Contrato de operador

De um lado, o cliente da Tarrafa (o dono do time e quem age em nome dele), que é o controlador. Do outro, a VisionX Inova Simples (I.S.), CNPJ 61.427.918/0001-06 (a “VisionX”), que é a operadora.

Este contrato cobre os dados pessoais que o cliente põe na Tarrafa para os posts dele: o conteúdo e a mídia, os dados das pessoas que aparecem neles, os números dos perfis do cliente e os dados de quem ele convida para aprovar posts por link.

Os dados da conta do próprio cliente (nome, e-mail e acesso) ficam fora deste contrato: neles a VisionX é controladora, e vale a Política de Privacidade.

Este contrato faz parte dos Termos de Uso: quem aceita os termos aceita este contrato.

O cliente decide o que é publicado, onde, quando e por quê. Ele responde pela base legal do tratamento (LGPD, art. 7º) e, quando houver crianças ou adolescentes no conteúdo, pelo consentimento de um dos pais ou do responsável (art. 14), inclusive pela autorização de quem aparece.

A VisionX trata esses dados só segundo as instruções do cliente (LGPD, art. 39).

As instruções são as ações do cliente na Tarrafa: enviar mídia, escrever, agendar, publicar, pedir aprovação, conectar contas e configurar o time. Valem também as instruções escritas enviadas ao encarregado, em visionxma@gmail.com.

Se uma instrução violar a LGPD ou outra lei, a VisionX avisa o cliente e pode deixar de cumpri-la.

A VisionX não usa esses dados para fins próprios: não vende, não usa para anúncios e não usa para treinar inteligência artificial.

A Tarrafa não guarda os comentários que outras pessoas fazem nos posts do cliente, só a contagem.

Só acessa esses dados quem da VisionX precisa, para operar, dar suporte ou cuidar da segurança, sempre com dever de sigilo. O acesso do suporte ao painel do cliente fica registrado.

A VisionX adota medidas técnicas e administrativas para proteger os dados (LGPD, art. 46), entre elas:

• chaves de acesso das redes cifradas com AES-256-GCM, com a chave da cifra fora do banco de dados;
• senhas guardadas só como hash scrypt;
• conexão sempre cifrada (HTTPS);
• dados separados por time, e acesso ao banco fechado por linha (RLS) para quem não é o aplicativo;
• limite de tentativas de entrada e registro das ações importantes.

O cliente autoriza a VisionX a usar os suboperadores da lista pública em Suboperadores. Cada um recebe só o necessário para a sua tarefa e fica obrigado a proteger os dados num nível equivalente ao deste contrato. A VisionX responde perante o cliente pelo que os suboperadores fizerem.

Antes de incluir ou trocar um suboperador, a VisionX atualiza a lista e avisa o dono de cada time por e-mail com pelo menos 15 dias de antecedência, salvo urgência de segurança ou de continuidade do serviço. Quem discordar pode encerrar a conta antes da mudança valer.

As redes sociais (Instagram, Facebook, TikTok e Bluesky) não são suboperadores: recebem o conteúdo porque o cliente mandou publicar nelas e tratam esses dados pelas próprias regras.

O banco de dados e os arquivos de mídia ficam no Brasil, em São Paulo. Alguns suboperadores tratam dados fora do Brasil, como mostra a lista. Nesses casos, a transferência só acontece com um mecanismo válido do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), que valem como parte deste contrato onde se aplicarem.

O envio do conteúdo às redes, que tratam dados fora do Brasil, é feito por ordem do cliente e é necessário para o serviço contratado (LGPD, art. 33, IX).

Se a VisionX souber de um incidente de segurança que afete dados deste contrato, avisa o cliente por e-mail ao dono do time sem demora e, no máximo, em 3 dias úteis, com o que já souber: o que aconteceu, quais dados e titulares foram afetados, os riscos, as medidas tomadas e o contato do encarregado.

A comunicação à ANPD e aos titulares cabe ao controlador, em 3 dias úteis (LGPD, art. 48; Resolução CD/ANPD nº 15/2024). A VisionX dá ao cliente as informações e a ajuda necessárias para isso.

Se um titular pedir à VisionX algo sobre dados deste contrato, a VisionX encaminha o pedido ao cliente em até 5 dias úteis e não responde no lugar dele, a não ser que o cliente peça. O cliente pode pedir à VisionX ajuda para atender, como achar ou apagar um post ou uma mídia.

Quando o cliente pede para apagar a conta, a VisionX apaga o conteúdo, a mídia e as chaves de acesso, e tira a autorização da Tarrafa no TikTok. Antes disso, o cliente pode pedir por e-mail uma cópia do conteúdo e da mídia que estiverem guardados.

Ficam guardados só os dados que a lei obriga a manter, como os registros de acesso do Marco Civil da Internet, ou que sejam necessários para defender direitos, pelo tempo necessário (LGPD, art. 16).

Os posts já publicados ficam nas redes: apagar na Tarrafa não apaga o post na rede.

Quando o cliente pedir por escrito, a VisionX entrega as informações necessárias para mostrar que cumpre este contrato, como a lista de suboperadores e as medidas de segurança. Auditoria presencial ou feita por terceiro depende de acordo prévio sobre data, escopo, custo e sigilo.

Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato (LGPD, arts. 42 a 45). A operadora responde junto com o controlador quando descumprir a lei ou não seguir as instruções lícitas dele (art. 42, § 1º, I).

Este contrato vale enquanto a VisionX tratar dados do cliente na Tarrafa. As obrigações de sigilo e de exclusão continuam depois do fim. Se houver conflito com os Termos de Uso sobre dados pessoais, vale este contrato.