Em poucas palavras
- Sobre os Dados da Organização, a Organização é controladora: decide o que coleta, para quê e por quanto tempo. A Fluxium é operadora: trata os dados para fazer a Plataforma funcionar, conforme as instruções da Organização, com a exceção abaixo.
- Exceção: a Organização autoriza a Fluxium a usar os dados para desenvolver, treinar e melhorar a Plataforma e a IA, inclusive recursos oferecidos a outras Organizações. O treino usa somente dados anonimizados, e alguns dados ficam totalmente fora, como saúde, sigilo profissional, dados financeiros e de menores. A Fluxium é controladora da etapa de anonimização e adota medidas razoáveis para evitar que dados de uma Organização sejam expostos a outra, sem garantia absoluta.
- A Fluxium mantém sigilo, segurança razoável, suboperadores com obrigações equivalentes e avisa antes de trocá-los.
- Em incidente, a Fluxium avisa a Organização sem demora indevida e ajuda na resposta. Comunicar ANPD e titulares cabe à Organização.
- A Fluxium não responde por instrução ilícita da Organização nem pelo que a Organização faz com os dados fora da Plataforma.
- No fim do contrato, os dados podem ser exportados e depois são eliminados.
1.Partes, objeto e incorporação
1.1. Este Termo é celebrado entre a Organização que aceita os Termos de Uso e a FLUXIUM LTDA, CNPJ 60.123.373/0001-81, com sede na Av. Brigadeiro Faria Lima, 1811, Conj. 115, Jardim Paulistano, São Paulo/SP, CEP 01452-001 (“Fluxium”).
1.2. Ele regula o tratamento de Dados Pessoais contidos nos Dados da Organização que a Fluxium realiza ao fornecer a Plataforma, nos termos da Lei nº 13.709/2018 (LGPD), especialmente dos arts. 37 a 40.
1.3. Este Termo integra os Termos de Uso e é aceito junto com eles. Em matéria de dados, prevalece sobre os Termos de Uso, exceto quanto aos limites de responsabilidade. A Proposta Comercial prevalece apenas em preço e prazo.
1.4. Os termos com inicial maiúscula têm o significado do Glossário e, quando técnicos, o da LGPD.
2.Papéis de cada parte
| Dados | Controladora | Operadora |
|---|---|---|
| Dados da Organização: Clientes, leads, contatos, Afiliados e Sub-afiliados, dados bancários e chaves PIX de Afiliados, conversas de WhatsApp e e-mail, gravações e transcrições de calls, cliques, atribuições e Comissões | Organização | Fluxium |
| Anonimização de Dados da Organização para desenvolver, treinar, avaliar e melhorar a Plataforma e a IA (seção 4A). O dado anonimizado resultante não é dado pessoal | Fluxium, por finalidade própria autorizada pela Organização | Não se aplica |
| Dados de conta dos Usuários e representantes, faturamento da Organização, site, cookies da Fluxium, registros de segurança e prevenção a fraude contra a própria Plataforma | Fluxium, na forma da Política de Privacidade | Não se aplica |
2.1. Finalidade própria autorizada. A Organização autoriza expressamente a Fluxium a usar os Dados da Organização para desenvolver, treinar, avaliar e melhorar a Plataforma e seus recursos de IA, inclusive os oferecidos a outras Organizações. O treino usa exclusivamente dados previamente anonimizados (art. 12 da LGPD). A etapa de anonimização é tratamento da Fluxium como controladora, com base no legítimo interesse (arts. 7º, IX, e 10 da LGPD), com as exclusões e salvaguardas da seção 4A. A Organização informa essa finalidade aos seus titulares (seção 5).
2.2. Fora dessa finalidade, a Fluxium não usa os Dados da Organização para fins próprios. Em nenhum caso os comercializa, cria perfis em benefício de terceiros, ou os usa para decidir sobre programas de outra Organização. A proteção contra exposição a outra Organização segue o compromisso de meio da seção 4A.
2.3. A autenticação de Terceiros da Organização e as ferramentas de prevenção a fraude dos programas são segregadas por Organização e configuradas por ela.
3.Titulares, dados e finalidades
3.1. Titulares: Usuários, Afiliados e Sub-afiliados, Clientes, leads, contatos, participantes de grupos de WhatsApp em que a Organização participa, pessoas gravadas em chamadas e reuniões, participantes de eventos de agenda, destinatários de comunicações e disparos da Organização e autores de avaliações públicas usadas na inteligência competitiva.
3.2. Categorias de dados: identificação e contato; dados cadastrais e fiscais de Afiliados; dados bancários e chaves PIX de Afiliados e identificadores de Conta de Recebimento; histórico comercial; conteúdo de mensagens, e-mails, mensagens de grupos e atas; voz e imagem em gravações e as transcrições; dados de agenda e reunião; registros de abertura e clique de e-mails e mensagens (data, hora, endereço IP aproximado e dispositivo); registros de navegação, cliques e atribuição; dados mínimos de avaliações públicas; registros de acesso.
3.3. Finalidades em nome da Organização, ressalvada a finalidade própria da seção 4A: hospedar, armazenar, processar e exibir os dados nos Módulos contratados; executar tecnicamente as configurações de rastreamento, atribuição, cálculo e registro definidas pela Organização; enviar as comunicações que a Organização comandar; processar gravações e mensagens com os recursos de IA que a Organização ativar; disponibilizar ferramentas de prevenção a fraude configuradas e operadas pela Organização; prestar suporte; manter a segurança da Plataforma e as cópias de segurança.
3.4. Duração: enquanto vigorarem os Termos de Uso e durante o período de transição e eliminação da seção 13.
3.5. A Organização não inserirá dados pessoais sensíveis ou de crianças e adolescentes sem base legal adequada e sem avaliar se os recursos da Plataforma são apropriados para esse tratamento.
4.Instruções documentadas
4.1. Ressalvada a finalidade própria das seções 2.1 e 4A, que não depende de instrução, as instruções da Organização são: este Termo, os Termos de Uso, a Proposta Comercial, as configurações que a Organização faz na Plataforma e instruções escritas complementares compatíveis com as funcionalidades contratadas.
4.2. A licitude das instruções é responsabilidade da Organização. A Fluxium pode avisar a Organização se entender que uma instrução viola a lei e pode suspender o cumprimento dessa instrução até que seja confirmada, ajustada ou revogada, sem que isso seja inadimplemento. Esse aviso é uma faculdade e não cria dever da Fluxium de analisar a licitude das instruções ou dos programas da Organização.
4.3. Instrução que exija funcionalidade não disponível ou trabalho fora do escopo contratado depende de acordo à parte.
4.4. Fora da seção 4A, a Fluxium pode tratar dados sem instrução apenas quando exigido por lei ou por ordem de autoridade, comunicando a Organização antes, quando a lei permitir.
4A.Exceção: uso para desenvolver e treinar a Plataforma e a IA
4A.1. Exceção expressa às instruções documentadas. A Organização autoriza expressamente a Fluxium a usar Dados da Organização, inclusive Conteúdo, entradas e saídas de IA, interações e metadados de uso, para desenvolver, treinar, avaliar e melhorar a Plataforma e seus recursos de IA, inclusive os oferecidos a outras Organizações, na forma do Termo de Uso Ético de IA.
4A.2. Só dados anonimizados. O treino usa exclusivamente dados previamente anonimizados, sem possibilidade razoável de reidentificação, considerados os meios técnicos razoáveis e disponíveis (art. 12 da LGPD). Dado identificável ou pseudonimizado nunca é usado para treinar.
4A.3. Papel e base legal. A etapa de anonimização é tratamento da Fluxium como controladora, com base no legítimo interesse (art. 7º, IX, e art. 10 da LGPD). O dado anonimizado resultante não é dado pessoal. Nas demais operações, a Fluxium continua operadora da Organização.
4A.4. Exclusões totais. Ficam fora da anonimização e do treino, mesmo que anonimizados: (a) dados de saúde e demais dados pessoais sensíveis; (b) dados sob sigilo profissional, como o médico, o jurídico, o contábil e o bancário; (c) dados financeiros e bancários, inclusive dados bancários e chaves PIX de Afiliados; (d) dados de crianças e adolescentes; (e) todo o conteúdo de Organizações dos setores de saúde, serviços jurídicos e serviços financeiros; (f) dados obtidos por APIs de terceiros cujos termos vedem esse uso, como dados de agenda e reunião do Google Agenda e do Google Meet, conteúdo do Google Places e mensagens e dados recebidos pelas APIs da Meta (WhatsApp, Instagram e Messenger); e (g) o áudio e o vídeo de gravações.
4A.5. Salvaguardas. A Fluxium usa apenas os dados necessários, aplica a eles as medidas de sigilo e segurança deste Termo e adota medidas técnicas e organizacionais razoáveis, compatíveis com o estado da técnica, para evitar que Dados Pessoais, Conteúdo identificável ou informação confidencial de uma Organização sejam exibidos, fornecidos ou reproduzidos a outra Organização. Por se tratar de IA generativa, esse é um compromisso de meio, sem garantia absoluta de resultado.
4A.6. A anonimização e as exclusões seguem técnicas razoáveis e disponíveis, sem garantia absoluta de que nenhum dado seja reidentificado ou deixe de ser identificado como excluído.
Processo de anonimização
4A.7. Setor da Organização. A Organização declara seu setor na Plataforma, e a declaração é conferida com o CNAE do CNPJ dela. A lista de CNAEs dos setores excluídos (saúde, serviços jurídicos e serviços financeiros) é mantida e publicada na Plataforma. Organização desses setores tem todo o seu conteúdo fora do treino.
4A.8. Detecção dentro do ambiente da Organização. Nas demais Organizações, a remoção de identificadores e a identificação do conteúdo excluído acontecem no ambiente da própria Organização, dentro da Plataforma, como etapa do processo de anonimização e antes de qualquer dado seguir para o treino. O conteúdo identificado como excluído não sai desse ambiente para essa finalidade.
4A.9. Lote que não atinge o padrão. Todo lote é conferido antes do uso. Lote cuja anonimização não atinja o padrão do art. 12 da LGPD é descartado e não é usado. Se, apesar disso, algum elemento de um conjunto usado vier a ser considerado dado pessoal, a Fluxium o trata com a mesma base legal, as mesmas exclusões e salvaguardas, e o elimina ao identificá-lo.
4A.10. Oposição do titular. O titular pode se opor à anonimização dos seus dados para treino pelo e-mail contato@fluxium.pro, com o assunto “Dados pessoais”. A Fluxium, como controladora dessa etapa, analisa e responde diretamente.
5.Deveres da Organização
5.1. Como controladora, a Organização deve:
- declarar corretamente seu setor na Plataforma e mantê-lo atualizado, inclusive quando mudar de atividade ou de CNAE, respondendo pelas consequências de declaração incorreta ou desatualizada (seção 4A);
- ter base legal válida para cada tratamento, inclusive obter consentimento quando exigido, por exemplo para gravar e transcrever calls quando necessário;
- informar os titulares, em política de privacidade própria, sobre o tratamento, o uso de operadores e que o fornecedor de tecnologia pode usar os dados para desenvolver e melhorar os próprios serviços, inclusive a IA (seção 4A);
- indicar seu próprio encarregado, quando exigido, e atender os pedidos dos titulares;
- avaliar e comunicar à ANPD e aos titulares os incidentes, quando cabível (art. 48 da LGPD);
- garantir que dados fornecidos por Terceiros da Organização, inclusive Afiliados, foram coletados licitamente;
- escolher e responder pelos provedores que conecta com Credenciais Próprias;
- cumprir as responsabilidades compartilhadas da Política de Segurança.
6.Confidencialidade
6.1. A Fluxium garante que as pessoas autorizadas a tratar os Dados da Organização estão sujeitas a dever de sigilo, contratual ou legal, que continua após o fim do vínculo.
6.2. O acesso interno segue o princípio do menor privilégio, é registrado e ocorre apenas quando necessário para suporte, segurança ou obrigação legal, preferencialmente com autorização da Organização registrada na Plataforma.
7.Segurança
7.1. A Fluxium mantém medidas técnicas e administrativas razoáveis para proteger os dados (art. 46 da LGPD), como obrigação de meio, compatíveis com o estado da técnica e com a natureza dos dados. As medidas estão descritas, de forma exemplificativa e sujeita a evolução equivalente ou superior, na Política de Segurança.
7.2. A segurança é compartilhada: a Organização protege suas senhas, gere seus Usuários, usa permissões mínimas e mantém as travas de transferência ligadas nos Provedores de Pagamento.
8.Suboperadores
8.1. Autorização expressa. Ao aceitar este Termo, a Organização autoriza expressamente a Fluxium a contratar suboperadores das categorias abaixo para fornecer a Plataforma, desde que vinculados a obrigações de proteção de dados substancialmente equivalentes às deste Termo. Suboperador de categoria não listada depende do aviso e do direito de objeção do item 8.5.
8.2. Lista de suboperadores da Fluxium na data desta versão:
| Categoria | Função | País de armazenamento |
|---|---|---|
| Nuvem e hospedagem | Hospedagem e execução da aplicação | Brasil (região de São Paulo) |
| Banco de dados | Banco de dados, autenticação e armazenamento de arquivos gerenciados | Brasil (região de São Paulo) |
Os provedores dessas categorias são empresas com operação global e podem acessar os dados remotamente a partir de outros países para suporte e manutenção da própria infraestrutura (seção 9). A identificação nominal de cada provedor é informada pelo canal da seção 15.
8.3. Provedores de IA, e-mail e mensageria são da Organização. Os provedores de inteligência artificial, e-mail, mensageria (como WhatsApp) e dados de locais (como o Google Places, usado na inteligência competitiva) usados nas operações da Organização são contratados pela própria Organização, com Credenciais Próprias. Eles não são suboperadores da Fluxium: são operadores ou suboperadores contratados pela Organização, que se relacionam diretamente com ela. O mesmo vale para Provedores de Pagamento e plataformas de anúncios.
8.4. Cabe à Organização escolher esses provedores, aceitar os termos deles, responder pela conformidade do uso e contratar plano ou modalidade que não permita ao provedor usar os dados para treinar os próprios modelos.
8.5. Aviso prévio e objeção. A Fluxium avisará a inclusão ou a troca de suboperador com pelo menos 15 dias de antecedência, por e-mail ou na Plataforma. A Organização pode apresentar objeção razoável e fundamentada, ligada à proteção de dados, em até 10 dias úteis do aviso. As partes buscarão solução de boa-fé, como medida adicional de proteção ou alternativa técnica. Sem solução em 30 dias, a Organização pode encerrar os Módulos afetados sem multa. Sem objeção no prazo, a mudança é considerada autorizada.
8.6. A Fluxium responde perante a Organização apenas pelos suboperadores que ela contratar, nos termos da LGPD e nos limites dos Termos de Uso.
9.Transferência internacional
9.1. Os suboperadores da Fluxium armazenam os dados no Brasil, mas podem acessá-los ou tratá-los a partir de outros países, inclusive por acesso remoto. A Organização autoriza essas transferências, desde que feitas com base em mecanismo do art. 33 da LGPD, preferencialmente as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024.
9.2. Provedores de IA, e-mail e mensageria, entre outros contratados pela Organização com Credenciais Próprias, podem tratar dados fora do Brasil. Essas transferências são de responsabilidade da Organização, que deve verificar o mecanismo do art. 33 da LGPD adotado por cada um.
10.Incidentes de segurança
10.1. A Fluxium comunicará à Organização, sem demora indevida e, sempre que possível, em até 48 horas após confirmar o incidente, qualquer incidente de segurança na Plataforma ou em suboperador que envolva Dados da Organização.
10.2. A comunicação trará, na medida do que se souber: a natureza do incidente; as categorias e a quantidade aproximada de titulares e de dados; as medidas de contenção adotadas; os riscos prováveis; e um contato. O que não estiver disponível será complementado assim que apurado.
10.3. A Fluxium cooperará com a Organização na apuração, na mitigação e no preparo das comunicações à ANPD e aos titulares, que cabem à Organização como controladora.
10.3A. Etapa de anonimização. Se o incidente atingir dados na etapa de anonimização ou na finalidade da seção 4A, a Fluxium, como controladora dessa finalidade, avalia e faz as comunicações à ANPD e aos titulares exigidas pelo art. 48 da LGPD, e informa a Organização.
10.4. A comunicação de incidente não é, por si só, reconhecimento de culpa. Incidentes originados no ambiente da Organização, como senha ou Credencial Própria exposta, dispositivo comprometido ou acesso concedido por ela, são de responsabilidade da Organização, e a Fluxium ajudará na medida do razoável.
11.Direitos dos titulares
11.1. A Fluxium auxiliará a Organização, na medida do razoável e principalmente por meio das funcionalidades da Plataforma (consulta, correção, exportação e exclusão), a atender os pedidos dos titulares do art. 18 da LGPD.
11.2. Se um titular procurar diretamente a Fluxium sobre Dados da Organização, a Fluxium o orientará a se dirigir à Organização e comunicará a Organização em até 5 dias úteis, sem responder ao mérito do pedido, salvo obrigação legal.
11.3. Apoio que exija trabalho fora das funcionalidades da Plataforma pode ser cobrado, mediante acordo prévio.
12.Registros, relatórios e auditoria
12.1. A Fluxium mantém registro das operações de tratamento que realiza (art. 37 da LGPD) e colabora, mediante pedido fundamentado, com relatório de impacto à proteção de dados pessoais da Organização, com as informações de que dispuser.
12.2. A Fluxium fornece as informações razoavelmente necessárias para demonstrar o cumprimento deste Termo, por meio de documentação, questionários e relatórios.
12.3. Auditoria razoável. Se essas informações não forem suficientes, a Organização pode fazer auditoria 1 vez por ano, ou após incidente relevante que a afete, com aviso de 30 dias, por si ou por auditor independente sob sigilo e que não seja concorrente da Fluxium, em horário comercial e com escopo previamente acordado. A auditoria se limita ao tratamento deste Termo, não dá acesso a dados de outras Organizações nem a informações que comprometam a segurança da Plataforma e é feita às custas da Organização, incluindo o tempo razoável da equipe da Fluxium.
12.4. Relatórios de avaliação independentes, quando existirem, podem substituir total ou parcialmente a auditoria. Resultados de auditoria são informação confidencial da Fluxium.
13.Fim do tratamento: devolução e eliminação
13.1. Terminados os Termos de Uso, aplica-se o período de transição neles previsto: por 60 dias, prorrogáveis por mais 30 a pedido, a Organização pode exportar os Dados da Organização existentes na Plataforma, no formato disponível, sem custo. Essa exportação é a forma de devolução dos dados.
13.2. Encerrada a transição, a Fluxium elimina os Dados da Organização dos ambientes ativos em até 30 dias e das cópias de segurança no ciclo regular delas, e fornece declaração de eliminação a pedido.
13.3. Retenção para defesa e obrigação legal. Mesmo após o término e após pedido de eliminação, a Fluxium pode conservar os dados e registros necessários para cumprir obrigação legal ou regulatória e para exercer seus direitos e se defender em processo judicial, administrativo ou arbitral (art. 16, I, e art. 7º, VI, da LGPD), como registros de acesso a aplicações (art. 15 do Marco Civil), registros de aceite, trilhas de auditoria, configurações e instruções da Organização e comunicações entre as partes. A conservação dura pelo prazo legal ou prescricional aplicável e, havendo processo, até o fim dele, com acesso restrito e uso limitado a essas finalidades.
13.3A. Como o treino usa apenas dados anonimizados, que não são dados pessoais, esses dados e os modelos, avaliações e melhorias resultantes da seção 4A não são objeto de devolução ou eliminação. Nenhum dado pessoal é mantido para essa finalidade após o término.
13.4. Guardar contratos, documentos fiscais, histórico de Comissões e demais registros de que precise é dever da Organização, por meios próprios.
14.Responsabilidade
14.1. Cada parte responde pelos danos que causar por descumprir este Termo ou a legislação de proteção de dados, na medida da sua participação, nos termos dos arts. 42 a 45 da LGPD, com direito de regresso (art. 42, § 4º).
14.2. A Fluxium não responde:
- por tratamento feito em cumprimento a instrução ilícita da Organização, inclusive por configurações feitas por ela na Plataforma;
- pela falta de base legal, de transparência ou de consentimento, que cabem à Organização;
- pelo tratamento que a Organização, seus Usuários ou Terceiros da Organização fazem fora da Plataforma, inclusive dados exportados, baixados, copiados ou enviados a outros sistemas;
- por provedores contratados pela Organização com Credenciais Próprias;
- por incidentes originados no ambiente ou nas credenciais da Organização;
- nas demais hipóteses do art. 43 da LGPD.
14.3. A Organização manterá a Fluxium livre de reclamações, multas e condenações decorrentes das hipóteses do item 14.2, na forma da seção de indenização dos Termos de Uso.
14.4. Entre as partes, aplicam-se os limites de responsabilidade dos Termos de Uso, inclusive o limite específico para incidentes de dados. Esses limites não valem contra os titulares nem afastam o dolo.
14.5. Os limites de responsabilidade protegem apenas a Fluxium e nunca reduzem a indenização, o reembolso ou o regresso devidos pela Organização à Fluxium.
15.Disposições finais
15.1. As obrigações de sigilo, segurança, eliminação e responsabilidade continuam válidas após o término, enquanto houver Dados da Organização sob a guarda da Fluxium.
15.2. Alterações seguem as regras dos Termos de Uso. Mudanças exigidas por lei ou pela ANPD podem ser aplicadas no prazo por elas definido.
15.3. Encarregado da Fluxium: Edenio Antunes da Costa Junior. Comunicações sobre este Termo: contato@fluxium.pro, com o assunto “Privacidade”. Incidentes: contato@fluxium.pro, com o assunto “Segurança”. Vale a lei brasileira e o foro dos Termos de Uso.