ACORDO DE PROCESSAMENTO DE DADOS (DPA)

Plataforma Plenno ERP (plennoerp.com.br)

Versão: 1.1 (RASCUNHO) Data de vigência: 1 de outubro de 2026 Última atualização: 31 de agosto de 2026

AVISO: documento gerado para preencher lacuna real (item A6 do plano de documentos legais do Plenno, marcado como crítico e nunca escrito). Aguarda revisão jurídica (SEBRAE) antes de ser considerado definitivo.

>

O que mudou na versão 1.1: (a) passou a tratar dados pessoais sensíveis referentes à saúde, que a versão anterior não previa em lugar nenhum, embora a Plataforma já os alcance no módulo de recebimento em disputa; (b) a lista de suboperadores foi corrigida contra o sistema real, removendo serviços que nunca foram integrados e incluindo dois que passaram a operar em agosto de 2026; (c) o prazo de comunicação de incidente envolvendo dado sensível passou de 72 para 24 horas.

OPERADORA: A RAUTA TECNOLOGIA ME (doravante "HBI") CNPJ: 20.620.799/0001-26 Endereço: Rua Justino França, 635, Apto 73, Jd. São Carlos, CEP 13170-050, Sumaré/SP E-mail: [email protected]

CONTROLADOR: O USUÁRIO titular da Conta no Plenno ERP, conforme identificado no cadastro, doravante denominado "CLIENTE".

PREÂMBULO

Este Acordo de Processamento de Dados ("DPA") regula o tratamento de dados pessoais de terceiros (clientes, funcionários, fornecedores e demais contatos do CLIENTE) que o CLIENTE insere na plataforma Plenno ERP durante o uso do serviço.

Este DPA complementa os Termos de Uso e a Política de Privacidade do Plenno, aplicando-se especificamente à relação em que o CLIENTE é Controlador dos dados pessoais de terceiros e a HBI é Operadora desses mesmos dados, nos termos do art. 5, incisos VI e VII, e do art. 39 da LGPD.

Em caso de conflito entre este DPA e os Termos de Uso quanto ao tratamento de dados pessoais de terceiros, prevalece este DPA.

SEÇÃO I - OBJETO E PAPÉIS

Cláusula 1 - Objeto

1.1. O objeto deste DPA é o tratamento, pela HBI, de dados pessoais de terceiros que o CLIENTE insere, importa ou gera na Plataforma durante o uso dos módulos do Plenno (exemplos: cadastro de clientes, fornecedores, colaboradores/folha, contratos, CRM, documentos fiscais), incluindo dados pessoais sensíveis referentes à saúde, na forma da Seção II-A.

Cláusula 2 - Papéis

2.1. O CLIENTE é Controlador desses dados pessoais, sendo responsável por definir as finalidades e a base legal da coleta junto aos respectivos titulares, e por informá-los sobre o tratamento, conforme já previsto na Cláusula 21.3 do Termos de Uso.

2.2. A HBI é Operadora, tratando esses dados exclusivamente conforme as instruções do CLIENTE, materializadas pelo uso normal das funcionalidades da Plataforma.

2.3. A HBI não decide sobre as finalidades do tratamento desses dados de terceiros, não os utiliza para finalidade própria, e não os acessa fora do necessário para operar, dar suporte e manter a Plataforma.

SEÇÃO II - INSTRUÇÕES DE TRATAMENTO

Cláusula 3 - Tratamento conforme instrução

3.1. A HBI tratará os dados pessoais de terceiros exclusivamente para: (a) executar as funcionalidades solicitadas pelo CLIENTE através da Plataforma; (b) prestar suporte técnico quando acionada pelo CLIENTE; (c) cumprir obrigação legal aplicável à própria HBI; (d) disponibilizar dados a terceiro autorizado pelo CLIENTE, na forma da Cláusula 4-A, exclusivamente na extensão, pelo prazo e nos escopos que o CLIENTE tiver registrado.

3.1-A. As finalidades da Cláusula 3.1 são taxativas. Tratamento de dados sensíveis referentes à saúde observa, adicionalmente, os limites e as vedações da Seção II-A.

3.1.1. Cada autorização de acesso a terceiro, registrada pelo CLIENTE na Plataforma com data, hora, endereço IP, autor e versão do Termo de Delegação, constitui instrução documentada específica para os fins do art. 39 da LGPD, integrando este Acordo independentemente de aditamento. A revogação da autorização revoga a instrução correspondente, com efeito imediato.

3.2. Caso a HBI entenda que uma instrução do CLIENTE viola a LGPD ou outra legislação aplicável, comunicará o CLIENTE antes de executá-la.

3.3. A HBI não utilizará os dados de terceiros do CLIENTE para treinar modelos de inteligência artificial de terceiros, perfilamento comercial ou qualquer finalidade alheia à prestação do serviço contratado.

SEÇÃO II-A - DADOS PESSOAIS SENSÍVEIS REFERENTES À SAÚDE

Esta Seção aplica-se apenas ao CLIENTE que utilize módulos da Plataforma destinados ao controle de valores recusados por operadora de plano de saúde, ou que de outro modo insira dados referentes à saúde. Para os demais, ela é inaplicável e não altera as obrigações das Seções anteriores.

Cláusula 4-B - Natureza dos dados e papéis

4-B.1. As PARTES reconhecem que determinados módulos da Plataforma processam informações originadas de documentos do padrão de troca de informações da saúde suplementar, das quais decorre o tratamento de dados pessoais sensíveis referentes à saúde, nos termos do art. 5º, inciso II, da LGPD.

4-B.2. Permanecem inalterados os papéis da Cláusula 2: o CLIENTE é Controlador e a HBI é Operadora. A qualificação do dado como sensível não transfere à HBI qualquer decisão sobre finalidade.

Cláusula 4-C - Base legal, que é do CLIENTE

4-C.1. Compete exclusivamente ao CLIENTE, como Controlador, indicar e documentar a base legal do tratamento entre as hipóteses taxativas do art. 11 da LGPD, informando-a no cadastro da Conta.

4-C.2. As PARTES registram que o legítimo interesse não é base legal admitida para dado sensível, e que o consentimento, embora admitido, é revogável a qualquer tempo pelo titular, o que pode inviabilizar a continuidade do tratamento.

4-C.3. Ausente indicação de base legal pelo CLIENTE, a HBI poderá suspender o módulo correspondente, comunicando-o previamente, sem que isso configure descumprimento deste DPA ou dos Termos de Uso.

Cláusula 4-D - Minimização, e o que a Plataforma deliberadamente não armazena

4-D.1. A HBI declara que a Plataforma, nos módulos de que trata esta Seção, não armazena:

• número de carteira, matrícula ou qualquer identificador do beneficiário perante a operadora;
• senha ou código de autorização do procedimento;
• identificação do profissional executante, incluindo nome, inscrição em conselho profissional e número de documento;
• diagnóstico, código de classificação de doença, laudo, relatório, prescrição, imagem ou qualquer conteúdo de natureza clínico-assistencial.

4-D.2. Os campos das alíneas "a" e "b" são descartados no momento da leitura do arquivo e não são gravados; o da alínea "c" não chega a ser extraído. Quando necessário apurar quantidade de beneficiários distintos, a Plataforma registra apenas o total agregado, sem preservar o identificador que o originou.

4-D.2-A. A Plataforma armazena, por outro lado, o código e a descrição do procedimento cobrado, o número da guia e os valores, por serem indispensáveis a conferir o que a operadora recusou. As PARTES registram que, desassociados de qualquer identificador do beneficiário, tais dados não são atribuíveis a titular determinado no âmbito da Plataforma, o que é consequência direta da minimização da Cláusula 4-D.1.

4-D.3. A Plataforma não se destina a armazenar os conteúdos da alínea "d" da Cláusula 4-D.1. É vedado ao CLIENTE inseri-los em campo de texto livre, anexo ou observação, respondendo ele integralmente pela inserção indevida e por suas consequências.

4-D.4. A alteração das declarações desta Cláusula depende de revisão prévia deste DPA e de comunicação ao CLIENTE, na forma da Cláusula 4.2.

Cláusula 4-E - Vedação de uso secundário

4-E.1. A HBI não utilizará dados referentes à saúde para finalidade própria, notadamente elaboração de indicadores de mercado, comparativo entre clientes, estudo setorial, treinamento de modelos ou oferta a terceiros, ainda que de forma agregada, salvo mediante anonimização irreversível e autorização prévia e escrita do CLIENTE.

4-E.2. As PARTES registram a vedação do art. 11, § 4º, da LGPD quanto à comunicação ou ao uso compartilhado de dados referentes à saúde com objetivo de obter vantagem econômica.

Cláusula 4-F - Medidas de segurança específicas

4-F.1. Além das medidas da Cláusula 5, aplicam-se ao tratamento de que trata esta Seção:

• registro de todo acesso a dado sensível, com autor, data, hora e ação praticada, conservado de forma protegida contra alteração;
• autenticação em múltiplos fatores para acesso administrativo da HBI;
• acesso restrito ao estritamente necessário, pelo tempo estritamente necessário;
• vedação de uso de dado real de CLIENTE em ambiente de teste, demonstração ou treinamento;
• credencial individual e intransferível, vedado o compartilhamento.

4-F.2. O sigilo profissional aplicável aos dados de que trata esta Seção subsiste por prazo indeterminado, não se sujeitando ao prazo da Cláusula de confidencialidade dos Termos de Uso.

Cláusula 4-G - Prestador contratado pelo CLIENTE

4-G.1. Quando o CLIENTE autorizar acesso a prestador de serviços por ele contratado, aplicam-se a Cláusula 4-A e o Termo de Delegação de Acesso, com a exigência adicional de que a autorização identifique nominalmente a pessoa física que acessará os dados.

4-G.2. Prestador que atue em nome e por conta da HBI não se enquadra na Cláusula 4-A: é suboperador, e a HBI responde por sua conduta na forma da Cláusula 4.3.

Cláusula 4-H - Relatório de impacto

4-H.1. A elaboração de relatório de impacto à proteção de dados pessoais compete ao CLIENTE, como Controlador (arts. 5º, XVII, e 38 da LGPD).

4-H.2. A HBI disponibilizará ao CLIENTE, mediante solicitação, a descrição técnica do tratamento realizado pela Plataforma, das medidas de segurança adotadas e das categorias de dados efetivamente armazenadas, para subsidiar esse relatório.

SEÇÃO III - SUBOPERADORES

Cláusula 4 - Suboperadores autorizados

4.1. O CLIENTE autoriza, desde já, a HBI a utilizar os seguintes suboperadores no tratamento dos dados, na medida necessária à prestação do serviço, conforme já listados na Cláusula 6 da Política de Privacidade:

• Infraestrutura própria (VPS) e Supabase (banco de dados e autenticação, região sa-east-1, São Paulo);
• Infraestrutura Nacional de NFS-e, do Governo Federal, e o sistema municipal de emissão adotado pelo município do CLIENTE, quando este não integrar o Ambiente Nacional (emissão de notas fiscais de serviço);
• Cloudflare (rede de distribuição e proteção contra ataques);
• Microsoft Graph API e Resend (envio de mensagens transacionais e de cobrança);
• Anthropic (recursos de inteligência artificial, quando acionados pelo CLIENTE, observada a vedação da Cláusula 3.3);
• BrasilAPI (consulta pública de CNPJ, CEP e códigos bancários);
• instituição financeira ou de pagamento contratada pelo CLIENTE ou pela HBI para emissão e liquidação de cobranças, quando o CLIENTE utilizar essa funcionalidade.

4.1.1. Esta relação reflete os serviços efetivamente em uso na data da última atualização deste DPA. Serviços de processamento de pagamento anteriormente relacionados e não integrados foram removidos.

4.2. A HBI comunicará o CLIENTE com antecedência razoável em caso de inclusão de novo suboperador que trate dados pessoais de terceiros do CLIENTE, facultando-se ao CLIENTE, havendo objeção justificada, o direito de rescindir a Assinatura sem multa, nos termos do processo geral de cancelamento (Cláusula 19 dos Termos de Uso).

4.3. A HBI garante que todos os suboperadores estão sujeitos a obrigações de confidencialidade e proteção de dados equivalentes às deste DPA.

Cláusula 4-A - Terceiro autorizado pelo CLIENTE, que não é suboperador

4-A.1. O CLIENTE pode autorizar, por ato próprio registrado na Plataforma, o acesso de terceiro por ele escolhido, notadamente seu escritório de contabilidade, a dados pessoais de terceiros armazenados em sua Conta, em modo somente leitura e nos escopos que marcar.

4-A.2. Esse terceiro não é suboperador da HBI, não integra o rol da Cláusula 4.1 e não está abrangido pela garantia da Cláusula 4.3. A HBI não o contrata, não o remunera, não define a finalidade do tratamento que ele realizar e não responde por sua conduta.

4-A.3. A HBI responde exclusivamente pelo mecanismo de autorização: liberar o acesso somente mediante autorização válida e registrada; restringi-lo aos escopos concedidos e aos colaboradores atribuídos; cessá-lo imediatamente na revogação, na expiração e na suspensão da Conta; e manter o registro imutável de todos os acessos, disponível ao CLIENTE.

4-A.4. Compete ao CLIENTE, como Controlador: escolher o terceiro, avaliar sua idoneidade, firmar com ele o instrumento próprio de prestação de serviços, definir a extensão dos escopos, revisar periodicamente as autorizações ativas e informar os titulares sobre esse uso compartilhado (art. 9, inciso V, da LGPD).

4-A.5. As obrigações do terceiro perante o CLIENTE, incluindo finalidade, vedação de uso diverso, confidencialidade, segurança e destino dos dados após o encerramento, constam do Termo de Delegação de Acesso, versionado, do qual a HBI é interveniente.

SEÇÃO IV - SEGURANÇA E CONFIDENCIALIDADE

Cláusula 5 - Medidas de segurança

5.1. A HBI aplica aos dados de terceiros do CLIENTE as mesmas medidas técnicas e administrativas descritas na Cláusula 11 da Política de Privacidade (criptografia em trânsito, isolamento por conta via Row-Level Security, controle de acesso, monitoramento).

5.2. O acesso da equipe da HBI a esses dados é restrito a pessoal autorizado, na medida necessária para suporte técnico e manutenção, sob obrigação de confidencialidade.

Cláusula 6 - Notificação de incidentes

6.1. Em caso de incidente de segurança que envolva dados pessoais de terceiros tratados por instrução do CLIENTE, a HBI notificará o CLIENTE em até 72 (setenta e duas) horas após a confirmação do incidente, com as informações disponíveis sobre natureza, dados afetados e medidas adotadas, para que o CLIENTE possa cumprir suas próprias obrigações de notificação como Controlador (art. 48, LGPD).

6.1-A. Envolvendo o incidente dados pessoais sensíveis referentes à saúde, o prazo da Cláusula 6.1 é reduzido para 24 (vinte e quatro) horas, contadas do conhecimento pela HBI, ainda que a apuração não esteja concluída, dado o prazo próprio que a regulamentação impõe ao Controlador.

6.2. Incidente de segurança ocorrido nos sistemas, nas instalações ou nas credenciais de terceiro autorizado pelo CLIENTE (Cláusula 4-A) não constitui incidente da HBI. A comunicação aos titulares e à Autoridade Nacional de Proteção de Dados, quando cabível, incumbe a quem lhe deu causa, sem prejuízo dos deveres próprios do CLIENTE como Controlador.

6.3. Detectando a HBI indício objetivo de acesso abusivo, extração anômala de dados ou comprometimento de credencial de terceiro autorizado, comunicará o CLIENTE afetado e poderá suspender administrativamente o acesso, como medida de proteção, independentemente de prova definitiva da infração e sem que isso configure descumprimento deste DPA.

SEÇÃO V - DIREITOS DOS TITULARES

Cláusula 7 - Apoio ao CLIENTE

7.1. Quando um titular de dados (cliente, funcionário ou fornecedor do CLIENTE) exercer diretamente junto à HBI algum direito previsto no art. 18 da LGPD sobre dados inseridos pelo CLIENTE na Plataforma, a HBI encaminhará a solicitação ao CLIENTE, por ser este o Controlador responsável por atendê-la.

7.2. A HBI disponibiliza funcionalidades de exportação e exclusão de registros diretamente na Plataforma (Configurações da Conta e módulos individuais), permitindo ao CLIENTE atender essas solicitações de forma autônoma na maior parte dos casos.

7.3. Para responder ao pedido de titular fundado no art. 18, inciso VII, da LGPD (informação sobre uso compartilhado de dados), o CLIENTE dispõe, dentro da Plataforma, do registro dos terceiros autorizados, dos escopos concedidos, dos colaboradores atribuídos e do histórico de acessos, com data, hora e ação praticada.

SEÇÃO VI - RETORNO E EXCLUSÃO DE DADOS

Cláusula 8 - Ao término do contrato

8.1. Encerrada a Assinatura, aplica-se o Período de Graça de 30 (trinta) dias previsto na Cláusula 19 do Termos de Uso, durante o qual o CLIENTE pode exportar os dados de terceiros armazenados na Plataforma.

8.2. Findo o Período de Graça, a HBI exclui definitivamente os dados de terceiros do CLIENTE, ressalvadas as retenções obrigatórias por lei já descritas na Cláusula 8.2 da Política de Privacidade (notas fiscais, registros de acesso, ordens judiciais).

8.3. O encerramento da Assinatura extingue todas as autorizações de acesso a terceiros vinculadas à Conta, com efeito imediato. Os registros de autorização e de acesso são conservados na forma da Política de Retenção e Exclusão de Dados. Os dados que o terceiro tenha licitamente extraído antes do encerramento deixam de estar sob controle técnico da HBI, sujeitando-se às obrigações que o terceiro assumiu perante o CLIENTE no Termo de Delegação de Acesso.

SEÇÃO VII - AUDITORIA

Cláusula 9 - Direito de auditoria

9.1. O CLIENTE pode solicitar à HBI, mediante aviso prévio de 15 (quinze) dias e periodicidade razoável (no máximo uma vez por ano, salvo suspeita fundada de incidente), informações e evidências razoáveis sobre as medidas de segurança adotadas para o cumprimento deste DPA, observado o sigilo comercial da HBI e de seus demais clientes.

SEÇÃO VIII - TRANSFERÊNCIA INTERNACIONAL

Cláusula 10 - Suboperadores com infraestrutura global

10.1. Conforme já descrito na Cláusula 7-A da Política de Privacidade, alguns suboperadores possuem infraestrutura global, o que pode envolver processamento fora do Brasil. O banco de dados operacional primário da Plataforma permanece hospedado no Brasil, na região de São Paulo.

10.2. Às transferências internacionais decorrentes deste DPA aplicam-se as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que se consideram incorporadas a este instrumento naquilo que for aplicável à relação entre Controlador e Operadora.

10.3. A hospedagem em região brasileira não afasta a caracterização de transferência internacional quando houver acesso remoto por entidade sediada no exterior, hipótese em que se aplica igualmente a Cláusula 10.2.

SEÇÃO IX - VIGÊNCIA E FORO

Cláusula 11 - Vigência

11.1. Este DPA vigora enquanto durar a Assinatura do CLIENTE, extinguindo-se automaticamente com o cancelamento da Conta e a conclusão do Período de Graça (Cláusula 8).

Cláusula 12 - Foro

12.1. Fica eleito o foro da comarca de Sumaré/SP para dirimir controvérsias decorrentes deste DPA.

*Este documento integra os Termos de Uso e a Política de Privacidade do Plenno ERP v1.0 por referência.*