Anexo I · Aditivo de Tratamento de Dados

1.1 Controlador: o condomínio, associação, empresa ou administradora contratante, que define as finalidades e decide cadastrar os dados dos moradores.

1.2 Operador: Uvenza Group Ltda., CNPJ 66.220.300/0001-94 ("Átrio"), que trata os dados pessoais em nome e conforme as instruções documentadas do Controlador.

1.3 Este Anexo integra os Termos de Uso e Contratação do Átrio Encomendas e prevalece sobre eles em matéria de dados pessoais.

2.1 O tratamento tem por objeto a prestação do serviço de gestão de encomendas: registro com foto da etiqueta, leitura automatizada da etiqueta, aviso ao morador pelo WhatsApp mediante autorização dele, controle de retirada por QR Code, token ou documento, e histórico com auditoria.

2.2 As instruções do Controlador são as funcionalidades contratadas e este Anexo. Instrução adicional deve ser dada por escrito, pelos canais oficiais.

3.1 Titulares: moradores e usuários indicados pelo Controlador, como porteiros e gestores.

3.2 Dados tratados: identificação (nome), unidade, telefone com WhatsApp, decisão do morador sobre receber avisos com a respectiva trilha de auditoria, fotos de etiquetas, dados de retirada (nome de quem retirou; tipo, número e conferência do documento), histórico de eventos e registros de acesso.

3.3 O produto não trata categorias de dados sensíveis, por desenho.

4.1 O Operador utiliza os seguintes suboperadores: Supabase (banco de dados e arquivos, região de São Paulo), Vercel (hospedagem e execução), Meta/WhatsApp (mensageria), OpenAI (leitura automatizada da etiqueta) e Resend (e-mails transacionais de conta).

4.2 O Operador mantém termos de tratamento de dados com cada suboperador desta lista e responde perante o Controlador pela atuação deles, como se por ele próprio fossem praticados os atos.

4.3 O Operador comunicará alteração relevante desta lista, cabendo ao Controlador objeção fundamentada em prazo razoável.

5.1 O Operador adota, no mínimo: acesso por perfil com invariantes no banco de dados; isolamento por condomínio; tráfego cifrado; segredos em cofre dedicado; reautenticação e auditoria para ações sensíveis da equipe do Átrio; exportações auditadas e bloqueadas por padrão em caso de falha; trilha de consentimento imutável; e limites de taxa nas superfícies públicas.

6.1 Foto da etiqueta e dados brutos da leitura automatizada: 90 dias após a retirada ou o encerramento operacional da encomenda, com suspensão automática enquanto houver ocorrência aberta. A exclusão é automática e registrada.

6.2 Número do documento de retirada: apagado em até 24 horas, permanecendo apenas o tipo do documento e a confirmação de que foi conferido.

6.3 Demais dados: conservados enquanto necessários às finalidades e às obrigações legais. Prazos adicionais por classe de dado são definidos pelo Controlador junto com o Operador.

7.1 O Operador auxilia o Controlador a atender confirmação de tratamento, acesso, correção, portabilidade com exportação operacional dos dados do condomínio, eliminação e os demais direitos do art. 18 da LGPD.

7.2 Canais: privacidade@atrioapp.com.br e a página pública de exclusão de dados.

8.1 O Operador comunicará o Controlador sem demora injustificada e em até 2 dias úteis após tomar conhecimento de incidente envolvendo os dados tratados em seu nome, com as informações necessárias à avaliação: natureza do incidente, titulares e dados afetados e medidas adotadas.

8.2 A comunicação à Agência Nacional de Proteção de Dados e aos titulares, quando cabível, é decisão do Controlador, com a cooperação do Operador, observados os prazos da regulamentação vigente.

9.1 Mediante solicitação razoável, e respeitada a segurança dos demais clientes, o Operador disponibiliza evidências das medidas deste Anexo, como políticas públicas, trilhas do próprio condomínio e confirmações de configuração, até duas vezes por ano, sem acesso direto a sistemas.

10.1 O pessoal e os prestadores do Operador estão sujeitos a dever de confidencialidade e ao princípio do acesso mínimo necessário.

11.1 O armazenamento principal fica no Brasil, na região de São Paulo. Operações específicas podem ocorrer no exterior pelos suboperadores da cláusula 4, observados os arts. 33 a 36 da LGPD e a regulamentação da Agência Nacional de Proteção de Dados.

11.2 No caso do WhatsApp, os termos da própria plataforma incorporam as cláusulas-padrão da Agência Nacional de Proteção de Dados.

12.1 No término, o Operador exporta os dados ao Controlador e, após o período de quarentena e respeitadas as retenções legais, elimina os dados com registro da eliminação, sem conservar dados pessoais no comprovante.

12.2 Os acessos e as sessões são revogados no encerramento.

13.1 Este Anexo integra os Termos de Uso e Contratação do Átrio Encomendas e vigora com eles.