Data Processing Agreement

Neste Acordo:

1. a)
   Dados Pessoais, Dados Pessoais Sensíveis, Titular, Tratamento, Controlador, Operador e Encarregado têm o significado dado pela Lei nº 13.709/2018 (LGPD), e ANPD é a Agência Nacional de Proteção de Dados (Lei nº 15.352/2026);
2. b)
   Dados Pessoais do Contratante são os Dados Pessoais tratados pela StaffChain em nome do Contratante na execução do contrato, descritos no Anexo I;
3. c)
   Suboperador é o terceiro contratado pela StaffChain que trata Dados Pessoais do Contratante em nome dela, conforme o Guia Orientativo de Agentes de Tratamento da ANPD;
4. d)
   Incidente de Segurança é qualquer evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de Dados Pessoais do Contratante, nos termos da Resolução CD/ANPD nº 15/2024;
5. e)
   Instruções são as determinações do Contratante sobre o tratamento, na forma da cláusula 4;
6. f)
   Cláusulas-Padrão Contratuais são as cláusulas aprovadas pela ANPD no Anexo II da Resolução CD/ANPD nº 19/2024 para a transferência internacional de dados pessoais; e
7. g)
   Regulamento de Transferência é o Regulamento de Transferência Internacional de Dados, Anexo I da Resolução CD/ANPD nº 19/2024.

Nos tratamentos descritos no Anexo I, o Contratante é o Controlador e a StaffChain é a Operadora (LGPD, art. 5º, VI e VII, e art. 39).

Se o Contratante tratar dados como operador de outro controlador, ele declara que tem autorização desse controlador para contratar a StaffChain e que as Instruções dadas à StaffChain são compatíveis com as recebidas por ele.

A StaffChain é controladora, e não operadora, dos dados que trata para gerir a própria relação contratual: o cadastro e a autenticação dos Usuários, o registro do aceite da Proposta, o faturamento, as comunicações de suporte e os registros de segurança e de acesso. Esses tratamentos seguem a Política de Privacidade da StaffChain e ficam fora deste Acordo.

Cada parte cumpre a LGPD e a regulamentação da ANPD no seu papel.

A StaffChain trata os Dados Pessoais do Contratante apenas para executar o contrato:

1. a)
   executar as Rotinas Contratadas, como ler publicações e intimações, contar prazos e pedir a confirmação da equipe, ler minutas e decisões, lançar dados nas planilhas do Contratante, conciliar pagamentos e montar fichas de casos novos;
2. b)
   enviar e receber pelo Canal as perguntas, respostas, avisos, tarefas e relatórios dos Agentes;
3. c)
   mostrar as Atividades, as aprovações, a Franquia e os relatórios na Área Logada, com a trilha de auditoria; e
4. d)
   prestar suporte e manter a segurança do serviço.

As operações de tratamento são as necessárias a essas finalidades: coleta nas fontes indicadas pelo Contratante, leitura, classificação e extração de informações, inclusive por modelo de inteligência artificial, registro, transmissão ao Canal e às contas do Contratante, armazenamento e eliminação.

A StaffChain não trata os Dados Pessoais do Contratante para finalidade própria. Em especial, ela não:

1. a)
   vende, aluga ou compartilha esses dados, salvo com os Suboperadores do Anexo II, na medida necessária;
2. b)
   usa esses dados para treinar modelos de inteligência artificial, próprios ou de terceiros;
3. c)
   forma perfis de Titulares nem cruza dados de clientes diferentes; e
4. d)
   usa esses dados para publicidade ou prospecção.

Este Acordo vale enquanto a StaffChain tratar Dados Pessoais do Contratante, inclusive depois do término do contrato, até a eliminação prevista na cláusula 13.

São Instruções do Contratante:

1. a)
   este Acordo, a Proposta e as Condições Gerais;
2. b)
   as configurações definidas pelo Contratante na Implantação ou depois dela e registradas pela StaffChain, como as Rotinas, as fontes, o Canal, quem pode responder a cada pergunta e o nível de detalhe mostrado em cada Canal; e
3. c)
   as determinações enviadas depois, por escrito, pelos contatos indicados na Proposta ou pela Área Logada.

A StaffChain trata os Dados Pessoais do Contratante somente conforme as Instruções. Se considerar que uma Instrução viola a LGPD ou outra norma, a StaffChain avisa o Contratante e pode deixar de cumpri-la até que ele a confirme ou a altere.

Se a lei obrigar a StaffChain a tratar os dados de outra forma, ela avisa o Contratante antes do tratamento, salvo se a lei proibir o aviso.

Instruções que ampliem o escopo contratado podem ser tratadas como Horas, na forma das Condições Gerais.

O Contratante, como Controlador, se obriga a:

1. a)
   ter base legal para cada tratamento que confiar à StaffChain, como a execução do contrato com o seu cliente, o cumprimento de obrigação legal ou o exercício regular de direitos em processo judicial, administrativo ou arbitral (LGPD, arts. 7º e 11);
2. b)
   dar aos Titulares as informações exigidas pela LGPD, inclusive sobre o uso de operadores e sobre a transferência internacional descrita na cláusula 9;
3. c)
   dar Instruções lícitas e compatíveis com o sigilo profissional;
4. d)
   conceder à StaffChain apenas os acessos necessários às Rotinas Contratadas e manter atualizada a lista de Usuários;
5. e)
   avisar a StaffChain, na Implantação, se as Rotinas vão lidar com frequência com Dados Pessoais Sensíveis ou com dados de crianças e adolescentes, para que a configuração reduza a sua exposição; e
6. f)
   responder aos Titulares e à ANPD, com o apoio da StaffChain previsto neste Acordo.

O Contratante autoriza a StaffChain a contratar os Suboperadores do Anexo II e a fazer as transferências internacionais descritas na cláusula 9 e no Anexo IV, e publica a informação sobre elas prevista na cláusula 9.7.

A StaffChain se obriga a:

1. a)
   tratar os Dados Pessoais do Contratante apenas conforme as Instruções e as finalidades da cláusula 3;
2. b)
   garantir que as pessoas autorizadas a tratar esses dados estejam vinculadas por dever de confidencialidade assumido por escrito e recebam orientação sobre proteção de dados e sigilo profissional;
3. c)
   tratar apenas os dados necessários a cada Rotina, na forma da cláusula 6.2;
4. d)
   adotar as medidas de segurança do Anexo III;
5. e)
   manter registro das operações de tratamento que realizar em nome do Contratante (LGPD, art. 37);
6. f)
   apoiar o Contratante no atendimento aos Titulares (cláusula 10), na resposta a Incidentes de Segurança (cláusula 11), no relatório de impacto à proteção de dados pessoais (LGPD, art. 38) e nas solicitações da ANPD, na medida das informações de que dispuser;
7. g)
   avisar o Contratante se não puder cumprir este Acordo; e
8. h)
   devolver e eliminar os dados ao fim do contrato (cláusula 13).

A StaffChain aplica as seguintes regras de minimização, que o Contratante pode tornar mais restritivas:

1. a)
   a Plataforma não guarda CPF nem CNPJ e recusa resumos e detalhes que os contenham;
2. b)
   a Plataforma não guarda documentos: arquivos enviados pelo Canal são transmitidos às Automações sem cópia, e peças e planilhas ficam nas contas do Contratante;
3. c)
   o resumo de cada Atividade mostra no máximo o primeiro nome do cliente, e o nome completo e o número do processo só aparecem ao abrir o detalhe, para quem tem acesso;
4. d)
   cada Canal tem um nível de detalhe configurável (sem nome, primeiro nome ou completo), com padrão sem nome no WhatsApp e no e-mail;
5. e)
   os registros técnicos (logs e rastros) não contêm Dados Pessoais nem o texto enviado aos modelos de IA; e
6. f)
   Dados Pessoais Sensíveis que apareçam nos documentos lidos são tratados apenas na medida necessária à Rotina e não são destacados nos resumos, no Canal nem nos registros técnicos.

As credenciais que o Contratante concede à StaffChain, como chaves de acesso ao Google Workspace, ao Canal, à conta de pagamentos ou ao serviço de recortes:

1. a)
   são usadas apenas para as Rotinas Contratadas que o Contratante autorizou;
2. b)
   são recebidas por tela segura e guardadas cifradas em cofre de segredos, nunca no código, em mensagens ou nos registros técnicos;
3. c)
   só podem ser lidas pelos serviços que executam as Rotinas; e
4. d)
   são eliminadas em até 2 Dias Úteis do término do contrato ou do pedido do Contratante.

A StaffChain não usa certificado digital do Contratante, nem assina ou peticiona em nome dele, salvo Rotina expressamente prevista na Proposta, com instrução específica para cada ato.

A StaffChain adota medidas técnicas e administrativas aptas a proteger os Dados Pessoais do Contratante contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (LGPD, art. 46). As medidas em vigor estão no Anexo III.

A StaffChain pode atualizar as medidas do Anexo III, desde que não reduza o nível geral de proteção. Revisa as medidas pelo menos uma vez por ano e sempre que houver mudança relevante no serviço.

A StaffChain informa, com transparência, que nesta data não possui certificação ISO/IEC 27001 nem relatório SOC 2 próprios. Os relatórios e as certificações dos seus provedores de infraestrutura podem ser consultados nos canais públicos deles, indicados na página pública de Suboperadores (cláusula 8.3).

O Contratante autoriza de forma geral a contratação dos Suboperadores listados no Anexo II, com o serviço, os dados, o local e a finalidade de cada um.

A StaffChain só contrata Suboperador que ofereça garantias de proteção de dados compatíveis com este Acordo, por contrato escrito, que pode ser o contrato-padrão do fornecedor. A StaffChain responde perante o Contratante pelo cumprimento deste Acordo pelos seus Suboperadores.

Para incluir ou substituir um Suboperador, ou mudar o local de tratamento de um deles, a StaffChain:

1. a)
   atualiza a lista pública de Suboperadores, com a data da mudança; e
2. b)
   avisa o Contratante por e-mail com antecedência mínima de 30 dias.

Em emergência que ameace a continuidade ou a segurança do serviço, a mudança pode ser feita antes, com aviso imediato e a justificativa. As mudanças que os Suboperadores comunicarem sobre os seus próprios subcontratados são repassadas ao Contratante assim que a StaffChain as receber.

O Contratante pode se opor à mudança, por escrito e com motivo relacionado à proteção de dados, em até 15 dias do aviso. As partes buscam uma alternativa de boa-fé. Se não houver alternativa em 30 dias, o Contratante pode rescindir, sem multa, a parte do contrato afetada, com devolução dos valores pagos antecipadamente por ela.

Serviços do Contratante. Alguns serviços usados nas Rotinas são contratados diretamente pelo Contratante, que mantém a conta e o contrato com o fornecedor, como o Google Workspace, o provedor do Canal (Discord, WhatsApp, Microsoft Teams ou Slack), o serviço de recortes de publicações, a conta de pagamentos, o banco e os assistentes de IA que os sócios conectarem por MCP. Quanto a esses serviços:

1. a)
   o tratamento feito pelo fornecedor na conta do Contratante segue o contrato entre eles;
2. b)
   a StaffChain acessa esses serviços apenas com a autorização ou a credencial concedida pelo Contratante e na medida das Instruções; e
3. c)
   quando a StaffChain transmite ou acessa Dados Pessoais do Contratante nesses serviços por meio de aplicativo, integração ou credencial sob sua gestão, o fornecedor é tratado como Suboperador para os fins deste Acordo, nos limites desse acesso, e consta do Anexo II.

A Plataforma e o seu banco de dados ficam no Brasil, na AWS, região de São Paulo.

Há transferência internacional de Dados Pessoais do Contratante somente nos casos abaixo. O Anexo IV indica, para cada um, o fornecedor, o país e a região de destino, a finalidade, o mecanismo e onde o Contratante consulta os termos do fornecedor:

1. a)
   modelo de IA chamado pela Plataforma: o texto que o Agente precisa ler, como o teor de uma publicação, de uma minuta ou de um documento, é enviado ao modelo Claude, da Anthropic, pelo Amazon Bedrock, da AWS, a partir da região de São Paulo, com o perfil de inferência indicado no Anexo IV.2. O texto é processado numa das regiões da AWS desse perfil, no Brasil ou fora dele, e o resultado volta à Plataforma, em São Paulo;
2. b)
   modelo de IA chamado por uma Automação diretamente na API da Anthropic, quando a Automação do Contratante funcionar assim: o texto é processado pela Anthropic fora do Brasil e guardado nos Estados Unidos pelo prazo do Anexo II.3;
3. c)
   execução das Automações na rede da Cloudflare, que pode executá-las em data centers fora do Brasil, e a base de dados de uma Automação, quando ela fica num provedor fora do Brasil; e
4. d)
   Canais e serviços do Contratante acessados pela StaffChain na forma da cláusula 8.5, alínea "c", como o Discord e o Google Workspace, que tratam os dados nos países dos seus fornecedores.

Cada transferência se apoia em uma base legal do art. 7º ou do art. 11 da LGPD, definida pelo Contratante como Controlador (cláusula 5.1, alínea "a"), e em um dos mecanismos do art. 33 da LGPD (Regulamento de Transferência, art. 9º). A StaffChain adota o mecanismo nesta ordem de preferência:

1. a)
   decisão de adequação da ANPD, quando o destino é país ou organismo internacional reconhecido como de proteção adequada (LGPD, art. 33, I). Nesta data, o único reconhecido é a União Europeia, com os países do Espaço Econômico Europeu (Resolução CD/ANPD nº 32/2026, em vigor desde 27 de janeiro de 2026);
2. b)
   Cláusulas-Padrão Contratuais, quando o fornecedor as oferecer nos seus termos, adotadas integralmente e sem alteração (LGPD, art. 33, II, "b", e Regulamento de Transferência, art. 16). Nesta data, nenhum dos Suboperadores estrangeiros do Anexo II.1 as oferece, e a ANPD ainda não reconheceu como equivalentes as cláusulas-padrão de outros países; e
3. c)
   na falta das anteriores, a transferência necessária ao cumprimento de obrigação legal ou regulatória pelo Contratante, à execução de contrato de que o Titular seja parte, a pedido dele, ou ao exercício regular de direitos em processo judicial, administrativo ou arbitral (LGPD, art. 33, IX, com o art. 7º, II, V e VI).

Nas transferências que se apoiam na alínea "c" da cláusula 9.3, a StaffChain:

1. a)
   envia apenas o conteúdo necessário à Rotina, e nunca a base de dados do Contratante (Regulamento de Transferência, art. 9º, parágrafo único);
2. b)
   entre os Suboperadores do Anexo II.1, só usa fornecedor obrigado por contrato a tratar o conteúdo apenas para prestar o serviço, a não o usar para treinar modelos, a eliminá-lo nos prazos informados, a manter medidas de segurança e a avisar incidentes. Nos Canais escolhidos pelo Contratante, a salvaguarda é o nível de detalhe do Canal (cláusula 6.2, alínea "d");
3. c)
   transmite o conteúdo com criptografia; e
4. d)
   passa a usar as Cláusulas-Padrão Contratuais assim que o fornecedor as oferecer para o mesmo serviço, e reavalia, pelo menos uma vez por ano, na revisão da cláusula 7.2, se um destino com decisão de adequação pode substituir o mecanismo desta alínea, com aviso ao Contratante na forma da cláusula 8.3 quando o mecanismo mudar.

Cabe ao Contratante, como Controlador, verificar se cada transferência está amparada em base legal e em mecanismo válidos (Regulamento de Transferência, art. 4º), e a StaffChain lhe fornece as informações de que dispuser para isso. Se o Contratante entender que uma transferência do Anexo IV não se enquadra no mecanismo indicado, aplica-se a cláusula 9.9. Em especial, nas Rotinas que tratem com frequência Dados Pessoais Sensíveis (cláusula 5.1, alínea "e"), o Contratante pode pedir que o texto enviado ao modelo de IA vá só a destino com decisão de adequação, na forma da cláusula 9.9.

Ao aceitar este Acordo, o Contratante dá à StaffChain a instrução escrita para as transferências descritas no Anexo IV. A mudança de país, de região, de perfil de inferência ou de mecanismo segue a cláusula 8.3 e pode ser objetada na forma da cláusula 8.4.

A StaffChain entrega ao Contratante, na Implantação e a cada mudança do Anexo IV, um texto em português, em linguagem simples, sobre as transferências, com o conteúdo do art. 17, § 2º, do Regulamento de Transferência, que o Controlador publica nas transferências por Cláusulas-Padrão Contratuais e que ajuda a informar os Titulares nas demais (LGPD, art. 9º, e Regulamento de Transferência, art. 9º): a forma, a duração e a finalidade de cada transferência, os países de destino, os fornecedores, as responsabilidades e as medidas de segurança, e os direitos dos Titulares e os meios para exercê-los. O Contratante pode publicá-lo na sua página na Internet ou integrá-lo à sua política de privacidade. A mesma informação fica na página pública de Suboperadores da StaffChain.

Se um Titular pedir ao Contratante a íntegra das cláusulas usadas numa transferência (Regulamento de Transferência, art. 17), a StaffChain entrega, em até 5 Dias Úteis, a cópia ou o endereço dos termos aplicáveis do fornecedor, para que o Contratante responda no prazo de 15 dias.

Se o Contratante exigir que os Dados Pessoais sejam tratados apenas no Brasil, ou que uma Rotina deixe de usar um dos caminhos do Anexo IV, as partes avaliam a viabilidade, os custos e as funcionalidades afetadas. Nesta data, nenhum fornecedor permite restringir ao Brasil o processamento dos modelos Claude: na região de São Paulo, o Amazon Bedrock só oferece esses modelos pelo perfil global, que distribui os pedidos entre as regiões comerciais da AWS no mundo, sem que o cliente escolha qual, e a API da Anthropic só permite restringir o processamento aos Estados Unidos ou deixá-lo global.

A StaffChain encaminha ao Contratante, em até 2 Dias Úteis, qualquer pedido de Titular que receber sobre Dados Pessoais do Contratante, e não responde ao pedido diretamente, salvo para indicar que ele deve ser dirigido ao Contratante.

A StaffChain apoia o Contratante a atender aos pedidos dos Titulares nos prazos legais, fornecendo, em até 5 Dias Úteis do pedido do Contratante, as informações e as ações que dependam dela, como localizar, corrigir, exportar ou eliminar dados na Plataforma.

O apoio é prestado sem custo adicional. Pedidos repetitivos ou desproporcionais podem ser cobrados como Horas, com estimativa prévia.

Cabe ao Contratante avaliar os limites dos direitos dos Titulares diante do sigilo profissional e do exercício regular de direitos em processo.

A StaffChain avisa o Contratante em até 48 horas depois de tomar conhecimento de Incidente de Segurança que afete Dados Pessoais do Contratante, pelos contatos indicados na Proposta, por e-mail e por telefone ou WhatsApp. Em incidente ocorrido num Suboperador, o prazo conta de quando a StaffChain for avisada por ele.

O aviso traz, na medida do que já se souber, e é completado à medida que a apuração avançar:

1. a)
   a descrição da natureza do incidente e das categorias e da quantidade aproximada de Titulares e de dados afetados;
2. b)
   a data e a hora do incidente e do conhecimento dele;
3. c)
   as medidas de segurança que protegiam os dados;
4. d)
   os riscos prováveis para os Titulares;
5. e)
   as medidas adotadas e as propostas para conter e reverter os efeitos; e
6. f)
   o contato de quem acompanha o caso na StaffChain.

A StaffChain contém o incidente, apura a causa, preserva as evidências e registra o incidente e as medidas adotadas.

Cabe ao Contratante, como Controlador, decidir sobre a comunicação à ANPD e aos Titulares, no prazo de 3 dias úteis da Resolução CD/ANPD nº 15/2024. As partes reconhecem que dados protegidos por sigilo profissional estão entre os critérios de risco relevante do art. 5º dessa resolução, o que torna provável a comunicação em incidentes com dados do Contratante. A StaffChain não faz essa comunicação em nome do Contratante, salvo se ele pedir ou se a lei exigir, e fornece as informações de que ele precisar para fazê-la e para o seu registro de incidentes.

Em até 10 Dias Úteis do encerramento do incidente, a StaffChain entrega ao Contratante um relatório com a causa, o impacto e as medidas para evitar a repetição.

O Contratante avisa a StaffChain, sem demora, de incidente que conhecer e que possa afetar a Plataforma, como credenciais de Usuário comprometidas.

O aviso de um incidente não significa, por si só, reconhecimento de culpa.

A pedido do Contratante, a StaffChain fornece as informações necessárias para demonstrar o cumprimento deste Acordo, como a descrição atualizada das medidas do Anexo III, a lista de Suboperadores e as referências aos relatórios e certificações públicos deles.

A StaffChain responde, sem custo, a um questionário de segurança e privacidade por ano.

O Contratante pode auditar o cumprimento deste Acordo uma vez a cada 12 meses e também depois de Incidente de Segurança relevante ou por exigência da ANPD, observado o seguinte:

1. a)
   aviso por escrito com 30 dias de antecedência, ou com 5 Dias Úteis depois de incidente;
2. b)
   a auditoria é feita pelo Contratante ou por auditor independente vinculado por confidencialidade, de preferência a distância, em Dias Úteis e em horário comercial;
3. c)
   não há acesso a dados de outros clientes nem a segredos de negócio da StaffChain além do necessário à verificação;
4. d)
   cada parte arca com os seus custos. O tempo da equipe da StaffChain que passar de 8 horas por ano pode ser cobrado como Horas, salvo se a auditoria constatar descumprimento relevante deste Acordo; e
5. e)
   as desconformidades encontradas são corrigidas em plano com prazos acordados entre as partes.

A StaffChain coopera com a ANPD em fiscalizações relacionadas aos Dados Pessoais do Contratante e avisa o Contratante delas, salvo proibição legal.

Documentos, peças e planilhas ficam nas contas do Contratante e continuam com ele. No término, a StaffChain encerra os seus acessos a essas contas e ao Canal, e remove os seus aplicativos e integrações.

Durante os 30 dias do Período de Transição das Condições Gerais, o Contratante pode obter, uma vez e sem custo, a exportação dos Dados Pessoais do Contratante mantidos pela StaffChain, em formato aberto e legível por máquina.

Encerrado o Período de Transição, ou antes, a pedido escrito do Contratante, a StaffChain elimina os Dados Pessoais do Contratante em até 30 dias:

1. a)
   na Plataforma;
2. b)
   no ambiente das Automações, incluindo a base de dados própria do Contratante, quando houver; e
3. c)
   nas cópias de segurança, no ciclo de retenção delas, hoje de até 7 dias para o banco de dados da Plataforma, e nos arquivos históricos, quando existirem.

O texto enviado ao modelo de IA pela Plataforma não fica guardado no Amazon Bedrock, cuja conta a StaffChain mantém no modo de retenção zero, com as ressalvas do Anexo II.3, alínea "a". Quando enviado à API da Anthropic, é eliminado por ela no prazo do Anexo II.3, alínea "b", sem necessidade de pedido.

A pedido, a StaffChain declara a eliminação por escrito.

A StaffChain pode conservar apenas o que a lei autoriza, com acesso restrito, pelo prazo legal ou prescricional aplicável: os registros de acesso a aplicação exigidos pelo art. 15 da Lei nº 12.965/2014, os registros fiscais, o registro do aceite e o registro dos pedidos de confirmação e dos avisos de falha enviados ao Contratante, com a data, a hora, a Função, a resposta e quem respondeu, sem nomes de clientes, números de processo nem o teor das publicações (Condições Gerais, cláusula 16.4). A StaffChain guarda esses dados como controladora, só para cumprir a lei e para o exercício regular de direitos (LGPD, arts. 7º, II e VI, e 16, I), e não os usa para outra finalidade.

A StaffChain mantém registro das operações de tratamento que realiza em nome do Contratante, com as categorias do Anexo I, e o entrega ao Contratante na Implantação e sempre que ele pedir.

A StaffChain fornece as informações do serviço necessárias ao relatório de impacto à proteção de dados pessoais que o Contratante precisar elaborar.

O canal da StaffChain para assuntos de proteção de dados é:

• Encarregado: Luiz Felipe Antunes
• E-mail: luiz.antunes@centtral.com.br

O Contratante indica na Proposta o contato do seu encarregado ou do responsável por proteção de dados.

Cada parte responde pelos danos que causar em violação à legislação de proteção de dados, na forma dos arts. 42 a 45 da LGPD. A StaffChain responde solidariamente perante os Titulares quando descumprir a LGPD ou quando não seguir as Instruções lícitas do Contratante (LGPD, art. 42, § 1º, I).

Entre as partes, aplicam-se os limites da cláusula 11 das Condições Gerais, com as condições específicas da Proposta que os alterarem, que valem também para violação de obrigações de proteção de dados, e o direito de regresso do art. 42, § 4º, da LGPD.

Os limites da cláusula 16.2 não alcançam os direitos dos Titulares nem as obrigações que as Cláusulas-Padrão Contratuais, quando adotadas, não permitem limitar.

Este Acordo prevalece sobre as Condições Gerais e sobre a Proposta em matéria de proteção de Dados Pessoais.

As alterações deste Acordo seguem a cláusula 18 das Condições Gerais. A atualização do Anexo II segue a cláusula 8.

Se a ANPD alterar as Cláusulas-Padrão Contratuais ou a regulamentação aplicável, as partes adotam a nova versão no prazo que a norma fixar.

Em cada transferência abaixo, a StaffChain, como operadora do Contratante, é a exportadora, e o fornecedor é o importador (Regulamento de Transferência, art. 3º). A instrução do Contratante está na cláusula 9.6, e a ordem de preferência dos mecanismos, na cláusula 9.3.

Não há transferência internacional na hospedagem da Plataforma, na AWS em São Paulo, nem na base de dados das Automações quando ela fica na AWS em São Paulo ou num projeto do Supabase na região de São Paulo. A base de dados de uma Automação num projeto do Supabase fora do Brasil segue o mecanismo da cláusula 9.3, alínea "c", com as salvaguardas da cláusula 9.4, como a Cloudflare (Anexo IV.4), e a região do projeto consta do registro das operações do Contratante (cláusula 14.1). Termos do fornecedor: Adendo de Tratamento de Dados do Supabase.

A StaffChain entrega ao Contratante, a pedido, cópia ou referência dos instrumentos celebrados com cada Suboperador.