Anexo contratual

Anexo de Proteção de Dados

Versão 1.0 · integra as Condições Gerais de Contratação

Cláusula 1

1.1. Este Anexo disciplina o tratamento de dados pessoais realizado pela VeridAge por conta da Contratante, integrando as Condições Gerais de Contratação.

1.2. Em caso de conflito entre este Anexo e as Condições Gerais quanto a matéria de proteção de dados, prevalece este Anexo.

Cláusula 2

2.1. A Contratante é Controladora: define as finalidades da verificação, o limiar etário, as regras de decisão e as bases legais aplicáveis.

2.2. A VeridAge é Operadora: trata dados exclusivamente conforme instrução documentada da Controladora, sem finalidade própria.

2.3. A VeridAge informará a Controladora caso entenda que uma instrução recebida viola a legislação de proteção de dados, podendo suspender a execução da instrução específica até esclarecimento.

Cláusula 3

Cláusula 4

4.1. Constituem instrução documentada da Controladora: as Condições Gerais, este Anexo, as regras de decisão por ela publicadas na plataforma e as configurações por ela definidas quanto a fornecedores, prazos de retenção e ambientes.

4.2. A VeridAge não trata os dados para finalidade própria, não os utiliza para desenvolver ou treinar modelos, não os enriquece com fontes externas e não os comercializa.

4.3. Registros estatísticos para operação e faturamento são produzidos em base agregada, sem identificação de titular.

Cláusula 5

5.1. A plataforma não armazena, em nenhum ambiente: imagem facial, documento de identificação ou sua imagem, data de nascimento, nome civil, filiação, endereço ou número de inscrição em cadastro fiscal.

5.2. A minimização é característica arquitetural, verificada por teste automatizado, e não mera política operacional sujeita a exceção pontual.

Cláusula 6

6.1. Quando a aferição empregar estimativa a partir de imagem facial, haverá tratamento de dado biométrico, qualificado como sensível pelo art. 5º, II, da LGPD.

6.2. Nos fluxos com captura conduzida pelo fornecedor, a imagem é tratada na infraestrutura deste, não transitando pelos servidores da VeridAge, que recebe apenas o resultado reduzido a faixa etária e grau de confiabilidade.

6.3. Compete à Controladora indicar a base legal do art. 11 da LGPD aplicável, informando-a à VeridAge. Na ausência de indicação diversa, presume-se o cumprimento de obrigação legal ou regulatória (art. 11, II, “a”), à luz do art. 9º, §1º, da Lei nº 15.211/2025.

Cláusula 7

7.1. A VeridAge assegura que as pessoas autorizadas a tratar os dados estão sujeitas a obrigação contratual de confidencialidade e recebem acesso segundo o princípio do menor privilégio, revogado imediatamente ao término da necessidade.

Cláusula 8

8.1. São adotadas, no mínimo:

• criptografia em trânsito e em repouso;
• segregação lógica entre contratantes, com verificação automatizada em leitura, escrita e consulta;
• credenciais com escopo, prazo e revogação, armazenadas apenas como resumo criptográfico;
• segredos em cofre gerenciado, com resolução em tempo de execução e cache de vida curta, de modo que a rotação produza efeito imediato;
• pseudonimização do identificador do titular, com escopo por Controladora, impedindo correlação entre clientes distintos;
• registro de auditoria encadeado, que torna detectável alteração posterior;
• vedação, por desenho, de registro de dado pessoal em log de aplicação;
• validação de assinatura, janela temporal e deduplicação em toda entrega assíncrona recebida de fornecedor.

8.2. Alterações que reduzam o nível de proteção não serão implementadas sem comunicação prévia à Controladora.

Cláusula 9

9.1. A Controladora autoriza os suboperadores relacionados abaixo, obrigando-se a VeridAge a impor-lhes deveres não menos rigorosos que os deste Anexo.

9.2. A inclusão de novo suboperador será comunicada com antecedência mínima de 30 dias, podendo a Controladora opor-se de forma fundamentada; persistindo a divergência, faculta-se a rescisão sem ônus.

Cláusula 10

10.1. Transferências internacionais observam os arts. 33 a 36 da LGPD.

10.2. Fornecedor que trate dados em país sem reconhecimento de adequação pela ANPD somente será habilitado mediante cláusulas-padrão contratuais aprovadas ou outra garantia admitida no art. 33, II.

10.3. A VeridAge informará à Controladora, antes da habilitação, a localidade de tratamento de cada fornecedor e o fundamento da transferência, permitindo decisão informada.

Cláusula 11

11.1. A VeridAge auxiliará a Controladora, na medida do razoável e considerando a natureza do tratamento:

• no atendimento aos direitos do titular (art. 18), em até 10 dias úteis do repasse;
• na elaboração de relatório de impacto à proteção de dados;
• em consultas e requisições de autoridade.

11.2. Limitação técnica declarada. A pseudonimização com escopo por Controladora impede que a VeridAge localize titular a partir de nome, documento ou endereço eletrônico. A localização depende do identificador empregado pela Controladora, que deverá fornecê-lo. A limitação decorre da minimização e é informada de antemão para evitar expectativa incompatível com a arquitetura.

Cláusula 12

12.1. Ciente de incidente de segurança envolvendo dados tratados por conta da Controladora, a VeridAge comunicará sem demora injustificada, e em prazo não superior a 24 horas, informando natureza, categorias e volume aproximado de titulares afetados, consequências prováveis e medidas adotadas.

12.2. A comunicação à ANPD e aos titulares compete à Controladora, cabendo à VeridAge prestar as informações necessárias.

12.3. A comunicação de incidente não implica, por si, reconhecimento de responsabilidade.

Cláusula 13

13.1. A Controladora poderá auditar o cumprimento deste Anexo uma vez por ano, mediante aviso prévio de 30 dias, ou a qualquer tempo após incidente relevante.

13.2. A auditoria será satisfeita preferencialmente por meio de questionário, evidências documentais e relatórios de terceiro independente, quando disponíveis, preservando-se sigilo de outros clientes e segredo de negócio.

Cláusula 14

14.1. Encerrado o contrato, a Controladora poderá exportar evidências e registro de auditoria em formato legível por máquina pelo prazo de 90 dias.

14.2. Findo o prazo, os dados são eliminados, salvo conservação exigida por lei, hipótese em que permanecem bloqueados para qualquer outra finalidade, nos termos do art. 16 da LGPD.

14.3. A eliminação será confirmada por escrito mediante solicitação.

Cláusula 15

15.1. Cada parte responde pelos danos que causar em razão do descumprimento das obrigações que lhe cabem, observados os arts. 42 a 45 da LGPD.

15.2. A VeridAge responde solidariamente quando descumprir instrução lícita da Controladora ou as obrigações legais que lhe são próprias, nos termos do art. 42, §1º, I, da LGPD.