Anexo II: Acordo de Tratamento de Dados (DPA)

1. Papéis

O Cliente é CONTROLADOR. A UNIFOKAL é OPERADORA quando trata dados de Usuários Finais por instrução do Cliente. A UNIFOKAL é CONTROLADORA nos tratamentos do item 12 e nos dados da conta do Cliente.

2. Instruções documentadas

São instruções do Cliente: estes Termos, este Anexo, a configuração feita por ele no painel (flows, módulos, webhooks, políticas) e as chamadas de API que ele faz. A UNIFOKAL não trata os dados para finalidade própria fora do item 12.

3. Operações de tratamento por módulo

Esta tabela é DERIVADA do catálogo de módulos, a mesma fonte que alimenta a página pública de preços: módulo que não é produto no catálogo não vira linha aqui, e módulo novo no catálogo obriga a linha a existir. Ela não é mantida à mão.

Como ler as colunas: ESTADO diz se a venda está aberta hoje (módulo com a venda pausada não aparece como tratamento em curso, e verificação anterior, se houver, continua seguindo o prazo da própria linha). TITULAR DO DADO diz de quem é o dado; quando aparece TERCEIRO, o módulo trata dado de quem nunca se verificou, e o item 4-bis explica o que isso exige do Cliente. DADOS TRATADOS marca SENSÍVEL quando há dado do art. 5, II. HIPÓTESE TÍPICA DO CLIENTE é ORIENTAÇÃO sobre a hipótese do Cliente CONTROLADOR, com a proposta e a alternativa; quem define a base legal do próprio tratamento é o Cliente, e a UNIFOKAL não a define por ele.

4. Dados sensíveis

Selfie, quadros da prova de vida e o VETOR biométrico derivado são dados pessoais sensíveis (LGPD art. 5, II). O vetor recebe a mesma proteção da imagem: prazo próprio, isolamento por tenant e eliminação no vencimento. A UNIFOKAL não compartilha mídia bruta com outros clientes e não usa a biometria de um cliente para atender outro.

Natureza da mídia de prova de vida, declarada para afastar dúvida de escopo: a captura produz FOTOGRAFIAS em sequência, cada uma tratada como imagem estática, e a Operadora NÃO grava, NÃO transmite e NÃO armazena vídeo ou áudio do Usuário Final. Toda cláusula deste Anexo que fala em imagem ou em mídia de verificação alcança esses quadros. Passar a gravar vídeo ou áudio seria alteração da natureza do tratamento e exige instrução documentada do Controlador e nova versão deste Anexo.

Sensor de movimento do aparelho, declarado pelo mesmo motivo de escopo: durante a prova de vida o widget pode ler o acelerômetro do dispositivo do Usuário Final (quando o navegador o entrega sem permissão adicional; em iOS não há coleta) e transmite EXCLUSIVAMENTE indicadores agregados e adimensionais de movimento, sem a série bruta, que não sai do dispositivo. É dado NÃO sensível, usado somente na prevenção de fraude de injeção de câmera, retido e eliminado no mesmo prazo do resultado da verificação. Passar a transmitir a série bruta do sensor seria alteração da natureza do tratamento, sujeita à mesma regra do parágrafo anterior.

4-bis. Dados de terceiros

Alguns módulos fazem o Cliente tratar dado pessoal de quem NUNCA contratou nada e nunca passou pelo fluxo: sócio e beneficiário final de uma cadeia societária, parente de pessoa exposta politicamente, pessoa citada em notícia, pessoa constante de lista oficial, e, na rede de correlação, outros titulares do próprio Cliente. Isso não cabe numa célula de tabela e por isso está aqui.

Quem liga esses módulos é o Cliente, e é ele o CONTROLADOR dessa coleta. O dever de informação do art. 9 da LGPD continua existindo quando o dado não vem do próprio titular, e cabe ao Cliente cumpri-lo com a base legal que ele escolher. A UNIFOKAL responde diretamente aos terceiros quanto aos conjuntos públicos de referência que ela mesma mantém (item 12.5), pelo canal do encarregado.

Casamento por nome NUNCA é prova. Homônimo é o caso comum em triagem, e por isso todo módulo desta lista que casa por NOME devolve o grau de confiança do casamento junto com o resultado. Os módulos da lista que consultam por chave (CPF ou CNPJ) não têm grau de casamento, porque não há o que desambiguar. Em nenhum dos dois casos o resultado leva além da revisão humana com a evidência: recusa automática por triagem não existe.

Módulos que hoje tratam dado de terceiro, e quem é o terceiro em cada um (lista derivada do catálogo, cresce sozinha quando um módulo novo entra):

• endereco_ocr: a pessoa em cujo nome o comprovante está emitido, quando não é o titular (cônjuge, pai, mãe ou locador, por exemplo), que não passou pelo fluxo e de quem se lê apenas o nome impresso no documento.
• cpf_receita: a mãe do titular, nomeada na filiação que a fonte devolve.
• cnpj_ocr: sócios e representantes nomeados no ato societário.
• cnpj_socios: sócios do quadro societário, que não passaram pelo fluxo.
• cnpj_cadastro: representante e contatos publicados no cadastro da empresa.
• cnpj_receita: responsável e sócios nomeados na resposta da Receita.
• cnpj_participacoes: sócios do quadro societário, que não passaram pelo fluxo.
• pep_sancoes: terceiros constantes das listas públicas oficiais.
• monitoring_aml: terceiros constantes das listas públicas oficiais e da mídia aberta.
• credito_pgfn: a empresa consultada, pessoa jurídica, que não é titular de dado pessoal na LGPD: a resposta é agregada e não nomeia sócio, representante nem qualquer pessoa natural.
• ofac_realtime (venda pausada hoje): terceiros constantes da lista oficial de sanções.
• pep_parentes (venda pausada hoje): o parente exposto politicamente, que não passou pelo fluxo.
• impedidos_apostar: agentes públicos constantes da base oficial de transparência.
• impedidos_vinculos (venda pausada hoje): o parente, que não passou pelo fluxo e cujo nome não volta no resultado.
• midia_adversa: terceiros citados nas notícias do corpus, inclusive homônimo do titular.
• fraud_network: outros titulares do MESMO Cliente, identificados apenas pela referência opaca que o próprio Cliente escolheu.
• ubo_profundo: sócio pessoa jurídica e beneficiário final pessoa natural, que não passaram pelo fluxo.
• pep_lista_restritiva (venda pausada hoje): pessoas constantes das listas da fonte, inclusive homônimo do titular.
• processos_judiciais (venda pausada hoje): as demais partes dos processos citadas no dossiê, que não passaram pelo fluxo.

5. Subprocessadores

Autorização geral, com lista NOMINAL pública em /legal/subprocessadores. Mudança com aviso prévio de 30 dias e direito de objeção fundamentada no mesmo prazo; sem acordo, o Cliente pode encerrar o serviço afetado sem multa.

6. Segurança

Medidas em vigor, verificáveis no produto:

• 6.1. criptografia em trânsito e cifragem em repouso dos campos de PII extraídos, com chave derivada por organização. Três ressalvas ditas em vez de cobertas por uma frase geral: a cifra NÃO alcança o corpo já montado para entrega de webhook (eliminado em 180 dias) nem a fila interna de publicação desse evento (eliminada em 30 dias), que guardam os mesmos campos em texto pelo prazo próprio de cada um; e, se o serviço de chaves estiver indisponível na gravação, o registro é guardado sem cifra em vez de a verificação ser perdida, com a ocorrência medida e rotina de recifra. O prazo de eliminação não muda em nenhum desses casos;
• 6.2. mídia exclusivamente em armazenamento de objetos, com upload direto por URL pré-assinada com teto de tamanho, e bytes que nunca transitam pelo servidor de aplicação;
• 6.3. isolamento multi-tenant por política de linha no banco;
• 6.4. segregação de ambientes sandbox e produção;
• 6.5. trilha fechada de eventos de conformidade, append-only, sem interface de edição;
• 6.6. observabilidade com correlação por identificador de requisição.

A relação pública atualizada está em /legal/seguranca.

7. Incidentes

A UNIFOKAL comunica o Cliente em até 24 horas do conhecimento de incidente de segurança que afete dados tratados para ele, com: natureza do incidente, categorias e volume aproximado de dados e de titulares, medidas técnicas já adotadas, riscos e medidas de mitigação. O prazo de 24 horas existe para que o Cliente cumpra o prazo de 3 dias úteis da Resolução CD/ANPD 15/2024 perante a ANPD e os titulares. O Cliente se obriga a repassar aos titulares afetados a comunicação quando a UNIFOKAL não tiver canal direto com eles.

8. Direitos dos titulares

Pedido que chegar à UNIFOKAL sobre dado tratado como operadora é encaminhado ao Cliente em até 5 dias corridos, e o titular é informado de que o controlador é o Cliente. A UNIFOKAL oferece ao Cliente, no painel, as ferramentas de acesso, exportação e eliminação que permitem ao Cliente responder. Elas exigem sessão autenticada de pessoa, com papel de owner ou admin, e NÃO têm rota por chave de servidor: a ausência é de desenho, porque exportação em massa por credencial de integração é a via mais curta para o vazamento em escala. Prazo de referência de resposta ao titular: 15 dias, na forma do art. 19 da LGPD.

9. Transferência internacional

Os dados são tratados no Brasil, na região AWS sa-east-1 (São Paulo). As transferências internacionais são as da tabela abaixo, DERIVADA da mesma lista pública de subprocessadores, para que as duas páginas não possam divergir. Fornecedor sediado no Brasil não caracteriza transferência e por isso não aparece aqui.

Os fundamentos NÃO são os mesmos para todas as linhas da tabela, e por isso a lista de módulos abaixo diz o destino de cada um em vez de somar todos num rótulo só. A leitura ótica do documento vai para fornecedor sediado na União Europeia, com fundamento na decisão de adequação recíproca entre Brasil e União Europeia, Resolução ANPD 32/2026 e Decisão de Execução (UE) 2026/179, ambas de 26/01/2026, que dispensam mecanismo adicional. A consulta de reputação de IP, de e-mail e de telefone vai para fornecedor nos Estados Unidos, país SEM decisão de adequação, e depende das cláusulas-padrão do parágrafo seguinte. O envio de e-mail transacional tem o mesmo destino e o mesmo fundamento da reputação, e é a saída deste item cujo fornecedor ainda NÃO tem linha na lista pública: o último parágrafo deste item diz por que a linha não está lá e nomeia o módulo por onde o dado chega até ele, e por isso essa saída também não aparece na tabela acima. O item 8.7 da lista pública declara quais outros fornecedores em operação ainda não têm linha lá. O armazenamento de objetos NÃO aparece na tabela porque não é transferência: a mídia fica no mesmo país em que o restante da infraestrutura é provisionada, sem replicação para outra região e sem rede de distribuição de conteúdo à frente dela.

Os módulos que alimentam transferência internacional são, hoje, cada um com o seu destino: cpf_ocr (França (União Europeia)); endereco_ocr (França (União Europeia)); cnpj_ocr (França (União Europeia)); email_otp (Estados Unidos); fraud_ai (Estados Unidos); ip_risk_plus (Estados Unidos); email_risk_plus (Estados Unidos); telefone_risco (Estados Unidos); doc_global (França (União Europeia)).

Qualquer transferência para país sem adequação passa a depender das cláusulas-padrão da Resolução CD/ANPD 19/2024, e a lista de subprocessadores declara isso caso a caso.

DITO COM TODAS AS LETRAS, em vez de omitido: há transferência que ACONTECE hoje e cujo fornecedor ainda não tem linha publicada na lista de subprocessadores, porque a publicação está amarrada à assinatura do contrato com esse fornecedor. Módulos nessa situação: email_otp. A linha do fornecedor entra na lista pública na mesma entrega em que o contrato for assinado, e até lá esta declaração substitui a linha ausente.

10. Retenção e eliminação

10.1. Mídia de verificação e vetor biométrico: 180 dias, com eliminação automática.

10.2. Payload de entrega de webhook: 180 dias, com anulação do corpo e preservação do registro de entrega. Evento de integração já publicado: 30 dias.

10.3. A eliminação apaga o objeto no armazenamento ANTES do registro no banco, para não deixar órfão.

10.4. Registros de conta, faturamento, prova de aceite e eventos de conformidade seguem prazos próprios; os eventos de conformidade são guardados por 5 anos, que é o prazo mínimo de guarda de registro de incidente da Resolução CD/ANPD 15/2024 e um prazo prescricional usual.

10.5. No término do contrato, após os 30 dias de exportação, os dados são eliminados, ressalvado o que a lei obrigue a guardar.

10.6. CERTIDÃO EMITIDA POR FONTE OFICIAL (módulos de antecedentes criminais e de mandados). Esses módulos guardam no armazenamento de objetos o arquivo em PDF que a fonte oficial emite, e o resultado da verificação guarda apenas a chave dele. Este arquivo HOJE não recebe o carimbo de prazo do item 10.1 e, por isso, não é alcançado nem pela eliminação automática no vencimento nem pela eliminação antecipada a pedido do titular. A UNIFOKAL declara a exceção em vez de omiti-la, e a correção está em curso: quando o carimbo entrar, o arquivo passa a seguir o prazo do item 10.1 com prova de descarte própria, e este item deixa de existir. Enquanto isso, pedido de titular que alcance essa certidão é tratado pelo canal do item 8.

11. Auditoria

A UNIFOKAL responde a questionário de segurança do Cliente em até 30 dias e entrega os relatórios e as evidências que possuir. Auditoria presencial depende de acordo prévio, ocorre no máximo uma vez por ano, com 30 dias de aviso e às custas do Cliente.

12. Tratamentos em que a UNIFOKAL é CONTROLADORA

Transparência obrigatória, sem letra miúda:

12.1. CACHE DE CONSULTA CADASTRAL. A resposta da fonte cadastral é guardada cifrada por prazo que depende do TIPO da resposta, indexada pelo hash do documento consultado, e pode ser reaproveitada para consulta idêntica de qualquer cliente. Os prazos publicados são: resposta que LIBERA (situação regular ou ativa), até 24 horas; resposta que TRAVA (falecido, cancelado, suspenso, baixado), até 30 dias; documento não encontrado, até 7 dias; fato praticamente imutável (data de abertura, data de nascimento), até 180 dias; indisponibilidade e erro da fonte, nunca reaproveitados. Isso reduz custo e reduz o número de consultas a terceiros sobre a mesma pessoa. Não há vínculo entre a entrada de cache e a organização que originou a consulta.

12.2. CALIBRAÇÃO DE LIMIARES. A UNIFOKAL lê distribuições agregadas de score contínuo (similaridade facial e probabilidade de vivacidade) para calibrar limiares. Essa leitura não usa imagem, não usa documento, não usa identificador de titular e roda apenas em ferramenta de operação, fora da aplicação. Não há treino de modelo com dado de cliente (cláusula 9.3 dos Termos).

12.3. SEGURANÇA E ANTIABUSO. Registros técnicos mínimos para detectar abuso da plataforma, fraude de crédito, uso da API como oráculo cadastral e ataque, e para cumprir o art. 15 do Marco Civil da Internet.

12.4. CUMPRIMENTO DE OBRIGAÇÃO LEGAL. Guarda de provas de consentimento, de eliminação e de acesso humano a biometria, e atendimento a autoridade competente.

12.5. CONJUNTOS PÚBLICOS DE REFERÊNCIA. A UNIFOKAL mantém, como CONTROLADORA, os conjuntos públicos que os módulos de triagem consultam: listas oficiais de pessoas expostas politicamente e de sanções (órgãos federais brasileiros, OFAC, ONU, União Europeia e Reino Unido), corpus aberto de notícias usado na mídia adversa e a base de agentes públicos impedidos de apostar publicada pelo Portal da Transparência. Os titulares desses conjuntos são terceiros que nunca contrataram nada. Fundamento: dado tornado manifestamente público pelo órgão ou pelo veículo que o publica. Cada conjunto é substituído integralmente a cada ciclo de ingestão, a ingestão é minimizada ao necessário para o casamento, e NÃO existe rota pública de consulta avulsa a esses conjuntos: ela foi recusada por desenho, porque equivaleria a vender enumeração de terceiros listados. O canal de direitos desses terceiros é o do encarregado, respondido diretamente pela UNIFOKAL.

13. Vigência

Este Anexo vige enquanto houver tratamento, e as obrigações de eliminação e sigilo sobrevivem ao término.