ACORDO DE PROCESSAMENTO DE DADOS (DPA)

Anexo integrante dos Termos de Uso da Plataforma OticaPro

1. PARTES, OBJETO E ENQUADRAMENTO

1.1. Partes: Este Acordo de Processamento de Dados ("DPA") é celebrado entre a Fluxium LTDA, CNPJ nº 60.123.373/0001-81, com sede na Av. Brigadeiro Faria Lima, 1811, Conj. 115, Jardim Paulistano, CEP 01.452-001, São Paulo - SP ("Fluxium" ou "Operadora"), e a Empresa Usuária identificada no cadastro da Plataforma ("Controladora").

1.2. Objeto: Este DPA regula o tratamento de Dados Pessoais realizado pela Fluxium por conta e ordem da Controladora na operação da Plataforma OticaPro, em cumprimento ao art. 39 da Lei nº 13.709/2018 (LGPD).

1.3. Integração contratual: Este DPA integra os Termos de Uso (https://dev.otica.pro/termos-de-uso) e deve ser lido em conjunto com a Política de Privacidade (https://dev.otica.pro/politica-de-privacidade). O aceite dos Termos de Uso implica aceite deste DPA.

1.4. Prevalência: Em caso de conflito entre este DPA e os Termos de Uso quanto ao tratamento de Dados Pessoais dos Titulares da Controladora, prevalece este DPA.

1.5. Enquadramento dos papéis:

(a) A Controladora determina as finalidades e os meios do tratamento dos Dados Pessoais de seus Clientes Finais. É dela a responsabilidade primária pela existência de base legal, pela obtenção de consentimento quando exigido e pelo atendimento aos direitos dos Titulares.

(b) A Fluxium atua como Operadora quanto a esses dados, tratando-os exclusivamente conforme as instruções documentadas na Cláusula 2.

(c) A Fluxium atua como Controladora — e este DPA não se aplica — quanto aos dados cadastrais, de faturamento e de acesso da própria Empresa Usuária e de seus Usuários Autorizados, e quanto aos dados de visitantes do website institucional, hipóteses regidas pela Política de Privacidade.

2. INSTRUÇÕES DOCUMENTADAS

2.1. A Fluxium tratará os Dados Pessoais exclusivamente para executar as funcionalidades contratadas, o que constitui as instruções documentadas da Controladora para os fins do art. 39 da LGPD, a saber:

(a) Receber, armazenar e exibir mensagens e arquivos trocados entre a Controladora e seus Clientes Finais nos canais integrados;

(b) Gerar respostas automatizadas de atendimento por inteligência artificial, conforme as configurações, o catálogo e as instruções definidos pela Controladora na Plataforma;

(c) Transcrever áudios, interpretar imagens e documentos enviados na conversa — incluindo prescrições — e registrar as informações resultantes no histórico do contato;

(d) Registrar, classificar e organizar contatos, oportunidades comerciais, orçamentos e agendamentos;

(e) Executar envios automatizados configurados pela Controladora (lembretes, retomada de orçamentos, reengajamento e campanhas);

(f) Sincronizar dados com o sistema de gestão (ERP) quando a integração for ativada pela Controladora;

(g) Gerar relatórios, indicadores e análises sobre a operação da própria Controladora;

(h) Prestar suporte técnico, corrigir falhas, monitorar a estabilidade e assegurar a segurança da Plataforma;

(i) Cumprir obrigação legal ou regulatória, ou atender determinação de autoridade competente.

2.2. Vedações expressas: A Fluxium não poderá:

(a) Tratar os Dados Pessoais para finalidade própria, distinta das previstas na Cláusula 2.1;

(b) Comercializar, ceder, alugar ou disponibilizar os Dados Pessoais a terceiros, salvo aos suboperadores da Cláusula 5 e nas hipóteses da Cláusula 2.1(i);

(c) Utilizar os Dados Pessoais para treinar modelos de inteligência artificial, próprios ou de terceiros. A Fluxium contrata seus provedores de IA em modalidade que veda o uso do conteúdo submetido para treinamento;

(d) Cruzar os dados de uma Controladora com os de outra, ou utilizá-los em benefício de terceiro.

2.3. Dados agregados e anonimizados: A Fluxium poderá produzir e utilizar estatísticas agregadas e anonimizadas, sem possibilidade razoável de reidentificação, para medir desempenho, dimensionar capacidade e aprimorar a Plataforma, nos termos do art. 12 da LGPD.

2.4. Instrução ilegal: Se a Fluxium entender que uma instrução da Controladora viola a legislação de proteção de dados, comunicará o fato e poderá suspender a execução da instrução até o esclarecimento, sem que isso configure inadimplemento.

3. ESCOPO DO TRATAMENTO

3.1. Natureza e finalidade: Prestação de serviço de atendimento, relacionamento e gestão comercial por meio de plataforma SaaS com inteligência artificial, conforme os Termos de Uso.

3.2. Duração: Enquanto vigente o contrato entre as Partes, observada a Cláusula 9.

3.3. Categorias de Titulares: Clientes Finais, potenciais clientes e demais pessoas naturais que interajam com a Controladora pelos canais integrados à Plataforma.

3.4. Categorias de Dados Pessoais:

Identificação e contato: nome, telefone, e-mail, CPF, data de nascimento, endereço;
Comunicação: conteúdo de mensagens, áudios, imagens e documentos trocados nos canais;
Comportamentais e comerciais: histórico de compras, orçamentos, agendamentos, preferências e interações;
Dados Pessoais Sensíveis: dados referentes à saúde (incluindo prescrições e informações clínicas fornecidas pelo Titular) e imagem facial, quando utilizadas as funcionalidades correspondentes;
Técnicos: identificadores de sessão, registros de acesso e metadados de mensagem.

3.5. Dados Sensíveis — responsabilidade da Controladora: A Controladora declara que possui base legal adequada para o tratamento de Dados Pessoais Sensíveis inseridos ou coletados por meio da Plataforma, em especial o consentimento específico e destacado do Titular (art. 11, I, da LGPD), e que obterá o consentimento de ao menos um dos pais ou responsável legal quando se tratar de dados de criança (art. 14, §1º).

3.6. A Fluxium não realiza curadoria, validação prévia ou juízo sobre a licitude dos dados inseridos pela Controladora.

4. SEGURANÇA DA INFORMAÇÃO

4.1. A Fluxium adota medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo:

(a) Criptografia em trânsito (TLS) e em repouso;

(b) Isolamento lógico dos dados por organização, com controle de acesso em nível de registro no banco de dados;

(c) Controle de acesso baseado em função e no princípio da necessidade de conhecer;

(d) Armazenamento de credenciais sensíveis em cofre criptografado, sem exposição em texto claro;

(e) Registro de auditoria dos acessos administrativos realizados por pessoal da Fluxium ao ambiente da Controladora, com identificação do responsável, data e hora;

(f) Rotinas de backup e procedimentos de recuperação;

(g) Compromisso de confidencialidade vinculante para todo o pessoal com acesso a Dados Pessoais, subsistente após o término do vínculo.

4.2. Acesso da equipe técnica: Os acessos de suporte previstos na Cláusula 4.6 dos Termos de Uso limitam-se ao estritamente necessário à finalidade técnica que os motivou e são registrados na forma da Cláusula 4.1(e).

4.3. Evolução das medidas: As medidas poderão ser atualizadas para acompanhar a evolução técnica, sem redução do nível de proteção contratado.

5. SUBOPERADORES

5.1. Autorização geral: A Controladora autoriza a Fluxium a contratar suboperadores para a execução das funcionalidades da Plataforma.

5.2. Transparência: A relação nominal e atualizada dos suboperadores, com finalidade, país de sediamento e categorias de dados envolvidas, está disponível em https://dev.otica.pro/suboperadores.

5.3. Novos suboperadores: A inclusão ou substituição de suboperador será comunicada à Controladora com antecedência mínima de 30 (trinta) dias corridos, por e-mail ou aviso na Plataforma, salvo se a contratação decorrer de necessidade urgente de segurança ou continuidade do serviço, hipótese em que a comunicação será imediata.

5.4. Direito de oposição: A Controladora poderá se opor de forma fundamentada, por escrito, dentro do prazo de comunicação. Não sendo possível uma solução alternativa razoável, a Controladora poderá rescindir o contrato sem ônus quanto ao período não usufruído, sendo esta a única consequência da oposição.

5.5. Responsabilidade: A Fluxium impõe contratualmente a seus suboperadores obrigações de proteção de dados não menos protetivas que as deste DPA e responde perante a Controladora pelo cumprimento dessas obrigações.

6. TRANSFERÊNCIA INTERNACIONAL

6.1. A execução do serviço envolve transferência internacional de Dados Pessoais, uma vez que parte dos suboperadores está sediada no exterior, conforme indicado em https://dev.otica.pro/suboperadores.

6.2. As transferências observam as hipóteses e as salvaguardas do art. 33 da LGPD, mediante cláusulas-padrão contratuais aprovadas pela ANPD, cláusulas contratuais específicas equivalentes ou decisão de adequação, conforme o caso, acompanhadas de medidas suplementares de segurança.

6.3. A Fluxium manterá a Controladora informada sobre alterações relevantes nas salvaguardas adotadas.

7. DIREITOS DOS TITULARES

7.1. Cabe à Controladora atender às requisições dos Titulares, na qualidade de responsável pela relação com eles.

7.2. A Fluxium auxiliará a Controladora, na medida do tecnicamente possível, a atender requisições de confirmação, acesso, correção, portabilidade, eliminação, oposição, revogação de consentimento e revisão de decisões automatizadas, disponibilizando os recursos existentes na Plataforma e, quando necessário, suporte da sua equipe técnica.

7.3. Recebendo requisição diretamente de um Titular vinculado à Controladora, a Fluxium não a responderá no mérito: encaminhará a requisição à Controladora em até 5 (cinco) dias úteis, salvo determinação legal em sentido diverso.

7.4. A Fluxium prestará à Controladora as informações necessárias para que esta responda a requisições de autoridades e a demandas administrativas ou judiciais relativas ao tratamento.

8. INCIDENTES DE SEGURANÇA

8.1. Comunicação: Tomando conhecimento de incidente de segurança que afete Dados Pessoais tratados por conta da Controladora, a Fluxium a comunicará em até 48 (quarenta e oito) horas, pelos canais de contato cadastrados.

8.2. Conteúdo da comunicação: A comunicação conterá, na medida do apurado até o momento: a descrição da natureza do incidente, as categorias de dados e o número aproximado de Titulares afetados, as consequências prováveis, as medidas adotadas ou propostas e o ponto de contato para informações adicionais. Informações complementares serão prestadas conforme a apuração avançar.

8.3. Decisão de comunicar: A avaliação do risco e a decisão sobre comunicar a ANPD e os Titulares competem à Controladora. A Fluxium não realizará comunicação em nome da Controladora sem alinhamento prévio, salvo obrigação legal própria.

8.4. Cooperação: A Fluxium prestará cooperação razoável, incluindo o fornecimento de registros e evidências técnicas necessárias à apuração e ao cumprimento das obrigações legais da Controladora.

8.5. Segurança do lado da Controladora: Incidentes decorrentes de comprometimento de credenciais, uso indevido por Usuários Autorizados ou falhas de governança interna da Controladora são de responsabilidade dela, que deverá comunicá-los prontamente à Fluxium.

9. TÉRMINO DO CONTRATO E DESTINO DOS DADOS

9.1. Janela de exportação: Encerrado o contrato, a Controladora terá 30 (trinta) dias corridos para exportar os dados por meio dos recursos disponíveis na Plataforma ou mediante solicitação ao suporte.

9.2. Eliminação: Findo esse prazo, a Fluxium eliminará os Dados Pessoais tratados por conta da Controladora, ressalvados aqueles cuja retenção seja exigida por obrigação legal ou regulatória, ou necessária ao exercício regular de direitos, hipóteses em que a retenção observará o prazo estritamente necessário e as medidas de segurança deste DPA.

9.3. Backups: Cópias de segurança remanescentes são sobrescritas no ciclo ordinário de retenção, permanecendo protegidas e inacessíveis para uso operacional até sua eliminação definitiva.

9.4. Confirmação: Mediante solicitação escrita, a Fluxium confirmará a eliminação.

10. AUDITORIA E DEMONSTRAÇÃO DE CONFORMIDADE

10.1. A Fluxium disponibilizará à Controladora as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, mediante solicitação escrita e fundamentada.

10.2. A Controladora poderá solicitar auditoria, no máximo uma vez por ano — ou a qualquer tempo após incidente de segurança confirmado que a afete — mediante aviso prévio de 30 dias, em horário comercial, sem interrupção das operações e sob compromisso de confidencialidade. Os custos correm por conta da Controladora, salvo se a auditoria apurar descumprimento relevante deste DPA.

10.3. A auditoria não alcançará informações de outras Controladoras, segredos de negócio nem dados que comprometam a segurança da Plataforma.

11. RESPONSABILIDADE

11.1. Cada Parte responde pelo descumprimento das obrigações que lhe cabem neste DPA e na legislação aplicável.

11.2. A Controladora responde pela licitude do tratamento que determina, pela existência de base legal, pela obtenção dos consentimentos exigidos, pela exatidão dos dados inseridos e pela governança de acessos de seus Usuários Autorizados.

11.3. A Fluxium responde por tratar dados em desconformidade com este DPA ou com a legislação, nos termos do art. 42, §1º, II, da LGPD, observados os limites de responsabilidade previstos nos Termos de Uso.

11.4. A Parte que der causa a sanção administrativa ou condenação imposta à outra em razão de descumprimento próprio a reembolsará dos valores efetivamente despendidos, assegurados o direito de defesa e a participação na discussão da demanda.

12. DISPOSIÇÕES FINAIS

12.1. Alterações: Este DPA poderá ser atualizado para refletir mudanças legais, regulatórias ou operacionais, com comunicação prévia de 15 (quinze) dias corridos à Controladora. Alterações que reduzam materialmente o nível de proteção conferem à Controladora o direito de rescindir sem ônus.

12.2. Encarregado: O Encarregado pela Proteção de Dados da Fluxium pode ser contatado em contato@fluxium.pro.

12.3. Vigência: Este DPA vigora enquanto durar o contrato entre as Partes; as obrigações de confidencialidade, eliminação e responsabilidade subsistem ao seu término.

12.4. Foro: Aplicam-se as disposições de legislação aplicável e foro previstas nos Termos de Uso.

Versão 1.0 — vigente desde 28 de julho de 2026
OticaPro é um produto da Fluxium LTDA — CNPJ: 60.123.373/0001-81 — São Paulo, SP