Documento legal

Acordo de Tratamento de Dados Pessoais — Lia

Versão 1.0 — vigente a partir de 04/09/2026

Este Acordo de Tratamento de Dados Pessoais ("DPA") disciplina o tratamento de dados pessoais entre a RIA SYSTEMS LTDA, CNPJ 50.936.395/0001-07 ("RIA"), e a pessoa física ou jurídica que contrata a Lia ("CONTRATANTE"), nos termos da Lei nº 13.709/2018 (LGPD).

Este DPA integra os Termos de Uso da Lia, publicados em https://lia.im/termos, e deve ser lido em conjunto com a Política de Privacidade, publicada em https://lia.im/privacidade. Havendo conflito com os Termos de Uso quanto a proteção de dados pessoais, prevalece este DPA.

1. Objeto e âmbito

1.1. Este DPA disciplina o tratamento de dados pessoais decorrente da licença de uso da Plataforma e da operação técnica da assistente Lia, e vincula as Partes durante toda a vigência da contratação e enquanto perdurar qualquer tratamento a ela relacionado.

1.2. Os termos iniciados em maiúscula não definidos aqui têm o significado que lhes é dado nos Termos de Uso.

1.3. Este DPA é publicado e versionado. Alterações materiais observam o aviso prévio de 30 dias previsto na Cláusula 19 dos Termos de Uso.

2. Papéis das Partes por fluxo de dados

2.1. Fluxo A — Dados do atendimento. Mensagens, áudios, imagens, documentos, dados de contato, dados de casos e demais informações das pessoas atendidas pela Assistente ("Clientes Finais"), que podem incluir dados pessoais sensíveis (art. 11 da LGPD) e informações protegidas por sigilo profissional (art. 7º, II, da Lei nº 8.906/94).

Controladora: a CONTRATANTE, que determina as finalidades e os meios essenciais do tratamento e é a responsável profissional pelo sigilo.
Operadora: a RIA, que trata os dados em nome, por conta e conforme instruções documentadas da CONTRATANTE, exclusivamente para a operação técnica da Assistente.

2.2. Fluxo B — Dados cadastrais e de faturamento da CONTRATANTE e de seus representantes e usuários operadores. Controladora: a RIA, para gestão contratual, faturamento e relacionamento, na forma da Política de Privacidade.

2.3. Fluxo C — Registros de acesso, telemetria e logs operacionais da Plataforma. Controladora: a RIA, para segurança da informação, prevenção a fraude, rastreabilidade e funcionamento do serviço, sob minimização e retenção limitada, com fundamento no legítimo interesse (art. 7º, IX) e na obrigação legal de guarda de registros (art. 15 da Lei nº 12.965/2014).

2.4. Fluxo D — Integrações com sistemas de terceiros contratados pela CONTRATANTE. A RIA atua como operadora, limitada ao transporte e à conexão de dados entre a Plataforma e os sistemas indicados pela CONTRATANTE, conforme a configuração por ela definida. Cada fornecedor integrado responde pela própria conformidade quanto ao tratamento que realiza em seu ambiente.

2.5. Ambientes contratados diretamente pela CONTRATANTE. A conta junto ao Provedor de IA e o WABA junto à Meta são contratados pela CONTRATANTE em nome próprio, que a eles aderiu diretamente. A transmissão de dados do Fluxo A para esses ambientes é ato de tratamento executado pela RIA na qualidade de operadora, conforme instrução da CONTRATANTE. O tratamento posterior, dentro do ambiente do fornecedor, rege-se pelos termos e políticas que a CONTRATANTE aceitou ao contratar a conta, os quais não decorrem deste DPA e não são por ele modificados, competindo à CONTRATANTE verificar e configurar as opções disponíveis, inclusive quanto a retenção e a uso de conteúdo para aprimoramento de modelos.

3. Delimitação e estabilidade do papel de operadora

3.1. Quanto ao Fluxo A, a RIA atua exclusivamente como operadora, tratando dados apenas mediante instruções documentadas da CONTRATANTE e nos estritos limites necessários à operação técnica da Assistente, sem definir finalidades ou meios essenciais do tratamento, que competem com exclusividade à CONTRATANTE.

3.2. A definição das diretrizes, fluxos, tom, públicos, gatilhos, limites de atuação e conteúdos da Assistente constitui instrução da CONTRATANTE, ainda que operacionalizada tecnicamente pela RIA a partir de recursos, sugestões ou modelos por esta disponibilizados, os quais somente ingressam em produção após a validação prevista na Cláusula 4.

3.3. Nenhuma atividade de configuração, sugestão de modelo, otimização técnica, correção ou apoio prestado pela RIA será interpretada como definição autônoma de finalidade ou de meios essenciais, nem descaracterizará o seu papel de operadora.

3.4. Caso, em concreto, o tratamento venha a ser reputado de controladoria conjunta, a responsabilidade entre as Partes será repartida na proporção da efetiva ingerência de cada uma sobre finalidade e meios, respondendo cada Parte pelos atos que tiver praticado.

3.5. Eventual tratamento que a RIA venha a realizar para finalidade própria configura assunção autônoma de controladoria quanto àquele tratamento específico e isolado, não contaminando nem descaracterizando seu papel de operadora nos demais tratamentos deste DPA.

4. Instruções documentadas, validação e alterações de configuração

4.1. Constituem instruções documentadas da CONTRATANTE: as diretrizes e configurações validadas na implantação; os registros de aceite eletrônico; as solicitações formalizadas pelos canais oficiais de suporte e relacionamento; e as configurações realizadas pela própria CONTRATANTE no painel.

4.2. Validação inicial. As diretrizes de atendimento, os fluxos, os limites de atuação e as integrações ativadas são validados pela CONTRATANTE antes da entrada em produção, com registro no Termo de Aceite de Implantação ou em registro eletrônico equivalente.

4.3. Ajustes no curso da operação. Dentro das diretrizes validadas, a RIA realiza ajustes técnicos, correções, atualizações e otimizações de configuração sem necessidade de nova validação, e a própria Assistente atualiza sua configuração operacional no curso do atendimento, incorporando informações, preferências e correções obtidas na interação. Alterações que modifiquem de forma relevante o escopo de atuação, os limites, o tom ou as ações autorizadas da Assistente são previamente comunicadas à CONTRATANTE e dependem de aceite por meio eletrônico idôneo.

4.4. Supervisão. A CONTRATANTE supervisiona a operação pelo painel, pelo histórico de conversas e pelos relatórios disponibilizados, e obriga-se a comunicar prontamente à RIA qualquer comportamento em desacordo com as diretrizes validadas, para correção.

4.5. A RIA informará a CONTRATANTE quando entender que uma instrução recebida viola a LGPD ou outra norma de proteção de dados, podendo suspender a sua execução até esclarecimento. Instrução não documentada não vincula a RIA.

4.6. A RIA registra as configurações validadas e as instruções recebidas, servindo tais registros como prova da autoria das diretrizes e do cumprimento das instruções (art. 16, III, da LGPD).

5. Descrição do tratamento realizado pela RIA como operadora

5.1. Natureza e finalidade. Recepção, transmissão, armazenamento, processamento, indexação, transcrição, organização e devolução de dados pessoais, exclusivamente para viabilizar a operação técnica da Assistente contratada pela CONTRATANTE.

5.2. Categorias de titulares. Clientes e potenciais clientes da CONTRATANTE, seus representantes, partes e terceiros mencionados nas interações e nos documentos enviados.

5.3. Categorias de dados. Dados de identificação e contato; conteúdo de mensagens de texto, áudio, imagem e documento; dados de casos, processos e cobranças; dados eventualmente sensíveis, notadamente de saúde; e dados protegidos por sigilo profissional.

5.4. Descrição das operações e dos ambientes. Para transparência e para permitir à CONTRATANTE avaliar o tratamento, a RIA declara que, na arquitetura vigente:

as mensagens do atendimento e os dados de contato são armazenados em banco de dados mantido pela RIA, que constitui a base de registro da operação;
a Assistente opera em ambiente computacional dedicado à CONTRATANTE, no qual residem a configuração, a memória operacional e as Sessões Autenticadas;
áudios recebidos são transcritos por serviço de transcrição contratado pela RIA;
cópias de segurança da memória operacional e das bases de contato são mantidas em armazenamento de objetos sob controle da RIA;
as configurações e diretrizes de operação de cada ambiente são versionadas em repositório privado sob controle da RIA;
a infraestrutura da RIA está hospedada fora do Brasil, conforme a Cláusula 9;
a geração das respostas e a mensageria ocorrem nas contas contratadas pela CONTRATANTE, na forma da Cláusula 2.5.

5.5. Os fornecedores correspondentes a cada uma dessas operações constam da relação publicada em https://lia.im/privacidade#fornecedores.

5.6. Duração. O tratamento perdura enquanto vigente a contratação e, após o término, pelos prazos da Cláusula 8.

6. Subprocessadores

6.1. A CONTRATANTE autoriza a RIA a contratar subprocessadores para a execução do tratamento, mantendo-se a RIA integralmente responsável perante a CONTRATANTE pelos atos deles.

6.2. A relação atualizada de subprocessadores, com função, categorias de dados e país de processamento, é publicada em https://lia.im/privacidade#fornecedores.

6.3. A inclusão de novo subprocessador será comunicada à CONTRATANTE com antecedência razoável. A CONTRATANTE poderá objetar, por motivo fundado de proteção de dados, no prazo de 15 dias da comunicação; não havendo solução técnica alternativa, qualquer das Partes poderá encerrar a contratação sem ônus.

6.4. A RIA obriga-se a impor a cada subprocessador obrigações de proteção de dados equivalentes às deste DPA, no que aplicável à parcela de tratamento que lhe é confiada.

7. Segurança da informação

7.1. A RIA adota e mantém medidas técnicas e administrativas compatíveis com a sensibilidade dos dados e com os padrões de mercado, entre elas:

criptografia em trânsito e, onde aplicável, em repouso;
ambiente computacional dedicado e isolado por cliente, sem compartilhamento entre contratantes;
controle de acesso por credencial individual, com menor privilégio e revisão periódica;
registro de operações e de acessos administrativos;
atualização e correção periódica dos sistemas;
cópias de segurança e procedimentos de recuperação;
tratamento restrito das credenciais e Sessões Autenticadas residentes no ambiente dedicado, utilizadas exclusivamente para a operação contratada;
vinculação de todo o pessoal a dever de confidencialidade e orientação quanto ao sigilo profissional aplicável aos dados dos clientes da CONTRATANTE.

7.2. A CONTRATANTE reconhece que a descrição acima é intencionalmente sintética, para não expor a superfície de ataque, e que o detalhamento é disponibilizado na forma da Cláusula 11.

7.3. As medidas podem ser atualizadas para acompanhar a evolução tecnológica, sem redução do nível de proteção.

8. Devolução e eliminação de dados

8.1. Ao término da contratação:

(a) cessa imediatamente a operação da Assistente;
(b) a RIA preserva os dados do Fluxo A, em cópia segura e com acesso restrito, pelo prazo de 30 dias corridos, exclusivamente para viabilizar a exportação e a devolução à CONTRATANTE, em formato interoperável;
(c) findo esse prazo, a RIA desprovisiona o ambiente dedicado, revoga ou elimina as Sessões Autenticadas e as credenciais de integração nele residentes;
(d) a RIA elimina ou anonimiza os dados do Fluxo A existentes em sua camada de operação em até 90 dias corridos contados do término, mediante procedimento documentado, que pode envolver etapas manuais;
(e) cópias de segurança podem permanecer até a sobrescrita ou o expurgo do respectivo ciclo técnico, observado o prazo máximo indicado na Política de Privacidade, permanecendo sujeitas às medidas de segurança deste DPA e vedado qualquer acesso para finalidade diversa da recuperação de desastre.

8.2. A pedido da CONTRATANTE durante a vigência, mediante instrução documentada, a RIA eliminará ou anonimizará dados específicos do Fluxo A existentes em sua camada, em até 30 dias corridos, ressalvadas as retenções da Cláusula 8.3 e observado que a eliminação pode depender de execução manual e de verificação, das quais a RIA prestará conta à CONTRATANTE.

8.3. Retenções admitidas. Ainda que solicitada a eliminação, a RIA poderá reter:

(i) registros mínimos de auditoria e de segurança, pelo prazo legal (art. 16, I, da LGPD);
(ii) as configurações validadas e os registros de autoria das diretrizes, pelo prazo necessário ao exercício regular de direitos e à comprovação de responsabilidades (arts. 16, III, e 7º, IX, da LGPD), com acesso restrito, sob minimização e sem abranger o conteúdo integral das interações;
(iii) dados cujo tratamento seja exigido por obrigação legal ou regulatória.

8.4. Limite da eliminação. A eliminação abrange apenas a camada da RIA. Dados residentes nas contas contratadas pela CONTRATANTE junto ao Provedor de IA, à Meta e a demais fornecedores devem ser eliminados por ela diretamente junto a esses fornecedores, e a RIA não responde por sua persistência nesses ambientes, prestando o apoio técnico que estiver ao seu alcance.

8.5. Declaração de eliminação. Concluído o procedimento, a RIA emitirá, mediante solicitação, declaração indicando o escopo, a data e as retenções remanescentes com o respectivo fundamento.

8.6. A devolução dos dados ao término e o apoio ao atendimento de requisições de titulares estão inclusos no serviço, sem custo adicional. Exportações em massa, recorrentes, em formato específico ou de grande volume solicitadas durante a vigência por conveniência da CONTRATANTE, bem como eliminações customizadas com relatório específico, constituem serviço extraordinário, contratável por ordem de serviço, informados previamente escopo, prazo e valor.

9. Transferência internacional

9.1. A infraestrutura da RIA e parte de seus subprocessadores processam dados fora do Brasil, principalmente nos Estados Unidos. Há, portanto, transferência internacional de dados pessoais na camada da RIA, inclusive quanto ao Fluxo A.

9.2. As transferências ocorrem com fundamento no art. 33 da LGPD, mediante os instrumentos de transferência disponibilizados pelos respectivos fornecedores — cláusulas contratuais padrão ou instrumentos equivalentes — e as garantias contratuais e técnicas por eles ofertadas. A evidência aplicável a cada subprocessador é disponibilizada à CONTRATANTE mediante solicitação.

9.3. Quanto aos ambientes contratados diretamente pela CONTRATANTE (Cláusula 2.5), as salvaguardas são as pactuadas entre ela e esses fornecedores.

9.4. A CONTRATANTE declara ciência de que a arquitetura vigente envolve processamento fora do Brasil e de que exigência de restrição ao território nacional deve ser tratada previamente com a RIA, por implicar alteração de arquitetura.

10. Incidentes de segurança

10.1. A RIA comunicará à CONTRATANTE incidente de segurança envolvendo dados pessoais do Fluxo A sem demora injustificada e, no máximo, em 24 horas contadas da ciência, com as informações então disponíveis.

10.2. A comunicação conterá, na medida do conhecido: a natureza do incidente, as categorias e o número aproximado de titulares e de registros afetados, as consequências prováveis, as medidas adotadas e as recomendadas, e o contato para informações adicionais. Informações complementares serão prestadas à medida que apuradas.

10.3. Cabe à CONTRATANTE, na qualidade de controladora, decidir sobre a comunicação à ANPD e aos titulares e realizá-la, prestando a RIA o apoio razoável e tempestivo.

10.4. A RIA manterá registro dos incidentes e das medidas adotadas, e adotará imediatamente as providências de contenção, erradicação e recuperação ao seu alcance.

11. Direitos dos titulares, apoio e demonstração de conformidade

11.1. Requisições de titulares relativas ao Fluxo A serão encaminhadas pela RIA à CONTRATANTE, na qualidade de controladora, em até 5 dias úteis do recebimento. A RIA não atenderá tais requisições por conta própria, salvo instrução da CONTRATANTE ou determinação legal ou de autoridade.

11.2. A RIA prestará apoio razoável e sem custo adicional ao atendimento das requisições, executando, mediante instrução documentada da CONTRATANTE, as operações de acesso, correção, portabilidade, anonimização ou eliminação ao seu alcance, em até 15 dias corridos, informando quando a operação depender de execução manual ou de fornecedor terceiro.

11.3. A RIA auxiliará a CONTRATANTE, na medida do razoável e com as informações de que dispuser, na elaboração de relatório de impacto à proteção de dados pessoais e no atendimento a requisições da ANPD.

11.4. Auditoria. Mediante solicitação escrita, no máximo uma vez por ano civil, a RIA disponibilizará relatório sobre suas medidas técnicas e organizacionais. Auditoria presencial ou por terceiro independente depende de acordo prévio quanto a escopo, prazo e custos, que correrão por conta da solicitante, preservados segredo de negócio, segurança da informação e dados de outros contratantes.

12. Finalidade e vedações

12.1. A RIA tratará os dados somente para executar o contrato, sendo vedado o uso para finalidade própria diversa, a comercialização e o enriquecimento de base, ressalvados a telemetria minimizada do Fluxo C e o cumprimento de obrigação legal.

12.2. A RIA não utilizará os dados do Fluxo A para qualquer finalidade própria, inclusive treinamento, desenvolvimento ou aprimoramento de modelos de inteligência artificial, enriquecimento de base, análise comercial ou desenvolvimento de produto.

12.3. É igualmente vedado utilizar os dados do Fluxo A, inclusive em forma anônima, agregada ou derivada, para criar, desenvolver, treinar ou aprimorar quaisquer modelos de inteligência artificial, ressalvado o ajuste fino de modelo destinado ao uso exclusivo da CONTRATANTE, quando por ela solicitado.

12.4. Quanto aos ambientes contratados pela CONTRATANTE, a configuração das opções de retenção e de uso de conteúdo pelo fornecedor é dever dela, na forma da Cláusula 6.9 dos Termos de Uso.

13. Obrigações da CONTRATANTE como controladora

13.1. A CONTRATANTE obriga-se a:

(a) determinar finalidades e bases legais adequadas para os tratamentos que instrui, inclusive quanto a dados sensíveis (art. 11 da LGPD);
(b) prestar aos titulares as informações exigidas pela LGPD, inclusive quanto ao uso de sistema automatizado no atendimento e à sua política de identificação da Assistente;
(c) fornecer apenas dados lícitos e necessários, observada a minimização;
(d) definir, validar e supervisionar as diretrizes de operação da Assistente;
(e) atender às requisições dos titulares e às demandas da ANPD relativas ao Fluxo A;
(f) configurar, em suas próprias contas, as opções de retenção e de uso de conteúdo e os limites de permissão;
(g) manter o dever de sigilo profissional que sobre ela recai, avaliando a compatibilidade do tráfego de dados sigilosos com os ambientes dos fornecedores por ela contratados.

14. Responsabilidade

14.1. A responsabilidade decorrente deste DPA observa os limites da Cláusula 18 dos Termos de Uso, inclusive o sublimite específico para violação de sigilo ou de proteção de dados, ressalvadas as hipóteses de dolo, culpa grave e fraude.

14.2. Havendo concorrência de condutas ou de falhas de configuração, instrução ou supervisão, cada Parte responde na proporção de sua culpa.

14.3. A RIA, na qualidade de operadora, responde solidariamente perante titulares apenas nas hipóteses do art. 42, § 1º, II, da LGPD, afastada a responsabilidade quando comprovar o cumprimento de instruções documentadas e de suas obrigações de segurança (art. 43 da LGPD).

15. Vigência

15.1. Este DPA vigora enquanto vigente a contratação e, após o término, enquanto perdurar qualquer tratamento dele decorrente, permanecendo aplicáveis as Cláusulas 7, 8, 9, 10, 12 e 14 até a completa eliminação dos dados.

RIA SYSTEMS LTDA

Versão 1.0 — vigente a partir de 04/09/2026 — publicada em https://lia.im/dpa

Encarregado pelo tratamento de dados pessoais: [email protected]