Anexo ao Contrato de Prestação de Serviços — Última atualização: 29/06/2026
Este Acordo de Tratamento de Dados ("DPA") integra o Contrato de Prestação de Serviços firmado entre o CLIENTE ("Controlador") e a Fortis Terra ("Operador"), e regula o tratamento de dados pessoais realizado pela Fortis Terra por conta e ordem do Controlador no âmbito da Plataforma (Governance OS e AI Control Plane), em conformidade com a LGPD (Lei nº 13.709/2018). Em caso de conflito quanto à proteção de dados, este DPA prevalece sobre o Contrato e sobre a Política de Privacidade.
O Controlador define as finalidades e os meios do tratamento e é responsável pela licitude da coleta e pela base legal dos dados que insere na Plataforma. A Fortis Terra atua exclusivamente como Operador, tratando dados conforme as instruções documentadas do Controlador e este DPA. Quando a Fortis Terra determinar finalidades próprias (ex.: faturamento, segurança), atuará como Controladora para esses fins específicos, regida pela sua Política de Privacidade.
| Item | Descrição |
|---|---|
| Objeto | Tratamento de dados pessoais para prestação dos serviços de governança de IA |
| Natureza | Coleta, armazenamento, interceptação em runtime, inspeção, classificação, detecção/redação de PII, logging, geração de evidências de auditoria, eliminação |
| Finalidade | Operacionalizar a governança de IA do Controlador (inventário, risk scoring, enforcement de políticas, trilha de auditoria) |
| Duração | Vigência do Contrato + período de retenção legal |
| Categorias de titulares | A definir pelo Controlador (ex.: funcionários, clientes finais, candidatos) |
| Categorias de dados | A definir: dados de identificação, conteúdo de prompts/outputs, PII detectada, metadados |
| Dados sensíveis | Indicar se aplicável; em regra, evitar; se houver, prever medidas reforçadas |
A Fortis Terra compromete-se a: (a) tratar dados somente conforme instruções documentadas do Controlador; (b) garantir confidencialidade, vinculando seus colaboradores e prestadores; (c) implementar medidas técnicas e organizacionais de segurança adequadas (item 7); (d) auxiliar o Controlador no atendimento aos direitos dos titulares; (e) auxiliar no cumprimento dos arts. 48 e 49 da LGPD (incidentes e segurança); (f) auxiliar na elaboração de Relatórios de Impacto à Proteção de Dados (RIPD) e, no contexto de IA, de Avaliações de Impacto Algorítmico (AIA) previstas no PL 2338/2023, quando aplicável; (g) eliminar ou devolver os dados ao término do contrato; e (h) disponibilizar informações necessárias para demonstrar conformidade e permitir auditorias.
O Controlador instrui a Fortis Terra a tratar os dados exclusivamente para as finalidades previstas no Contrato e neste DPA. Qualquer tratamento adicional exigirá instrução adicional documentada. A Fortis Terra informará ao Controlador caso entenda que uma instrução viola a LGPD.
O Controlador autoriza, de forma geral, a contratação de suboperadores, listados no Anexo II. A Fortis Terra: (a) impõe aos suboperadores obrigações de proteção equivalentes às deste DPA; (b) permanece responsável perante o Controlador pelos atos dos suboperadores; e (c) comunicará alterações relevantes, facultando objeção fundamentada ao Controlador.
| Suboperador | Função | Localização / observação |
|---|---|---|
| Amazon Web Services (AWS) | Infraestrutura em nuvem e Amazon Bedrock (inferência de modelos de IA) | Região: sa-east-1 (São Paulo, Brasil) |
| Anthropic | Provedor de modelos de IA (Claude) acessados via Amazon Bedrock | Dados de inferência não armazenados nem utilizados para treinamento |
A Fortis Terra adota, no mínimo: criptografia em trânsito e em repouso; controle de acesso baseado em função (RBAC) e princípio do menor privilégio; segregação de ambientes; logging imutável e trilha de auditoria; detecção e redação de PII em runtime; gestão de vulnerabilidades; backup e plano de continuidade; avaliação periódica das medidas; hospedagem com residência de dados no Brasil (AWS sa-east-1); e garantia contratual de que dados de inferência (prompts/outputs) não são retidos nem utilizados para treinamento de modelos pelo provedor de IA. Detalhamento técnico no Anexo I.
A Fortis Terra notificará o Controlador sem demora injustificada (e em até 48 horas) após tomar conhecimento de incidente que envolva dados pessoais tratados sob este DPA, fornecendo as informações do art. 48, §1º da LGPD para que o Controlador avalie a comunicação à ANPD e aos titulares. A responsabilidade pela notificação à ANPD e aos titulares é do Controlador, com cooperação da Fortis Terra.
A Fortis Terra auxiliará o Controlador a responder solicitações de titulares por meio de recursos técnicos apropriados. Solicitações recebidas diretamente pela Fortis Terra serão encaminhadas ao Controlador sem demora, e não serão respondidas diretamente, salvo instrução do Controlador.
O processamento de dados é realizado no Brasil (AWS sa-east-1). Eventuais acessos a partir do exterior por parte de fornecedores de infraestrutura para fins de suporte, operação ou manutenção observam as salvaguardas dos arts. 33 a 36 da LGPD, mediante cláusulas-padrão contratuais, decisão de adequação ou outras garantias reconhecidas pela ANPD, informadas ao Controlador.
A Fortis Terra disponibilizará ao Controlador relatórios, certificações (ex.: ISO/IEC 42001, quando aplicável) e evidências para demonstrar conformidade, e permitirá auditorias com aviso prévio razoável, periodicidade limitada e proteção de informações confidenciais e de outros clientes.
Considerando a natureza da Plataforma: (a) a Fortis Terra fornece ferramentas de classificação de risco, evidências e enforcement, mas a classificação final dos sistemas de IA e as decisões de governança são de responsabilidade do Controlador; (b) a Fortis Terra não realiza decisões automatizadas com efeitos jurídicos sobre titulares por conta própria; (c) as partes cooperarão para readequação caso o PL 2338/2023 seja sancionado, incluindo eventual cadastro no SIA, elaboração de AIA e demais obrigações que venham a vigorar, mediante aditivo se necessário.
Ao término do Contrato, a Fortis Terra, conforme escolha do Controlador, devolverá ou eliminará os dados pessoais e cópias existentes em até 30 dias, salvo obrigação legal de retenção, hipótese em que manterá os dados protegidos e isolados.
Cada parte responde pelos danos que causar em razão do descumprimento da LGPD ou deste DPA, observado o regime de responsabilidade dos arts. 42 a 45 da LGPD. As limitações de responsabilidade do Contrato aplicam-se a este DPA, ressalvado o que a lei não permitir limitar.
Este DPA vigora enquanto houver tratamento de dados sob o Contrato. Alterações serão formalizadas por aditivo. Aplicam-se as leis brasileiras, com foro de Brasília/DF. Anexos: I – Medidas técnicas e organizacionais de segurança; II – Lista de suboperadores; III – Categorias de dados e titulares.