Contrato de tratamento de dados pessoais
Versão 2026-10. Anexo dos Termos de Uso, aceito no cadastro da empresa.
Controladora: a empresa cliente que contrata o Sobrevoa. Operadora: Operador da plataforma (preencher), CPF/CNPJ 000.000.000-00.
1. Objeto
Regula o tratamento, pela operadora, dos dados pessoais que a controladora cadastra ou coleta pelo Sobrevoa: produtores rurais e seus contatos, propriedades, pilotos, usuários, registros de aplicação, assinaturas de relatórios, fotos, áudios e documentos anexados (LGPD, arts. 37 a 40).
2. Instruções da controladora
A operadora trata os dados somente para prestar o serviço descrito nos Termos e conforme as configurações feitas pela controladora no sistema. Não usa os dados para finalidade própria, não os vende e não os usa para treinar modelos de IA.
3. Obrigações da controladora
- Ter base legal para cada dado que cadastra e informar os titulares (produtores, pilotos, usuários) sobre o tratamento.
- Responder aos pedidos dos titulares, usando as ferramentas do sistema descritas em Direitos do titular.
- Não cadastrar dados sensíveis sem necessidade.
- Decidir se usa as funções de IA e escolher o provedor, contratado por ela, com a chave da conta dela (sem chave, nada é enviado a provedores de IA).
4. Obrigações da operadora
- Manter confidencialidade e exigir o mesmo de quem acessa os dados.
- Aplicar medidas de segurança: criptografia em trânsito, isolamento por empresa, controle de acesso por perfil, senhas com hash, chaves cifradas, cópias de segurança e log de auditoria.
- Comunicar à controladora, em até 48 horas da ciência, incidente de segurança que possa causar risco ou dano relevante aos titulares, com as informações do art. 48 da LGPD.
- Apoiar a controladora no atendimento aos titulares e à ANPD.
- Ao fim do contrato, manter os dados disponíveis para exportação por 30 dias e depois eliminá-los, salvo guarda obrigatória por lei.
5. Suboperadores
A controladora autoriza os suboperadores abaixo. Mudanças são avisadas com 30 dias de antecedência; a controladora pode cancelar o contrato se não concordar.
| Suboperador | Serviço | Dados |
|---|---|---|
| Microsoft (Azure) | Hospedagem, banco de dados, arquivos, filas | Todos os dados do sistema |
| Brevo ou Resend | E-mail transacional | Nome e e-mail do destinatário, conteúdo do e-mail |
| Asaas | Cobrança | Dados da controladora (não de produtores) |
| Anthropic, OpenAI, Groq | Inteligência artificial — provedor escolhido e contratado pela controladora, com a chave dela | Conforme Uso de inteligência artificial |
6. Guarda legal
Registros de aplicação, relatórios e anexos ficam guardados por no mínimo 2 anos (Portaria MAPA 298/2021, art. 19, III). Durante esse prazo o sistema não permite eliminar nem anonimizar o produtor vinculado (LGPD, art. 16, I).
7. Auditoria
A controladora pode pedir, uma vez por ano e com 30 dias de antecedência, informações sobre as medidas de segurança. A operadora responde por escrito; auditoria presencial depende de acordo à parte, por conta da controladora.
8. Responsabilidade
Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato, nos termos dos arts. 42 a 45 da LGPD.