Política de Privacidade

Leitura estimada: 29 minutos 82 visualizações

Em vigor: 27 de novembro de 2025

1 — Quem Somos e Abrangência

1.1. Identificação da Fornecedora e da Plataforma.
A Criando Soluções Ltda., inscrita no CNPJ 48.637.875/0001-25 e sediada em Barueri/SP, é responsável pela operação da Plataforma CR.IA, composta pelos módulos CR.IA Business, CR.IA Docs, Agentes de IA, Conector e demais funcionalidades relacionadas.

1.2. Público-alvo e formas de acesso.
A Plataforma é destinada ao uso corporativo e pode ser acessada por navegador, Microsoft Teams, Copilot ou outros canais disponibilizados futuramente, variando conforme permissões e configurações adotadas pela Organização.

1.3. Escopo desta Política de Privacidade.
Esta Política de Privacidade descreve de forma clara como dados pessoais são tratados no uso da Plataforma, incluindo conteúdos enviados aos Agentes, dados processados por integrações corporativas, fluxos operados pelo Conector e registros gerados para auditoria e segurança.

1.4. Titulares e dados abrangidos.
A Política aplica-se a todos os usuários autorizados pela Organização e abrange qualquer dado pessoal inserido, consultado, processado ou transmitido dentro da Plataforma CR.IA.

1.5. Exclusões do escopo.
Esta Política não se aplica a dados corporativos não pessoais, políticas internas da Organização, regras de governança e acessos internos, decisões da Organização sobre uso de agentes ou integrações externas definidas pela própria Controladora. Nesses casos, o tratamento de dados é de responsabilidade exclusiva da Organização, conforme estabelecido no DPA e nas legislações aplicáveis.

1.6. Compromisso com a LGPD e documentos correlatos.
A Criando Soluções compromete-se a tratar dados pessoais somente para finalidades legítimas, necessárias e informadas, respeitando os princípios e exigências da LGPD, utilizando dados pessoais apenas para operação da Plataforma e adotando medidas de segurança adequadas. Esta Política complementa o Termo de Uso, o Contrato de Adesão, o DPA e demais documentos contratuais aplicáveis.

2 — Definições

2.1. Dados Pessoais.
Para fins desta Política, “Dados Pessoais” compreendem qualquer informação relacionada a pessoa natural identificada ou identificável, incluindo, entre outros, dados cadastrais, dados de acesso e informações decorrentes da utilização da Plataforma CR.IA.

2.2. Dados Pessoais Sensíveis.
“Dados Pessoais Sensíveis” referem-se a informações que revelem origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, biometria ou quaisquer outros dados assim classificados pela legislação aplicável. Esses dados não devem ser introduzidos na Plataforma, salvo em situações excepcionais definidas e justificadas pela própria Organização, sob sua exclusiva responsabilidade.

2.3. Tratamento de Dados.
Considera-se “Tratamento de Dados” toda operação realizada com dados pessoais no âmbito da Plataforma, incluindo coleta, armazenamento, uso, acesso, transmissão, classificação, consulta, processamento ou eliminação, conforme definido na LGPD.

2.4. Organização (Controladora).
A “Organização” é a empresa contratante da Plataforma CR.IA, responsável pelo uso, governança e definição das finalidades do tratamento de dados pessoais inseridos por seus usuários, atuando como Controladora nos termos da LGPD.

2.5. Fornecedora (Operadora).
A Fornecedora atua como Operadora, realizando o tratamento de dados pessoais exclusivamente conforme as instruções da Organização e dentro das finalidades previstas nos contratos aplicáveis, sem utilizar os dados para objetivos próprios ou incompatíveis com esta Política.

2.6. Usuários.
“Usuários” são todas as pessoas autorizadas pela Organização a utilizar a Plataforma, incluindo colaboradores, prestadores de serviço e terceiros habilitados, cujas ações e inserções de dados ocorrem sob responsabilidade da Controladora.

2.7. Agentes.
“Agentes” são estruturas de Inteligência Artificial personalizadas, criadas pela Organização ou disponibilizadas pela Fornecedora, destinadas à automação de consultas, processamento de informações e interação com dados e conteúdos definidos pela Controladora.

2.8. Conector.
O “Conector” é o componente instalado no ambiente local da Organização para possibilitar acesso seguro a dados corporativos, operando de forma controlada, sem armazenamento permanente de dados pessoais ou credenciais em texto claro.

2.9. Suboperadores.
“Suboperadores” são terceiros contratados pela Fornecedora para auxiliar na operação da Plataforma, especialmente em serviços de nuvem, indexação e infraestrutura, os quais tratam dados pessoais de forma limitada e exclusivamente para execução dos serviços contratados, sob supervisão da Fornecedora.

2.10. Interpretação complementar.
As definições previstas nesta Cláusula devem ser interpretadas em conjunto com a LGPD, o Termo de Uso, o Contrato de Adesão, o DPA e os demais documentos contratuais que regem a relação entre as partes.

3 — Papéis e responsabilidades

3.1. Papel da Organização como Controladora.
A Organização atua como Controladora dos dados pessoais tratados na Plataforma CR.IA, sendo responsável por definir as finalidades do tratamento, as regras internas de uso, as permissões de acesso e os conteúdos inseridos por seus usuários. Cabe à Organização decidir quais dados serão disponibilizados aos Agentes, quais integrações serão ativadas e quais políticas internas regerão o uso da Plataforma.

3.2. Obrigações da Organização enquanto Controladora.
Compete à Organização cumprir as obrigações impostas pela LGPD, incluindo definição das bases legais do tratamento, atendimento aos titulares, avaliação de riscos, governança sobre os dados tratados e adoção de políticas internas compatíveis com a legislação aplicável.

3.3. Papel da Fornecedora como Operadora.
A Fornecedora atua como Operadora, realizando o tratamento de dados pessoais exclusivamente conforme as instruções documentadas da Organização e dentro das finalidades previstas nos contratos vigentes. A Fornecedora não utiliza dados pessoais para objetivos próprios, comerciais ou incompatíveis com o uso da Plataforma.

3.4. Atividades desempenhadas pela Fornecedora.
As atividades da Fornecedora abrangem hospedagem, processamento técnico, indexação, funcionamento dos Agentes, segurança, monitoramento e manutenção da Plataforma CR.IA. A Fornecedora adota medidas técnicas e organizacionais adequadas para proteger dados pessoais, sem interferir na gestão interna, decisões de negócio ou políticas definidas pela Organização.

3.5. Responsabilidade pelo uso dos Usuários.
Os Usuários são pessoas autorizadas pela Organização a acessar a Plataforma e devem utilizá-la de acordo com as políticas internas definidas pela própria Controladora. A responsabilidade pelo uso adequado das funcionalidades, bem como pela inserção de dados pessoais ou corporativos nos Agentes, pertence integralmente à Organização.

3.6. Uso indevido e medidas corretivas.
Qualquer abuso, uso indevido ou inserção de informações inadequadas por parte de um Usuário é atribuído à Controladora, que deverá adotar medidas corretivas, administrativas ou disciplinares quando necessário, não cabendo à Fornecedora responsabilidade por decisões internas da Organização.

3.7. Papel dos Suboperadores.
Os Suboperadores, quando utilizados, realizam atividades de suporte técnico ou infraestrutura sob orientação da Fornecedora e não atuam de forma independente sobre dados pessoais. Esses terceiros seguem padrões corporativos de segurança e tratam dados exclusivamente para execução das obrigações contratadas, sob supervisão da Fornecedora.

3.8. Transparência e delimitação de responsabilidades.
A definição clara dos papéis de Controladora, Operadora, Usuários e Suboperadores assegura transparência no tratamento de dados pessoais, permite o correto cumprimento da legislação aplicável e garante que cada parte atue dentro de suas responsabilidades e limites legais.

4 — Dados tratados

4.1. Princípios aplicáveis ao tratamento de dados.
A Plataforma CR.IA trata apenas os dados pessoais necessários para sua operação, observando os princípios de finalidade, necessidade e minimização previstos na LGPD, limitando o tratamento ao estritamente necessário para execução dos serviços contratados.

4.2. Origem dos dados pessoais.
Os dados pessoais tratados podem ser fornecidos diretamente pelos Usuários, enviados pela Organização por meio do Conector, gerados automaticamente pelo uso da Plataforma ou incluídos como parte de bases corporativas, documentos e conteúdos inseridos nos Agentes pela própria Controladora.

4.3. Dados de autenticação e uso da Plataforma.
São tratados dados cadastrais e de identificação utilizados para autenticação, controle de acesso e identificação de usuários, bem como registros de uso e logs gerados para fins de segurança, auditoria e prevenção de incidentes.

4.4. Dados presentes em conteúdos corporativos.
Informações fornecidas pela Organização podem incluir dados pessoais constantes em documentos corporativos, bases de conhecimento, políticas internas, manuais, contratos e demais arquivos que a Controladora decida indexar ou disponibilizar para consulta pelos Agentes. A Fornecedora não altera, interpreta ou utiliza esses dados para finalidades próprias, atuando exclusivamente como Operadora no processamento técnico necessário.

4.5. Integrações por meio do Conector.
Quando integrações são habilitadas via Conector, a Plataforma pode acessar dados existentes nos sistemas internos da Organização de forma lógica, controlada e temporária, sem armazenamento permanente, sempre conforme regras e permissões definidas pela Controladora.

4.6. Dados coletados automaticamente.
A Plataforma coleta automaticamente dados técnicos indispensáveis para seu funcionamento, incluindo registros de acesso, identificação de dispositivo, ações executadas pelos usuários e informações necessárias para segurança, auditoria, estabilidade operacional e prevenção de incidentes.

4.7. Cookies e identificadores técnicos.
São utilizados cookies e identificadores técnicos estritamente necessários para autenticação, manutenção de sessões e garantia do funcionamento adequado da Plataforma, não sendo utilizados para criação de perfis comportamentais ou finalidades comerciais externas.

4.8. Dados pessoais sensíveis e dados de menores.
A Plataforma não é destinada ao tratamento de dados pessoais sensíveis, dados de menores ou informações sigilosas que não sejam necessárias ao serviço. A Organização é orientada a evitar o envio desses dados, salvo quando houver necessidade específica e base legal definida sob sua responsabilidade como Controladora.

4.9. Responsabilidade da Organização sobre os dados inseridos.
Qualquer dado pessoal inserido por usuários ou disponibilizado pela Organização permanece sob responsabilidade da Controladora, que deve assegurar que o envio esteja alinhado às políticas internas, às bases legais aplicáveis e à legislação vigente.

4.10. Uso de dados para Inteligência Artificial.
A Fornecedora não utiliza dados tratados na Plataforma para treinar modelos próprios de Inteligência Artificial, criar perfis comerciais, realizar análises externas ou qualquer finalidade distinta da execução dos serviços contratados. Todo tratamento ocorre dentro dos limites necessários para operação, segurança e melhoria da Plataforma.

5 — Finalidades do tratamento

5.1. Finalidade principal de operação da Plataforma.
Os dados pessoais tratados na Plataforma CR.IA são utilizados exclusivamente para possibilitar seu funcionamento, garantir segurança e permitir a interação dos Usuários com os Agentes, assegurando que a Organização tenha acesso aos recursos contratados conforme as configurações definidas pela Controladora.

5.2. Autenticação, identificação e controle de acessos.
Os dados são utilizados para autenticação de usuários, identificação, concessão de permissões internas, manutenção de sessões e controle de acessos, garantindo que apenas pessoas autorizadas utilizem a Plataforma e suas funcionalidades.

5.3. Execução de consultas, automações e respostas dos Agentes.
Os dados pessoais podem ser tratados para viabilizar a execução de consultas, automações e fluxos configurados pela Organização, bem como para o processamento técnico das informações enviadas aos Agentes e a geração das respostas solicitadas pelos Usuários.

5.4. Segurança, prevenção a fraudes e auditoria.
Os dados também são tratados para fins de segurança da informação, prevenção a fraudes, controle de acessos, auditoria, detecção de comportamentos anômalos e resposta a incidentes, sempre dentro do limite necessário para proteção da Plataforma e dos dados tratados.

5.5. Logs, estabilidade e melhoria operacional.
Registros de uso, logs técnicos e informações coletadas automaticamente são utilizados para diagnóstico de falhas, análise operacional, manutenção da integridade, estabilidade e disponibilidade do ambiente, contribuindo para a melhoria contínua da Plataforma.

5.6. Integrações via Conector.
Quando a Organização utiliza o Conector, dados pessoais eventualmente presentes em bases internas podem ser consultados pelos Agentes conforme instruções definidas pela própria Controladora. A Fornecedora não armazena permanentemente esses dados nem os utiliza para finalidades distintas da execução técnica das consultas e funcionalidades contratadas.

5.7. Conteúdos corporativos e bases de conhecimento.
Os dados pessoais presentes em documentos, contratos, políticas internas, bases de conhecimento e demais conteúdos estruturados ou indexados pela Organização são tratados exclusivamente para permitir a consulta, o processamento e a entrega das respostas solicitadas pelos Usuários, conforme regras definidas pela Controladora.

5.8. Comunicação operacional e suporte.
A Fornecedora poderá utilizar dados pessoais para comunicação operacional com a Organização, incluindo suporte técnico, manutenção, alertas importantes, avisos de segurança, alterações contratuais e informações relacionadas à operação da Plataforma.

5.9. Dados anonimizados e estatísticos.
Eventuais dados agregados, estatísticos ou anonimizados poderão ser utilizados para análises internas e aprimoramento da Plataforma, desde que não permitam identificação dos titulares e não impactem seus direitos ou liberdades.

5.10. Finalidades vedadas.
Em nenhuma hipótese os dados pessoais tratados pela Plataforma são utilizados para criação de perfis comerciais, venda de informações, publicidade direcionada, treinamento de modelos de IA independentes ou qualquer finalidade incompatível com esta Política, com o Termo de Uso ou com a legislação aplicável.

5.11. Vedação ao treinamento e retenção para Inteligência Artificial.
Os dados pessoais e corporativos tratados na Plataforma CR.IA não são utilizados para treinamento, ajuste fino (fine-tuning), retenção, melhoria contínua ou enriquecimento de modelos de Inteligência Artificial, próprios ou de terceiros, sendo empregados exclusivamente para a geração das respostas solicitadas no momento da consulta, conforme instruções da Organização.

5.12. Respostas geradas por Inteligência Artificial.
As respostas apresentadas pelos Agentes no chat refletem exclusivamente as consultas, permissões e regras definidas pela Organização, não cabendo à Fornecedora a definição dos campos consultados, dos dados exibidos, dos usuários autorizados ou das finalidades do tratamento.

A atuação da Fornecedora limita-se ao processamento técnico necessário para executar as instruções recebidas e apresentar o resultado correspondente, permanecendo a Organização integralmente responsável pela governança, acesso e uso das informações retornadas.

6 — Bases legais do tratamento

6.1. Observância às bases legais da LGPD.
O tratamento de dados pessoais realizado pela Plataforma CR.IA ocorre sempre com fundamento em uma ou mais bases legais previstas na LGPD, de acordo com as finalidades definidas pela Organização, que atua como Controladora dos dados.

6.2. Execução do contrato.
A execução do contrato firmado entre a Organização e a Fornecedora constitui a base legal principal para o tratamento de dados pessoais necessários à autenticação, funcionamento da Plataforma, execução dos Agentes, realização de consultas, integrações, manutenção da segurança e entrega das funcionalidades contratadas.

6.3. Legítimo interesse.
O tratamento de dados pessoais também poderá ocorrer com fundamento no legítimo interesse da Organização ou da Fornecedora, quando necessário para garantir segurança da informação, prevenção a fraudes, monitoramento técnico, auditoria, estabilidade operacional e melhoria contínua da Plataforma, sempre respeitando os direitos e liberdades dos titulares.

6.4. Definição da base legal pela Organização.
Quando a Organização insere dados pessoais em documentos, bases internas, conteúdos indexados ou informações acessadas por meio do Conector, compete exclusivamente a ela definir e validar a base legal aplicável a cada tratamento, bem como assegurar conformidade com suas políticas internas e com a legislação vigente.

6.5. Atuação da Fornecedora como Operadora.
Nessas situações, a Fornecedora atua exclusivamente como Operadora, realizando apenas o processamento técnico necessário para execução das funcionalidades solicitadas pelos Usuários, sem utilizar os dados para finalidades próprias, comerciais ou independentes.

6.6. Consentimento, quando aplicável.
Quando a legislação exigir consentimento para determinado tratamento, caberá à Organização obtê-lo diretamente dos titulares, quando aplicável ao seu contexto interno. A Fornecedora não coleta, gerencia ou valida consentimentos, salvo em hipóteses específicas previstas contratualmente ou em funcionalidades que o exijam de forma expressa.

6.7. Cumprimento de obrigações legais e regulatórias.
O tratamento de dados pessoais também poderá ocorrer para cumprimento de obrigações legais ou regulatórias, bem como para o exercício regular de direitos em processos administrativos, judiciais ou arbitrais, sempre dentro dos limites necessários para atender tais exigências.

6.8. Limitações ao uso dos dados.
A Plataforma não utiliza dados pessoais para treinamento de modelos de IA independentes, criação de perfis, enriquecimento de dados ou qualquer uso incompatível com as bases legais previstas nesta Política, permanecendo todo tratamento limitado ao necessário para execução dos serviços e manutenção da segurança.

7 — Compartilhamento de dados

7.1. Princípios do compartilhamento.
A Fornecedora poderá compartilhar dados pessoais tratados na Plataforma CR.IA apenas quando necessário para viabilizar a operação do serviço, cumprir obrigações legais ou atender instruções documentadas da Organização, que atua como Controladora. Todo compartilhamento ocorre de forma limitada, proporcional e restrita aos dados estritamente necessários.

7.2. Compartilhamento com suboperadores técnicos.
Os principais destinatários do compartilhamento são suboperadores técnicos responsáveis por serviços de infraestrutura, hospedagem, segurança, indexação, processamento e demais recursos essenciais ao funcionamento da Plataforma. Esses suboperadores tratam dados pessoais exclusivamente para execução das atividades contratadas.

7.3. Obrigações e controles aplicáveis aos suboperadores.
Os suboperadores estão sujeitos a obrigações contratuais de confidencialidade, proteção de dados e adoção de controles de segurança compatíveis com a legislação aplicável e com as boas práticas de segurança da informação. A Fornecedora mantém supervisão sobre a atuação desses terceiros dentro do escopo dos serviços prestados.

7.4. Vedação ao uso para fins próprios ou comerciais.
O compartilhamento de dados pessoais nunca ocorre para fins comerciais, publicidade, venda de informações, criação de perfis externos ou treinamento de modelos de Inteligência Artificial independentes. Suboperadores não possuem autonomia para utilizar dados para objetivos próprios.

7.5. Avaliação e verificação de terceiros.
Sempre que necessário, a Fornecedora poderá realizar avaliações de segurança, conformidade e integridade dos suboperadores, com o objetivo de assegurar que adotem padrões compatíveis com a LGPD, com esta Política e com os requisitos contratuais aplicáveis.

7.6. Compartilhamento por obrigação legal ou ordem judicial.
A Fornecedora poderá compartilhar dados pessoais quando exigido por autoridades competentes, mediante ordem judicial ou obrigação legal, garantindo que o cumprimento ocorra dentro dos limites estritamente necessários e observando os deveres de confidencialidade aplicáveis.

7.7. Compartilhamento em incidentes e auditorias.
Em situações envolvendo incidentes de segurança, análises técnicas ou auditorias, informações relevantes poderão ser disponibilizadas à Organização, a autoridades competentes ou a prestadores especializados, sempre respeitando a confidencialidade, a legislação aplicável e o princípio da minimização.

7.8. Fluxos internos da Organização.
O compartilhamento de dados pessoais ocorrido dentro do ambiente da Organização, incluindo entre sistemas internos integrados ao Conector, departamentos ou usuários internos, é de responsabilidade exclusiva da Controladora. A Fornecedora não define regras internas de acesso nem controla fluxos internos da Organização, limitando-se à operação técnica da Plataforma.

8 — Transferência internacional de dados

8.1. Possibilidade de transferência internacional.
A Plataforma CR.IA poderá envolver transferência internacional de dados pessoais quando suboperadores localizados fora do Brasil forem utilizados para hospedagem, processamento técnico, segurança, indexação ou outros serviços essenciais à operação da Plataforma.

8.2. Finalidade e limitação da transferência.
As transferências internacionais ocorrem de forma limitada, controlada e exclusivamente para viabilizar a execução dos serviços contratados, a operação da infraestrutura e a manutenção da Plataforma, sempre dentro das finalidades previstas nesta Política e nos contratos firmados com a Organização.

8.3. Nível adequado de proteção.
A Fornecedora assegura que os dados transferidos sejam tratados com nível de proteção equivalente ao exigido pela legislação brasileira, observando os princípios e requisitos da LGPD, mesmo quando processados fora do território nacional.

8.4. Garantias contratuais e mecanismos reconhecidos.
Para viabilizar a transferência internacional, a Fornecedora adota contratos, cláusulas específicas de proteção de dados e demais mecanismos reconhecidos pela Autoridade Nacional de Proteção de Dados (ANPD), incluindo compromissos de confidencialidade, controles de acesso, monitoramento contínuo e obrigações reforçadas de segurança por parte dos suboperadores.

8.5. Certificações e padrões dos suboperadores.
Os suboperadores utilizados pela Fornecedora adotam padrões rigorosos de segurança e, quando aplicável, possuem certificações reconhecidas internacionalmente, garantindo proteção adequada e compatível com boas práticas de mercado.

8.6. Vedação a finalidades indevidas.
Em nenhuma hipótese a transferência internacional ocorre para fins comerciais, publicidade, análise externa, venda de informações ou treinamento de modelos de Inteligência Artificial independentes, permanecendo restrita à operação técnica da Plataforma.

8.7. Registro e comunicação.
A Fornecedora mantém registro atualizado dos suboperadores relevantes envolvidos em transferências internacionais e poderá comunicar a Organização sobre alterações significativas quando previsto contratualmente ou exigido pela legislação aplicável.

8.8. Ciência da Organização.
A Organização reconhece que o uso de serviços em nuvem e componentes técnicos pode, por sua natureza, envolver fluxos internacionais necessários ao funcionamento da Plataforma, concordando que tais operações ocorram dentro dos limites desta Política e da legislação vigente.

9 — Direito dos titulares de dados

9.1. Direitos assegurados pela LGPD.
Os titulares de dados pessoais tratados na Plataforma CR.IA possuem todos os direitos previstos na LGPD, incluindo confirmação da existência de tratamento, acesso aos dados, correção de informações incompletas, inexatas ou desatualizadas, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, portabilidade, revogação de consentimento quando aplicável e informação sobre compartilhamento ou uso dos dados.

9.2. Papel da Organização no atendimento aos titulares.
Como a Organização atua como Controladora, cabe exclusivamente a ela definir as finalidades do tratamento e atender diretamente às solicitações apresentadas pelos titulares, inclusive aquelas relacionadas ao exercício de seus direitos previstos na legislação aplicável.

9.3. Suporte da Fornecedora como Operadora.
A Fornecedora, na condição de Operadora, prestará suporte técnico sempre que necessário para que a Organização possa atender às solicitações dos titulares, fornecendo informações sobre registros, logs, dados processados, acessos e demais elementos técnicos relacionados ao funcionamento da Plataforma.

9.4. Limitações do suporte prestado.
O suporte fornecido pela Fornecedora limita-se às operações realizadas no âmbito da Plataforma CR.IA, não abrangendo dados mantidos exclusivamente nos sistemas internos da Organização, informações inseridas diretamente por seus usuários fora do escopo técnico da Plataforma ou fluxos internos não controlados pela Fornecedora.

9.5. Comunicação com os titulares.
O titular poderá solicitar informações adicionais diretamente à Organização sobre o tratamento de seus dados, incluindo bases legais utilizadas, suboperadores envolvidos, eventuais transferências internacionais e medidas de segurança aplicadas.

9.6. Atendimento direto pela Fornecedora.
A Fornecedora não realiza atendimento direto a titulares de dados, salvo quando expressamente autorizado pela Organização ou quando houver obrigação legal que determine tal atuação, sempre respeitando os limites contratuais e regulatórios aplicáveis.

9.7. Observância dos limites legais.
O exercício dos direitos dos titulares ocorrerá dentro dos limites e exceções previstos na legislação aplicável, podendo determinadas solicitações ser negadas, postergadas ou atendidas parcialmente quando houver impedimento legal, técnico ou regulatório devidamente justificado.

10 — Como exercer os direitos

10.1. Canal adequado para solicitações dos titulares.
Os titulares que desejarem exercer seus direitos previstos na LGPD devem encaminhar suas solicitações diretamente à Organização, que atua como Controladora dos dados pessoais tratados na Plataforma CR.IA.

10.2. Responsabilidade da Organização no atendimento.
Cabe à Organização avaliar cada solicitação recebida, identificar a base legal aplicável, responder ao titular e adotar as medidas necessárias para seu atendimento, incluindo correção, exclusão, bloqueio ou fornecimento de informações, quando cabível.

10.3. Limitação de atuação da Fornecedora.
A Fornecedora não possui autonomia para realizar diretamente ações relacionadas ao exercício de direitos dos titulares, uma vez que não define as finalidades do tratamento nem gerencia dados pessoais inseridos nos sistemas internos ou nos conteúdos disponibilizados pela Organização.

10.4. Suporte técnico prestado pela Fornecedora.
Quando necessário, a Fornecedora prestará suporte técnico à Organização, fornecendo informações relacionadas ao funcionamento da Plataforma, registros de acesso, logs de auditoria, dados processados por Agentes e demais evidências técnicas compatíveis com o escopo da Plataforma.

10.5. Limites do suporte técnico.
O suporte prestado pela Fornecedora restringe-se às atividades operadas no âmbito da Plataforma CR.IA e não abrange dados mantidos exclusivamente em sistemas internos da Organização ou informações fora do controle técnico da Fornecedora.

10.6. Canais internos da Organização.
A Organização é responsável por disponibilizar aos titulares seus canais oficiais de atendimento e por comunicar internamente os procedimentos para recebimento, análise e resposta às solicitações, garantindo tratamento seguro, transparente e em conformidade com a LGPD.

10.7. Atendimento direto excepcional.
A Fornecedora somente atenderá diretamente solicitações de titulares quando expressamente autorizada pela Organização ou quando houver obrigação legal ou regulatória que imponha tal atuação, sempre observando os limites contratuais e legais aplicáveis.

11 — Armazenamento e retenção de dados

11.1. Princípios de retenção e necessidade.
Os dados pessoais tratados na Plataforma CR.IA são armazenados apenas pelo período necessário para cumprir as finalidades previstas nesta Política, no contrato firmado com a Organização e nas obrigações legais ou regulatórias aplicáveis, observando os princípios de necessidade e minimização.

11.2. Retenção para operação da Plataforma.
A Fornecedora aplica regras de retenção compatíveis com a natureza técnica do tratamento, garantindo que os dados sejam mantidos apenas pelo tempo necessário para autenticação, segurança, auditoria, processamento de solicitações dos Usuários e funcionamento regular dos Agentes.

11.3. Logs, registros técnicos e auditoria.
Registros de acesso, logs de auditoria e informações técnicas relacionadas ao uso da Plataforma podem ser mantidos por prazos específicos para fins de segurança da informação, prevenção a fraudes, integridade operacional e atendimento a requisitos legais, respeitando os limites previstos na legislação aplicável.

11.4. Eliminação e anonimização dos dados.
Após o término dos prazos de retenção aplicáveis, os dados pessoais são eliminados ou anonimizados de forma segura, utilizando procedimentos técnicos adequados que impeçam a identificação dos titulares ou a recuperação das informações.

11.5. Dados provenientes de integrações via Conector.
A Fornecedora não realiza retenção permanente de dados oriundos de integrações internas da Organização. Informações acessadas por meio do Conector são processadas de forma temporária, apenas no momento da consulta, sem armazenamento contínuo, salvo quando tecnicamente indispensável para a execução imediata ou quando houver instrução expressa da Controladora.

11.6. Conteúdos e bases gerenciados pela Organização.
A Organização é responsável por definir prazos de retenção de documentos, bases de conhecimento e conteúdos inseridos nos Agentes, bem como por gerenciar exclusões, atualizações ou arquivamentos conforme suas próprias políticas internas e obrigações legais.

11.7. Encerramento do contrato e exclusão de dados.
Em caso de encerramento do contrato, a Fornecedora realizará a exclusão dos dados armazenados nos ambientes da Plataforma, salvo quando houver obrigação legal que exija sua manutenção por prazo adicional. As exclusões seguem procedimentos seguros e auditáveis, garantindo que não permaneçam cópias residuais acessíveis ou recuperáveis.

11.8. Natureza temporária das respostas geradas.
As respostas apresentadas pelos Agentes refletem o estado das informações no momento da consulta e não implicam armazenamento permanente das bases consultadas, permanecendo os dados sob controle da Organização, ressalvados registros técnicos mínimos necessários para segurança, auditoria e operação da Plataforma.

12 — Encarregado pelo tratamento de dados (DPO)

12.1. Designação do Encarregado.
A Fornecedora mantém um Encarregado pelo Tratamento de Dados (DPO) responsável por coordenar as práticas relacionadas à privacidade e proteção de dados pessoais no âmbito da Plataforma CR.IA, em conformidade com a LGPD e com esta Política.

12.2. Atribuições do Encarregado.
O Encarregado atua na orientação da equipe interna da Fornecedora, no acompanhamento da conformidade dos processos da Plataforma, na supervisão de controles de privacidade e segurança, bem como no apoio à adoção de medidas preventivas ou corretivas relacionadas ao tratamento de dados pessoais.

12.3. Apoio técnico à Organização.
O Encarregado presta suporte técnico à Organização para esclarecimento de dúvidas relacionadas ao tratamento de dados realizado pela Plataforma, incluindo orientações sobre aspectos técnicos, operacionais e regulatórios, respeitados os limites contratuais e o papel da Organização como Controladora.

12.4. Canal de comunicação institucional.
A comunicação entre a Organização e o Encarregado ocorre por meio dos canais formais disponibilizados pela Fornecedora, permitindo o registro adequado de solicitações, dúvidas, comunicações sobre incidentes e demais temas relacionados à proteção de dados pessoais.

12.5. Atendimento a titulares de dados.
O Encarregado não realiza atendimento direto a titulares de dados pessoais, salvo quando expressamente determinado pela Organização ou quando exigido pela legislação aplicável. O atendimento aos titulares permanece sob responsabilidade da Organização, na qualidade de Controladora.

12.6. Limites de atuação do Encarregado.
A atuação do Encarregado limita-se ao suporte técnico e regulatório relacionado às atividades desempenhadas pela Fornecedora como Operadora, não abrangendo decisões internas da Organização, definição de bases legais ou gestão de dados mantidos exclusivamente em seus sistemas internos.

12.7. Atualização das informações de contato.
As informações de contato do Encarregado serão disponibilizadas nos canais oficiais da Fornecedora ou em documento próprio, podendo ser atualizadas periodicamente conforme necessidade organizacional, sem prejuízo da validade desta Política.

13 — Atualizações da política

13.1. Possibilidade de atualização.
A Fornecedora poderá atualizar esta Política de Privacidade sempre que necessário para refletir alterações na Plataforma CR.IA, mudanças legais ou regulatórias, evolução tecnológica, adoção de novos suboperadores ou ajustes operacionais relevantes.

13.2. Objetivo das atualizações.
As atualizações têm como finalidade garantir transparência, segurança e adequação contínua às exigências da legislação aplicável, especialmente à LGPD, bem como às boas práticas de proteção de dados e privacidade.

13.3. Comunicação de alterações relevantes.
Quando houver mudanças significativas que impactem diretamente a Organização, a Fornecedora poderá comunicar tais alterações por meio dos canais oficiais previstos contratualmente, permitindo ciência prévia antes da continuidade do uso da Plataforma.

13.4. Aceite e continuidade de uso.
O uso contínuo da Plataforma CR.IA após a disponibilização de uma nova versão desta Política será interpretado como concordância com seus termos atualizados, nos limites previstos contratualmente e na legislação aplicável.

13.5. Disponibilização da versão vigente.

A versão vigente desta Política estará sempre disponível nos canais oficiais da Fornecedora, garantindo que a Organização e seus Usuários autorizados possam acessá-la a qualquer tempo.

13.6. Recomendações à Organização.
Recomenda-se que a Organização revise periodicamente esta Política, considerando que alterações podem influenciar responsabilidades, fluxos internos, processos de governança e decisões relacionadas ao tratamento de dados pessoais.

14 — Disposições finais

14.1. Integração com documentos contratuais.
Esta Política de Privacidade complementa o Termo de Uso, o Contrato de Adesão, a Política de Segurança e, quando aplicável, o Acordo de Tratamento de Dados (DPA), devendo ser interpretada de forma conjunta com esses documentos para pleno entendimento das práticas de tratamento de dados adotadas na Plataforma CR.IA.

14.2. Compromisso com proteção de dados e conformidade.
A Fornecedora compromete-se a tratar dados pessoais de forma responsável, adotando controles técnicos e organizacionais adequados para garantir segurança, confidencialidade e conformidade com a legislação vigente, especialmente a LGPD.

14.3. Responsabilidades da Organização como Controladora.
A Organização, na qualidade de Controladora, é responsável por definir finalidades, bases legais, políticas internas, governança e regras de uso dos dados pessoais inseridos, consultados ou processados por meio da Plataforma, bem como por garantir conformidade com a legislação aplicável.

14.4. Efeitos do encerramento do contrato.
O encerramento do contrato ou a interrupção do uso da Plataforma não elimina obrigações relacionadas à confidencialidade, segurança e proteção de dados pessoais, que permanecerão válidas enquanto houver exigência legal, regulatória ou necessidade decorrente do tratamento realizado.

14.5. Esclarecimento de dúvidas e comunicações.
Eventuais dúvidas sobre esta Política devem ser direcionadas prioritariamente à Organização ou, quando se referirem a aspectos técnicos, operacionais ou às responsabilidades da Operadora, diretamente à Fornecedora, por meio dos canais oficiais disponibilizados.

14.6. Lei aplicável e foro.
Quaisquer controvérsias relacionadas à interpretação ou aplicação desta Política de Privacidade serão regidas pela legislação brasileira e submetidas ao foro definido no contrato firmado entre as partes.