Acordo Interno de Tratamento de Dados Pessoais (DPA)

Natario Labs Desenvolvimento de Programas Ltda.

CNPJ nº 67.312.898/0001-04

Endereço: Av. Epitácio Pessoa, 2990, ap. 703, Lagoa, Rio de Janeiro/RJ

E-mail institucional e de privacidade: biomapa@biomapa.app.br

Encarregado pelo Tratamento de Dados Pessoais:

Thiago Torres Natario, formalmente designado pela Natario Labs Desenvolvimento de Programas Ltda.

Canal do encarregado:

biomapa@yahoo.com

Para os fins deste Acordo, a Natario Labs Desenvolvimento de Programas Ltda. também poderá ser denominada “Natario Labs”, “BioZap”, “Biomapa”, “Empresa” ou “Agente de Tratamento”, conforme o contexto.

Este DPA constitui instrumento interno de governança e responsabilização.

Na data de sua última atualização, a plataforma BioZap é utilizada exclusivamente pela própria Natario Labs para o atendimento aos usuários do Biomapa.

Por essa razão, este documento não representa contrato celebrado entre duas pessoas jurídicas distintas.

A Natario Labs exerce papéis funcionais diferentes dentro da mesma operação:

• na qualidade de responsável pelo Biomapa, define as finalidades, as bases legais, os critérios de atendimento e os elementos essenciais do tratamento dos dados dos usuários;
• na qualidade de responsável técnico pelo BioZap, executa as operações tecnológicas necessárias para receber, processar, armazenar e responder às mensagens enviadas pelo WhatsApp.

A distinção funcional prevista neste documento tem como finalidade:

• documentar as responsabilidades internas;
• demonstrar transparência e prestação de contas;
• estabelecer limites para o tratamento;
• organizar os procedimentos de segurança;
• definir regras de retenção e exclusão;
• registrar o uso de fornecedores;
• disciplinar o uso de inteligência artificial;
• orientar a resposta a incidentes;
• proteger os direitos dos titulares.

Caso o BioZap passe a ser utilizado por clínica, consultório, profissional ou empresa externa, deverá ser celebrado DPA específico entre a Natario Labs e a respectiva empresa-cliente.

Nesse caso, a empresa-cliente será identificada como controladora dos dados de seus clientes finais e a Natario Labs atuará como operadora, nos limites da contratação.

Para os fins deste Acordo, aplicam-se as seguintes definições:

ANPD: Autoridade Nacional de Proteção de Dados.

Anonimização: utilização de meios técnicos razoáveis e disponíveis por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a uma pessoa.

Biomapa: produto, serviço ou aplicação operada pela Natario Labs para organização e acompanhamento de informações relacionadas à saúde de seus usuários.

BioZap: plataforma tecnológica de atendimento por WhatsApp operada pela Natario Labs.

Cliente final ou usuário: pessoa natural que entra em contato com o Biomapa por meio do WhatsApp utilizando a infraestrutura do BioZap.

Controlador: agente de tratamento responsável pelas decisões referentes às finalidades e aos elementos essenciais do tratamento de dados pessoais.

Dado anonimizado: dado que não permite a identificação de seu titular, considerando os meios técnicos razoáveis e disponíveis no momento do tratamento.

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.

Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico vinculado a pessoa natural.

Encarregado: pessoa formalmente indicada pelo agente de tratamento para atuar como canal de comunicação entre a Empresa, os titulares e a ANPD, além de desempenhar as demais atribuições previstas na legislação.

Incidente de segurança: evento confirmado que comprometa ou possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais, incluindo acesso, aquisição, uso, alteração, divulgação, perda ou destruição não autorizados ou acidentais.

Instruções documentadas: regras estabelecidas neste DPA, nas políticas de privacidade, nos termos de uso, nas configurações da Plataforma e nos demais documentos internos aplicáveis.

LGPD: Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.

Operador: agente de tratamento que realiza o tratamento de dados pessoais em nome do controlador e de acordo com suas instruções.

Plataforma: conjunto de sistemas, painéis, integrações, bancos de dados, recursos de inteligência artificial e funcionalidades que compõem o BioZap.

Suboperador: terceiro contratado para auxiliar na realização de operações de tratamento executadas em nome de um controlador.

Titular: pessoa natural a quem se referem os dados pessoais tratados.

Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional.

Tratamento: toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.

Este DPA disciplina as operações de tratamento de dados pessoais realizadas por meio do BioZap durante o atendimento dos usuários do Biomapa pelo WhatsApp.

O BioZap poderá disponibilizar as seguintes funcionalidades:

• recebimento de mensagens;
• envio de mensagens;
• organização de conversas;
• manutenção de histórico;
• identificação de contatos;
• classificação e etiquetagem de atendimentos;
• geração de respostas automatizadas;
• transferência para atendimento humano;
• cadastro de base de conhecimento;
• controle de usuários e permissões;
• registro de atividades;
• recursos de segurança;
• integração com a WhatsApp Business Platform;
• integração com serviços de inteligência artificial.

O tratamento será limitado ao necessário para:

• atender aos usuários;
• responder às solicitações recebidas;
• prestar informações sobre o Biomapa;
• organizar o histórico das conversas;
• permitir atendimento humano;
• manter o funcionamento e a segurança da Plataforma;
• cumprir obrigações legais;
• exercer regularmente direitos;
• atender aos direitos dos titulares.

A Natario Labs atua como controladora quando, por meio do Biomapa:

• define as finalidades do atendimento;
• determina quais informações são necessárias;
• estabelece as bases legais;
• define os fluxos de atendimento;
• determina os prazos ordinários de retenção;
• decide sobre o atendimento aos direitos dos titulares;
• define o conteúdo da base de conhecimento;
• determina as regras para comunicação com os usuários;
• decide sobre eventual envio de comunicações institucionais ou comerciais;
• define a utilização das respostas geradas por inteligência artificial.

A Natario Labs exerce função técnica equivalente à de operadora quando, por meio do BioZap:

• recebe as mensagens enviadas pelo WhatsApp;
• registra as mensagens;
• armazena os dados;
• processa as solicitações;
• envia informações à API de inteligência artificial;
• gera respostas automatizadas;
• disponibiliza as conversas no painel;
• permite atendimento humano;
• executa exclusões;
• administra backups;
• mantém controles de segurança.

A separação funcional não cria duas pessoas jurídicas distintas.

A Natario Labs permanece integralmente responsável pelo cumprimento da LGPD, independentemente da área, produto, sistema ou função interna envolvida.

Não haverá transferência de responsabilidade da Natario Labs para o BioZap ou para o Biomapa, pois ambos são produtos operados pela mesma pessoa jurídica.

Poderão ter dados tratados no contexto deste DPA:

• usuários do Biomapa;
• pessoas interessadas nos serviços do Biomapa;
• clientes;
• potenciais clientes;
• representantes legais;
• responsáveis por crianças ou adolescentes;
• profissionais de saúde que entrem em contato;
• pessoas que solicitem suporte;
• outras pessoas naturais que se comuniquem com o Biomapa pelo WhatsApp.

Poderão ser tratados:

• número de telefone;
• identificador do WhatsApp;
• nome de perfil;
• imagem de perfil disponibilizada pelo WhatsApp, quando acessível;
• conteúdo das mensagens;
• respostas geradas pela inteligência artificial;
• respostas enviadas por atendente humano;
• data e horário das mensagens;
• status de envio, entrega e leitura;
• direção da mensagem;
• histórico das conversas;
• etiquetas;
• classificações;
• observações relacionadas ao atendimento;
• identificação do atendente;
• registro de transferência para atendimento humano;
• preferências de contato;
• registros de consentimento;
• registros de oposição;
• solicitações de cancelamento;
• informações fornecidas voluntariamente pelo próprio titular.

O BioZap não acessa fontes externas para complementar automaticamente os dados do usuário.

O tratamento é limitado:

• às informações fornecidas pelo próprio usuário;
• aos dados técnicos disponibilizados pelo WhatsApp;
• às informações inseridas pela Natario Labs para conduzir e organizar o atendimento.

Considerando que o Biomapa atua no segmento de saúde, é previsível que usuários possam fornecer dados pessoais sensíveis durante as conversas.

Poderão ser tratados, conforme o conteúdo enviado pelo usuário:

• sintomas;
• condições médicas;
• medicamentos;
• tratamentos;
• dados de exames;
• informações sobre histórico de saúde;
• informações genéticas;
• informações biométricas;
• dados sobre vida sexual;
• outras informações classificadas como sensíveis pela LGPD.

O tratamento de dados pessoais sensíveis deverá:

• estar vinculado a finalidade legítima;
• possuir base legal adequada;
• ser limitado ao necessário;
• observar medidas reforçadas de segurança;
• respeitar os direitos dos titulares;
• impedir acessos desnecessários;
• observar o sigilo aplicável.

O usuário será orientado a não enviar:

• senhas;
• códigos de autenticação;
• dados bancários desnecessários;
• números completos de cartão;
• informações de terceiros sem autorização;
• documentos que não sejam necessários ao atendimento.

A Natario Labs deverá identificar e documentar a base legal aplicável a cada finalidade.

Conforme a operação, poderão ser utilizadas as seguintes bases legais:

• execução de contrato ou de procedimentos preliminares relacionados ao contrato;
• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• legítimo interesse, após avaliação de necessidade, proporcionalidade e impacto;
• proteção da vida ou da incolumidade física;
• tutela da saúde, quando preenchidos os requisitos legais;
• consentimento;
• prevenção à fraude e segurança do titular nos processos de identificação e autenticação.

No caso de dados pessoais sensíveis, deverão ser observadas as hipóteses previstas no art. 11 da LGPD.

A tutela da saúde somente deverá ser utilizada quando o tratamento estiver relacionado a procedimento realizado por profissional de saúde, serviço de saúde ou autoridade sanitária, nos limites da legislação.

Quando o tratamento estiver fundamentado em consentimento, este deverá ser:

• livre;
• informado;
• inequívoco;
• específico;
• destacado, quando envolver dados sensíveis;
• demonstrável;
• passível de revogação.

Todas as operações deverão observar os princípios previstos na LGPD, incluindo:

• finalidade;
• adequação;
• necessidade;
• livre acesso;
• qualidade dos dados;
• transparência;
• segurança;
• prevenção;
• não discriminação;
• responsabilização e prestação de contas.

Nenhum dado deverá ser tratado em quantidade superior à necessária para a finalidade informada.

Os dados poderão ser tratados para:

• identificar o usuário;
• receber e responder mensagens;
• fornecer informações sobre o Biomapa;
• prestar suporte;
• organizar o atendimento;
• registrar o histórico da conversa;
• transferir a conversa para atendimento humano;
• gerar respostas automatizadas;
• esclarecer dúvidas;
• administrar preferências de contato;
• registrar consentimentos e oposições;
• atender aos direitos dos titulares;
• prevenir fraudes;
• proteger a segurança da Plataforma;
• investigar incidentes;
• cumprir obrigações legais;
• exercer regularmente direitos;
• produzir registros internos de auditoria.

Os dados não serão tratados para finalidades incompatíveis com aquelas informadas ao titular.

Os dados tratados por meio do BioZap não serão:

• vendidos;
• alugados;
• comercializados;
• utilizados para publicidade comportamental de terceiros;
• utilizados para formação de perfis comerciais não relacionados ao atendimento;
• utilizados para treinamento de modelos de inteligência artificial;
• compartilhados para finalidades incompatíveis com o atendimento;
• utilizados para discriminação ilegal.

O BioZap utiliza a API da Anthropic para auxiliar na geração de respostas automatizadas.

Para produzir uma resposta, poderão ser enviados:

• a mensagem fornecida pelo usuário;
• o contexto estritamente necessário da conversa;
• as instruções configuradas pela Natario Labs;
• os trechos pertinentes da base de conhecimento.

Somente serão enviados os dados necessários para gerar a resposta solicitada.

De acordo com as condições contratuais aplicáveis à API utilizada pelo BioZap:

• os dados não são utilizados para treinamento de modelos;
• os dados não são utilizados para desenvolvimento dos modelos;
• os dados não são utilizados para melhoria dos modelos;
• os dados não são utilizados para publicidade;
• os dados não são utilizados para formação de perfis comerciais;
• os dados são processados exclusivamente para gerar a resposta solicitada.

A Natario Labs não utilizará o conteúdo das conversas para treinar modelos próprios de inteligência artificial.

Quando o usuário envia uma mensagem de áudio, o áudio é transcrito por um serviço de terceiro (OpenAI/Whisper) apenas para gerar a resposta; envia-se somente o áudio necessário e os dados não são utilizados para treinamento de modelos.

As respostas geradas por inteligência artificial podem conter:

• erros;
• omissões;
• ambiguidades;
• informações imprecisas;
• informações desatualizadas;
• interpretações inadequadas ao contexto.

A inteligência artificial do BioZap não deverá:

• realizar diagnóstico médico;
• prescrever medicamentos;
• recomendar início, alteração ou interrupção de tratamentos;
• interpretar exames de maneira conclusiva;
• substituir profissional legalmente habilitado;
• prestar atendimento de emergência;
• tomar decisão jurídica autônoma;
• tomar decisão financeira ou de crédito autônoma;
• produzir efeito relevante sem análise humana;
• solicitar senhas;
• solicitar códigos de autenticação;
• solicitar números completos de cartão;
• solicitar dados financeiros desnecessários.

Sempre que a natureza da solicitação exigir, deverá ser disponibilizado atendimento humano.

O BioZap será utilizado predominantemente para apoio ao atendimento e geração de respostas.

A Natario Labs não deverá utilizar a inteligência artificial para tomar decisões unicamente automatizadas que produzam efeitos jurídicos ou afetem significativamente os interesses do titular sem:

• avaliação prévia de legalidade;
• transparência;
• documentação dos critérios;
• possibilidade de revisão;
• intervenção humana quando aplicável;
• observância do art. 20 da LGPD.

O BioZap é uma ferramenta tecnológica de atendimento e não substitui consulta, diagnóstico, prescrição ou acompanhamento médico.

As respostas automatizadas não deverão ser apresentadas como:

• diagnóstico;
• prescrição;
• interpretação definitiva de exame;
• recomendação de tratamento;
• orientação para interromper medicamento;
• substituição de avaliação profissional.

O BioZap não é canal de emergência.

Em situações de urgência ou emergência médica, o usuário deverá procurar serviço de saúde ou entrar em contato com o Serviço de Atendimento Móvel de Urgência - SAMU, pelo número 192.

A Natario Labs não monitora todas as conversas em tempo real para identificar emergências.

O acesso aos dados será limitado:

• aos administradores autorizados;
• aos atendentes autorizados;
• às pessoas que necessitem das informações para cumprir suas funções;
• aos fornecedores tecnicamente necessários;
• às autoridades competentes, quando houver obrigação legal ou ordem válida.

O acesso deverá observar:

• necessidade;
• menor privilégio;
• autenticação;
• registro de atividades, quando disponível;
• confidencialidade;
• segregação de funções.

Todas as pessoas autorizadas a acessar dados pessoais deverão estar sujeitas a dever de confidencialidade legal, contratual ou funcional.

Os dados somente poderão ser utilizados:

• para o atendimento;
• para suporte técnico;
• para segurança;
• para cumprimento de obrigação legal;
• para execução das atividades autorizadas.

A obrigação de confidencialidade permanecerá após o encerramento do vínculo da pessoa autorizada com a Natario Labs.

A Natario Labs adotará medidas técnicas, administrativas e organizacionais compatíveis com a natureza dos dados e os riscos do tratamento.

As medidas poderão incluir:

• criptografia em trânsito por HTTPS ou TLS;
• criptografia em repouso fornecida pelos provedores;
• segregação lógica dos dados;
• Row Level Security - RLS;
• controle de acesso baseado em funções;
• autenticação de usuários;
• restrição de privilégios;
• gestão de credenciais;
• armazenamento protegido de segredos;
• validação de webhooks;
• proteção de endpoints;
• registros de acesso;
• monitoramento técnico;
• atualização de componentes;
• backups;
• procedimentos de resposta a incidentes;
• revisão periódica das permissões;
• exclusão de acessos desnecessários;
• confidencialidade dos colaboradores e prestadores.

As medidas poderão ser atualizadas para acompanhar mudanças tecnológicas, novos riscos e alterações na operação.

Nenhum sistema conectado à internet é absolutamente imune a falhas, ataques ou incidentes.

Os dados armazenados no Supabase deverão ser protegidos por mecanismos de segregação lógica.

Entre os controles utilizados está o Row Level Security - RLS, destinado a restringir o acesso às informações de acordo com as permissões atribuídas.

Credenciais, tokens e segredos técnicos deverão:

• permanecer em ambiente privado;
• ser acessados apenas por funções autorizadas do servidor;
• não ser expostos no navegador;
• não ser incluídos em repositórios públicos;
• ser substituídos em caso de suspeita de comprometimento.

O banco de dados principal utilizado pelo BioZap por meio do Supabase está hospedado em infraestrutura localizada em São Paulo, Brasil.

O armazenamento principal no Brasil não impede que determinadas operações necessárias ao funcionamento da Plataforma envolvam processamento ou transferência internacional de dados.

A Natario Labs utiliza fornecedores necessários ao funcionamento do BioZap.

Finalidades:

• hospedagem do banco de dados;
• gerenciamento das informações;
• autenticação, quando aplicável;
• armazenamento da base de conhecimento;
• armazenamento das conversas;
• armazenamento das configurações.

Localização principal:

• São Paulo, Brasil.

Finalidade:

• processamento das informações necessárias para geração das respostas automatizadas.

Dados envolvidos:

• mensagem enviada pelo usuário;
• contexto necessário da conversa;
• instruções da Natario Labs;
• trechos relevantes da base de conhecimento.

Os dados não serão utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Finalidades:

• transmissão das mensagens;
• recebimento das mensagens;
• entrega das mensagens;
• funcionamento da WhatsApp Business Platform.

Dados envolvidos:

• número de telefone;
• identificadores do WhatsApp;
• nome de perfil;
• conteúdo das mensagens;
• metadados de mensageria.

Finalidades:

• hospedagem da aplicação;
• execução de funções;
• processamento de requisições técnicas;
• disponibilização do painel e dos endpoints.

Finalidade:

• transcrição de mensagens de áudio (voz para texto), quando o usuário envia um áudio.

Dados envolvidos:

• arquivo de áudio enviado pelo usuário.

Localização principal:

• Estados Unidos.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Poderão ser utilizados fornecedores de:

• autenticação;
• segurança;
• monitoramento;
• e-mail transacional;
• suporte;
• processamento de pagamentos;
• armazenamento;
• continuidade de negócios.

A contratação de fornecedor não autoriza o uso dos dados para finalidades incompatíveis com a prestação do serviço.

A classificação de cada fornecedor como operador, suboperador ou controlador independente dependerá:

• da atividade efetivamente realizada;
• das decisões tomadas pelo fornecedor;
• das finalidades do tratamento;
• dos contratos aplicáveis;
• da legislação aplicável.

Quando o fornecedor atuar como operador ou suboperador, a Natario Labs deverá buscar estabelecer obrigações relacionadas a:

• confidencialidade;
• segurança;
• limitação de finalidade;
• resposta a incidentes;
• eliminação ou devolução de dados;
• cooperação;
• observância da legislação.

Quando o fornecedor atuar como controlador independente, seu tratamento estará sujeito às respectivas políticas, contratos e responsabilidades legais.

A Natario Labs poderá substituir ou contratar novos fornecedores quando necessário para:

• melhorar a Plataforma;
• garantir continuidade;
• aumentar a segurança;
• incluir funcionalidades;
• reduzir riscos;
• atender a exigências legais ou técnicas.

Antes da contratação, deverá ser considerada a adequação do fornecedor ao tipo de dado e ao risco da operação.

Alterações relevantes deverão ser refletidas na Política de Privacidade e nos registros internos aplicáveis.

Determinadas operações poderão envolver processamento ou transferência internacional de dados, especialmente por meio:

• da Anthropic;
• da OpenAI (transcrição de áudio);
• da Meta;
• do WhatsApp;
• da Vercel;
• de outros fornecedores internacionais de tecnologia.

As transferências internacionais deverão observar:

• os arts. 33 a 36 da LGPD;
• a regulamentação da ANPD;
• os contratos aplicáveis;
• os princípios da finalidade, necessidade, transparência e segurança.

Poderão ser utilizados, conforme o caso:

• cláusulas-padrão contratuais aprovadas pela ANPD;
• cláusulas-padrão equivalentes reconhecidas pela ANPD;
• cláusulas contratuais específicas;
• normas corporativas globais;
• decisões de adequação;
• execução de contrato;
• outras hipóteses legalmente admitidas.

A existência de transferência internacional não autoriza o fornecedor a utilizar os dados para finalidade própria incompatível.

O titular poderá solicitar, nos limites da legislação:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização de dados desnecessários ou excessivos;
• bloqueio;
• eliminação;
• portabilidade, quando regulamentada e tecnicamente aplicável;
• informação sobre compartilhamentos;
• informação sobre a possibilidade de negar consentimento;
• revogação do consentimento;
• oposição ao tratamento irregular;
• revisão de decisão automatizada;
• petição perante a ANPD;
• reclamação perante os órgãos de defesa do consumidor.

As solicitações poderão ser encaminhadas para:

E-mail de privacidade: biomapa@biomapa.app.br

Canal do encarregado: biomapa@yahoo.com

A Natario Labs poderá solicitar informações adicionais para confirmar a identidade do solicitante e evitar fraude ou divulgação indevida.

As solicitações deverão ser:

• registradas;
• analisadas;
• classificadas;
• respondidas dentro do prazo legal aplicável;
• documentadas para fins de prestação de contas.

A resposta poderá ser limitada quando:

• houver obrigação legal de conservação;
• o pedido envolver direitos de terceiros;
• não for possível confirmar a identidade do solicitante;
• houver risco à segurança;
• o pedido for manifestamente abusivo;
• existir outra limitação prevista em lei.

Os dados serão mantidos somente pelo período necessário para:

• realizar o atendimento;
• manter o histórico necessário;
• cumprir a finalidade informada;
• atender a obrigações legais;
• prevenir fraudes;
• investigar incidentes;
• exercer regularmente direitos;
• cumprir ordem de autoridade.

A retenção não deverá exceder o necessário para a finalidade correspondente.

Após o recebimento e a validação de uma solicitação legítima de exclusão, os dados abrangidos serão removidos dos sistemas ativos do BioZap em até 24 horas.

O prazo de 24 horas será contado após:

• confirmação da identidade do solicitante, quando necessária;
• identificação dos dados abrangidos;
• validação da legitimidade do pedido;
• confirmação de que não existe obrigação legal de conservação.

A exclusão poderá ser total ou parcial.

A conservação poderá ocorrer quando necessária para:

• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• prevenção a fraudes;
• investigação de incidentes;
• cumprimento de ordem de autoridade;
• outras hipóteses previstas no art. 16 da LGPD.

Os dados mantidos por obrigação legal permanecerão protegidos e não serão utilizados para finalidade incompatível.

A Natario Labs realiza backups para fins de:

• continuidade do serviço;
• recuperação de falhas;
• segurança;
• recuperação de desastre.

Após a exclusão dos sistemas ativos, determinados dados poderão permanecer temporariamente em cópias de segurança protegidas.

Os backups serão sobrescritos ou eliminados ao final do respectivo ciclo técnico de retenção.

Enquanto permanecerem em backups, os dados:

• não serão utilizados para atendimentos ordinários;
• não serão utilizados para publicidade;
• não serão utilizados para análise comercial;
• não serão utilizados para treinamento de inteligência artificial;
• terão acesso restrito;
• somente poderão ser utilizados para recuperação de falha ou desastre;
• deverão ser novamente submetidos aos registros de exclusão em caso de restauração.

O prazo de exclusão de até 24 horas refere-se aos sistemas ativos e não representa eliminação imediata das cópias de segurança.

Caso seja necessário restaurar um backup, a Natario Labs deverá:

• restringir a restauração ao necessário;
• registrar o procedimento;
• controlar os acessos;
• verificar os pedidos de exclusão realizados após a data do backup;
• reaplicar as exclusões pendentes;
• evitar a reativação indevida de dados eliminados.

Ao identificar possível incidente de segurança, a Natario Labs deverá:

• conter o evento;
• preservar evidências;
• avaliar os sistemas afetados;
• identificar as categorias de dados;
• estimar os titulares afetados;
• avaliar os riscos;
• documentar as medidas adotadas;
• corrigir vulnerabilidades;
• considerar a necessidade de comunicação.

O incidente deverá ser registrado mesmo quando não houver obrigação de comunicação à ANPD ou aos titulares.

Quando o incidente puder acarretar risco ou dano relevante aos titulares, a Natario Labs deverá realizar a comunicação à ANPD e aos titulares no prazo regulamentar aplicável.

A comunicação deverá conter, conforme as informações disponíveis:

• descrição da natureza do incidente;
• categorias de dados afetados;
• categorias e quantidade estimada de titulares;
• medidas técnicas e de segurança utilizadas;
• riscos relacionados ao incidente;
• medidas adotadas ou planejadas;
• informações de contato do encarregado;
• justificativa em caso de comunicação incompleta ou realizada em etapas.

Informações complementares poderão ser fornecidas posteriormente, conforme o avanço da investigação.

Em caso de incidente, deverão ser adotadas medidas razoáveis para:

• preservar logs;
• preservar registros;
• evitar alteração indevida de evidências;
• documentar decisões;
• identificar responsáveis pelas ações de resposta;
• cooperar com autoridades;
• permitir investigação posterior.

A preservação deverá observar os princípios da necessidade, segurança e limitação de acesso.

A Natario Labs deverá avaliar a necessidade de elaborar Relatório de Impacto à Proteção de Dados Pessoais quando:

• houver tratamento de alto risco;
• houver tratamento relevante de dados sensíveis;
• houver utilização de tecnologia inovadora;
• houver decisão automatizada relevante;
• a ANPD determinar;
• o contexto da operação justificar avaliação formal de riscos.

O relatório poderá conter:

• descrição das operações;
• finalidades;
• bases legais;
• categorias de dados;
• categorias de titulares;
• riscos;
• medidas de mitigação;
• fornecedores;
• transferências internacionais;
• prazos de retenção;
• procedimentos de segurança.

Caso o atendimento envolva crianças ou adolescentes, deverá ser observado seu melhor interesse.

A Natario Labs deverá:

• utilizar base legal adequada;
• fornecer informações claras e acessíveis;
• limitar a coleta ao necessário;
• adotar segurança reforçada;
• avaliar a participação dos pais ou responsáveis;
• evitar práticas manipulativas;
• impedir exploração comercial indevida;
• não realizar perfilamento incompatível com os direitos de menores.

Quando utilizado consentimento para tratamento de dados de crianças, ele deverá ser específico, destacado e fornecido por pelo menos um dos pais ou responsável legal, conforme aplicável.

A Natario Labs deverá manter registros compatíveis com o porte e o risco de sua operação, incluindo, quando aplicável:

• finalidades;
• bases legais;
• categorias de dados;
• categorias de titulares;
• fornecedores;
• transferências internacionais;
• prazos de retenção;
• medidas de segurança;
• solicitações dos titulares;
• incidentes;
• decisões sobre conservação e exclusão;
• avaliações de risco.

A Natario Labs poderá realizar revisões periódicas para verificar:

• funcionamento dos controles de acesso;
• adequação das permissões;
• segurança das credenciais;
• configuração do RLS;
• proteção dos webhooks;
• conformidade dos fornecedores;
• retenção dos dados;
• funcionamento das exclusões;
• restauração de backups;
• atualização das políticas;
• cumprimento das regras de inteligência artificial.

As irregularidades identificadas deverão resultar em medidas corretivas proporcionais ao risco.

A Natario Labs deverá ser capaz de demonstrar:

• adoção de medidas de segurança;
• limitação das finalidades;
• respeito aos direitos dos titulares;
• avaliação dos fornecedores;
• controle das transferências internacionais;
• existência de procedimentos de exclusão;
• resposta adequada a incidentes;
• uso responsável da inteligência artificial;
• documentação das decisões relevantes.

A existência deste DPA não substitui a aplicação prática das medidas nele previstas.

A Natario Labs responderá pelo tratamento realizado em violação à LGPD quando:

• descumprir obrigação legal;
• tratar dados para finalidade incompatível;
• deixar de observar medidas de segurança adequadas;
• utilizar dados sem base legal;
• descumprir os direitos dos titulares;
• utilizar dados em desconformidade com suas próprias políticas;
• realizar tratamento discriminatório ilegal;
• causar dano patrimonial, moral, individual ou coletivo, nos termos da legislação.

A responsabilidade será avaliada conforme:

• o dano;
• o nexo causal;
• a conduta praticada;
• as medidas preventivas adotadas;
• a legislação aplicável;
• os arts. 42 a 45 da LGPD.

Nenhuma disposição deste documento exclui responsabilidade que não possa ser afastada por lei.

O encarregado pelo tratamento de dados pessoais é Thiago Natario, formalmente designado pela Natario Labs.

O encarregado deverá atuar como canal de comunicação entre:

• a Natario Labs;
• os titulares;
• a ANPD.

Entre suas atribuições estão:

• receber reclamações;
• receber solicitações dos titulares;
• prestar esclarecimentos;
• adotar ou encaminhar providências;
• receber comunicações da ANPD;
• orientar administradores, colaboradores e prestadores;
• apoiar a revisão das políticas;
• auxiliar na documentação das operações;
• acompanhar incidentes;
• recomendar medidas de proteção de dados.

O encarregado deverá comunicar eventual situação que possa comprometer sua objetividade ou seu julgamento técnico.

A Natario Labs deverá avaliar possíveis conflitos de interesses relacionados à atuação do encarregado.

Caso seja identificado conflito capaz de comprometer a objetividade ou o julgamento técnico, deverão ser adotadas medidas como:

• separação de atribuições;
• revisão por terceiro;
• documentação da decisão;
• designação de apoio;
• substituição do encarregado, quando necessária.

Este DPA poderá ser atualizado para refletir:

• alterações legais;
• regulamentações da ANPD;
• mudanças técnicas;
• novos fornecedores;
• novas funcionalidades;
• alteração das finalidades;
• mudanças na inteligência artificial;
• aprimoramento das medidas de segurança.

A versão vigente deverá indicar a data da última atualização.

Alterações relevantes deverão ser refletidas também, quando aplicável:

• na Política de Privacidade;
• nos Termos de Uso;
• nos registros de tratamento;
• nos avisos apresentados aos titulares.

Este DPA aplica-se exclusivamente ao uso interno do BioZap pela Natario Labs no atendimento aos usuários do Biomapa.

Quando uma empresa externa contratar o BioZap:

• deverá ser celebrado DPA específico;
• a empresa contratante deverá ser identificada;
• a empresa contratante será, como regra, controladora dos dados de seus clientes finais;
• a Natario Labs atuará como operadora;
• deverão ser definidas as instruções documentadas;
• deverão ser indicados os contatos de privacidade;
• deverão ser ajustadas as responsabilidades;
• deverão ser reguladas auditoria, incidentes, retenção, exclusão e suboperadores.

Este documento não deverá ser utilizado sem adaptação para formalizar relação com empresa externa.

Este DPA entra em vigor em 1º de julho de 2026.

O documento permanecerá vigente enquanto:

• o BioZap for utilizado pela Natario Labs;
• houver tratamento de dados relacionado à operação;
• existirem dados conservados;
• permanecerem obrigações legais;
• não for substituído por versão posterior.

As obrigações de confidencialidade, segurança, retenção legal e responsabilidade permanecerão aplicáveis mesmo após a descontinuação da Plataforma, enquanto houver dados conservados.

Este DPA será regido pelas leis da República Federativa do Brasil, especialmente:

• Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais;
• Lei nº 12.965/2014 - Marco Civil da Internet;
• Código Civil;
• regulamentação da ANPD;
• demais normas aplicáveis.

Para controvérsias relacionadas a este DPA, fica eleito o foro da Comarca da Capital do Estado do Rio de Janeiro, ressalvadas:

• competências legais obrigatórias;
• direitos dos titulares;
• competências administrativas da ANPD;
• regras de foro aplicáveis às relações de consumo.

Natario Labs Desenvolvimento de Programas Ltda.

CNPJ nº 67.312.898/0001-04

Endereço: Av. Epitácio Pessoa, 2990, ap. 703, Lagoa, Rio de Janeiro/RJ

E-mail institucional e de privacidade: biomapa@biomapa.app.br

Encarregado pelo Tratamento de Dados Pessoais:

Thiago Natario

Canal do encarregado:

biomapa@yahoo.com

Pessoa jurídica responsável:

Natario Labs Desenvolvimento de Programas Ltda.

CNPJ:

67.312.898/0001-04

Produtos envolvidos:

BioZap e Biomapa.

Natureza do documento:

Instrumento interno de governança e tratamento de dados pessoais.

Papel funcional de controladora:

Natario Labs, como responsável pelo Biomapa e pelas decisões sobre o atendimento aos usuários.

Papel técnico equivalente ao de operadora:

Natario Labs, por meio da infraestrutura do BioZap.

Titulares:

Usuários, clientes, potenciais clientes, representantes e demais pessoas que conversem com o Biomapa pelo WhatsApp.

Dados tratados:

Número de telefone, identificador do WhatsApp, nome de perfil, mensagens, histórico, metadados, etiquetas, observações, registros de consentimento e dados fornecidos voluntariamente.

Dados sensíveis:

Podem incluir dados de saúde, medicamentos, sintomas, exames, informações genéticas e outros dados sensíveis fornecidos pelo usuário.

Finalidades:

Atendimento, suporte, geração de respostas, organização das conversas, atendimento humano, histórico e segurança.

Banco de dados principal:

Supabase, hospedado em São Paulo, Brasil.

Inteligência artificial:

API da Anthropic.

Transcrição de áudio:

OpenAI (Whisper), nos Estados Unidos.

Uso para treinamento:

Os dados enviados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Mensageria:

Meta e WhatsApp.

Hospedagem da aplicação:

Vercel.

Exclusão dos sistemas ativos:

Até 24 horas após validação de solicitação legítima.

Backups:

Sobrescritos ou eliminados ao final do ciclo técnico de retenção.

Transferência internacional:

Pode ocorrer por meio da Anthropic, OpenAI, Meta, WhatsApp, Vercel e outros fornecedores internacionais, conforme mecanismos admitidos pela LGPD e pela regulamentação da ANPD.

Encarregado:

Thiago Natario.

Canal do encarregado:

biomapa@yahoo.com.

A Natario Labs mantém ou poderá manter as seguintes medidas:

• criptografia em trânsito;
• criptografia em repouso fornecida pelo provedor;
• isolamento lógico dos dados;
• Row Level Security - RLS;
• autenticação;
• controle de acesso por função;
• restrição de privilégios;
• gestão de usuários;
• armazenamento protegido de credenciais;
• validação de webhooks;
• proteção de endpoints;
• registros de eventos;
• monitoramento técnico;
• backups;
• processo de exclusão;
• reaplicação de exclusões após restauração;
• resposta a incidentes;
• revisão de fornecedores;
• dever de confidencialidade;
• limitação de acesso interno;
• atualização de componentes;
• revisão periódica das permissões.

Serviço:

• banco de dados;
• infraestrutura;
• armazenamento;
• autenticação, quando aplicável.

Localização principal:

• São Paulo, Brasil.

Serviço:

• API de inteligência artificial.

Finalidade:

• geração de respostas automatizadas.

Tratamento:

• processamento da mensagem;
• contexto necessário;
• instruções;
• base de conhecimento pertinente.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Serviço:

• transcrição de áudio (voz para texto).

Finalidade:

• transcrever mensagens de voz para gerar a resposta.

Localização principal:

• Estados Unidos.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Serviço:

• WhatsApp Business Platform.

Finalidade:

• transmissão;
• recebimento;
• entrega das mensagens.

Serviço:

• hospedagem;
• execução da aplicação;
• processamento de requisições técnicas.

A Natario Labs Desenvolvimento de Programas Ltda. aprova este Acordo Interno de Tratamento de Dados Pessoais como parte de sua estrutura de governança, privacidade e segurança da informação.

Local: Rio de Janeiro/RJ

Data de entrada em vigor: 1º de julho de 2026

NATARIO LABS DESENVOLVIMENTO DE PROGRAMAS LTDA.

CNPJ nº 67.312.898/0001-04

Responsável legal e encarregado pelo tratamento de dados pessoais:

Thiago Torres Natario