Adendo de Tratamento de Dados

1. Definições

Para fins deste Adendo, aplicam-se as definições da LGPD (Art. 5). Em especial:

2. Papel da Revon Labs como Operadora

No âmbito dos serviços contratados, a Revon Labs atuará exclusivamente como operadora de dados, tratando dados pessoais somente:

• Para as finalidades específicas descritas no contrato de serviço
• Conforme instruções documentadas do controlador
• Na extensão necessária para executar as automações contratadas

A Revon Labs não tomará decisões autônomas sobre o tratamento de dados pessoais dos titulares do controlador. Caso receba uma solicitação de titular de dados relacionada a dados do controlador, redirecionará o titular ao controlador sem delay injustificado.

3. Instrução do Controlador

O controlador instrui a Revon Labs a tratar os dados pessoais necessários para a execução das automações, incluindo:

• Dados de clientes, fornecedores ou colaboradores do controlador presentes nos sistemas integrados
• Dados de comunicação (e-mails, mensagens via WhatsApp Business, registros de atendimento)
• Dados de processos internos do controlador necessários para os workflows automatizados

O controlador é responsável por garantir que:

• Possui base legal adequada para tratar os dados dos seus titulares
• Os dados compartilhados com a Revon Labs são os mínimos necessários para a finalidade da automação
• Os titulares cujos dados são processados foram devidamente informados sobre o tratamento, quando exigido pela LGPD

4. Suboperadores

Para prestar os serviços, a Revon Labs utiliza os seguintes suboperadores, todos contratados sob obrigações de confidencialidade e proteção de dados compatíveis com a LGPD:

A Revon Labs notificará o controlador sobre qualquer alteração relevante na lista de suboperadores com pelo menos 30 dias de antecedência, permitindo ao controlador manifestar objeção fundamentada.

5. Transferência Internacional de Dados

O tratamento por Anthropic e Supabase envolve transferência de dados pessoais para os Estados Unidos da América, país que não possui decisão de adequação reconhecida pela ANPD. As salvaguardas adotadas são:

• Anthropic: Data Processing Agreement com cláusulas contratuais padrão compatíveis com LGPD e GDPR. Zero data retention para dados processados via API — os dados não são usados para treinar modelos.
• Supabase: DPA disponível publicamente com cláusulas contratuais padrão.
• n8n: Quando hospedado pela Revon Labs em servidor próprio (self-hosted), os dados permanecem no Brasil ou na UE. Quando utilizada a versão em nuvem, o tratamento é coberto pelo DPA da n8n GmbH, empresa registrada na Alemanha.

O controlador, ao assinar o contrato de serviço e este Adendo, autoriza expressamente as transferências internacionais descritas acima, com amparo nas salvaguardas indicadas.

6. Medidas de Segurança

A Revon Labs adota as seguintes medidas técnicas e organizacionais para proteger os dados tratados em nome do controlador:

• Criptografia em trânsito (TLS 1.2+) e em repouso
• Controle de acesso baseado em função (RBAC) — apenas membros autorizados acessam os dados do cliente
• Autenticação de múltiplos fatores (MFA) nos sistemas internos
• Monitoramento de execuções e logs de auditoria retidos por 12 meses
• Avaliações periódicas de segurança

7. Sigilo e Confidencialidade

A Revon Labs compromete-se a:

• Garantir que todos os membros da equipe que acessam dados do controlador estejam sujeitos a obrigações de confidencialidade
• Não divulgar dados do controlador a terceiros não autorizados
• Acessar apenas os dados estritamente necessários para a execução do serviço

8. Notificação de Incidentes

Em caso de incidente de segurança que afete dados pessoais do controlador, a Revon Labs:

• Notificará o controlador em até 48 horas após a confirmação do incidente
• Fornecerá informações sobre a natureza do incidente, categorias e volume de dados afetados, medidas de contenção adotadas e impacto estimado
• Cooperará com o controlador nas providências necessárias, incluindo eventual notificação à ANPD

A responsabilidade pela decisão de notificar a ANPD e os titulares cabe ao controlador, que deverá fazê-lo dentro dos prazos legais (art. 48 da LGPD).

9. Direitos dos Titulares

Quando a Revon Labs receber solicitações de titulares de dados relacionadas a dados tratados em nome do controlador, irá:

• Redirecionar o titular ao controlador dentro de 2 dias úteis
• Prestar as assistências técnicas razoáveis solicitadas pelo controlador para que este possa atender os direitos dos titulares (acesso, correção, eliminação, portabilidade, etc.)

10. Retenção e Eliminação de Dados

Ao término do contrato de serviço, a Revon Labs irá, à escolha e instrução do controlador:

• Devolver os dados pessoais tratados em seu nome, em formato estruturado e de uso comum; ou
• Excluir os dados pessoais de forma segura e irreversível

O prazo para devolução ou exclusão é de 15 dias úteis a partir da solicitação formal do controlador, salvo obrigação legal que imponha retenção por prazo superior.

Logs operacionais anonimizados (sem dados pessoais identificáveis) poderão ser retidos pela Revon Labs por prazo operacional razoável.

11. Auditoria

O controlador pode, com aviso prévio de 30 dias e no máximo uma vez por ano, solicitar informações ou documentação que demonstre o cumprimento das obrigações deste Adendo. A Revon Labs cooperará razoavelmente com essas verificações, podendo indicar relatórios de auditoria de terceiros (ex: SOC 2 dos suboperadores) como evidência.

Auditorias presenciais nas instalações da Revon Labs dependem de acordo prévio quanto a escopo, custo e impacto operacional.

12. Vigência

Este Adendo entra em vigor na data de assinatura do contrato de serviço e permanece válido enquanto a Revon Labs tratar dados pessoais em nome do controlador. Suas obrigações de confidencialidade e segurança sobrevivem ao término do contrato pelo prazo necessário ao cumprimento das finalidades ou por até 5 (cinco) anos, o que for maior.

13. Contato para questões de proteção de dados