Acordo de Tratamento de Dados (DPA)
Este Acordo de Tratamento de Dados Pessoais (“DPA”) integra e complementa os Termos & Condições (“Contrato Principal”) celebrados entre a Maritaca Inteligência Artificial Ltda., CNPJ 48.565.396/0001-40 (“Maritaca AI”), e cada cliente da API Maritaca (“Cliente”), e disciplina o tratamento de dados pessoais realizado pela Maritaca AI em nome do Cliente no âmbito da API Maritaca (“Serviços”), nos termos da Lei nº 13.709/2018 (“LGPD”).
Este DPA aplica-se automaticamente a todos os clientes da API, sem necessidade de assinatura, a partir da aceitação dos Termos & Condições ou do uso dos Serviços. Clientes que necessitem de via assinada deste mesmo documento podem solicitá-la pelo e-mail info@maritaca.ai.
1. Definições
Os termos “dado pessoal”, “titular”, “controlador”, “operador”, “tratamento”, “anonimização” e “incidente de segurança” têm o significado que lhes atribui o art. 5º da LGPD. “Entrada” significa prompts, mensagens, documentos, arquivos e demais conteúdos enviados pelo Cliente às rotas da API; “Saída” significa as respostas geradas pelos modelos em decorrência dessas chamadas.
2. Objeto e Papéis das Partes
2.1. Para os fins deste DPA, o Cliente atua como Controlador dos dados pessoais eventualmente contidos nas Entradas ou, quando tratar tais dados em nome de terceiros, como Operador devidamente autorizado pelo respectivo Controlador. A Maritaca AI atua como Operadora (ou suboperadora, conforme o caso), tratando tais dados exclusivamente em nome do Cliente e para a prestação dos Serviços.
2.2. A Maritaca AI tratará os dados pessoais somente em conformidade com este DPA, com o Contrato Principal e com instruções documentadas e lícitas do Cliente, e informará o Cliente caso entenda que alguma instrução viola a legislação aplicável.
2.3. A descrição do tratamento (natureza, finalidade, duração, categorias de dados e de titulares) consta do Anexo I.
3. Não Utilização de Dados para Treinamento de Modelos
3.1. A Maritaca AI declara, de forma expressa, formal e inequívoca, que os dados enviados pelo Cliente por meio da API não são utilizados, sob nenhuma hipótese, para treinamento, re-treinamento, ajuste fino (fine-tuning), pré-treinamento contínuo (continued pretraining), aprendizado por reforço (RLHF ou similares), destilação, avaliação de modelos, nem para qualquer outra finalidade de desenvolvimento, aprimoramento ou calibração de modelos de inteligência artificial da Maritaca AI ou de terceiros.
3.2. O compromisso da cláusula 3.1 abrange: (a) as Entradas; (b) as Saídas; (c) contextos de conversação, históricos de mensagens e arquivos anexados às requisições; e (d) metadados de uso associados às requisições, no que se refere à sua utilização em pipelines de treinamento.
3.3. Os dados enviados via API são tratados exclusivamente para processar a requisição do Cliente e retornar a Saída correspondente.
4. Retenção e Descarte
4.1. O conteúdo das Entradas e das Saídas é descartado imediatamente após a geração da Saída. Para fins de faturamento, a Maritaca AI armazena apenas a contagem de tokens de cada requisição.
4.2. Logs técnicos de infraestrutura (endereço IP, carimbo de data e hora, contagem de tokens) não contêm o conteúdo das Entradas ou das Saídas e são mantidos por até 18 (dezoito) meses, em atenção à obrigação do art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) e às finalidades de cobrança, prevenção a fraudes, segurança e exercício regular de direitos.
4.3. Logs de erro e de observabilidade podem reter conteúdo da requisição e são descartados em até 30 (trinta) dias.
4.4. Encerrado o Contrato Principal, a Maritaca AI eliminará o conteúdo do Cliente eventualmente existente em seus sistemas em até 30 (trinta) dias, salvo obrigação legal de retenção, aplicando técnicas seguras de descarte.
5. Transferência Internacional
5.1. Quando a Maritaca AI utilizar infraestrutura de nuvem localizada no exterior, a transferência internacional observará o art. 33 e seguintes da LGPD, mediante cláusulas contratuais-padrão ou outro mecanismo de proteção equivalente.
6. Subprocessadores
6.1. O Cliente autoriza, de forma geral, a contratação pela Maritaca AI dos subprocessadores listados no Anexo III, que atuam sob obrigações contratuais de confidencialidade e proteção de dados equivalentes às deste DPA.
6.2. A Maritaca AI comunicará aos clientes, com antecedência mínima de 30 (trinta) dias, alterações materiais na lista de subprocessadores, podendo o Cliente apresentar objeção fundamentada nesse prazo.
6.3. A Maritaca AI permanece responsável perante o Cliente pelos atos e omissões de seus subprocessadores relacionados ao tratamento objeto deste DPA.
7. Segurança da Informação
7.1. A Maritaca AI mantém Sistema de Gestão de Segurança da Informação (SGSI) estruturado segundo os requisitos da norma ISO/IEC 27001:2022, contemplando os controles técnicos e organizacionais descritos no Anexo II, incluindo a segregação entre os ambientes de produção (inferência) e quaisquer ambientes de pesquisa e desenvolvimento de modelos.
7.2. A Maritaca AI garante que as pessoas autorizadas a tratar dados pessoais estão sujeitas a obrigações de confidencialidade.
8. Incidentes de Segurança
8.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos dados pessoais tratados em nome do Cliente, a Maritaca AI notificará o Cliente, pelo e-mail cadastrado, em até 72 (setenta e duas) horas após a confirmação do incidente, informando, no mínimo: a natureza do evento, as categorias de dados e de titulares possivelmente afetados, as medidas adotadas ou propostas e o ponto de contato para mais informações.
8.2. A comunicação do incidente à ANPD e aos titulares, quando exigível, é de responsabilidade do Cliente na qualidade de Controlador, observados os prazos da Resolução CD/ANPD nº 15/2024, comprometendo-se a Maritaca AI a fornecer a cooperação e as informações razoavelmente necessárias.
9. Direitos dos Titulares
9.1. Considerando que o conteúdo das Entradas e Saídas é descartado imediatamente após o processamento, a capacidade da Maritaca AI de atender diretamente solicitações de titulares é limitada; ainda assim, a Maritaca AI prestará ao Cliente a assistência razoável para o atendimento de solicitações fundadas no art. 18 da LGPD e encaminhará ao Cliente, sem resposta direta ao titular salvo instrução em contrário, solicitações que receber diretamente e que digam respeito ao tratamento realizado em nome do Cliente.
10. Comprovação e Auditoria
10.1. A Maritaca AI disponibilizará ao Cliente, mediante solicitação razoável e no máximo uma vez a cada 12 (doze) meses, informações e evidências que demonstrem o cumprimento deste DPA, incluindo respostas a questionários de segurança.
10.2. Auditorias presenciais ou por terceiro independente poderão ser realizadas mediante acordo prévio quanto a escopo, custo e data, com aviso mínimo de 30 (trinta) dias, vedado o acesso a dados de outros clientes da Maritaca AI.
11. Responsabilidade
11.1. A responsabilidade das Partes sob este DPA observa as limitações e exclusões previstas no Contrato Principal.
12. Vigência
12.1. Este DPA vigora enquanto perdurar o Contrato Principal e, no que couber, enquanto a Maritaca AI mantiver dados pessoais tratados em nome do Cliente.
13. Alterações e Disposições Gerais
13.1. Este DPA é regido pelas leis da República Federativa do Brasil. Eventuais conflitos entre este DPA e o Contrato Principal, no que diz respeito ao tratamento de dados pessoais, resolvem-se em favor deste DPA.
13.2. Alterações materiais neste DPA serão comunicadas com 30 (trinta) dias de antecedência, e as versões anteriores permanecerão disponíveis para consulta.
Anexo I — Descrição do Tratamento
Natureza do tratamento: recepção, processamento computacional efêmero para geração de Saídas por modelos de linguagem e descarte imediato do conteúdo.
Finalidade: prestação dos Serviços de inferência da API Maritaca, conforme o Contrato Principal.
Duração: pelo prazo do Contrato Principal, observados os períodos de retenção da cláusula 4.
Categorias de dados e de titulares: definidas pelo Cliente conforme o conteúdo das Entradas que submeter aos Serviços. O Cliente compromete-se a não submeter categorias de dados para as quais não possua base legal.
Anexo II — Medidas Técnicas e Organizacionais
- Criptografia TLS 1.2+ para dados em trânsito e AES-256 para dados em repouso;
- Controle de acesso baseado em papéis (RBAC) e princípio do menor privilégio;
- Segregação entre ambientes de produção (inferência) e ambientes de pesquisa e desenvolvimento de modelos;
- SGSI estruturado segundo os requisitos da ISO/IEC 27001:2022, com auditorias internas periódicas;
- Descarte imediato do conteúdo das Entradas e Saídas após o processamento (cláusula 4.1);
- Obrigações de confidencialidade aplicáveis a todo o pessoal com acesso a dados pessoais.
Anexo III — Subprocessadores Autorizados
| Subprocessador | Função | Localização |
|---|---|---|
| Google Cloud | Infraestrutura de nuvem (inferência, API e armazenamento) | Brasil, Estados Unidos e União Europeia |
| EVEO | Data center no Brasil (infraestrutura de inferência) | Brasil |
| New Relic | Monitoramento de infraestrutura e logs | Estados Unidos |
| Auth0 (Okta) | Autenticação de contas | Estados Unidos |
| Stripe | Processamento de pagamentos | Estados Unidos |
| SendGrid (Twilio) | E-mail transacional | Estados Unidos |
Recursos opcionais acionados pelo Cliente (busca na web, leitura e OCR de documentos e recursos de voz do Chat) podem envolver prestadores especializados adicionais, localizados nos Estados Unidos, sujeitos às mesmas obrigações de confidencialidade e proteção de dados deste DPA. A relação nominal desses prestadores é fornecida mediante solicitação, nos termos da cláusula 6.
Histórico de Versões
- Agosto de 2026 (esta versão)