Acordo de Tratamento de Dados Pessoais (DPA)

Anexo integrante dos Termos de Uso do Mikrosinc
Este Acordo de Tratamento de Dados Pessoais (“Acordo” ou “DPA”) integra e complementa os Termos de Uso celebrados entre o Contratante e a Mikrosinc, disciplinando o tratamento de dados pessoais realizado pela Mikrosinc por conta e ordem do Contratante, nos termos da Lei nº 13.709/2018 (“LGPD”). Em caso de conflito entre este Acordo e os Termos de Uso, prevalece este Acordo quanto à matéria de proteção de dados pessoais.

1. Definições

Os termos iniciados em maiúscula não definidos neste Acordo têm o significado que lhes é atribuído pelo art. 5º da LGPD. Para os fins deste instrumento:

1.1. Controlador designa o Contratante, a quem competem as decisões referentes ao tratamento dos Dados Pessoais tratados por meio da Plataforma. 1.2. Operador designa a Mikrosinc, que realiza o tratamento de Dados Pessoais em nome e sob as instruções do Controlador. 1.3. Plataforma designa o software como serviço (SaaS) Mikrosinc, incluindo suas interfaces web, interfaces de programação (API) e agentes instalados nos dispositivos de rede. 1.4. Titular Final designa a pessoa natural cujos Dados Pessoais são tratados por meio da Plataforma sem que mantenha relação contratual com a Mikrosinc, notadamente o usuário que se conecta às redes sem fio administradas pelo Controlador. A distinção é relevante e está disciplinada na Cláusula 4.3. 1.5. Suboperador designa o terceiro contratado pela Mikrosinc para realizar, no todo ou em parte, o tratamento de Dados Pessoais objeto deste Acordo.

2. Objeto e qualificação das partes

2.1. Este Acordo tem por objeto estabelecer as condições sob as quais a Mikrosinc, na qualidade de Operadora, realizará o tratamento de Dados Pessoais por conta e ordem do Contratante, na qualidade de Controlador. 2.2. A qualificação das partes decorre da repartição real de poderes decisórios: cabe exclusivamente ao Controlador definir quais dispositivos são administrados, quais redes são provisionadas, quais políticas são aplicadas e a quem é concedido acesso à Plataforma. A Mikrosinc não determina as finalidades nem os meios essenciais desse tratamento. 2.3. A Mikrosinc atua como Controladora autônoma, e não como Operadora, exclusivamente quanto aos dados cadastrais, financeiros e de faturamento do próprio Contratante, bem como quanto aos dados de conta dos usuários administrativos da Plataforma. Esse tratamento é regido pela Política de Privacidade e está fora do escopo deste Acordo. 2.4. A eventual reclassificação de qualquer das partes, seja por autoridade competente, seja por alteração fática das operações, não retroage para desconstituir as obrigações de segurança e confidencialidade assumidas neste Acordo.

3. Instruções documentadas e limites do tratamento

3.1. A Mikrosinc tratará os Dados Pessoais exclusivamente conforme as instruções documentadas do Controlador, assim consideradas: (i) este Acordo e os Termos de Uso; (ii) as configurações, comandos e parâmetros inseridos pelo Controlador na Plataforma; e (iii) instruções adicionais transmitidas por escrito e aceitas pela Mikrosinc. 3.2. A Mikrosinc não tratará os Dados Pessoais para finalidades próprias, não os comercializará, não os cederá a terceiros fora das hipóteses da Cláusula 7 e não os utilizará para treinamento de modelos de inteligência artificial, próprios ou de terceiros. 3.3. Caso a Mikrosinc entenda que uma instrução do Controlador viola a LGPD ou outra norma de proteção de dados, comunicará o fato ao Controlador e poderá suspender a execução da instrução até o esclarecimento, sem que isso configure inadimplemento contratual. 3.4. Se a Mikrosinc for compelida por autoridade competente ou por lei a tratar Dados Pessoais fora das instruções do Controlador, informará previamente o Controlador, salvo se a comunicação prévia for vedada por norma legal.

4. Escopo do tratamento

A descrição detalhada das operações de tratamento — categorias de dados, categorias de titulares, finalidades e duração — consta do Anexo I, que integra este Acordo para todos os efeitos.

4.1. Natureza indireta do tratamento

4.1.1. A Plataforma destina-se à administração de infraestrutura de rede. Os Dados Pessoais são tratados como consequência técnica dessa administração, e não como seu objeto. A Mikrosinc não inspeciona o conteúdo das comunicações dos usuários das redes administradas.

4.2. Dados sensíveis

4.2.1. A Plataforma não é destinada ao tratamento de dados pessoais sensíveis (art. 5º, II, da LGPD) nem de dados de crianças e adolescentes na qualidade de titulares diretos. 4.2.2. O Controlador obriga-se a não inserir na Plataforma, por qualquer campo de texto livre — inclusive nomes de dispositivos, nomes de redes sem fio, comentários de regras, descrições de agendamentos e chamados de suporte —, dados sensíveis ou informações desnecessárias à prestação do serviço.

4.3. Dados de Titulares Finais das redes sem fio

Cláusula de atenção. A administração de redes sem fio envolve dados de pessoas que não são clientes da Mikrosinc nem, necessariamente, do Controlador — visitantes, hóspedes, clientes de estabelecimento, colaboradores. As disposições desta cláusula são específicas e prevalecem sobre as regras gerais deste Acordo quanto a esses dados.

4.3.1. A controladora de rede sem fio administrada por meio da Plataforma retém, sobre cada dispositivo que se conecta: endereço MAC, nome atribuído ao dispositivo (hostname), endereço IP atribuído, indicadores de rádio e registros de conexão e desconexão. 4.3.2. As partes reconhecem expressamente que: (i) o nome atribuído ao dispositivo frequentemente contém o nome civil do Titular Final; e (ii) o histórico de conexão e desconexão, associado à localização física do ponto de acesso, constitui informação sobre a presença de pessoa natural em determinado local e horário. Ambos são Dados Pessoais para os fins do art. 5º, I, da LGPD. 4.3.3. Não persistência. A Mikrosinc obriga-se a não armazenar em suas bases de dados os dados descritos na Cláusula 4.3.1. Tais dados são obtidos da controladora de rede sem fio no momento da consulta, exibidos ao usuário autorizado e descartados ao término da requisição. A Mikrosinc não mantém tabela de dispositivos conectados, de sessões, de histórico de presença ou equivalente. 4.3.4. A obrigação da Cláusula 4.3.3 é obrigação contratual de resultado e sua supressão depende de aditamento escrito a este Acordo, precedido da definição, pelas partes, de base legal e de política de retenção específicas. 4.3.5. Única exceção. A Mikrosinc mantém registro persistente relativo a Titular Final exclusivamente na forma do comprovante de eliminação de que trata a Cláusula 9.4, o qual contém identificador mascarado e resumo criptográfico irreversível (hash), nunca o identificador integral. Tal registro é mantido em cumprimento ao art. 37 da LGPD, como prova da própria operação de eliminação. 4.3.6. Compete ao Controlador, e não à Mikrosinc, prestar aos Titulares Finais as informações do art. 9º da LGPD e definir a base legal do tratamento realizado em sua rede, inclusive mediante aviso visível no portal de acesso ou termo de uso da rede sem fio.

5. Obrigações da Mikrosinc

Além das demais obrigações previstas neste Acordo, a Mikrosinc obriga-se a:

tratar os Dados Pessoais apenas nos limites da Cláusula 3;
implementar e manter as medidas técnicas e administrativas descritas no Anexo II, aptas a proteger os Dados Pessoais nos termos do art. 46 da LGPD;
assegurar que toda pessoa autorizada a tratar os Dados Pessoais esteja submetida a obrigação de confidencialidade de natureza contratual ou legal, subsistente após o término do vínculo;
limitar o acesso interno aos Dados Pessoais ao pessoal estritamente necessário à prestação do serviço e ao suporte técnico;
prestar ao Controlador a assistência prevista nas Cláusulas 8 e 9;
manter registro das operações de tratamento que realiza, nos termos do art. 37 da LGPD, e disponibilizá-lo ao Controlador mediante solicitação fundamentada;
comunicar ao Controlador, sem demora, qualquer solicitação recebida diretamente de Titular ou de autoridade que se refira ao tratamento objeto deste Acordo, abstendo-se de responder ao mérito, salvo determinação legal ou autorização do Controlador.

6. Obrigações do Controlador

O Controlador declara e obriga-se a:

ser o responsável pela existência de base legal adequada para cada operação de tratamento que determinar por meio da Plataforma, inclusive quanto aos Titulares Finais;
prestar aos Titulares as informações exigidas pelo art. 9º da LGPD e atender aos seus direitos, na forma da Cláusula 9;
manter atualizada a relação de usuários com acesso à Plataforma, revogando tempestivamente credenciais de pessoas desligadas, e zelar pela guarda das credenciais;
abster-se de inserir na Plataforma dados sensíveis ou dados desnecessários, na forma da Cláusula 4.2.2;
indicar e manter atualizado canal de contato para as comunicações previstas neste Acordo, notadamente a de que trata a Cláusula 10.

7. Suboperadores

7.1. O Controlador confere à Mikrosinc autorização geral prévia para contratar Suboperadores, limitada aos constantes do Anexo III e às suas substituições futuras, observado o procedimento desta Cláusula. 7.2. A Mikrosinc obriga-se a impor contratualmente a cada Suboperador obrigações de proteção de dados não menos protetivas que as assumidas neste Acordo. 7.3. A Mikrosinc responde perante o Controlador pelos atos e omissões de seus Suboperadores como se por si própria os houvesse praticado. 7.4. A adição ou substituição de Suboperador será comunicada ao Controlador com antecedência mínima de 30 (trinta) dias. O Controlador poderá, dentro desse prazo, opor-se fundamentadamente por motivo relacionado à proteção de dados. Não havendo solução consensual, o Controlador poderá rescindir a contratação sem ônus quanto ao período não usufruído. 7.5. Provedor de inteligência artificial designado pelo Controlador. Os recursos de inteligência artificial da Plataforma operam com credencial de titularidade do próprio Controlador, por ele contratada junto ao provedor de sua escolha entre os disponibilizados na Plataforma. 7.5.1. Nessa configuração, o provedor de inteligência artificial é suboperador do Controlador, e não da Mikrosinc: cabe ao Controlador a escolha do provedor, a relação contratual com ele, o pagamento pelo consumo e a verificação das garantias de proteção de dados por ele oferecidas, inclusive quanto a transferência internacional. 7.5.2. A Mikrosinc atua, nesse tratamento, transmitindo o conteúdo ao provedor por instrução documentada do Controlador, materializada na configuração da credencial na Plataforma. 7.5.3. A obrigação de redação permanece integralmente e é da Mikrosinc: todo conteúdo transmitido passa por rotina automatizada que substitui senhas, chaves criptográficas, segredos, credenciais de assinante, comentários de configuração e endereços IP públicos antes do envio. Na análise de configurações a substituição é definitiva; na correção e geração de scripts, cujo retorno é aplicado em equipamento, os valores originais são restaurados no ambiente da Mikrosinc, jamais transitando pelo provedor. 7.5.4. Nenhum conteúdo é transmitido sem ato deliberado do usuário do Controlador. Sem credencial configurada, os recursos permanecem indisponíveis — não há transmissão por conta da Mikrosinc. 7.5.5. A credencial informada pelo Controlador é armazenada cifrada e não é exibida de volta em nenhuma interface ou resposta da Plataforma. A garantia alcança acesso por meio da Plataforma, registros de log e cópias de segurança; não alcança, por natureza técnica, quem opera a infraestrutura.

8. Transferência internacional de dados

8.1. As transferências internacionais decorrentes deste Acordo restringem-se aos suboperadores identificados no Anexo III e ao provedor de inteligência artificial designado pelo Controlador na forma da Cláusula 7.5. 8.2. Quanto aos suboperadores da própria Mikrosinc, ela obriga-se a manter instrumento contratual de proteção de dados compatível com os arts. 33 a 36 da LGPD e com o Regulamento aprovado pela Resolução CD/ANPD nº 19/2024, mantendo-o à disposição do Controlador. 8.3. Quanto ao provedor de inteligência artificial, por ser designado e contratado pelo Controlador, compete a ele assegurar a base legal da transferência e o instrumento contratual correspondente. A Mikrosinc informa, na própria interface de configuração, quais provedores estão disponíveis e onde cada um realiza o tratamento. 8.4. A infraestrutura primária de aplicação, o banco de dados da Plataforma e a controladora de redes sem fio são mantidos em território brasileiro. Os dados de que trata a Cláusula 4.3 não são objeto de transferência internacional. 8.5. Minimização. A transferência internacional ocorre apenas quando e enquanto o Controlador: (i) mantiver ativado o filtro de DNS; ou (ii) mantiver credencial de inteligência artificial configurada e seus usuários acionarem esses recursos. Não ocorrendo nenhuma dessas hipóteses, não há transferência internacional de Dados Pessoais do Controlador. 8.6. Autorização prévia e específica. As funções descritas na Cláusula 8.5 permanecem tecnicamente indisponíveis até que a organização do Controlador registre, na Plataforma, o aceite da versão vigente deste Acordo. O registro identifica a versão aceita, a data e hora, o usuário responsável e o endereço de origem. Novas versões exigem novo aceite, preservado o registro das anteriores. 8.7. A interrupção das funções da Cláusula 8.5 é permitida ao Controlador a qualquer tempo e sem qualquer condicionamento — inclusive pela simples remoção da credencial de inteligência artificial —, cessando a partir de então a transferência.

9. Direitos dos titulares e assistência ao Controlador

9.1. A Mikrosinc auxiliará o Controlador, na medida do tecnicamente possível, no atendimento das requisições de Titulares fundadas no art. 18 da LGPD, disponibilizando na própria Plataforma as funcionalidades descritas nesta Cláusula.

9.2. Confirmação, acesso e portabilidade

9.2.1. O Controlador dispõe de funcionalidade de exportação estruturada dos dados vinculados à sua organização, em formato eletrônico interoperável (JSON), acessível de imediato por usuário com perfil administrativo, atendendo aos incisos I, II e V do art. 18 da LGPD.

9.3. Correção e eliminação de dados da organização

9.3.1. As funcionalidades de edição e de exclusão de organização, usuários e dispositivos permitem ao Controlador atender, por conta própria e com efeito imediato, às requisições dos incisos III e VI do art. 18 da LGPD.

9.4. Eliminação de dados de Titular Final das redes sem fio

Autonomia do Controlador. O atendimento de pedido de eliminação formulado por Titular Final não depende de solicitação à Mikrosinc nem de prazo de atendimento: o próprio Controlador o executa na Plataforma e recebe comprovante.

9.4.1. A Plataforma disponibiliza ao Controlador funcionalidade que (i) relaciona os Titulares Finais sobre os quais a controladora de rede sem fio mantém registro histórico e (ii) comanda a eliminação desses registros, individualmente ou quanto à totalidade do ambiente. 9.4.2. O comando de eliminação é registrado e aceito de imediato, sendo executado em seguida junto à controladora de rede sem fio. A execução é ordinariamente concluída em minutos, podendo estender-se conforme o volume de registros. 9.4.3. Comprovante de eliminação. Cada comando gera comprovante permanente, dotado de código único de verificação, do qual constam a organização, o escopo da eliminação, o identificador mascarado do Titular Final, a quantidade de registros atingidos, a identificação do usuário solicitante, a data e hora da solicitação e a data e hora da conclusão, bem como o resultado da execução, inclusive em caso de insucesso. 9.4.4. O comprovante constitui, para o Controlador, elemento de prova do atendimento à requisição do Titular Final e, para a Mikrosinc, prova de que a eliminação foi executada por determinação do Controlador, identificando o usuário que a determinou. 9.4.5. A Plataforma permite verificar, a partir de identificador fornecido pelo próprio Titular Final, se houve eliminação a ele referente, sem que a Mikrosinc mantenha armazenado esse identificador, mediante comparação de resumo criptográfico. 9.4.6. Não sendo possível ao Controlador operar a funcionalidade, a Mikrosinc executará a eliminação mediante solicitação escrita e fundamentada, em até 5 (cinco) dias úteis do recebimento, fornecendo o comprovante correspondente.

9.5. Assistência complementar

9.5.1. A Mikrosinc auxiliará o Controlador na elaboração de relatório de impacto à proteção de dados pessoais e no atendimento a requisições da ANPD, no que se refira ao tratamento objeto deste Acordo, mediante solicitação escrita.

10. Incidentes de segurança

10.1. A Mikrosinc comunicará ao Controlador a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares sem demora injustificada e, em qualquer hipótese, em até 2 (dois) dias úteis contados da confirmação técnica do incidente. 10.2. O prazo da Cláusula 10.1 é assim fixado porque a legislação não estabelece prazo próprio para a comunicação do operador ao controlador, mas confere ao Controlador o prazo de 3 (três) dias úteis para comunicar o incidente à ANPD, contados de seu conhecimento, nos termos da Resolução CD/ANPD nº 15/2024. O prazo ora pactuado preserva, assim, margem útil para que o Controlador cumpra seu próprio dever legal. 10.3. A comunicação conterá, no mínimo: descrição da natureza dos Dados Pessoais afetados; identificação dos Titulares envolvidos, quando possível; indicação das medidas técnicas e de segurança adotadas; riscos relacionados; e as medidas de mitigação já implementadas ou em curso. Informações indisponíveis no momento da comunicação inicial serão fornecidas em complementações sucessivas, sem que sua ausência justifique o retardo da comunicação inicial. 10.4. A comunicação à ANPD e aos Titulares compete ao Controlador, salvo quando o incidente atingir dados quanto aos quais a Mikrosinc atue como Controladora autônoma (Cláusula 2.3). 10.5. A Mikrosinc não condicionará a comunicação de incidente à conclusão da apuração de suas causas.

11. Eliminação e devolução ao término

11.1. Encerrada a prestação dos serviços, por qualquer motivo, o Controlador poderá, no prazo de 30 (trinta) dias, exportar os dados na forma da Cláusula 9.2.1. 11.2. Decorrido o prazo da Cláusula 11.1, ou mediante comando de exclusão de organização executado pelo Controlador, a Mikrosinc eliminará os Dados Pessoais de seu ambiente produtivo. 11.3. Ressalva de guarda. Subsistirá a guarda dos dados cuja conservação seja exigida por obrigação legal, regulatória ou para o exercício regular de direitos, notadamente: (i) registros fiscais e financeiros, pelos prazos da legislação tributária; (ii) registros de acesso a aplicação de internet, pelo prazo do art. 15 da Lei nº 12.965/2014; e (iii) os comprovantes de eliminação de que trata a Cláusula 9.4, cuja destruição frustraria sua própria finalidade probatória. 11.4. Os dados sob a ressalva da Cláusula 11.3 permanecem submetidos às obrigações de segurança e confidencialidade deste Acordo, com acesso restrito à finalidade que justificou sua conservação. 11.5. O desfazimento do vínculo entre a organização do Controlador e o ambiente da controladora de redes sem fio não elimina, por si só, os registros mantidos naquela controladora, os quais devem ser eliminados na forma da Cláusula 9.4. 11.6. Mediante solicitação escrita, a Mikrosinc emitirá declaração de eliminação em até 15 (quinze) dias úteis.

12. Prestação de contas

12.1. A Mikrosinc disponibilizará ao Controlador, mediante solicitação escrita e fundamentada, as informações necessárias para demonstrar o cumprimento das obrigações deste Acordo, nos termos do art. 6º, inciso X, da LGPD. 12.2. As informações serão prestadas em até 15 (quinze) dias úteis, na forma de relatório, e não alcançarão informações de outros clientes da Mikrosinc, segredos de negócio, nem dados cuja divulgação comprometa a segurança da Plataforma.

13. Responsabilidade

13.1. A responsabilidade das partes perante os Titulares observa o disposto nos arts. 42 a 45 da LGPD. 13.2. Na relação entre as partes, cada uma responde pelos danos decorrentes do descumprimento das obrigações que lhe são próprias por força deste Acordo e da LGPD. 13.3. O Controlador responde perante a Mikrosinc pelos danos decorrentes: (i) da ausência ou inadequação de base legal para o tratamento que determinar; (ii) da inserção na Plataforma de dados sensíveis ou desnecessários, em violação à Cláusula 4.2.2; e (iii) do descumprimento do dever de informação aos Titulares Finais previsto na Cláusula 4.3.6. 13.4. Os limites de responsabilidade previstos nos Termos de Uso não se aplicam às obrigações de confidencialidade nem às hipóteses de dolo ou culpa grave.

14. Vigência e alterações

14.1. Este Acordo vigora enquanto perdurar a prestação dos serviços e, quanto às obrigações de confidencialidade, segurança e eliminação, subsiste após o seu término, até o exaurimento de seu objeto. 14.2. Alterações materiais neste Acordo serão comunicadas ao Controlador com antecedência mínima de 30 (trinta) dias, facultada a rescisão sem ônus quanto ao período não usufruído caso não concorde. 14.3. Alterações destinadas exclusivamente a adequar este Acordo a norma legal ou a determinação de autoridade competente vigoram a partir da comunicação. 14.4. A invalidade de qualquer cláusula não prejudica as demais, que permanecem em pleno vigor.

15. Comunicações e contato

15.1. As comunicações relativas a este Acordo, inclusive as das Cláusulas 7.4, 9.4.6, 10.1, 11.6 e 12.1, serão dirigidas ao endereço eletrônico privacidade@mikrosinc.com. 15.2. As comunicações da Mikrosinc ao Controlador serão dirigidas ao endereço eletrônico do responsável indicado no cadastro da organização, competindo ao Controlador mantê-lo atualizado. 15.3. A aceitação dos Termos de Uso da Plataforma pelo Contratante implica a aceitação deste Acordo, dispensada assinatura em apartado.

Anexo I — Descrição das operações de tratamento

Referido na Cláusula 4. Categorias de titulares: usuários administrativos do Controlador; e Titulares Finais das redes administradas (Cláusula 1.4).

Módulo	Categorias de dados pessoais	Finalidade
Gestão de dispositivos	Endereços IP públicos e privados; endereços MAC de interfaces; credenciais de acesso a equipamentos, armazenadas de forma criptografada	Administrar, configurar e provisionar os equipamentos de rede indicados pelo Controlador
Redes privadas virtuais (VPN)	Identificadores de pares WireGuard; endereços IP de túnel e de origem; chaves criptográficas	Estabelecer e manter túneis criptografados entre unidades e equipamentos
Monitoramento e SLA	Endereços IP e nomes de equipamentos; métricas de utilização e disponibilidade	Coletar indicadores de desempenho e disponibilidade e emitir relatórios
Backup de configuração	Arquivos de configuração dos equipamentos, que podem conter identificadores de usuários de rede, segredos e chaves; armazenados de forma criptografada	Preservar cópia de segurança para restauração
Filtro de conteúdo e DNS	Metadados de requisições DNS; identificador de perfil de filtragem	Bloquear domínios maliciosos e categorias definidas pelo Controlador
Gestão de redes sem fio (inclusão da Versão 2.0)	Dados de Titulares Finais: endereço MAC; nome atribuído ao dispositivo; endereço IP atribuído; indicadores de rádio; registros de conexão e desconexão. Sujeitos à não persistência da Cláusula 4.3.3	Adotar e administrar pontos de acesso; provisionar redes sem fio; diagnosticar conectividade; atender requisições de eliminação (Cláusula 9.4)
Suporte técnico	Nome, endereço eletrônico e conteúdo das mensagens e anexos enviados pelos usuários do Controlador. Tratados exclusivamente no Brasil	Registrar e resolver chamados
Assistência por IA (provedor do Controlador)	Configurações técnicas submetidas a redação prévia, com restauração dos valores originais no ambiente da Mikrosinc quando o retorno é aplicado em equipamento (cl. 7.5.3). Transmitidas ao provedor designado pelo Controlador	Analisar configurações e sugerir ajustes, a pedido do usuário

Duração e retenção

O tratamento perdura enquanto vigente a prestação dos serviços, observadas as seguintes retenções específicas:

Categoria	Retenção	Critério
Dados de Titulares Finais das redes sem fio	Não persistidos	Cláusula 4.3.3 — descartados ao término da requisição
Backups de configuração de equipamentos	30 dias	Expurgo automático diário, preservada sempre a cópia mais recente de cada equipamento
Registros de conformidade de políticas de rede	30 dias	Expurgo automático
Registros de execução de rotinas e agendamentos	Enquanto vigente o contrato	Eliminados com a organização (Cláusula 11.2)
Chamados de suporte e anexos	Enquanto vigente o contrato	Eliminados com a organização (Cláusula 11.2)
Comprovantes de eliminação (Cláusula 9.4)	Permanente	Art. 37 da LGPD — prova da própria eliminação
Registros fiscais e financeiros	Prazos legais	Cláusula 11.3, (i)

Anexo II — Medidas técnicas e administrativas de segurança

Referido na Cláusula 5, item 2. Adotadas nos termos do art. 46 da LGPD e revisadas periodicamente.

1. Criptografia

Credenciais de acesso a equipamentos, segredos de integração e chaves privadas armazenados cifrados, com chave sob custódia restrita.
Backups de configuração armazenados cifrados em repouso.
Comunicação com a Plataforma exclusivamente por canal cifrado (TLS).
Comunicação com os equipamentos administrados preferencialmente por túnel WireGuard.
Senhas de usuários armazenadas com função de derivação de chave com sal, não reversível.

2. Controle de acesso

Isolamento lógico entre organizações: os dados de um Controlador são inacessíveis a outro, mediante filtragem obrigatória por organização em toda operação de leitura e escrita.
Perfis de acesso diferenciados, com separação entre administração e operação.
Autenticação em duas etapas (TOTP) disponível, com códigos de recuperação de uso único.
Sessões autenticadas por token de validade limitada.

3. Minimização

Não persistência dos dados de Titulares Finais das redes sem fio (Cláusula 4.3.3).
Não registro de identificadores de Titulares Finais em registros de aplicação.
Armazenamento de identificador mascarado e resumo criptográfico, em lugar do identificador integral, nos comprovantes de eliminação.
Redação automatizada de senhas, chaves, credenciais de assinante, comentários e IPs públicos em todo conteúdo submetido ao provedor de inteligência artificial.
Credencial de inteligência artificial do Controlador armazenada cifrada, não exibida de volta em nenhuma interface e ausente de registros de log.
Indisponibilidade técnica das funções que transferem dados ao exterior enquanto não registrado o aceite deste Acordo (Cláusula 8.5).

4. Resiliência e proteção operacional

Cópias de segurança automáticas diárias das configurações dos equipamentos administrados.
Salvaguardas automatizadas que impedem a remoção, por meio da Plataforma, das regras e interfaces responsáveis pelo próprio canal de gerência, prevenindo perda de acesso ao equipamento.
Limitação de taxa de requisições nos pontos de autenticação e de execução em massa.
Validação de tipo e conteúdo dos arquivos enviados à Plataforma.

5. Medidas administrativas

Vinculação do pessoal a dever de confidencialidade subsistente ao término do vínculo.
Acesso interno a dados de clientes limitado ao necessário à prestação do serviço e ao suporte.
Procedimento interno de resposta a incidentes, com definição de responsáveis pela comunicação de que trata a Cláusula 10.

Anexo III — Suboperadores autorizados

Referido nas Cláusulas 7 e 8. Relação vigente na data desta versão. Alterações observam o procedimento da Cláusula 7.4.

Suboperador	Finalidade e dados envolvidos	Local do tratamento	Base da transferência
Hostinger	Hospedagem da infraestrutura de aplicação, banco de dados e controladora de redes sem fio. Alcança todas as categorias do Anexo I	Brasil Campinas/SP	Não aplicável
Asaas	Emissão de cobranças e processamento de pagamentos. Dados cadastrais e financeiros do Contratante	Brasil	Não aplicável
NextDNS Inc.	Resolução e filtragem de DNS, quando ativada pelo Controlador. Metadados de requisições DNS	Estados Unidos e demais localidades da rede do prestador	Cláusula 8.2

Provedor de inteligência artificial: não consta desta relação por não ser suboperador da Mikrosinc. Ele é escolhido e contratado pelo próprio Controlador, na forma da Cláusula 7.5, entre as opções disponibilizadas na Plataforma — atualmente Groq, OpenRouter, OpenAI e Anthropic —, e o consumo é faturado diretamente a ele. Sem credencial configurada, os recursos de inteligência artificial permanecem inativos.

O motor de coleta de métricas (Zabbix) e a controladora de redes sem fio (UniFi Network Application) são softwares operados pela própria Mikrosinc em sua infraestrutura, não constituindo Suboperadores. Os fornecedores desses softwares não têm acesso aos dados neles tratados.

Controle de versões

Versão	Vigência	Alterações
2.1	25 de agosto de 2026	Licenciamento de inteligência artificial por organização: a credencial passa a ser do Controlador, que designa e contrata o provedor. Em consequência, o provedor de IA deixa de ser suboperador da Mikrosinc (Cláusula 7.5 e Anexo III) e a base legal da transferência internacional correspondente passa a ser do Controlador (Cláusula 8.3). Mantidas integralmente as obrigações da Mikrosinc quanto à redação prévia de segredos e ao armazenamento cifrado da credencial.
2.0	24 de agosto de 2026	Revisão integral. Inclusão da gestão de redes sem fio e da categoria de Titular Final (Cláusulas 1.4 e 4.3), com declaração expressa do nome de dispositivo e dos registros de conexão como dados pessoais e obrigação de não persistência. Disciplina da eliminação de dados de Titular Final com comprovante (Cláusula 9.4). Inclusão de cláusula de transferência internacional (Cláusula 8), com restrição expressa das hipóteses em que ela ocorre. Inclusão do Suboperador de inteligência artificial no Anexo III, com redação prévia de todo o conteúdo transmitido e restauração dos valores originais em ambiente próprio. Condicionamento das funções que transferem dados ao exterior ao registro do aceite deste Acordo (Cláusula 8.5). Fixação do prazo de comunicação de incidente em 2 dias úteis, calibrado ao prazo legal do Controlador perante a ANPD. Substituição da menção genérica a retenção de registros operacionais por tabela de retenção verificada (Anexo I).
1.0	14 de março de 2026	Versão inicial.