Acordo de Tratamento de Dados Pessoais da Timbra

Versão 1.0 · Em vigor desde 11 de outubro de 2026

Este acordo faz parte dos Termos de Uso da Timbra e vale entre:

• a empresa cliente que contrata a Timbra (“Controladora”), representada pelo dono que aceita este acordo ao criar ou assumir a conta da empresa; e
• ACN Comunicação e Marketing LTDA, CNPJ 30.527.513/0001-16, com sede na Rua Caracuri, 501, casa 1, bairro Karaíba, Uberlândia/MG, CEP 38411-370, que oferece a Timbra (“Operadora”).

Ele vale para os dados pessoais que a Controladora coloca na Timbra ou que a Timbra trata a pedido dela (“Dados da Controladora”).

1. Papéis

1.1 A Controladora decide para que e como os Dados da Controladora são tratados. A Operadora trata esses dados só para prestar a Timbra, seguindo as instruções da Controladora.

1.2 Para os dados de cadastro, cobrança, suporte, segurança e registros de acesso da própria conta, a ACN é controladora, como descrito na Política de Privacidade. Esses dados ficam fora deste acordo.

2. Instruções

2.1 As instruções da Controladora são:

• os Termos de Uso;
• este acordo;
• as configurações que a Controladora faz na plataforma;
• os pedidos por escrito enviados ao privacidade@timbra.app.br.

2.2 Se a Operadora entender que uma instrução viola a LGPD, ela avisa a Controladora e pode deixar de cumprir essa instrução até o assunto ser resolvido.

2.3 A Operadora não usa os Dados da Controladora para outra finalidade, não os vende e não os usa para treinar modelos de inteligência artificial. Ela só contrata fornecedores de IA cujos termos proíbam esse treino.

3. Deveres da Controladora

3.1 Ter base legal para cada dado que colocar na Timbra. Isso vale, por exemplo, para publicar dados de colaboradores no cartão virtual e para usar a foto e a data de aniversário na comunicação interna.

3.2 Ter a autorização de uso do nome e da imagem de cada pessoa que aparecer em material ou página pública, e respeitar quem pedir para tirar o próprio dado ou a própria foto.

3.3 Informar as pessoas (titulares) sobre o tratamento dos dados delas, inclusive sobre o uso da Timbra.

3.4 Não colocar na Timbra dados sensíveis ou dados de crianças e adolescentes sem base legal e sem necessidade.

3.5 Responder aos pedidos dos titulares, com o apoio da Operadora (item 8).

3.6 Manter em ordem os acessos da equipe: convidar só quem precisa e tirar o acesso de quem sai da empresa.

4. Sigilo

A Operadora garante que as pessoas autorizadas a tratar os Dados da Controladora têm dever de sigilo, por contrato ou por lei, e acessam só o necessário.

5. Segurança

5.1 A Operadora mantém as medidas técnicas e administrativas do Anexo II. Ela pode atualizar essas medidas, desde que o nível de proteção não diminua.

5.2 A Operadora mantém o registro das operações de tratamento que faz para a Controladora e entrega a ela as informações de que precisar para o relatório de impacto à proteção de dados (LGPD, arts. 37 e 38).

6. Suboperadores

6.1 A Controladora autoriza a Operadora a contratar os suboperadores listados no Anexo III.

6.2 Antes de incluir ou trocar um suboperador contratado diretamente pela Operadora que trate Dados da Controladora, a Operadora avisa com pelo menos 30 dias de antecedência, por e-mail ao dono e em timbra.app.br/suboperadores. Em caso de urgência de segurança ou de risco à continuidade do serviço, o prazo pode ser menor, com aviso imediato. Os fornecedores dos suboperadores seguem os avisos e os prazos que cada suboperador dá à Operadora.

6.3 Se a Controladora discordar por um motivo razoável ligado à proteção de dados, ela pode cancelar a Timbra sem multa antes da mudança, com reembolso do período pago e não usado.

6.4 A Operadora contrata cada suboperador com obrigações de proteção de dados compatíveis com as deste acordo e responde por eles perante a Controladora, nos termos da lei.

7. Transferência para fora do Brasil

7.1 O banco de dados principal fica no Brasil, em São Paulo.

7.2 Alguns suboperadores tratam dados fora do Brasil (Anexo III). A Controladora autoriza essas transferências, que são necessárias para prestar a Timbra.

7.3 A Operadora pede a cada suboperador estrangeiro a inclusão das cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024) e informa em timbra.app.br/suboperadores quem já as assinou. A Controladora pode pedir a cópia das cláusulas assinadas. Para cada tarefa, a Operadora envia só o necessário.

8. Direitos dos titulares

8.1 Na plataforma, a Controladora consulta e corrige os Dados da Controladora. A exportação e a exclusão completas podem ser pedidas ao suporte@timbra.app.br e são feitas em até 15 dias.

8.2 Se a Operadora receber o pedido de um titular sobre Dados da Controladora, ela o encaminha à Controladora em até 3 dias úteis. A Operadora não responde direto ao titular, a não ser que a Controladora peça ou a lei exija.

8.3 A Operadora ajuda a Controladora, no que for razoável, a responder dentro do prazo legal.

9. Incidentes de segurança

9.1 A Operadora avisa a Controladora sem demora e em até 48 horas depois de saber de um incidente de segurança que afete ou possa afetar Dados da Controladora. Ela não espera terminar a investigação para dar o primeiro aviso.

9.2 O aviso traz o que se souber até aquele momento:

• o que aconteceu;
• quais tipos de dados e quantas pessoas foram afetados;
• as consequências possíveis;
• as medidas tomadas;
• o contato para acompanhar o caso.

As informações novas são enviadas assim que surgirem.

9.3 A comunicação à ANPD e aos titulares sobre os Dados da Controladora é feita pela Controladora, com o apoio da Operadora. A Operadora comunica diretamente os incidentes dos dados em que ela é controladora.

9.4 A Operadora registra todos os incidentes e as medidas tomadas, mesmo os que não precisarem ser comunicados, e guarda esse registro por 5 anos.

10. Acesso da equipe Timbra

10.1 No dia a dia, a equipe da Operadora não olha os Dados da Controladora.

10.2 A equipe só acessa esses dados quando for necessário para resolver um pedido de suporte, investigar um risco de segurança ou cumprir a lei ou uma ordem de autoridade. O acesso é o mínimo necessário, por pessoas com dever de sigilo.

11. Auditoria e informações

11.1 Quando a Controladora pedir, a Operadora entrega as informações necessárias para mostrar que cumpre este acordo, como a descrição das medidas de segurança e a lista de suboperadores.

11.2 Além disso, a Controladora pode pedir uma auditoria uma vez por ano, nestas condições:

• aviso com 30 dias de antecedência;
• em horário comercial;
• sem acesso a dados de outros clientes;
• com sigilo;
• com o custo pago pela Controladora.

12. Fim do contrato

12.1 Depois do encerramento da conta, a Controladora tem 60 dias para pedir a exportação dos Dados da Controladora.

12.2 Passado esse prazo, a Operadora elimina os Dados da Controladora. As cópias de segurança, quando houver, são eliminadas no ciclo normal delas, em até 30 dias.

12.3 A Operadora guarda só o que a lei obrigar, pelo prazo legal.

12.4 A Controladora pode pedir uma declaração de eliminação.

13. Responsabilidade

13.1 Cada parte responde pelos danos que causar ao violar a LGPD ou este acordo, nos termos dos artigos 42 a 45 da LGPD.

13.2 Os limites de responsabilidade dos Termos de Uso valem entre a Controladora e a Operadora, na medida em que a lei permitir. Eles não reduzem nenhum direito dos titulares.

14. Vigência

Este acordo vale enquanto a Operadora tratar Dados da Controladora. Se ele e os Termos de Uso divergirem sobre proteção de dados, vale este acordo.

Anexo I · Dados e titulares

Duração: enquanto houver contrato, mais o prazo do item 12.

O que a Operadora faz com os dados: guarda, organiza e exibe os dados, gera materiais, envia o necessário aos suboperadores quando a Controladora usa uma função e publica o que a Controladora mandar publicar.

Anexo II · Medidas de segurança

Separação e acesso

• Separação entre empresas no próprio banco de dados: cada tabela tem regra de acesso por empresa, e o que não está liberado é negado.
• Papéis e convites. Ninguém muda o próprio papel, e toda empresa tem sempre um dono.
• Verificação contra robôs no cadastro e no login.
• Acesso administrativo restrito a poucas pessoas, com dever de sigilo.

Proteção dos dados

• Cifra na conexão (TLS) e no armazenamento.
• Senhas de usuários guardadas só como hash. Chaves e segredos guardados no cofre dos fornecedores, nunca no código.
• Tamanho máximo em todo campo e limites de uso por pessoa e por empresa, para conter abuso.
• Texto vindo de arquivos, sites e pedidos é tratado como dado. As funções de IA, quando existirem, terão barreiras para reduzir o risco de instruções escondidas.

Controle e operação

• Registro das ações importantes, sem guardar o conteúdo alterado.
• Testes automáticos das regras de acesso antes de cada mudança no banco de dados, e segunda revisão das mudanças sensíveis. Mudança em produção só com autorização registrada.
• Procedimento escrito de resposta a incidentes, com registro de cada caso.

Anexo III · Suboperadores

Os fornecedores de cobrança e de inteligência artificial das funções que ainda vão chegar entram nesta lista, com o aviso do item 6, antes de serem ligados.