveis relacionados à proteção de dados. A Xeneural responde em no máximo dez (10) dias úteis com uma destas opções: (i) não usar esse suboperador para os dados do Cliente; (ii) propor uma configuração que o evite; ou (iii) se nenhuma for viável, reconhecer ao Cliente o direito de rescindir o serviço afetado sem penalidade e com devolução do que pagou antecipadamente. Se o Cliente não objetar dentro do prazo, entende-se que aceita o suboperador.

6.3. A Xeneural responde perante o Cliente pelos atos e omissões dos seus suboperadores como se fossem próprios.

7. Transferências internacionais

7.1. Os dados são tratados nestes locais, segundo a finalidade: hospedagem do aplicativo, do banco de dados e dos documentos nos Estados Unidos da América; entrega e proteção do tráfego na rede global do provedor de borda, com cópias temporárias em cache; e respostas do XENI na infraestrutura global do Google. Cada suboperador figura na lista com a sua localização. Para clientes do Peru, a Xeneural comunica o fluxo transfronteiriço ao Registro Nacional de Proteção de Dados Pessoais e entrega ao Cliente a ficha necessária para que inscreva ou atualize o seu próprio banco de dados.

7.2. Para clientes do Espaço Econômico Europeu, do Reino Unido ou da Suíça, as Partes incorporam sem modificações as cláusulas contratuais-tipo da Comissão Europeia (Decisão 2021/914, módulo dois, controlador para operador) e, quando corresponder, o adendo do Reino Unido, com os anexos preenchidos com a informação deste Acordo e da lista de suboperadores.

7.3. A Xeneural não transfere a hospedagem dos dados para fora dos locais indicados sem o consentimento escrito prévio do Cliente e sem as garantias que a lei exigir.

8. Direitos de auditoria

8.1. O Cliente, por si ou por um auditor independente sujeito a confidencialidade, pode auditar o cumprimento deste Acordo uma vez por ano e, além disso, quando existir um incidente que afete os seus dados ou uma exigência de uma autoridade, com trinta (30) dias de aviso, em horário comercial, sobre documentação, configuração e controles, sem acesso a dados de outros clientes.

8.2. Os relatórios de certificação (ISO/IEC 27001) e os resumos executivos de teste de intrusão e de auditoria interna satisfazem a auditoria salvo indício razoável de descumprimento. Enquanto a certificação estiver em processo, a Xeneural entrega o estado documentado do seu sistema de gestão e o seu plano com datas.

8.3. Este direito sobrevive ao término enquanto a Xeneural conservar dados do Cliente.

9. Anexo de Segurança: medidas técnicas e organizacionais

10. Devolução e supressão

10.1. Após o término, o Cliente dispõe de trinta (30) dias para exportar os seus dados em formatos abertos com dicionário de dados. À sua escolha, a Xeneural entrega uma exportação completa em no máximo dez (10) dias úteis desde a solicitação.

10.2. A Xeneural suprime os dados dos sistemas ativos em no máximo trinta (30) dias após esse prazo e das cópias de backup em no máximo noventa (90) dias, e o certifica por escrito a pedido do Cliente.

10.3. Os registros com obrigação legal de conservação (comprovantes de pagamento, lançamentos contábeis, folhas de pagamento: cinco anos no Peru) são mantidos em arquivo com acesso restrito e verificação de integridade, e suprimidos ao vencer o prazo legal.

11. Responsabilidade

Cada Parte responde pelos danos que causar por descumprimento deste Acordo ou da normativa de proteção de dados, e a Xeneural responde pelos seus suboperadores. A responsabilidade derivada deste Acordo está sujeita ao limite reforçado dos Termos de Serviço: duas (2) vezes o valor pago pelo Cliente durante os doze (12) meses anteriores ao primeiro fato que deu origem à reclamação. Esse limite não se aplica ao dolo nem à culpa grave (artigo 1328 do Código Civil).

12. Designações e contato

A Xeneural designou em 21 de setembro de 2026 o seu Titular-Gerente como Encarregado de Dados Pessoais. Contato: privacy@xeneural.com. Contato de segurança e incidentes: security@xeneural.com.

13. Vigência

Desde a aceitação dos Termos de Serviço ou a assinatura deste documento, e enquanto durar o contrato principal. As seções 4.1, 5, 8, 10 e 11 sobrevivem ao término.

Assinaturas, quando formalizado como documento separado: pelo Cliente, o seu representante autorizado, com nome, cargo e data; pela Xeneural Technologies E.I.R.L., o seu Titular-Gerente.