Acordo de Tratamento de Dados (DPA)

Versão 1.0 — vigente desde 27 de outubro de 2026 · Ex.jud Serviços de Apoio Administrativo, Paralegal e Extrajudiciais LTDA · CNPJ 56.319.938/0001-23 · privacidade@exjud.com.br

1. Partes, papéis e objeto

Partes: o advogado ou escritório de advocacia que usa o ChatAdvogado ("Controlador") e a Ex.jud Serviços de Apoio Administrativo, Paralegal e Extrajudiciais LTDA, CNPJ 56.319.938/0001-23 ("ExJud" ou "Operadora"). Objeto: o tratamento, pela Operadora, dos dados pessoais contidos nos documentos, textos, anexos e conversas que o Controlador envia à Plataforma ("Entradas") e nos resultados gerados a partir deles ("Saídas"), exclusivamente para prestar o Serviço descrito nos Termos de Uso: redigir, analisar e conferir peças, documentos e pareceres com inteligência artificial.

Os dados dos usuários e da contratação (cadastro, acesso, créditos, assinatura e pagamento) são tratados pela ExJud como controladora, conforme a Política de Privacidade, e não são objeto deste Acordo.

2. Dados e titulares

• Clientes do Controlador: nome, CPF/CNPJ, endereço, contatos e os fatos narrados nos documentos.
• Partes e terceiros dos processos e documentos: nomes, qualificação, dados contratuais e o conteúdo de petições, decisões, contratos e provas enviados.
• Equipe do Controlador: nome e e-mail dos usuários da conta e as ações deles na Plataforma.
• Dados sensíveis (saúde, vida familiar, origem, dados de crianças e adolescentes, processos criminais) podem constar dos documentos. O Controlador envia só o necessário ao pedido e, quando possível, anonimiza ou pseudonimiza antes do envio.

3. Instruções do controlador

São instruções documentadas do Controlador (LGPD, art. 39): os Termos e este Acordo; o pedido feito em cada conversa e os anexos enviados; as instruções, os modelos e o padrão do escritório cadastrados na Plataforma; as configurações da conta (pastas, usuários e permissões); e as ações dos usuários dele na Plataforma. A Operadora avisa o Controlador se entender que uma instrução viola a lei e não a executa nesse caso.

4. Obrigações do advogado ou escritório (controlador)

• Definir a finalidade e ter base legal para cada tratamento, inclusive para enviar à Plataforma documentos com dados pessoais de clientes e de terceiros.
• Informar os titulares sobre o tratamento e atender os pedidos deles (LGPD, art. 18).
• Enviar só o necessário ao pedido, anonimizando ou pseudonimizando quando possível, e não enviar dados sob sigilo que o Controlador não esteja autorizado a compartilhar.
• Revisar toda Saída antes de usá-la: a responsabilidade técnica pelas peças e pareceres é do profissional habilitado, como dizem os Termos.
• Cuidar dos usuários da própria conta (conta principal e usuários adicionais), definindo quem acessa o quê e revogando o acesso de quem sair da equipe.

5. Obrigações da ExJud (operadora)

• Tratar os dados só para prestar o Serviço e conforme as instruções do Controlador; não vender, não usar para fins próprios nem para treinar modelos de inteligência artificial, próprios ou de terceiros.
• Encaminhar as Entradas aos provedores de inteligência artificial apenas pelo necessário ao pedido do Controlador, por conexão criptografada e sob contratos que vedam o uso dos dados para treinamento (cláusula 7).
• Garantir que as pessoas autorizadas a acessar os dados estejam sujeitas a dever de confidencialidade e acessem só o necessário.
• Manter registro das operações de tratamento (LGPD, art. 37) e apoiar o Controlador em relatórios de impacto e consultas da ANPD, com as informações que tiver.
• Oferecer as ferramentas de exportação, correção e eliminação descritas na cláusula 10.

6. Medidas de segurança

As medidas técnicas e administrativas (LGPD, art. 46) estão descritas na seção "Segurança da Informação" da Política de Privacidade, entre elas criptografia em trânsito (TLS) e em repouso, senhas em hash, isolamento dos dados de cada conta no banco (Row Level Security), autenticação com tokens assinados e expiração de sessão, chaves dos provedores de IA guardadas só no servidor, limitação de requisições e proteção contra robôs. Elas podem ser atualizadas desde que o nível de proteção não diminua.

7. Suboperadores e transferência internacional

O Controlador autoriza a Operadora a usar os suboperadores abaixo. A Operadora impõe a eles obrigações de proteção de dados equivalentes às deste Acordo, avisa o Controlador com 30 dias de antecedência antes de incluir ou trocar um suboperador e, se o Controlador se opuser com motivo razoável, ele pode encerrar o contrato sem multa. Os provedores de inteligência artificial recebem o conteúdo das Entradas apenas para gerar a Saída pedida, não o usam para treinar modelos e o retêm temporariamente só para fins de abuso e segurança.

A transferência internacional para esses suboperadores se dá com base no art. 33 da LGPD, com cláusulas contratuais de proteção de dados equivalentes às da lei brasileira, conforme detalhado na Política de Privacidade.

8. Incidentes de segurança

A Operadora comunica ao Controlador, em até 48 horas depois de tomar conhecimento, qualquer incidente de segurança que envolva os dados deste Acordo, informando o que se souber de: natureza dos dados, titulares afetados, medidas técnicas usadas, riscos e medidas adotadas ou propostas (LGPD, art. 48, § 1º), e complementa as informações à medida que forem apuradas. A comunicação à ANPD e aos titulares cabe ao Controlador; a Operadora coopera e fornece os registros necessários.

9. Pedidos dos titulares

Pedido de titular recebido pela Operadora sobre dados do Controlador é encaminhado a ele em até 5 dias úteis, sem resposta direta ao titular além de indicar o Controlador. Para atender os pedidos, o Controlador apaga conversas e documentos nas telas da Plataforma, exporta os resultados nos formatos oferecidos (Word, PDF e texto) e, se precisar, pede à Operadora pelo e-mail privacidade@exjud.com.br a eliminação ou a exportação do que não conseguir fazer sozinho.

10. Retenção, devolução e eliminação

• Durante o contrato, o Controlador decide o que guardar: as conversas e os documentos ficam na conta até ele os apagar. Registros técnicos seguem os prazos da Política de Privacidade.
• A qualquer momento, e até a eliminação, o Controlador baixa as Saídas e pode pedir a exportação das conversas.
• No encerramento pedido pelo Controlador, a eliminação dos dados da conta acontece em até 30 dias depois do pedido. A eliminação apaga as conversas, os documentos enviados e os dados da conta. As cópias de segurança do provedor do banco não são editadas: expiram no ciclo delas, sem restauração para uso.
• Ficam apenas os registros que a lei obriga a guardar, os registros de consumo anonimizados e a prova do aceite deste Acordo, pelos prazos da Política.

11. Demonstração de conformidade

O Controlador consulta na Plataforma os relatórios de uso e de consumo da própria conta a qualquer momento. Uma vez por ano, ou depois de um incidente, pode pedir informações adicionais razoáveis para demonstrar a conformidade da Operadora (questionário, descrição de controles), com aviso de 30 dias e dever de confidencialidade sobre o que receber.

12. Responsabilidade e vigência

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD; a Operadora responde solidariamente quando descumprir a lei ou as instruções lícitas do Controlador. Fora disso, vale a limitação de responsabilidade dos Termos de Uso. Este Acordo vigora enquanto houver tratamento de dados do Controlador pela Operadora e prevalece sobre os Termos no que tratar de dados pessoais.