Última atualização: maio de 2026 (versão 1.0)
Plataforma SharkBot Versão 1.0 — maio/2026
Este documento apresenta a estrutura oficial da Política de Privacidade da Plataforma SharkBot, organizada em 15 (quinze) cláusulas distribuídas em 5 (cinco) capítulos temáticos. A estrutura foi elaborada em conformidade com a Lei nº 13.709/2018 (LGPD), co m a regulamentação da ANPD e em articulação sistêmica com os Termos de Uso da Plataforma SharkBot, em especial a Cláusula Trigésima Quarta (regime LGPD), a Cláusula Trigésima Quinta (uso de dados para desenvolvimento), a Cláusula Trigésima Sétima (incident es) e a Cláusula Trigésima Oitava (portabilidade e retenção).
Cada cláusula contém ementa indicando os pontos essenciais que serão objeto da redação posterior. A redação completa será realizada em rodadas sequenciais, à medida em que sejam validadas as decisões pendentes com o cliente, conforme registrado no Anexo Es tratégico ao final.
Esta Política de Privacidade integra os Termos de Uso como Anexo vinculante (Cláusula Segunda dos Termos), mas é também documento de transparência autônomo dirigido aos titulares de dados pessoais — Vendedores, Consumidores Finais e Visitantes —, devendo s er redigido em linguagem acessível, em conformidade com o art. 9º da LGPD.
P.1 — Da Apresentação Institucional P.1.1. A SharkBot é uma plataforma tecnológica brasileira que oferece, em modelo Software as a Service (SaaS), infraestrutura para a criação, configuração e operação de robôs conversacionais automatizados ( Bots ) no aplicativo Telegram, voltados à comercialização de produtos e serviços lícitos e ao relacionamento entre Vendedores e seus Consumidores Finais.
P.1.2. A SharkBot é operada por SHARK BOT AUTOMACAO DIGITAL LTDA. , pessoa jurídica de direito privado inscrita no CNPJ sob o nº 66.145.146/0001-33, com sede em Estrada do Dendê, n.º 40, Sala 304, Tauá, na cidade do Rio de Janeiro/RJ, CEP: 21920-001, doravante referida como " SharkBot " ou "nós", quando o contexto comportar tratamento mais coloquial.
P.1.3. No contexto da operação da Plataforma, a SharkBot trata diariamente uma quantidade expressiva de dados pessoais — de Vendedores que utilizam suas funcionalidades, de Consumidores Finais que interagem com os Bots e de Visitantes que acessam seus canais ofi ciais.
Essa atividade impõe à SharkBot o cumprimento integral da legislação aplicável, com especial relevo para a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) , e dos princípios que orientam o tratamento responsável de informaçõ es pessoais.
P.2 — Do Compromisso com a Proteção de Dados Pessoais P.2.1. A SharkBot reconhece a proteção de dados pessoais como compromisso institucional permanente , que se manifesta concretamente em sua governança, em seus controles técnicos e administrativos e na cultura organizacional de seus colaboradores.
P.2.2. Esse compromisso traduz -se em práticas alinhadas:
a) aos fundamentos previstos no art. 2º da LGPD, notadamente o respeito à privacidade, à autodeterminação informativa, à liberdade de expressão, de informação, de comunicação e de opinião, à inviolabilidade da intimidade, da honra e da imagem, ao desenvolvimento econômico e tecnológico e à inovação, à livre iniciativa, à livre concorrência e à defesa do consumidor, e aos direitos humanos, ao livre desenvolvimento da personalidade, à dignidade e ao exercício da cidadania pelas pessoas naturais;
b) aos princípios do art. 6º da LGPD — finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas;
c) aos padrões internacionais reconhecidos de privacidade e segurança da informação, notadamente as normas técnicas ISO/IEC 27001, ISO/IEC 27701 e o Privacy by Design como diretriz arquitetural;
d) à regulamentação editada pela Autoridade Nacional de Proteção de Dados (ANPD), bem como à interpretação consolidada da legislação correlata pelos tribunais superiores brasileiros e pela autoridade reguladora.
P.2.3. Esse compromisso não se esgota no cumprimento formal da lei. A SharkBot busca tornar a proteção de dados pessoais uma característica inerente à sua arquitetura, cultivando:
a) transparência ativa — disponibilizando, de forma acessível, informações claras sobre o tratamento que realiza;
b) minimização efetiva — coletando apenas os dados necessários e tratando -os apenas pelo tempo necessário às finalidades declaradas;
c) segurança proporcional — adotando medidas técnicas e administrativas compatíveis com os riscos envolvidos no tratamento;
d) respeito ao titular — facilitando o exercício dos direitos previstos na LGPD pelos canais adequados e em prazos razoáveis;
e) governança permanente — revisando práticas, atualizando documentos e capacitando equipes de forma contínua.
P.3 — Da Finalidade desta Política P.3.1. A presente Política de Privacidade (doravante, " Política ") tem por finalidade descrever, em linguagem clara e em conformidade com o art. 9º da LGPD , como a SharkBot trata os dados pessoais com os quais entra em contato no exercício de suas atividades, abrangendo:
a) quais dados são tratados;
b) com que finalidades são tratados;
c) quais bases legais fundamentam cada finalidade;
d) com quem os dados são compartilhados;
e) por quanto tempo são retidos;
f) quais medidas de segurança são adotadas;
g) quais direitos o titular dos dados possui;
h) como exercer esses direitos. P.3.2. Esta Política também esclarece a arquitetura de papéis entre SharkBot e Vendedor no tratamento de dados de Consumidores Finais — tema central para a correta compreensão de responsabilidades, abordado no item P.5 deste Preâmbulo e detalhado na Cláusula Terceira.
P.4 — Dos Grupos de Titulares Abrangidos P.4.1. Esta Política aplica -se, com adaptações de regime conforme a natureza da relação, a três grupos distintos de titulares de dados pessoais:
P.4.1.1. Vendedor. Pessoa natural, ou representantes legais e usuários operacionais delegados de pessoa jurídica, que celebrou os Termos de Uso da Plataforma SharkBot e a utiliza para criar e operar Bots no Telegram com finalidade comercial. O Vendedor mantém com a SharkBot relação contratual direta, regida primariamente pelos Termos de Uso e complementada por esta Política.
P.4.1.2. Consumidor Final. Pessoa natural que interage com os Bots operados pelos Vendedores, podendo, nessa interação, fornecer dados pessoais, realizar contratações ou aquisições, comunicar -se com o Vendedor e usufruir de produtos ou serviços por ele oferecidos. O Consumidor Fina l não mantém relação contratual direta com a SharkBot — sua relação primária é com o Vendedor que opera o Bot — mas tem seus dados pessoais, em parte, tratados pela SharkBot, na qualidade explicitada no item P.5.
P.4.1.3. Visitante. Pessoa natural que acessa o sítio institucional da SharkBot (https://sharkbot.com.br ), seus canais de comunicação institucional, conteúdos e materiais públicos, sem necessariamente ser Vendedor ou Consumidor Final. Inclui -se nesta categoria quem se inscreve em formulários de contato, newsletters , eventos ou materiais ricos disponibilizados pela SharkBot.
P.4.2. Cada grupo de titulares possui regime próprio de tratamento de dados, ainda que existam pontos de sobreposição. As cláusulas seguintes detalham, sempre que pertinente, qual regime se aplica a cada grupo.
P.5 — Do Esclarecimento Inicial sobre a Arquitetura Multi -Atores P.5.1. A Plataforma SharkBot opera em arquitetura multi -atores : a SharkBot oferece a infraestrutura tecnológica, e o Vendedor decide o conteúdo, a finalidade e a forma de comunicação com os Consumidores Finais por meio dos Bots que cria. Essa configuração tem consequências importantes sobre os papéis exercidos por SharkBot e Vendedor na proteção de dados pessoais, que precisam ser compreendidas desde o início.
P.5.2. De forma simplificada, e sem prejuízo do detalhamento da Cláusula Terceira:
a) Em relação aos dados do Vendedor (cadastro, KYC, transações, comunicações), a SharkBot atua como Controladora , decidindo, no exercício de suas atribuições, sobre as finalidades e os meios essenciais do tratamento.
b) Em relação aos dados de Consumidor Final , a SharkBot atua, em regra, como Operadora — tratando os dados conforme as decisões e configurações estabelecidas pelo Vendedor, que é o Controlador Principal desses dados.
c) Em relação aos mesmos dados de Consumidor Final , a SharkBot atua adicionalmente como Controladora autônoma para finalidades próprias específicas — segurança da Plataforma, prevenção à fraude, conformidade regulatória, melhoria agregada do produto e cumprimento dos Termos —, finalidades que persegue independentemente da decisão do Vendedor.
d) Em relação aos dados de Visitantes , a SharkBot atua como Controladora , decidindo as finalidades do tratamento no contexto institucional.
P.5.3. Essa repartição de papéis — Operadora + Controladora autônoma quanto a dados de Consumidor Final, e Controladora quanto a dados de Vendedor e de Visitante — é o eixo central desta Política e merece atenção especial do leitor.
Importante: caso seja Consumidor Final e tenha dúvidas, requisições ou reclamações sobre seus dados pessoais, o canal primário é o próprio Vendedor que opera o Bot com o qual interagiu. A SharkBot pode ser acionada subsidiariamente, especialmente quando se tratar de tema relativo às finalidades próprias da SharkBot (segurança, prevenção à fraude, conformidade regulatória), conforme detalhado na Cláus ula Décima Segunda.
P.6 — Da Articulação com os Termos de Uso e Demais Anexos P.6.1. Esta Política integra, como Anexo vinculante , os Termos de Uso da Plataforma SharkBot , conforme estabelecido na Cláusula Segunda dos Termos. Ao aceitar os Termos, o Vendedor declara ciência e concordância com esta Política.
P.6.2. A presente Política articula -se sistemicamente, em especial, com:
a) a Cláusula Trigésima Quarta dos Termos (Da Proteção de Dados Pessoais — LGPD), que estabelece, no plano contratual, o regime de papéis entre SharkBot e Vendedor;
b) a Cláusula Trigésima Quinta dos Termos (Do Uso de Dados para Desenvolvimento de Produto), quanto à utilização de dados para evolução técnica e treinamento de modelos de inteligência artificial;
c) a Cláusula Trigésima Sétima dos Termos (Dos Incidentes de Segurança), quanto à gestão de incidentes envolvendo dados pessoais;
d) a Cláusula Trigésima Oitava dos Termos (Da Portabilidade, Exportação e Retenção), quanto a prazos de retenção e mecanismos de saída.
P.6.3. Esta Política integra -se, ademais, com outros Anexos da relação contratual , notadamente:
a) a Política de Cookies , detalhando o uso de tecnologias de rastreamento no sítio institucional;
b) a Política de Segurança da Informação , detalhando as medidas técnicas e administrativas de segurança;
c) a Política de Cancelamento, Reembolso e SLA , com aspectos específicos relativos a dados de transações;
d) a Política de Uso Aceitável (AUP) , na medida em que define condutas que tocam direta ou indiretamente o tratamento de dados.
P.6.4. Da prevalência. Em caso de eventual conflito entre disposição desta Política e disposição dos Termos de Uso ou de outro Anexo, observa -se a regra de prevalência da Cláusula Terceira dos Termos (Da Ordem de Prevalência), com a ressalva de que, em matéria especificamente regida pela LGPD, prevalecem as disposições mais protetivas ao titular dos dados pessoais, em conformidade com o caráter de ordem pública das normas de proteção de dados.
P.7 — Do Convite à Leitura e ao Contato P.7.1. A SharkBot convida o leitor — Vendedor, Consumidor Final ou Visitante — a uma leitura atenta desta Política. A correta compreensão das práticas aqui descritas é elemento essencial para o exercício consciente dos direitos e para a relação de confiança que a SharkBot busca cultivar com todos os titulares de dados.
P.7.2. A SharkBot reconhece que o conteúdo de uma Política de Privacidade pode parecer denso à primeira vista. Por isso, estruturou esta Política em capítulos e cláusulas temáticas , permitindo ao leitor consultar diretamente o tópico de seu interesse, sem necessidade de leitura linear. O sumário e os títulos das cláusulas servem de roteiro de navegação.
P.7.3. Em caso de dúvida, requerimento, reclamação ou simples pedido de esclarecimento sobre qualquer ponto desta Política, o titular é convidado a entrar em contato com a SharkBot pelo Canal do Encarregado pelo Tratamento de Dados Pessoais (DPO) :
a) E-mail dedicado: [email protected] ;
b) Endereço para correspondência: Estrada do Dendê, n.º 40, Sala 304, Tauá, na cidade do Rio de Janeiro/RJ, CEP: 21920-001;
A identificação do Encarregado, suas atribuições e a estrutura de canais correlatos constam da Cláusula Primeira desta Política.
P.7.4. A SharkBot compromete -se a responder com tempestividade, gratuidade e em linguagem acessível as manifestações recebidas pelo Canal do DPO, observados os prazos e os limites estabelecidos na Cláusula Décima Segunda desta Política e na LGPD.
P.7.5. Sem prejuízo do contato com a SharkBot, o titular preserva o direito , a qualquer tempo, de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) , autoridade reguladora competente no Brasil, por meio dos canais disponibilizados pela autoridade em https://www.gov.br/anpd .
P.8 — Da Vigência e da Versão P.8.1. Esta Política tem vigência a partir de maio de 2026, na sua Versão 1.0 .
P.8.2. Versões anteriores e o histórico de alterações desta Política são preservados pela SharkBot e podem ser consultados mediante requerimento ao Canal do DPO. As condições de atualização e alteração desta Política são detalhadas na Cláusula Décima Quinta.
1.1.1. A presente Cláusula identifica a SharkBot na qualidade de Controladora e Operadora de Dados Pessoais — conforme o regime de papéis estabelecido na Cláusula Terceira desta Política e na Cláusula Trigésima Quarta dos Termos de Uso —, designa o Encarregado pelo Tratamento de Dados Pessoais (DPO) e disciplina os canais oficiais de contato em matéria de proteção de dados, em conformidade com o art. 41 da Lei nº 13.709/2018 (LGPD) e com a regulamentação editada pela Autoridade Nacional de Proteção de Dados (ANPD).
1.1.2. Da finalidade. Esta Cláusula tem por finalidade assegurar ao titular de Dados Pessoais — Vendedor, Consumidor Final, Visitante ou qualquer terceiro cujos dados sejam tratados pela SharkBot — o acesso transparente, simples e tempestivo ao agente de tratamento responsável e ao Encarregado, de modo a viabilizar o exercício pleno dos direitos previstos na LGPD e na presente Política.
1.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, VIII, da LGPD , quanto ao conceito e à função do Encarregado;
b) art. 23, III, da LGPD , no tocante à identificação clara do agente de tratamento;
c) arts. 38, 39 e 41 da LGPD , quanto às atribuições do Encarregado;
d) art. 9º da LGPD , quanto ao direito de acesso facilitado a informações claras sobre o tratamento;
e) a Resolução CD/ANPD nº 2/2022 e suas eventuais sucessoras, quanto à disciplina
2.1.1. A presente Cláusula apresenta as definições dos termos técnicos utilizados ao longo desta Política de Privacidade, com a finalidade de assegurar compreensão uniforme pelos titulares de Dados Pessoais — Vendedores, Consumidores Finais, Visitantes e demais terceiros — e coerência interpretativa com os Termos de Uso da Plataforma SharkBot, com a Lei nº 13.709/2018 (LGPD) e com a regulamentação da ANPD.
2.1.2. Da finalidade interpretativa. As definições desta Cláusula:
a) vinculam a interpretação desta Política, prevalecendo, em caso de ambiguidade no corpo do texto, a definição expressamente atribuída;
b) harmonizam -se com os conceitos legais da LGPD e com as definições estabelecidas nos Termos de Uso, evitando -se duplicidade ou contradição;
c) traduzem , em linguagem acessível, conceitos técnicos cuja compreensão é essencial ao exercício de direitos pelo titular, em conformidade com o art. 9º da LGPD;
d) complementam -se com glossário operacional, quando necessário, ao longo das Cláusulas que utilizem termos específicos.
2.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º da LGPD , quanto às definições legais imperativas;
b) art. 9º da LGPD , quanto ao direito do titular ao acesso facilitado e claro a informações sobre o tratamento;
c) art. 6º, VI, da LGPD , quanto ao princípio da transparência;
d) regulamentação da ANPD , notadamente Resoluções e Guias Orientativos que dialogam com os conceitos aqui adotados;
e) o princípio da boa -fé objetiva , em harmonização entre o regime contratual (Termos) e o regime de proteção de dados (Política).
2.1.4. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Primeira dos Termos de Uso , quanto às definições contratuais (Plataforma, Bot, Fluxo, Conta, Taxa, Vendedor, Consumidor Final);
b) a Cláusula Trigésima Quarta dos Termos , quanto a definições específicas em LGPD aplicáveis ao regime contratual;
c) todas as demais Cláusulas desta Política , que utilizam os conceitos aqui definidos.
2.1.5. Da hierarquia interpretativa. Em caso de eventual divergência entre uma definição desta Política e a definição correspondente nos Termos de Uso:
a) prevalece, em matéria de proteção de dados , a definição desta Política;
b) prevalece, em matéria contratual , a definição dos Termos;
c) prevalecem, em matéria de norma imperativa , as definições da LGPD ou de regulamentação da ANPD.
2.2.1. Da fonte. Os conceitos deste item 2.2 reproduzem as definições legais do art. 5º da LGPD, com adaptações de linguagem que privilegiam a acessibilidade ao titular leigo, sem prejuízo da prevalência da definição legal em caso de dúvida interpretativa.
2.2.2. Para os fins desta Política, considera -se:
a) Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável . Pessoa identificada é aquela cujo nome, CPF ou outro identificador permite reconhecê -la diretamente. Pessoa identificável é aquela que pode ser reconhecida indiretamente, mediante o uso de identificadores ou da combinação de informações disponíveis.
São exemplos de Dados Pessoais: nome, CPF, e -mail, endereço, telefone, identificador de usuário (user ID ) do Telegram, dados bancários, endereço IP, geolocalização (art. 5º, I, LGPD).
b) Dados Pessoais Sensíveis: categoria especial de Dados Pessoais cujo tratamento, pela maior potencialidade de impacto sobre o titular, recebe regime reforçado pela LGPD. Compreende dados sobre origem racial ou étnica , convicção religiosa , opinião política , filiação a sindicato ou a organização de caráter religioso, filosófico ou político , dado referente à saúde ou à vida sexual , dado genético ou biométrico , quando vinculado a pessoa natural (art. 5º, II, LGPD).
c) Tratamento: qualquer operação realizada com Dados Pessoais, incluindo, exemplificativamente, coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou con trole da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, X, LGPD). Em síntese, qualquer interação com Dados Pessoais, do ato de coletá - los ao ato de eliminá -los, configura tratamento.
d) Titular: pessoa natural a quem se referem os Dados Pessoais que são objeto de tratamento (art. 5º, V, LGPD). Para os fins desta Política, podem ser Titulares: o Vendedor pessoa natural; os sócios, administradores, beneficiário final, representantes legais e usuários operacionais do Vendedor pessoa jurídica; o Consumidor Final que interage com os Bots; o Visitante do sítio institucional; e demais pessoas naturais cujos dados sejam tratados em razão da operação.
e) Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de Dados Pessoais (art. 5º, VI, LGPD). É o agente que decide o que coletar , para que tratar , por quanto tempo reter e como tratar os dados, respondendo perante o titular e perante a autoridade pelas decisões adotadas.
f) Operador: pessoa natural ou jurídica que realiza o tratamento de Dados Pessoais em nome do Controlador (art. 5º, VII, LGPD). É o agente que executa o tratamento conforme as instruções do Controlador, sem autonomia decisória sobre as finalidades e os meios essenciais.
g) Encarregado (DPO): pessoa indicada pelo Controlador e pelo Operador para atuar como canal de comunicação entre o agente de tratamento, os titulares e a Autoridade Nacional de Proteção de Dados — ANPD (art. 5º, VIII, LGPD). Identificado, qualificado e contatável conforme a Cláusula Primeira desta Política.
h) Tratamento em conformidade: tratamento que observa a base legal aplicável, a finalidade declarada, os princípios da LGPD, os direitos do titular e as medidas de segurança proporcionais ao risco envolvido.
i) Anonimização: processo pelo qual um dado, mediante a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento , perde a possibilidade de associação, direta ou indireta , a um indivíduo (art. 5º, XI, LGPD). Dados efetivamente anonimizados, considerados os meios razoáveis de reidentificação, não são mais Dados Pessoais para fins da LGPD (art. 12, caput , LGPD).
i.1) Da reversibilidade. Conforme art. 12, §2º, da LGPD, podem ser considerados Dados Pessoais, para fins legais, dados utilizados para a formação de perfil comportamental de pessoa natural identificada, ainda que tratados em forma agregada, quando o processo de anonimização for reversível ou exigir esforço razoável para que a reidentificação ocorra.
j) Pseudonimização: tratamento por meio do qual um dado perde a possibilidade de associação direta a um indivíduo, mas pode ser revertido mediante chave, código ou dados adicionais mantidos em ambiente controlado e segregado (art. 13, §4º, LGPD). Diferentemente da anonimização, dados pseudonimizados continuam sendo Dados Pessoais para fins da LGPD, recebendo tratamento normal sob a lei.
k) Eliminação: exclusão dos Dados Pessoais por meios técnicos efetivos, de modo a tornar irreversível a recuperação, observado o estado da técnica.
l) Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus Dados Pessoais para uma finalidade determinada (art. 5º, XII, LGPD). É revogável a qualquer momento e, em determinadas hipóteses, deve ser específico e em destaque (notadamente para Dados Pessoais Sensíveis, art. 11, I, e para tratamentos baseados em consentimento como única base legal).
m) Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados (art. 5º, XIII, LGPD).
n) Compartilhamento: comunicação, difusão, transferência internacional, interconexão de Dados Pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciproc amente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados (art. 5º, XVI, LGPD).
o) Transferência Internacional: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro (art. 5º, XV, LGPD).
p) Autoridade Nacional (ANPD): Autoridade Nacional de Proteção de Dados, autarquia federal vinculada à Presidência da República, responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional (Lei nº 13.853/2019), com sede em Brasília/DF e canais of iciais em https://www.gov.br/anpd .
q) Relatório de Impacto à Proteção de Dados Pessoais (RIPD): documentação do Controlador que contém a descrição dos processos de tratamento de Dados Pessoais que possam gerar riscos às liberdades civis e aos direitos fundamentais , bem como medidas, salvaguardas e mecanismos de mitigação de risco (art. 5º, XVII, LGPD).
2.3.1. Da fonte. Os conceitos deste item 2.3 reproduzem, com adaptações de linguagem para o público misto desta Política, definições estabelecidas nos Termos de Uso da Plataforma SharkBot.
Em caso de divergência interpretativa em matéria contratual, prevalecem as definiçõ es dos Termos.
2.3.2. Para os fins desta Política, considera -se:
a) SharkBot: SHARK BOT AUTOMACAO DIGITAL LTDA., inscrita no CNPJ sob o nº 66.145.146/0001-33, com sede na Estrada do Dendê, n.º 40, Sala 304, Tauá, Rio de Janeiro/RJ, CEP 21920-001, operadora da Plataforma SharkBot, na qualidade de agente de tratamento de Dados Pessoa is conforme detalhado nas Cláusulas Primeira e Terceira desta Política.
b) Plataforma SharkBot ou Plataforma: conjunto de funcionalidades tecnológicas oferecidas pela SharkBot, em modelo Software as a Service (SaaS), que permite ao Vendedor criar, configurar, operar e gerenciar Bots automatizados de vendas no Telegram , conforme descrito nos Termos de Uso. Compreende, entre outras funcionalidades, editor de Fluxos, painel de gestão, ferramentas de automação, integrações com Gateways de Pagamento, mecanismos de remarketing, dashboards analíticos, APIs, webhooks e demais recursos.
c) Vendedor: pessoa natural ou jurídica que celebrou os Termos de Uso e utiliza a Plataforma SharkBot para criar e operar Bots no Telegram com finalidade comercial , sendo responsável pela operação concreta dos Bots, pelo conteúdo veiculado, pelas ofertas dirigidas aos Consumidores Finais e pelas decisões de tratamento dos dados desses Consumidores na qualidade de Controlador Principal .
d) Consumidor Final: pessoa natural que interage com os Bots operados pelos Vendedores por meio do Telegram, podendo realizar consultas, contratações, aquisições ou demais interações nos canais geridos pelo Vendedor, sendo titular de Dados Pessoais nos termos desta Política.
e) Visitante: pessoa natural que acessa o sítio institucional da SharkBot ( https://sharkbot.com.br ) ou outros canais de comunicação institucional, sem necessariamente celebrar os Termos de Uso, sendo titular de Dados Pessoais coletados em razão do acesso.
f) Bot: robô conversacional automatizado operado no Telegram, criado e configurado pelo Vendedor por meio da Plataforma SharkBot, destinado a interagir com Consumidores Finais conforme os Fluxos e as configurações estabelecidas.
g) Fluxo: sequência lógica de mensagens, ações, gatilhos e condições configurada pelo Vendedor por meio do editor da Plataforma, que define a jornada do Consumidor Final no Bot — incluindo cadastro, apresentação de ofertas, pagamento, entrega, pós -venda e demais etapas.
h) Conta: ambiente individualizado de acesso do Vendedor à Plataforma, mediante credenciais próprias, no qual são geridos os Bots, os Fluxos, a base de Consumidores Finais, as configurações operacionais e as métricas de desempenho do respectivo Vendedor.
i) Taxa: valor devido pelo Vendedor à SharkBot pela utilização da Plataforma, conforme o modelo comercial estabelecido na Cláusula Nona dos Termos de Uso, calculado em razão das Vendas Aprovadas processadas no âmbito da operação do Vendedor.
j) Venda Aprovada: transação efetivamente concluída e confirmada pelo Gateway de Pagamento, no âmbito da operação do Vendedor, sobre a qual incide a Taxa.
k) Gateway de Pagamento ou Gateway: instituição de pagamento ou prestador de serviços de pagamento integrado à Plataforma, contratado diretamente pelo Vendedor ou disponibilizado pela Plataforma, responsável pelo processamento da transação financeira em ambiente certificado PCI -DSS, atuando como agente autônomo de tratamento dos dados de pagamento.
l) Termos de Uso ou Termos: instrumento contratual celebrado entre a SharkBot e o Vendedor, que disciplina a relação jurídica decorrente do uso da Plataforma e do qual a presente Política de Privacidade é Anexo vinculante, conforme a Cláusula Segunda dos Termos.
m) Anexos: documentos complementares aos Termos de Uso, dentre os quais a presente Política de Privacidade, a Política de Cookies, a Política de Segurança da Informação, a Política de Cancelamento, Reembolso e SLA, e demais documentos identificados na Cláusula Segun da dos Termos.
2.4.1. Para os fins desta Política, considera -se:
a) Subprocessador: terceiro contratado pela SharkBot para realizar operações de tratamento de Dados Pessoais em sua infraestrutura, em apoio à prestação dos serviços da Plataforma, incluindo, exemplificativamente, provedores de infraestrutura em nuvem, provedores de e -mail transacional, provedores de monito ramento e segurança, provedores de KYC e antifraude, e demais prestadores que tratem dados em nome da SharkBot. Os Subprocessadores são vinculados por instrumento contratual específico ( Data Processing Agreement — DPA) e atuam sob padrões de proteção compatíveis com a LGPD.
b) Incidente de Segurança: evento adverso, confirmado ou fundadamente suspeito , que afete a confidencialidade, integridade, disponibilidade ou autenticidade de Dados Pessoais ou de ativos informacionais, abrangendo acesso não autorizado, exposição, perda, alteração indevida ou destruição. Configurado o Incidente, observam -se os procedimentos da Cláusula Décima Terceira desta Política e da Cláusula Trigésima S étima dos Termos de Uso.
b.1) Incidente Comunicável: Incidente que, por sua natureza, gravidade ou abrangência, possa acarretar risco ou dano relevante aos titulares, ensejando comunicação à ANPD e aos titulares afetados, nos termos do art. 48 da LGPD e da regulamentação aplicável.
c) Base Legal: fundamento jurídico que autoriza o tratamento de Dados Pessoais. A LGPD admite, em seu art. 7º, dez bases legais para Dados Pessoais em geral (consentimento, cumprimento de obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, execução contratual, e xercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito) e, em seu art. 11, regime especial para Dados Pessoais Sensíveis. A SharkBot identifica, na Cláusula Sexta desta Po lítica, as Bases Legais aplicáveis a cada finalidade de tratamento.
c.1) Legítimo Interesse: Base Legal específica que autoriza o tratamento de Dados Pessoais para finalidades legítimas do Controlador ou de terceiro, mediante avaliação de balanceamento que considere a expectativa razoável do titular, a natureza dos dados, o impacto sobre os direitos e liberdades, e as salvaguardas adotadas (art. 7º, IX, e art. 10, LGPD). O Legítimo Interesse não pode ser invocado em hipóteses de Dados Pessoais Sensíveis e está sujeito ao direito de oposição do titular (art. 18, §2º, LGPD).
c.2) LIA — Legitimate Interest Assessment : documentação interna elaborada pelo Controlador que registra, em relação a um tratamento específico fundamentado no Legítimo Interesse, a finalidade legítima, a necessidade, a proporcionalidade, as expectativas razoáveis do titular, os possíveis impactos e as salvaguardas ado tadas. Constitui ferramenta essencial de demonstração de conformidade.
d) Finalidade: propósito específico, legítimo, explícito e informado ao titular para o qual o Dado Pessoal é tratado (art. 6º, I, LGPD). Toda operação de tratamento exige Finalidade declarada, vedando -se o tratamento incompatível com a Finalidade original (art. 7º, §6º).
e) Princípios da LGPD: conjunto de valores estruturantes a serem observados em toda atividade de tratamento, conforme o art. 6º da LGPD: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas .
f) Direito do Titular: prerrogativa legal atribuída ao titular dos Dados Pessoais, oponível ao Controlador e, conforme o caso, ao Operador, compreendendo o catálogo do art. 18 da LGPD (confirmação, acesso, correção, anonimização/bloqueio/eliminação, portabilidade, eliminação por revogação de cons entimento, informação sobre compartilhamento, informação sobre não fornecer consentimento, revogação) e direitos correlatos (oposição, revisão de decisões automatizadas, petição à ANPD).
g) Cookies: pequenos arquivos de texto armazenados no dispositivo do usuário ao navegar em sítios eletrônicos, destinados a reconhecimento, preferências, análise de comportamento e demais finalidades, regidos por Política de Cookies específica que integra esta Política como Anexo.
h) Tecnologias Similares: mecanismos diversos de Cookies que cumprem funções análogas, incluindo web beacons , pixels , fingerprinting , local storage , identificadores de dispositivo móvel e demais tecnologias de rastreamento e identificação.
i) Marco Civil da Internet: Lei nº 12.965/2014, que estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil, regulando, dentre outros temas, a guarda de registros de conexão e de acesso a aplicações (arts. 13 a 17), com prazos legais específicos.
j) Consentimento Específico: Consentimento manifestado para uma finalidade determinada, em destaque das demais cláusulas contratuais , com clareza quanto à finalidade e aos dados envolvidos, conforme exigido pela LGPD em hipóteses específicas (Dados Pessoais Sensíveis, transferência internacional sob essa base, tratamento de dados de crianças e adolescentes, entre outras).
2.5.1. Da relevância destacada. Em razão da postura institucional conservadora da SharkBot em matéria de inteligência artificial e aprendizado de máquina, e da Cláusula Décima Primeira desta Política que disciplina o tema, esta subcláusula apresenta com clareza analítica as categorias de dados utilizadas em IA, distinguindo aquelas sujeitas integralmente à LGPD daquelas que não o são.
2.5.2. Da gradação técnica. Para os fins desta Política, observa -se a seguinte gradação entre categorias de dados, da maior identificabilidade à menor:
a) Dados Pessoais Identificáveis: dados que permitem reconhecer a pessoa natural , direta ou indiretamente, mediante identificadores explícitos (nome, CPF, e -mail) ou pela combinação razoável de informações disponíveis. Sujeitos integralmente à LGPD. Não podem ser utilizados para treinamento de modelos de IA pela SharkBot, salvo mediante consentimento específico do titular , nos termos da Cláusula Décima Primeira.
b) Dados Pessoais Pseudonimizados: dados aos quais foi removida a possibilidade de associação direta a um indivíduo — por exemplo, mediante substituição do nome e do CPF por um identificador opaco —, mas que podem ser revertidos mediante chave, código ou dados adicionais mantidos em ambiente controlado. Continuam sendo Dados Pessoais para fins da LGPD e recebem tratamento normal sob a lei. A pseudonimização é medida de segurança , não meio de afastar a aplicação da LGPD.
c) Dados Anonimizados: dados aos quais foram aplicadas técnicas que tornam irreversível , com base em meios técnicos razoáveis e disponíveis no momento do tratamento, a possibilidade de associação direta ou indireta a um indivíduo. Considerando o estado da técnica, não são Dados Pessoais para fins da LGPD enquanto mantida a anonimização (art. 12, caput , LGPD). Podem ser utilizados para finalidades analíticas, estatísticas e, observadas as salvaguardas, para treinamento de IA .
c.1) Da efetividade da anonimização. A SharkBot adota técnicas de anonimização compatíveis com o estado da arte (supressão, generalização, agregação, k-anonymity , l-diversity , t-closeness , ruído diferencial, conforme o caso) e realiza testes de reidentificação periódicos. A anonimização meramente nominal — substituição de identificador sem destruição efetiva da capacidade de reidentificação — não é considerada anonimização para os fins desta Política e da LGPD.
c.2) Do limite do art. 12, §2º, da LGPD. Conforme o art. 12, §2º, da LGPD, podem ser considerados Dados Pessoais, ainda que tratados em forma agregada, aqueles utilizados para a formação de perfil comportamental de pessoa natural identificada, quando o processo de anonimização for reversível ou exigir esforço razoável para reidentificação. A SharkBot observa esse limite na concepção de seus tratamentos.
d) Dados Agregados: dados consolidados estatisticamente sobre conjunto de titulares , sem possibilidade de atribuição individual aos integrantes do conjunto. Exemplo: "30% dos Consumidores Finais que iniciaram o Fluxo X completaram o pagamento em até 5 minutos".
Quando efetivamente agregados e desprovidos da possibilidade de reidentificação individual, não são Dados Pessoais . A agregação simples — estatística de pequeno conjunto que permita inferência individual — não atende a esse padrão.
e) Dados Sintéticos: dados artificialmente gerados por modelos estatísticos ou algorítmicos, treinados a partir de dados reais, mas que não correspondem a titulares específicos , reproduzindo padrões e propriedades estatísticas do conjunto original sem reproduzir os indivíduos. Quando efetivamente sintéticos e sem vinculação reidentificável a titular concreto, não são Dados Pessoais .
e.1) Da diligência na geração de dados sintéticos. A SharkBot adota, na geração de Dados Sintéticos, salvaguardas que reduzam o risco de reprodução involuntária de informações específicas de titulares reais utilizados como base, observando o estado da técnica em geração sintética e evitando memorization attacks e model inversion attacks .
2.5.3. Do quadro -síntese. Para facilitar a compreensão do titular, apresenta -se o seguinte quadro -síntese:
a) Sujeitos integralmente à LGPD: Dados Pessoais Identificáveis e Dados Pseudonimizados;
b) Não sujeitos à LGPD enquanto mantida a categoria, observadas as ressalvas técnicas: Dados Anonimizados (art. 12 LGPD), Dados Agregados (sem possibilidade de inferência individual) e Dados Sintéticos (sem vinculação reidentificável);
c) Posição da SharkBot em IA: privilegia -se o uso das categorias do item "b" para treinamento e desenvolvimento; o uso de dados das categorias do item "a" para essas finalidades exige consentimento específico do titular, nos termos da Cláusula Décima Primeira desta Política.
2.6.1. Para os fins desta Política, considera -se ainda:
a) Política de Privacidade ou esta Política: o presente instrumento, integrante dos Termos de Uso como Anexo vinculante, conforme a Cláusula Segunda dos Termos.
b) Política de Cookies: Anexo específico desta Política, que detalha o uso de Cookies e Tecnologias Similares pela SharkBot em seu sítio institucional.
c) Política de Segurança da Informação: Anexo específico que detalha as medidas técnicas e administrativas adotadas pela SharkBot, complementando a Cláusula Décima desta Política.
d) Canal do Encarregado: vias de comunicação exclusivas com o Encarregado, identificadas na Cláusula Primeira, item 1.4, desta Política.
e) Data de Vigência: data a partir da qual a presente versão da Política de Privacidade produz efeitos, indicada na capa do instrumento e atualizada conforme a Cláusula Décima Quinta.
f) Versão: identificação numérica e cronológica da Política de Privacidade, mantendo -se histórico das versões anteriores acessível mediante requerimento ao Encarregado.
g) Comunicação Coletiva: comunicação dirigida simultaneamente a múltiplos titulares — por exemplo, publicação no sítio institucional, banner na Plataforma, comunicado por e -mail em massa —, utilizada nas hipóteses autorizadas por esta Política, pelos Termos de Uso e pela LGPD.
2.7.1. Da interpretação extensiva. As definições desta Cláusula são interpretadas de forma extensiva e teleológica , em harmonia com a finalidade protetiva da LGPD. Em caso de surgimento de novas categorias técnicas, decorrentes de evolução tecnológica ou regulatória, a SharkBot promoverá a atualização desta Cláusula, nos termos da Cláusula Décima Quinta.
2.7.2. Do uso ao longo da Política. Os termos definidos nesta Cláusula são utilizados ao longo da Política iniciando com letra maiúscula , sinalizando o emprego técnico do conceito conforme aqui estabelecido, ressalvado o uso ordinário em contextos manifestos.
2.7.3. Da articulação com glossário operacional. Termos técnicos não definidos nesta Cláusula, mas utilizados em Cláusulas específicas, serão explicados na primeira ocorrência ou por glossário operacional próprio, mantendo -se a coerência interpretativa com a presente Cláusula.
2.7.4. Do esclarecimento adicional. O titular que tenha dúvida sobre o significado ou o alcance de qualquer termo desta Política pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, para esclarecimento gratuito e em linguagem acessível.
3.1.1. A presente Cláusula apresenta, em caráter estrutural e didático , a configuração de papéis exercidos pela SharkBot e pelo Vendedor na proteção de Dados Pessoais, em conformidade com o regime estabelecido pela Lei nº 13.709/2018 (LGPD) e em articulação obrigatória com o item
34.3 da Cláusula Trigésima Quarta dos Termos de Uso.
3.1.2. Da centralidade desta Cláusula. A correta compreensão dos papéis aqui descritos é condição de inteligibilidade das demais Cláusulas desta Política — em especial das Cláusulas relativas a finalidades e bases legais (Sexta), compartilhamento (Sétima), prazos de retenção (Nona), exercício de direitos (Décima Segunda) e incidentes (Décima Terceira). Por essa razão, a redação prioriza clareza, exemplificação e precisão técnica , ainda que ao custo de maior densidade.
3.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, VI, VII e VIII, da LGPD , quanto às definições de Controlador, Operador e Encarregado;
b) art. 6º da LGPD , quanto aos princípios estruturantes do tratamento;
c) arts. 37, 38, 39 e 40 da LGPD , quanto às responsabilidades dos agentes de tratamento;
d) arts. 42 a 45 da LGPD , quanto à responsabilidade civil e à reparação de danos;
e) regulamentação da ANPD , notadamente no que se refere à distinção operacional entre Controlador e Operador;
f) os princípios da transparência (art. 6º, VI), da responsabilização e prestação de contas (art. 6º, X) e da boa-fé objetiva .
3.1.4. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) o item 34.3 da Cláusula Trigésima Quarta dos Termos de Uso , que estabelece o regime contratual de papéis;
b) a Cláusula Sexta desta Política , quanto às finalidades e bases legais aplicáveis a cada papel;
c) a Cláusula Sétima , quanto ao compartilhamento, sob regime variado conforme o papel;
d) a Cláusula Décima Primeira , quanto a IA e desenvolvimento, com salvaguardas distintas conforme o papel;
e) a Cláusula Décima Segunda , quanto ao exercício de direitos pelo titular, com canal primário variável conforme o papel;
f) a Cláusula Décima Terceira , quanto ao regime de incidentes e às responsabilidades de notificação.
3.1.5. Da pedagogia da Cláusula. Em razão da complexidade técnica do regime estabelecido, esta Cláusula adota estrutura expositiva e exemplificativa , com o objetivo de ser efetivamente compreendida pelo titular leigo, em conformidade com o art. 9º da LGPD.
3.2.1. Da arquitetura multi -atores. A Plataforma SharkBot opera em arquitetura multi -atores , em que a operação concreta — relação entre Bot e Consumidor Final — pertence ao Vendedor, que a constrói, configura, comercializa e gerencia, enquanto a infraestrutura tecnológica — recursos da Plataforma, integrações, segurança, conformidade — pertence à SharkBot, que a fornece, mantém e protege.
3.2.2. Da consequência para a proteção de dados. Essa arquitetura reflete -se em repartição de papéis na proteção de Dados Pessoais. Não há um único Controlador para todos os tratamentos, nem a SharkBot é Operadora pura em relação a todos os dados. Cada categoria de dado e cada finalidade de tratamento é examinada autonomamente, atribuindo -se a cada agent e o papel adequado à sua efetiva influência decisória.
3.2.3. Do quadro -síntese. Para clareza inicial, a configuração geral é a seguinte:
a) Dados do Vendedor (cadastrais, KYC, financeiros, transacionais, etc.): (i) Controladora: SharkBot;
(ii) Fundamento: a SharkBot decide quais dados coletar, quando e para quê, conforme suas próprias finalidades — gestão da relação contratual, KYC, antilavagem, cobrança da Taxa, suporte, prevenção a fraude, conformidade regulatória.
b) Dados de Consumidor Final (identificadores do Telegram, dados cadastrais coletados pelo Bot, mensagens, histórico, transações, etc.):
(i) Controlador Principal: Vendedor;
(ii) Operadora (em primeiro plano): SharkBot, em relação às operações de tratamento que executa em nome do Vendedor, conforme as configurações da Conta e dos Bots;
(iii) Controladora (em finalidades próprias): SharkBot, em relação a finalidades autônomas que persegue independentemente da decisão do Vendedor — segurança, prevenção à fraude, conformidade regulatória, melhoria agregada, cumprimento dos Termos.
c) Dados de Visitantes (navegação no sítio institucional, formulários de contato, etc.): (i) Controladora: SharkBot;
(ii) Fundamento: o tratamento é integralmente decidido pela SharkBot, em razão da utilização de seu próprio sítio.
3.2.4. Do detalhamento. Os itens 3.3 a 3.6 detalham cada um dos papéis configurados, com fundamentação, exemplos e consequências práticas.
3.3.1. Da configuração. Em relação aos Dados Pessoais do Vendedor pessoa natural , dos sócios, administradores, beneficiário final e representantes legais do Vendedor pessoa jurídica e dos usuários operacionais delegados , a SharkBot atua na qualidade de Controladora , nos termos do art. 5º, VI, da LGPD.
3.3.2. Da fundamentação. A configuração como Controladora decorre de:
a) Decisão sobre a coleta: a SharkBot decide quais dados serão exigidos no cadastro, quais documentos serão solicitados em KYC, quais informações operacionais serão registradas durante o uso da Plataforma;
b) Decisão sobre as finalidades: a SharkBot decide para quais propósitos esses dados serão tratados — gestão contratual, KYC, antilavagem, cobrança, suporte, prevenção a fraude, conformidade regulatória, marketing relacional, defesa em processos;
c) Decisão sobre os meios: a SharkBot decide como esses dados serão armazenados, segurados, retidos e eventualmente eliminados, no exercício de sua autonomia técnica e operacional;
d) Responsabilização própria: a SharkBot responde, perante os titulares e perante a ANPD, por essas decisões e por sua execução.
3.3.3. Das consequências práticas. Decorrem dessa configuração:
a) os direitos do Vendedor titular (art. 18 da LGPD) são exercidos diretamente perante a SharkBot, pelo Canal do Encarregado;
b) as bases legais aplicáveis a cada finalidade são definidas pela SharkBot, na Cláusula Sexta desta Política;
c) os prazos de retenção observam as decisões da SharkBot, articuladas com obrigações legais aplicáveis;
d) eventuais incidentes de segurança envolvendo Dados Pessoais do Vendedor são notificados pela SharkBot à ANPD e ao próprio Vendedor titular, nos termos da Cláusula Décima Terceira;
e) o compartilhamento desses dados, com subprocessadores ou terceiros, é decidido pela SharkBot, observados os limites desta Política.
3.3.4. Dos exemplos ilustrativos. São tratamentos em que a SharkBot atua como Controladora dos dados do Vendedor:
a) verificação de identidade no cadastro mediante consulta a bases públicas e a provedores de KYC;
b) cobrança da Taxa pela utilização da Plataforma, com emissão de documento fiscal;
c) envio de comunicações operacionais sobre manutenção, atualização ou alteração dos Termos;
d) análise comportamental para identificação de operações suspeitas de fraude;
e) retenção de logs de acesso pelo prazo legal do art. 15 do Marco Civil;
f) elaboração e envio de comunicações de marketing relacional sobre novidades da Plataforma.
3.4.1. Da configuração principal. Em relação aos Dados Pessoais dos Consumidores Finais que interagem com os Bots, a SharkBot atua, em primeiro plano , na qualidade de Operadora , nos termos do art. 5º, VII, da LGPD, executando o tratamento conforme as decisões e as configurações estabelecidas pelo Vendedor (Controlador Principal).
3.4.2. Da fundamentação. A configuração como Operadora decorre de:
a) Ausência de decisão autônoma sobre coleta: os Dados Pessoais dos Consumidores Finais são coletados conforme os Fluxos configurados pelo Vendedor — campos solicitados, formulários, gatilhos, etapas — sem que a SharkBot tenha ingerência sobre as decisões específicas do Vendedor;
b) Ausência de decisão autônoma sobre finalidades: o uso dos dados — para apresentar ofertas, segmentar a base, comunicar com o Consumidor, executar a venda — é determinado pelo Vendedor em sua operação, conforme a estratégia comercial que adota;
c) Execução conforme instruções: a SharkBot processa e armazena os dados de Consumidor Final segundo o que o Vendedor configurou, atuando como prestadora da infraestrutura tecnológica que viabiliza essa operação.
3.4.3. Da natureza das instruções do Vendedor. Para os fins do art. 39 da LGPD, as configurações estabelecidas pelo Vendedor na Plataforma constituem instruções documentadas ao Operador, dispensando -se, em razão da arquitetura de adesão à Plataforma, a celebração de instrumento contratual individualizado de tratamento (DPA — Data Processing Agreement ) entre SharkBot e cada Vendedor. Os Termos de Uso, em conjunto com esta Política, fazem as vezes desse instrumento, definindo:
a) as operações autorizadas ao Operador;
b) os deveres do Operador (segurança, sigilo, cooperação, retenção, eliminação);
c) o regime de subcontratação (subprocessadores);
d) os canais de comunicação entre as partes;
e) as consequências do término da relação contratual.
3.4.4. Das obrigações da SharkBot como Operadora. Como Operadora, a SharkBot obriga -se a:
a) executar o tratamento conforme as instruções do Controlador, traduzidas nas configurações da Conta e dos Bots, observados os Termos de Uso e esta Política;
b) observar os princípios da LGPD em todas as operações realizadas;
c) manter sigilo sobre os dados tratados, mesmo após o término da relação contratual;
d) adotar medidas de segurança proporcionais aos riscos envolvidos, conforme a Cláusula Décima desta Política;
e) comunicar ao Controlador quaisquer incidentes de segurança que envolvam dados sob seu tratamento, conforme a Cláusula Décima Terceira;
f) cooperar com o Controlador no atendimento aos direitos dos titulares, conforme a Cláusula Décima Segunda;
g) observar regime de subcontratação transparente, mediante DPAs com subprocessadores;
h) proceder à eliminação ou devolução dos dados ao final da prestação dos serviços, conforme as instruções do Controlador, ressalvadas retenções legítimas — Cláusula Nona desta Política e Cláusula Trigésima Oitava dos Termos.
3.4.5. Do dever de comunicação de inadequação. Caso a SharkBot, no exercício de seu papel de Operadora, identifique que a instrução do Vendedor viola a LGPD ou esta Política , comunicará ao Vendedor a inadequação, podendo, conforme a gravidade:
a) alertar formalmente o Vendedor para correção;
b) suspender a operação concretamente envolvida;
c) adotar as medidas previstas na Cláusula Vigésima Sexta dos Termos de Uso, em casos de violação grave;
d) notificar a ANPD, em hipóteses que assim exijam, observado o regime do art. 39, XV, da LGPD.
3.4.6. Dos exemplos ilustrativos. São tratamentos em que a SharkBot atua como Operadora dos dados de Consumidor Final:
a) armazenamento dos contatos da base de Consumidores Finais conforme configurado pelo Vendedor;
b) execução do Fluxo do Bot que apresenta produtos, recebe respostas e processa a interação com o Consumidor Final;
c) envio de mensagens automatizadas conforme programação do Vendedor (cadastro inicial, follow -up, recuperação de carrinho, pós -venda);
d) integração com o Gateway de Pagamento para processamento da transação iniciada pelo Consumidor Final;
e) geração de relatórios e métricas para o Vendedor sobre o desempenho de sua operação;
f) disponibilização de funcionalidades de exportação de dados para o Vendedor.
Específicas)
3.5.1. Da configuração subsidiária e autônoma. Sem prejuízo do papel principal de Operadora descrito no item 3.4, a SharkBot atua, em finalidades próprias específicas , na qualidade de Controladora dos Dados Pessoais de Consumidor Final, independentemente da decisão do Vendedor.
3.5.2. Da fundamentação. Existem finalidades que a SharkBot persegue por imposição da própria natureza da Plataforma e por exigências regulatórias e operacionais que recaem diretamente sobre a SharkBot , e não sobre o Vendedor. Em relação a essas finalidades, é a SharkBot quem decide o que coletar, para quê tratar, por quanto tempo reter — e responde, autonomamente, pelas decisões.
3.5.3. Das finalidades próprias da SharkBot como Controladora. Configura -se atuação como Controladora nas seguintes finalidades:
a) Prevenção à fraude e à integridade da Plataforma: análise de padrões transacionais e comportamentais, detecção de operações abusivas, identificação de Vendedores ou Consumidores envolvidos em fraude estrutural, proteção do ecossistema da Plataforma e dos demais Vendedores e Consumidores Finais;
b) Segurança da informação e proteção da Plataforma: implementação e operação de medidas técnicas e administrativas de segurança, detecção e resposta a incidentes, proteção de ativos informacionais da SharkBot e de sua infraestrutura;
c) Conformidade regulatória própria da SharkBot: cumprimento das obrigações legais que recaem diretamente sobre a SharkBot, notadamente:
(i) antilavagem (Lei nº 9.613/1998 e regulamentação correlata);
(ii) sanções internacionais (Lei nº 13.810/2019);
(iii) guarda de registros de acesso a aplicações (art. 15 do Marco Civil);
(iv) comunicação ao COAF de operações suspeitas;
(v) cooperação com autoridades em requisições, ordens judiciais e investigações;
d) Melhoria agregada do produto: evolução da Plataforma com base em padrões agregados, dados anonimizados ou de -identificados, observadas as salvaguardas técnicas e a postura conservadora da Cláusula Décima Primeira desta Política em matéria de IA;
e) Cumprimento dos Termos de Uso: exercício das prerrogativas contratuais da SharkBot perante o Vendedor — bloqueios preventivos, suspensões, banimentos —, com tratamento dos dados necessários a essa execução;
f) Defesa em processo judicial, administrativo ou arbitral: preservação e utilização de dados necessários ao exercício regular de direitos da SharkBot em eventuais litígios, observado o art.
7º, VI, da LGPD;
g) Atendimento ao próprio Consumidor Final que dirija requisição diretamente à SharkBot, no contexto das finalidades acima, em harmonia com a Cláusula Décima Segunda desta Política.
3.5.4. Da limitação dessas finalidades. As finalidades próprias da SharkBot como Controladora dos dados de Consumidor Final são taxativas — não podem ser ampliadas por interpretação extensiva — e observam:
a) Princípio da minimização: apenas os dados estritamente necessários a cada finalidade são tratados;
b) Princípio da finalidade: vedação ao uso desses dados para propósitos estranhos àqueles declarados;
c) Vedação à comercialização: não há venda, cessão onerosa ou disponibilização desses dados a terceiros para finalidades de marketing ou comerciais alheias à SharkBot;
d) Vedação ao uso para perfilagem comercial dirigida ao Consumidor Final: dados de Consumidor Final não são utilizados pela SharkBot, em finalidades próprias, para envio de comunicações comerciais ao Consumidor Final, ressalvada hipótese em que a SharkBot opere relação direta com o Consumidor (situação atualmente não contemplad a);
e) Salvaguardas técnicas: preferência por dados agregados e anonimizados sempre que viável, em conformidade com a Cláusula Décima Primeira;
f) Direito de oposição: preservado o direito do titular de opor -se aos tratamentos fundados em legítimo interesse, na medida e nos termos da LGPD.
3.5.5. Das bases legais aplicáveis. As bases legais que fundamentam essas finalidades estão detalhadas na Cláusula Sexta desta Política, sendo predominantemente:
a) cumprimento de obrigação legal ou regulatória (art. 7º, II, LGPD), para conformidade regulatória e cooperação com autoridades;
b) legítimo interesse (art. 7º, IX, LGPD), para prevenção à fraude, segurança, melhoria agregada e cumprimento dos Termos, com LIA documentada;
c) exercício regular de direitos (art. 7º, VI, LGPD), para defesa em processos.
3.5.6. Dos direitos do Consumidor Final perante a SharkBot. Em relação a essas finalidades específicas, o Consumidor Final pode exercer seus direitos da LGPD diretamente perante a SharkBot, pelo Canal do Encarregado, conforme detalhado na Cláusula Décima Segunda.
3.5.7. Dos exemplos ilustrativos. São tratamentos em que a SharkBot atua como Controladora dos dados de Consumidor Final:
a) análise da reputação transacional do Consumidor Final para detecção de fraude estrutural (uso de cartões clonados, compras dirigidas a contas suspeitas);
b) retenção de logs de acesso à aplicação pelo prazo legal do Marco Civil;
c) comunicação ao COAF de operação suspeita identificada na operação de Vendedor da Plataforma;
d) preservação de dados em razão de ordem judicial recebida pela SharkBot;
e) uso de dados agregados anonimizados para análise estatística de padrões de uso da Plataforma;
f) preservação de evidências em apuração disciplinar de Vendedor por violação dos Termos.
3.6.1. Da configuração. O Vendedor é o Controlador Principal dos Dados Pessoais dos Consumidores Finais que interagem com seus Bots. É o Vendedor quem detém a relação direta com o Consumidor Final, decide o objeto da operação, configura a coleta, define a finalidade, estabelece a base legal aplicável e responde, em primeiro plano, pelo tratamento.
3.6.2. Das atribuições do Vendedor como Controlador Principal. Cabe ao Vendedor, em relação aos dados de seus Consumidores Finais:
a) Decidir quais dados serão coletados em sua operação, quando, por meio de que campos e em quais etapas do Fluxo;
b) Estabelecer a base legal que fundamenta a coleta e o tratamento (consentimento, execução de contrato com o Consumidor, legítimo interesse do Vendedor, conforme o caso e em conformidade com a LGPD);
c) Definir as finalidades específicas do tratamento — venda do produto ou serviço, comunicação, relacionamento, pós -venda, remarketing, fidelização, e demais finalidades inerentes à operação comercial do Vendedor;
d) Informar o Consumidor Final sobre o tratamento, por meio de sua própria Política de Privacidade e dos canais próprios do seu Bot, em conformidade com o art. 9º da LGPD;
e) Atender, em primeiro plano , as requisições dos Consumidores Finais relativas aos direitos previstos no art. 18 da LGPD, conforme a Cláusula Décima Segunda desta Política;
f) Manter seus próprios registros de tratamento, suas próprias bases legais documentadas e, quando cabível, seu próprio Encarregado;
g) Responder , perante titulares e autoridades, pela licitude do tratamento determinado por sua operação;
h) Cooperar com a SharkBot no atendimento de obrigações cruzadas, em particular na resposta a incidentes e a requisições de titulares.
3.6.3. Da consequência prática. Em razão dessa configuração:
a) o canal primário de exercício de direitos pelo Consumidor Final é o próprio Vendedor, conforme a Cláusula Décima Segunda;
b) o dever de elaborar Política de Privacidade própria recai sobre o Vendedor, em sua operação;
c) a base legal específica de cada tratamento na operação do Vendedor é definida e documentada pelo Vendedor, observados os limites da LGPD;
d) os prazos de retenção dos dados, na perspectiva da finalidade da operação do Vendedor, são definidos pelo Vendedor, sem prejuízo das retenções específicas da SharkBot por finalidades próprias.
3.6.4. Da responsabilidade do Vendedor. A responsabilidade do Vendedor como Controlador Principal não é mitigada pela utilização da Plataforma SharkBot — a SharkBot oferece a infraestrutura tecnológica, mas as decisões substantivas do tratamento são do Vendedor. Em conformidade com o art. 42 da LGPD, o Controlador responde pelos danos causados ao titular em razão do exercício da atividade de tratamento.
3.6.5. Da remissão. O regime de responsabilidades do Vendedor em proteção de dados, e a articulação entre Vendedor e SharkBot na cadeia de tratamento, é detalhada na Cláusula Trigésima Quarta dos Termos de Uso, à qual esta Política se subordina em matéria contratual.
3.7.1. Do princípio. As atuações descritas nos itens 3.3 a 3.6 caracterizam operações distintas, com finalidades distintas, exercidas em camadas funcionalmente autônomas . Em regra, não se configura controladoria conjunta entre SharkBot e Vendedor, nos termos do art. 5º, VI, da LGPD.
3.7.2. Do fundamento da distinção. A controladoria conjunta pressuporia que SharkBot e Vendedor decidissem conjuntamente as finalidades e os meios essenciais do tratamento. Essa não é a configuração da relação:
a) o Vendedor decide as finalidades e meios em sua operação (relação com o Consumidor Final), sem ingerência da SharkBot;
b) a SharkBot decide as finalidades e meios em suas finalidades próprias (segurança, fraude, compliance), sem ingerência do Vendedor;
c) quando a SharkBot atua como Operadora dos dados de Consumidor Final, executa instruções do Vendedor, sem decidir conjuntamente.
3.7.3. Da consequência prática. Cada parte responde, perante titulares e autoridades, pelas operações em que efetivamente atua como Controlador , sem solidariedade indistinta. Os limites e regimes específicos de responsabilidade entre SharkBot e Vendedor são detalhados na Cláusula Trigésima Quarta dos Termos de Uso, em harmonia com o art. 42 da LGPD.
3.7.4. Das hipóteses excepcionais. A configuração de controladoria conjunta poderá ocorrer, em caráter excepcional, em operações específicas reguladas por instrumento próprio , mediante:
a) identificação clara das operações abrangidas pela controladoria conjunta;
b) definição expressa das responsabilidades de cada Controlador conjunto, conforme art. 5º, VI, da LGPD;
c) publicidade da configuração, com transparência ao titular sobre a estrutura adotada;
d) canal designado para exercício de direitos pelo titular, sem prejuízo do direito de exercitá -los perante qualquer dos Controladores conjuntos.
3.7.5. Da inaplicabilidade automática. A mera celebração dos Termos de Uso e a utilização da Plataforma não configuram, por si só , controladoria conjunta. A configuração depende de instrumento específico, em operação determinada, com a documentação prevista no item 3.7.4.
3.8.1. Da configuração. Em relação aos Dados Pessoais dos Visitantes do sítio institucional da SharkBot e dos canais de comunicação institucional, a SharkBot atua na qualidade de Controladora , decidindo autonomamente sobre o tratamento — desde a coleta de dados de navegação até o uso de cookies e o tratamento de formulários de contato.
3.8.2. Da remissão. As finalidades e bases legais aplicáveis ao tratamento dos dados dos Visitantes são detalhadas na Cláusula Sexta desta Política, e o regime de cookies é detalhado em Política de Cookies específica, integrante desta Política como Anexo.
3.9.1. Da harmonização. A presente Cláusula é harmoniosa com o regime estabelecido pelo item
34.3 da Cláusula Trigésima Quarta dos Termos de Uso , replicando, em linguagem adaptada ao titular leigo, a configuração contratual entre SharkBot e Vendedor.
3.9.2. Da hierarquia interpretativa. Em caso de eventual divergência entre esta Cláusula e o item
34.3 dos Termos:
a) prevalece, em matéria contratual (relação entre SharkBot e Vendedor), o item 34.3 dos Termos;
b) prevalece, em matéria de transparência aos titulares e de proteção de dados , a presente Cláusula;
c) ambos os instrumentos são interpretados harmonicamente , sem prejuízo das normas imperativas da LGPD que sobre eles incidem.
3.9.3. Da unidade sistêmica. O regime aqui adotado integra, como elemento essencial, a estrutura jurídica da relação SharkBot –Vendedor –Consumidor Final, articulando -se com:
a) a Cláusula Vigésima Sétima dos Termos , quanto à responsabilidade triangular;
b) a Cláusula Vigésima Oitava dos Termos , quanto à qualificação da SharkBot como provedora de aplicação no Marco Civil;
c) a Cláusula Trigésima Quarta dos Termos , quanto ao regime LGPD em sua integralidade.
3.10.1. Da estabilidade. A configuração de papéis estabelecida nesta Cláusula tem caráter estrutural e somente pode ser alterada mediante atualização desta Política e dos Termos de Uso, comunicada nos termos da Cláusula Décima Quinta.
3.10.2. Do esclarecimento ao titular. O titular que tenha dúvida sobre o papel exercido pela SharkBot ou pelo Vendedor em relação a tratamento específico pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, para esclarecimento gratuito e em linguagem acessível .
3.10.3. Da boa -fé na configuração. A configuração de papéis aqui estabelecida observa a boa-fé objetiva e a realidade efetiva da operação, vedando -se qualquer manipulação de papéis com a finalidade de afastar responsabilidade ou frustrar direitos dos titulares. Em caso de dúvida razoável sobre a qualificação adequada, prevalece a interpretação que assegure maior proteção ao titular .
4.1.1. A presente Cláusula descreve, de forma organizada por categoria de titular , os Dados Pessoais que são objeto de tratamento pela SharkBot em razão da operação da Plataforma. A descrição é abrangente e ilustrativa — em cada caso concreto, são tratados apenas os dados efetivamente necessários à finalidade respectiva, observado o princípio da minimização previsto no art. 6º, III, da LGPD.
4.1.2. Da finalidade desta Cláusula. Esta Cláusula tem por finalidade:
a) dar transparência ao titular sobre quais dados a SharkBot trata, em conformidade com o art. 9º, II, da LGPD;
b) delimitar o escopo dos tratamentos descritos nas Cláusulas seguintes;
c) fornecer base para o exercício informado dos direitos previstos no art. 18 da LGPD;
d) registrar a origem dos dados, em conformidade com o art. 9º, IV, da LGPD;
e) explicitar a postura institucional quanto a categorias sensíveis ou de proteção reforçada, notadamente dados de crianças e adolescentes.
4.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, I e II, da LGPD , quanto aos conceitos de Dados Pessoais e de Dados Pessoais Sensíveis;
b) art. 6º, III, da LGPD , quanto ao princípio da necessidade (minimização);
c) art. 9º da LGPD , quanto ao direito de acesso facilitado às informações sobre o tratamento;
d) art. 14 da LGPD , quanto ao tratamento de dados de crianças e adolescentes;
e) art. 11 da LGPD , quanto ao tratamento de Dados Pessoais Sensíveis;
f) art. 7º, §3º, da LGPD , quanto ao tratamento de dados manifestamente públicos;
g) regulamentação da ANPD , notadamente em matéria de tratamento de dados de menores e de dados sensíveis.
4.1.4. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Segunda desta Política , quanto às definições dos termos técnicos utilizados;
b) a Cláusula Terceira , quanto ao papel da SharkBot em relação a cada categoria de dado;
c) a Cláusula Quinta , quanto ao tratamento específico de Dados Pessoais Sensíveis;
d) a Cláusula Sexta , quanto às finalidades e bases legais aplicáveis a cada categoria;
e) a Cláusula Nona , quanto aos prazos de retenção;
f) a Cláusula Vigésima Terceira dos Termos de Uso , quanto à proteção infantojuvenil;
g) a Cláusula Quinta dos Termos , quanto ao KYC e à coleta de dados em cadastro.
4.1.5. Da minimização como princípio orientador. A SharkBot adota o princípio da minimização como vetor estrutural na concepção e na operação dos tratamentos descritos nesta Cláusula, observando:
a) Limitação ao necessário: a coleta restringe -se aos dados estritamente necessários à finalidade declarada;
b) Proporcionalidade: o nível de detalhe da coleta é proporcional ao risco e à relevância da finalidade;
c) Revisão periódica: as categorias coletadas são revistas periodicamente, com eliminação de itens cuja necessidade tenha cessado;
d) Vedação à coleta excedente: a SharkBot não coleta dados "para o caso de" virem a ser úteis, salvo quando a coleta antecipada decorra de obrigação legal específica.
4.2.1. Da abrangência. A presente subcláusula descreve os Dados Pessoais tratados em razão da relação contratual com o Vendedor pessoa natural ou, no caso de Vendedor pessoa jurídica, dos seus sócios, administradores, beneficiário final, representantes legais e usuários operacionais delegados .
4.2.2. Dados cadastrais. Compreendem:
a) nome civil completo ou razão social;
b) número de inscrição no CPF ou no CNPJ;
c) endereço completo (logradouro, número, complemento, bairro, cidade, estado, CEP);
d) telefone (fixo ou móvel) e demais meios de contato;
e) endereço eletrônico (e-mail) principal e, quando aplicável, secundários (financeiro, jurídico, DPO próprio);
f) data de nascimento (Vendedor pessoa natural ou sócios pessoa natural);
g) nacionalidade e demais dados qualificativos;
h) dados de identificação documental (RG, CNH, passaporte ou equivalente, conforme aplicável).
4.2.3. Dados dos sócios, administradores e beneficiário final. No caso de Vendedor pessoa jurídica, em conformidade com o regime de KYC e a regulamentação antilavagem aplicável:
a) identificação de todos os sócios e dos administradores, com nome, CPF, qualificação e participação;
b) identificação do beneficiário final (pessoa natural que, em última instância, detém, controla ou influencia significativamente a pessoa jurídica), nos termos da Instrução Normativa RFB nº 2.119/2022 e regulamentação correlata;
c) estrutura societária e organograma, quando aplicável a porte e a complexidade da operação;
d) declaração de PEP (Pessoa Politicamente Exposta) e de relações com PEPs, em conformidade com a Resolução COAF nº 36/2021 e a Cláusula Sétima dos Termos de Uso.
4.2.4. Documentos para verificação de identidade (KYC). A SharkBot coleta documentos para verificação de identidade do Vendedor e de seus sócios/beneficiário final, conforme o nível de KYC aplicável e em harmonia com a Cláusula Quinta dos Termos de Uso, podendo compreender:
a) documento de identidade oficial com foto (RG, CNH, passaporte);
b) comprovante de residência ou de sede atualizado;
c) comprovante de regularidade societária (atos constitutivos, alterações, certidão de regularidade);
d) comprovante de regularidade fiscal (CND, certidões de regularidade tributária);
e) comprovante bancário (extrato, comprovante de titularidade de conta);
f) selfie ou prova de vida (biometria facial), em hipóteses de KYC reforçado;
g) demais documentos justificadamente exigidos em razão do perfil de risco da operação.
4.2.5. Dados financeiros para cobrança da Taxa. Para a cobrança da Taxa contratual e demais transações financeiras entre SharkBot e Vendedor:
a) chave Pix ou dados de conta bancária utilizada pela SharkBot para cobrança;
b) dados do arranjo de pagamento eventualmente integrado para pagamento da Taxa;
c) histórico de pagamentos realizados pelo Vendedor, com datas, valores, status e identificadores transacionais;
d) eventuais inadimplências, parcelamentos ou ajustes vinculados à Conta.
4.2.6. Dados de acesso e credenciais. Para a gestão da Conta na Plataforma:
a) identificador de acesso (login) definido pelo Vendedor;
b) senha , armazenada de forma cifrada por meio de algoritmos de hashing compatíveis com o estado da técnica (não em formato recuperável);
c) tokens de autenticação e identificadores de sessão, gerados pela Plataforma;
d) registros de tentativas de login , incluindo data, hora, IP de origem, dispositivo, sucesso ou falha;
e) dados de autenticação de dois fatores (2FA), quando configurada pelo Vendedor;
f) registros de redefinição de senha e demais eventos de segurança da Conta.
4.2.7. Dados de uso da Plataforma. Em razão da utilização da Plataforma, são tratados:
a) registros de acesso (logs) : data, hora, endereço IP, user agent (navegador), sistema operacional, dispositivo, geolocalização aproximada;
b) trilhas de navegação na área logada da Plataforma;
c) configurações da Conta : parâmetros operacionais, integrações ativadas, preferências do Vendedor;
d) histórico de operações realizadas (criação de Bots, edição de Fluxos, exportação de dados, alterações em integrações);
e) uso de funcionalidades , para fins de suporte e de melhoria da Plataforma;
f) interações com a área de suporte e com canais oficiais.
4.2.8. Dados transacionais. Em razão da operação dos Bots:
a) Vendas Aprovadas processadas no âmbito da operação do Vendedor, com identificadores, valores, datas e status;
b) histórico de transações realizadas, ainda que não aprovadas (estorno, chargeback , recusa);
c) integrações utilizadas (Gateways, ferramentas externas, APIs);
d) métricas de desempenho da operação do Vendedor (volume, frequência, conversão, ticket médio);
e) eventos de cobrança da Taxa vinculados às Vendas Aprovadas.
4.2.9. Dados de comunicação. Em razão da interação entre o Vendedor e a SharkBot:
a) tickets de suporte abertos pelo Vendedor, com conteúdo, datas, classificação e resolução;
b) mensagens trocadas com a equipe da SharkBot pelos canais oficiais;
c) comunicações enviadas ao Vendedor (transacionais, operacionais, de marketing relacional, de marketing ampliado quando consentido);
d) registros de leitura, abertura, clique em comunicações eletrônicas, quando tecnicamente disponíveis;
e) denúncias recebidas ou apresentadas, comunicações ao Canal Ético, ao Canal do Encarregado e a demais canais oficiais.
4.2.10. Dados de conformidade regulatória. Para fins de cumprimento de obrigações legais e regulatórias da SharkBot:
a) classificação como PEP ou parente/associado de PEP, conforme declaração e validação;
b) resultado de consultas a listas restritivas (sanções internacionais, COAF, CEIS, CNEP, listas de PEPs);
c) classificação de risco atribuída pelo regime interno de KYC e antilavagem da SharkBot;
d) registros de operações suspeitas identificadas e, quando aplicável, comunicadas ao COAF;
e) documentação de diligência realizada sobre o Vendedor;
f) registros antifraude vinculados à operação do Vendedor.
4.2.11. Dados fiscais. Em razão das obrigações tributárias da SharkBot:
a) documentos fiscais emitidos pela SharkBot em favor do Vendedor (Notas Fiscais de Serviço Eletrônica — NFS-e, faturas, recibos);
b) comprovantes de retenção tributária, quando aplicável;
c) informes de rendimento ou documentos análogos exigidos pela legislação;
d) registros contábeis vinculados à relação SharkBot –Vendedor.
4.3.1. Da abrangência. A presente subcláusula descreve os Dados Pessoais dos Consumidores Finais que interagem com os Bots operados pelos Vendedores na Plataforma. Em razão do regime de papéis estabelecido na Cláusula Terceira, esses dados são tratados pela SharkBot, em primeiro plano, na qualidade de Operadora, e, em finalidades próprias específicas , na qualidade de Controladora.
4.3.2. Da limitação à configuração do Vendedor. A coleta concreta de dados de Consumidor Final pela operação do Bot é determinada pelo Vendedor (Controlador Principal), em sua configuração de Fluxo. As categorias descritas nesta subcláusula são abrangentes — refletem as possibilidades técnicas da Plataforma —, mas o tratamento efetivo em cada operação observa as decisões do respectivo Vendedor, em sua relação direta com o Consumidor Final.
4.3.3. Identificadores do Telegram. Em razão da operação dos Bots na infraestrutura do Telegram:
a) user ID do Telegram , identificador numérico atribuído pelo Telegram a cada conta de usuário;
b) nome de usuário ( username ) público no Telegram, quando o Consumidor Final houver configurado;
c) nome exibido no Telegram, conforme configurado pelo Consumidor Final;
d) foto de perfil , quando publicamente disponível e acessível pela API do Telegram;
e) número de telefone , exclusivamente quando voluntariamente compartilhado pelo Consumidor Final com o Bot por meio dos recursos nativos do Telegram (botão de compartilhamento de contato);
f) identificador de idioma , quando disponibilizado pelo Telegram.
4.3.4. Dados cadastrais coletados pelo Bot conforme configuração do Vendedor. Conforme os Fluxos configurados pelo Vendedor para sua operação, podem ser solicitados ao Consumidor Final:
a) nome e demais dados de identificação ;
b) endereço eletrônico (e -mail) ;
c) telefone alternativo ao Telegram;
d) endereço físico para entrega de produtos ou demais finalidades da operação;
e) CPF, quando exigido para fins fiscais ou para identificação;
f) data de nascimento , quando exigida em razão da finalidade (verificação de idade, segmentação demográfica);
g) demais dados solicitados pelo Vendedor em sua operação, conforme finalidade declarada por este ao Consumidor Final.
4.3.5. Conteúdo de mensagens. Em razão da interação com o Bot:
a) textos enviados pelo Consumidor Final ao Bot;
b) respostas a comandos, opções ou gatilhos do Fluxo;
c) arquivos enviados (imagens, áudios, vídeos, documentos), quando o Fluxo do Vendedor o admitir;
d) mensagens recebidas pelo Consumidor Final do Bot, conforme programação do Vendedor.
4.3.5.1. Da retenção do conteúdo. A retenção do conteúdo de mensagens pela Plataforma observa o configurado pelo Vendedor em sua operação e os prazos da Cláusula Nona desta Política, sem prejuízo da retenção operacional pela SharkBot enquanto necessária ao funcionamento do Bot.
4.3.6. Histórico de interações. Para o funcionamento do Bot e para o acompanhamento da operação pelo Vendedor:
a) Fluxos percorridos pelo Consumidor Final;
b) gatilhos acionados e respostas dadas;
c) opções selecionadas em menus, quick replies , inline keyboards ;
d) etapas concluídas e abandonadas;
e) tempo de interação em cada etapa;
f) status na base do Vendedor (ativo, desinscrito, bloqueado, segmentação atribuída);
g) etiquetas ( tags ) atribuídas pelo Vendedor ao Consumidor Final, em sua segmentação operacional.
4.3.7. Dados transacionais. Em razão de eventuais transações realizadas no contexto da operação:
a) identificação da transação (número, data, hora);
b) valor e moeda da transação;
c) status (iniciada, aprovada, recusada, estornada, chargeback );
d) Gateway de Pagamento utilizado na transação;
e) identificador opaco do meio de pagamento (mascarado pelo Gateway, sem dados sensíveis de cartão);
f) vinculação ao produto ou serviço comercializado pelo Vendedor.
4.3.7.1. Da não -coleta de dados sensíveis de cartão. A SharkBot não trata, não armazena e não tem acesso autônomo a dados sensíveis de instrumentos de pagamento dos Consumidores Finais — número de cartão de crédito completo, código de segurança (CVV), senha, tokens de pagamento. Esses dados são tratados diretamente pelo Gateway de Pagamento , em ambiente certificado PCI-DSS, sem trânsito pela infraestrutura da SharkBot ressalvado o estritamente necessário ao roteamento da transação por meio de mecanismos seguros e tokenizados, conforme detalhado na Cláusula Sétima desta Política.
4.3.8. Dados de comportamento. Para fins operacionais e analíticos:
a) etapas concluídas e taxa de conversão da operação do Vendedor;
b) abandonos identificados em pontos do Fluxo;
c) horário e padrão de interação com o Bot;
d) frequência de retorno do Consumidor Final;
e) resposta a comunicações de remarketing configuradas pelo Vendedor;
f) engajamento agregado com a operação do Vendedor.
4.3.9. Metadados técnicos. Em razão da execução técnica da operação:
a) timestamps das interações (data e hora de cada evento);
b) identificadores técnicos de sessão e de transação;
c) endereço IP de acesso, quando disponibilizado pelo Telegram ou pela infraestrutura;
d) geolocalização aproximada derivada do IP, quando aplicável;
e) identificadores de dispositivo , na medida disponibilizada pela API do Telegram;
f) registros operacionais vinculados à execução do Bot.
4.3.10. Dados Pessoais Sensíveis (excepcionalmente). Em hipóteses excepcionais, conforme a finalidade configurada pelo Vendedor em sua operação, podem ser tratados Dados Pessoais Sensíveis do Consumidor Final, recebendo regime reforçado nos termos da Cláusula Quinta desta Política. Configuram tais hipóteses, exemplificativamente:
a) dados sobre saúde , em operações que envolvam consulta profissional especializada;
b) dados sobre vida sexual ou orientação sexual , em comunidades temáticas ou serviços específicos, observado o regime do art. 11 da LGPD e as vedações específicas dos Termos de Uso (Cláusula Vigésima Terceira);
c) dados biométricos (imagem facial), em hipóteses de verificação de idade reforçada para conteúdos com restrição etária;
d) dados sobre convicções religiosas, filosóficas ou políticas, em operações específicas dirigidas a comunidades temáticas;
e) dados de filiação sindical, em operações vinculadas a entidades representativas.
4.3.10.1. Da postura institucional. A SharkBot adota, em relação ao tratamento de Dados Pessoais Sensíveis, postura institucional de minimização e tratamento excepcional , conforme detalhado na Cláusula Quinta desta Política.
4.4.1. Da abrangência. Quando uma pessoa natural acessa o sítio institucional da SharkBot (https://sharkbot.com.br ) ou outros canais de comunicação institucional, na qualidade de Visitante — sem necessariamente celebrar os Termos de Uso ou cadastrar -se na Plataforma —, podem ser tratados os Dados Pessoais descritos nesta subcláusula.
4.4.2. Dados de navegação. Em razão do acesso ao sítio:
a) endereço IP do dispositivo de acesso;
b) dispositivo utilizado (computador, smartphone , tablet ) e suas características técnicas;
c) navegador e versão (Chrome, Firefox, Safari, Edge, etc.);
d) sistema operacional e versão;
e) resolução de tela e demais parâmetros técnicos;
f) páginas visitadas , com data, hora e tempo de permanência;
g) origem do acesso ( referrer ), indicando a página, o link ou a busca que conduziu ao sítio;
h) trilhas de navegação dentro do sítio.
4.4.3. Cookies e tecnologias similares. Em razão da utilização do sítio:
a) identificadores de sessão mantidos por meio de Cookies estritamente necessários;
b) preferências de navegação registradas em Cookies funcionais;
c) dados de comportamento agregado registrados por Cookies analíticos;
d) identificadores publicitários registrados por Cookies de marketing, mediante consentimento;
e) demais Tecnologias Similares descritas em detalhe na Política de Cookies integrante desta Política como Anexo.
4.4.4. Dados de formulários. Em razão de eventual interação ativa do Visitante:
a) formulário de contato: nome, e -mail, telefone, mensagem, eventuais informações adicionais informadas espontaneamente;
b) inscrição em newsletter ou em material rico: nome, e -mail, eventuais campos opcionais (cargo, empresa, segmento), com consentimento específico para a comunicação;
c) inscrição em webinar ou evento: nome, e -mail, eventuais campos exigidos para o evento;
d) avaliação ou feedback voluntariamente prestado;
e) dados de interação com chat ou chatbot institucional, quando disponibilizados pela SharkBot.
4.5.1. Da abrangência. Em situações específicas, podem ser tratados Dados Pessoais de pessoas que não se enquadrem nas categorias anteriores (Vendedor, Consumidor Final, Visitante), em razão da operação ou de circunstâncias particulares. Esta subcláusula identifica tais hipótes es.
4.5.2. Hipóteses. Configuram tratamento de dados de terceiros, exemplificativamente:
a) Colaboradores e prepostos do Vendedor que tenham contato direto com a SharkBot, ainda que não sejam usuários operacionais formalmente delegados na Conta;
b) Pessoas mencionadas em comunicações dirigidas ao suporte, ao Canal do Encarregado, ao Canal Ético ou ao Canal de Notice & Takedown — por exemplo, quando um Vendedor relata em ticket nome de cliente, fornecedor ou colaborador;
c) Pessoas identificadas em contexto de incidente, apuração ou investigação — vítimas de fraude, terceiros prejudicados, testemunhas;
d) Denunciantes que utilizem o Canal Ético ou outro canal de denúncia, observada a proteção da identidade conforme a Cláusula Vigésima Quinta dos Termos de Uso;
e) Pessoas mencionadas em ordens, requisições ou comunicações de autoridade recebidas pela SharkBot;
f) Profissionais externos vinculados ao atendimento de demandas específicas — advogados, contadores, auditores, consultores;
g) Indivíduos identificados em conteúdo de denúncia de Notice & Takedown, em razão da matéria denunciada.
4.5.3. Da limitação proporcional. O tratamento dos dados de terceiros observa estritamente a finalidade específica que motivou o contato — atendimento da requisição, apuração do fato, cumprimento da ordem — e não é utilizado para finalidades alheias, em conformidade com o princípio da fin alidade.
4.6.1. Da posição institucional. A Plataforma SharkBot não é destinada a crianças ou adolescentes , e a SharkBot não realiza coleta deliberada de Dados Pessoais de pessoas com idade inferior a 18 (dezoito) anos. Esta posição institucional é vinculante, integrando o regime de proteção infantojuvenil estruturado pelos Termos de Uso, em especial pela Cláusula Vigésima Terceira.
4.6.2. Da fundamentação. A posição decorre, cumulativamente:
a) da natureza B2B empresarial da Plataforma, dirigida a Vendedores que celebram os Termos de Uso na qualidade de empresários ou profissionais;
b) da vedação categórica ao uso da Plataforma em operações que envolvam crianças ou adolescentes, conforme estabelecido na Cláusula Vigésima Terceira dos Termos de Uso;
c) do regime constitucional de proteção integral à criança e ao adolescente (art. 227 da Constituição Federal), do Estatuto da Criança e do Adolescente (Lei nº 8.069/1990) e da Lei nº 14.811/2024 , que estabelece medidas de proteção em ambiente digital;
d) do art. 14 da LGPD , que estabelece regime específico para o tratamento de dados pessoais de crianças e adolescentes, exigindo consentimento específico de pelo menos um dos pais ou responsável legal e o atendimento ao melhor interesse da criança e do adolescente.
4.6.3. Das hipóteses excepcionais de contato com dados de menor. Apesar da posição institucional, podem ocorrer, em circunstâncias específicas, contatos com dados de menores:
a) Pessoas que se cadastram como Vendedor mediante declaração falsa de maioridade — hipótese vedada pelos Termos e enseja banimento, nos termos da Cláusula Vigésima Sexta dos Termos;
b) Consumidores Finais que interagem com Bot mediante declaração falsa de maioridade — hipótese cuja apuração e tratamento observam o regime do item 4.6.4;
c) Dados de menor mencionados em contexto de denúncia, incidente ou apuração — recebem tratamento conforme o regime de proteção infantojuvenil;
d) Hipóteses excepcionais legítimas — por exemplo, operação especificamente autorizada e estruturada para envolver menor com consentimento dos responsáveis e em conformidade com o art. 14 da LGPD —, quando expressamente acordadas e documentadas.
4.6.4. Do procedimento em caso de identificação de tratamento indevido. Identificada situação concreta de tratamento de Dados Pessoais de criança ou adolescente fora das hipóteses do item 4.6.3, alínea "d", a SharkBot adotará as seguintes medidas:
a) Cessação imediata do tratamento;
b) Eliminação dos dados envolvidos, ressalvada retenção mínima exigida por obrigação legal de cooperação com autoridades;
c) Comunicação à Autoridade Nacional de Proteção de Dados (ANPD), quando configurado incidente comunicável nos termos do art. 48 da LGPD;
d) Comunicação a autoridades de proteção infantojuvenil competentes, quando o caso envolver violação dos direitos da criança ou do adolescente, em harmonia com a Cláusula Vigésima Terceira dos Termos;
e) Aplicação das medidas disciplinares previstas nos Termos contra o Vendedor responsável, conforme a Cláusula Vigésima Sexta dos Termos;
f) Adoção de medidas internas para evitar a repetição da situação, incluindo, conforme o caso, ajustes em funcionalidades de verificação de idade e revisão de procedimentos de KYC.
4.6.5. Da articulação com a Cláusula Vigésima Terceira dos Termos. O regime desta subcláusula articula -se com a Cláusula Vigésima Terceira dos Termos de Uso , que disciplina, em caráter de tolerância zero, a proteção infantojuvenil na Plataforma — proibindo CSAM, quasi -CSAM, comercialização dirigida a menor, aliciamento, grooming , trabalho infantil, tratamento inadequado de dados de menor (art. 14 LGPD), indução a comportamento autolesivo, uso de menor como pagador, operador ou subscritor.
4.6.6. Dos canais de denúncia. Qualquer pessoa que identifique situação envolvendo tratamento inadequado de dados de criança ou adolescente na operação da Plataforma pode comunicar à SharkBot pelos canais oficiais — Canal do Encarregado (item 1.4), Canal Ético, Canal de Notice & Takedo wn — para apuração imediata. As denúncias recebem tramitação prioritária e a comunicação à autoridade competente é realizada quando os fatos justificarem.
4.7.1. Do dever de transparência. Em conformidade com o art. 9º, IV, da LGPD, a SharkBot informa as origens dos Dados Pessoais sob seu tratamento, organizadas pelas seguintes categorias.
4.7.2. Coleta direta do titular. Configura -se quando o próprio titular fornece seus dados à SharkBot:
a) No cadastro do Vendedor, em formulários da Plataforma;
b) Na utilização da Plataforma , em campos preenchidos, configurações realizadas, integrações ativadas;
c) Na interação do Consumidor Final com Bots , conforme o Fluxo configurado pelo Vendedor;
d) Em formulários do sítio institucional (contato, newsletter, evento);
e) Em interações com canais oficiais (suporte, Canal do Encarregado, Canal Ético, Notice & Takedown);
f) Em comunicações voluntárias dirigidas à SharkBot pelos meios oficiais.
4.7.3. Coleta automática. Configura -se quando os dados são coletados pelos sistemas da SharkBot durante a interação do titular com a Plataforma ou com o sítio institucional, sem ato específico de fornecimento:
a) Logs de acesso , com dados técnicos do dispositivo e da sessão;
b) Cookies e Tecnologias Similares , conforme a Política de Cookies;
c) Métricas operacionais de uso da Plataforma, dos Bots e dos Fluxos;
d) Telemetria técnica vinculada ao funcionamento dos sistemas;
e) Identificadores técnicos atribuídos automaticamente em razão do acesso ou da interação.
4.7.4. Dados recebidos de terceiros. A SharkBot pode receber dados sobre titulares de fontes legítimas externas:
a) Do Telegram , em razão da integração técnica e da operação dos Bots na infraestrutura do Telegram, conforme a API e os Bot Terms of Service da plataforma;
b) De Gateways de Pagamento , em razão da integração para processamento de transações — informando status, valores, identificadores, classificação de risco da transação;
c) De provedores de KYC e antifraude , em razão de consultas realizadas para verificação de identidade, classificação de risco, identificação de PEP ou de presença em listas restritivas;
d) De autoridades , em requisições, ordens ou comunicações oficiais que envolvam dados de titulares;
e) De outros agentes legitimamente integrados à cadeia operacional, conforme detalhado na Cláusula Sétima desta Política.
4.7.5. Dados inferidos. A partir do tratamento dos dados coletados, a SharkBot pode produzir, mediante processamento próprio, dados derivados ou inferidos sobre os titulares:
a) Perfis de risco transacional ou comportamental;
b) Classificações de uso (por exemplo, segmentações operacionais);
c) Métricas sobre o desempenho e o comportamento;
d) Inferências vinculadas a finalidades específicas, como prevenção a fraude, segurança ou melhoria da Plataforma.
4.7.5.1. Da natureza dos dados inferidos. Os dados inferidos são considerados Dados Pessoais quando vinculados a titular identificado ou identificável e recebem o mesmo regime de proteção dos demais dados sob esta Política, sem prejuízo das particularidades de tratamento aplicáveis a cada finalid ade.
4.7.6. Do registro da origem. A SharkBot mantém, em sua documentação interna de tratamento (ROPA — Registro das Operações de Tratamento), o registro da origem dos dados por categoria, em conformidade com o art. 37 da LGPD, podendo a informação ser disponibilizada à ANPD ou ao titular, mediante requerimento fundamentado e observados os limites de proteção de segredo comercial.
4.8.1. Da atualização desta Cláusula. A configuração de dados tratados pode evoluir em razão de:
a) atualização de funcionalidades da Plataforma;
b) novas integrações operacionais;
c) novas exigências legais ou regulatórias;
d) evolução das práticas de proteção de dados;
e) revisão da minimização operacional. Eventuais alterações são incorporadas a esta Política e comunicadas conforme a Cláusula Décima Quinta.
4.8.2. Do esclarecimento adicional. O titular que tenha dúvida sobre quais de seus Dados Pessoais são especificamente tratados pela SharkBot pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo o direito de acesso previsto no art. 18, II, da LGPD.
4.8.3. Da articulação com tratamentos específicos. Categorias de dados que recebam tratamento específico em razão de sua sensibilidade (Cláusula Quinta), de finalidades particulares (Cláusula Sexta), de compartilhamento (Cláusula Sétima), de transferência internacional (Cláusula Oitava), de prazo (Cláusul a Nona), de IA (Cláusula Décima Primeira) ou de incidentes (Cláusula Décima Terceira) observam, em adição, o regime das respectivas Cláusulas.
5.1.1. A presente Cláusula disciplina o tratamento, pela SharkBot, de Dados Pessoais Sensíveis , conforme definidos no art. 5º, II, da Lei nº 13.709/2018 (LGPD), reconhecendo que esta categoria de dados, em razão de seu maior potencial de impacto sobre o titular, recebe regime jurídico reforçado pela LGPD e merece tratamento institucional particularmente cuidadoso.
5.1.2. Da relevância da disciplina específica. Os Dados Pessoais Sensíveis revelam aspectos íntimos da personalidade — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sex ual, dados genéticos ou biométricos. O uso indevido dessa categoria pode acarretar discriminação, exposição, vulnerabilização e demais danos cuja gravidade justifica regime jurídico autônomo, com bases legais próprias e salvaguardas reforçadas.
5.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, II, da LGPD , quanto ao conceito de Dados Pessoais Sensíveis;
b) art. 11 da LGPD , quanto às bases legais autorizadoras do tratamento e às vedações específicas;
c) art. 13 da LGPD , quanto ao tratamento de dados sensíveis para estudos em saúde pública;
d) art. 11, §3º, da LGPD , quanto à vedação à comunicação ou ao uso compartilhado de dados sensíveis com objetivo de obtenção de vantagem econômica, ressalvadas as hipóteses ali excepcionadas;
e) art. 6º da LGPD , em particular os princípios da finalidade, adequação, necessidade, segurança, prevenção e não discriminação;
f) regulamentação da ANPD sobre o tratamento de dados sensíveis;
g) art. 227 da Constituição Federal , Estatuto da Criança e do Adolescente e Lei nº 14.811/2024 , no tocante à proteção reforçada quando o titular for criança ou adolescente.
5.1.4. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Quarta , item 4.3.10, quanto às hipóteses de tratamento de Dados Sensíveis de Consumidores Finais;
b) a Cláusula Quarta , item 4.6, quanto à proteção de dados de crianças e adolescentes;
c) a Cláusula Sexta , quanto às bases legais aplicáveis a cada finalidade;
d) a Cláusula Décima , quanto à segurança da informação reforçada;
e) a Cláusula Décima Primeira , quanto à vedação ao uso de Dados Sensíveis para treinamento de IA sem base legal específica;
f) a Cláusula Décima Terceira , quanto a incidentes envolvendo Dados Sensíveis;
g) a Cláusula Vigésima Terceira dos Termos de Uso (Proteção Infantojuvenil) e a sua eventual articulação com a Cláusula Vigésima Segunda dos Termos (Política de Uso Aceitável).
5.1.5. Da articulação com o regime de papéis. O tratamento de Dados Pessoais Sensíveis observa, conforme o caso e em harmonia com a Cláusula Terceira desta Política:
a) o regime aplicável à SharkBot como Controladora dos dados do Vendedor , quando o tratamento envolva dados sensíveis do próprio Vendedor pessoa natural ou de pessoas a ele vinculadas;
b) o regime aplicável à SharkBot como Operadora dos dados de Consumidor Final , quando o tratamento decorra de instruções do Vendedor (Controlador Principal) — caso em que o Vendedor é responsável primário pela base legal e pelas salvaguardas substantivas;
c) o regime aplicável à SharkBot como Controladora dos dados de Consumidor Final em finalidades próprias , em hipóteses excepcionais nas quais a SharkBot trate Dados Sensíveis em razão de finalidade autônoma — situação que recebe tratamento particularmente cauteloso.
5.2.1. Da regra geral. A regra geral, em matéria de Dados Pessoais Sensíveis, é a não-coleta . A SharkBot não coleta, em sua operação ordinária, Dados Pessoais Sensíveis de Vendedores, Consumidores Finais ou Visitantes, exceto nas hipóteses específicas em que tal tratamento seja objetivamente necessário à finalidade declarada e devidamente fundamentado em base legal apropriada do art. 11 da LGPD.
5.2.2. Do princípio da minimização reforçada. Quando o tratamento concretamente envolver Dados Sensíveis, a SharkBot e — em sua dimensão como Controlador Principal de dados de Consumidor Final — o Vendedor observam:
a) Coleta limitada ao estritamente necessário à finalidade específica, vedando -se coleta antecipada, "para o caso de" virem a ser úteis;
b) Granularidade adequada , evitando -se coleta de dado mais sensível quando dado menos sensível seja suficiente — por exemplo, coleta de "data de nascimento completa" apenas quando "ano de nascimento" não baste à finalidade;
c) Substituição por alternativas sempre que viável, incluindo formas indiretas de atendimento à finalidade que dispensem o dado sensível — por exemplo, declaração de aptidão por profissional habilitado em vez de coleta direta de dados de saúde;
d) Revisão periódica das categorias coletadas, com eliminação tempestiva quando a finalidade tenha cessado;
e) Vedação a usos secundários estranhos à finalidade declarada, conforme item 5.6.
5.2.3. Do tratamento como exceção. O tratamento de Dados Sensíveis pela SharkBot é exceção ao funcionamento ordinário da Plataforma , e não regra. A configuração de operações que demandem tratamento sistemático de Dados Sensíveis — por exemplo, Bots dirigidos a comunidades de saúde, à orientação sexual, a comunidades religiosas ou políticas — é responsabilidade primária do Vendedor, qu e, na qualidade de Controlador Principal, deve:
a) identificar previamente a natureza sensível dos dados envolvidos;
b) fundamentar o tratamento em base legal específica do art. 11 da LGPD;
c) implementar as salvaguardas técnicas e administrativas adequadas;
d) informar o Consumidor Final, em sua própria Política e em seu Bot, sobre o tratamento de Dados Sensíveis;
e) observar as eventuais vedações específicas aplicáveis ao segmento, em particular as constantes da Política de Uso Aceitável da Plataforma.
5.2.4. Da vedação ao uso para identificar terceiros. A SharkBot não utiliza Dados Sensíveis sob seu tratamento para identificar pessoas alheias àquelas que os forneceram, ressalvadas hipóteses específicas legalmente fundamentadas (cooperação com autoridades, prevenção a fraudes em escala, proteção a vítimas).
5.3.1. Do regime autônomo do art. 11. O tratamento de Dados Pessoais Sensíveis tem bases legais próprias , estabelecidas no art. 11 da LGPD, distintas e mais restritivas do que as do art. 7º.
As dez bases legais do art. 7º não se aplicam automaticamente a Dados Sensíveis — em particular, o legítimo interesse (art. 7º, IX) não é base legal autorizadora para tratamento de Dados Sensíveis.
5.3.2. Das bases legais admitidas. As bases legais autorizadoras do tratamento de Dados Sensíveis, conforme o art. 11 da LGPD, são:
a) Consentimento específico e em destaque do titular ou do responsável legal, para finalidades específicas (art. 11, I);
b) Sem consentimento, nas hipóteses indispensáveis para (art. 11, II): (i) cumprimento de obrigação legal ou regulatória pelo controlador (alínea "a");
(ii) tratamento compartilhado de dados necessário à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos (alínea "b");
(iii) estudos por órgão de pesquisa , garantida, sempre que possível, a anonimização (alínea "c");
(iv) exercício regular de direitos , inclusive em contrato e em processo judicial, administrativo e arbitral (alínea "d");
(v) proteção da vida ou da incolumidade física do titular ou de terceiro (alínea "e");
(vi) tutela da saúde , exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (alínea "f");
(vii) garantia da prevenção à fraude e à segurança do titular , nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, ressalvado o tratamento para fins discriminatórios (alínea "g").
5.3.3. Da base legal aplicável ao tratamento na SharkBot. Para os fins desta Política, as bases legais predominantemente aplicáveis ao tratamento de Dados Sensíveis pela SharkBot, conforme cada finalidade, são:
a) Consentimento específico e em destaque (art. 11, I), nas hipóteses em que o tratamento dependa da manifestação expressa de vontade do titular — notadamente para Dados Sensíveis utilizados para treinamento de IA, comunicação de marketing dirigida ou demais finalidades estranhas ao funcionamento estritamente operacional;
b) Cumprimento de obrigação legal ou regulatória (art. 11, II, "a"), em hipóteses como a comunicação de operações suspeitas a autoridades, a observância de regimes setoriais aplicáveis ou o atendimento a determinações de autoridade;
c) Exercício regular de direitos em processo (art. 11, II, "d"), para preservação de provas e defesa em procedimento judicial, administrativo ou arbitral;
d) Proteção da vida ou da incolumidade física (art. 11, II, "e"), em hipóteses excepcionais e graves, notadamente em situações de risco identificado a vítima;
e) Garantia da prevenção à fraude e à segurança do titular (art. 11, II, "g"), no contexto da verificação de identidade reforçada — hipótese aplicável especificamente a dados biométricos coletados em KYC, conforme item 5.4.4 desta Cláusula.
5.3.4. Da inaplicabilidade do legítimo interesse. A SharkBot não invoca o legítimo interesse (art. 7º, IX) como base legal para tratamento de Dados Pessoais Sensíveis, em conformidade com o regime do art. 11 da LGPD. Em especial, a SharkBot não trata Dados Sensíveis para finalidades de:
a) prevenção à fraude e segurança em sentido amplo (ressalvada a hipótese específica do art. 11, II, "g", limitada a processos de identificação e autenticação);
b) melhoria agregada do produto;
c) desenvolvimento ou treinamento de modelos de inteligência artificial, salvo mediante consentimento específico nos termos da Cláusula Décima Primeira;
d) marketing relacional ou ampliado;
e) demais finalidades em que, para Dados Pessoais comuns, o legítimo interesse possa fundamentar o tratamento.
5.3.5. Do Vendedor e suas próprias bases legais. Quando o tratamento de Dados Sensíveis decorra de configuração da operação do Vendedor, a base legal aplicável é determinada pelo próprio Vendedor (Controlador Principal) em sua relação direta com o Consumidor Final, em conformidade com o art. 11 da LGPD. A SharkBot, na qualidade de Operadora, não é responsável primária pela escolha da base legal, mas exige que o Vendedor cumpra os requisitos do art. 11, podendo, conforme a Cláusula Terceira, item 3.4.5, adotar medidas em caso de inadequação identificada.
5.4.1. Da apresentação. Os subitens seguintes detalham hipóteses específicas em que Dados Pessoais Sensíveis podem ser objeto de tratamento, identificando o regime aplicável a cada caso.
5.4.2. Dados de saúde. O tratamento de dados referentes à saúde (art. 5º, II, LGPD) ocorre, no contexto da Plataforma, em hipóteses como:
a) Operações de Vendedores que ofereçam consultas profissionais especializadas, programas de saúde, comunidades temáticas vinculadas a condições de saúde, serviços terapêuticos, suplementação ou produtos de uso médico;
b) Eventuais comunicações dirigidas à SharkBot que mencionem condições de saúde de Vendedores ou de terceiros, em razão de incidentes ou de demandas específicas.
5.4.2.1. Do regime aplicável. Em razão da natureza estritamente profissional, ressalva -se a hipótese do art. 11, II, "f", da LGPD — tutela da saúde — exclusivamente para procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária. Fora dessas hipótes es, o tratamento depende de consentimento específico do titular (art. 11, I), com clareza quanto à finalidade, à utilização e ao compartilhamento.
5.4.2.2. Da responsabilidade do Vendedor. Quando a operação do Vendedor envolva dados de saúde, é responsabilidade do Vendedor, na qualidade de Controlador Principal:
a) observar regulação setorial aplicável (Conselho Federal de Medicina, ANVISA, normas profissionais correlatas);
b) obter consentimento adequado ou fundamentar o tratamento em base legal específica do art. 11 da LGPD;
c) implementar salvaguardas reforçadas (segregação técnica, criptografia adicional, controle de acesso restrito);
d) informar o Consumidor Final, em sua Política e em seu Bot, sobre o tratamento e seus limites;
e) observar prazos de retenção compatíveis com a finalidade e com a regulação aplicável.
5.4.3. Dados sobre vida sexual e orientação sexual. O tratamento de dados referentes à vida sexual ou à orientação sexual ocorre, no contexto da Plataforma, em hipóteses como:
a) Comunidades temáticas dirigidas a públicos LGBTQIA+;
b) Operações específicas que, por sua finalidade, envolvam tais informações;
c) Operações em segmento de conteúdo adulto , observada a Cláusula Vigésima Segunda dos Termos de Uso (Política de Uso Aceitável) e a Cláusula Vigésima Terceira (Proteção Infantojuvenil), em conformidade com o regime que vier a ser definitivamente estabelecido para esse segmento.
5.4.3.1. Do regime aplicável. O tratamento dessas categorias depende de consentimento específico e em destaque do titular (art. 11, I), com clareza quanto à finalidade e às consequências do tratamento, vedando -se qualquer uso para finalidade discriminatória.
5.4.3.2. Das vedações específicas. É expressamente vedado o tratamento dessas categorias para:
a) Finalidade discriminatória , conforme art. 6º, IX, da LGPD;
b) Comunicação a terceiros sem base legal específica;
c) Perfilagem comportamental dirigida ao titular com base nessas categorias;
d) Treinamento de IA , salvo mediante consentimento específico nos termos da Cláusula Décima Primeira.
5.4.3.3. Da articulação com o regime infantojuvenil. O tratamento dessas categorias é vedado em qualquer hipótese envolvendo crianças ou adolescentes, sem ressalvas, conforme o regime de proteção infantojuvenil dos itens 4.6 desta Política e da Cláusula Vigésima Terceira dos Termos.
5.4.4. Dados biométricos. O tratamento de dados biométricos (art. 5º, II, LGPD) ocorre, no contexto da Plataforma, em hipóteses como:
a) Verificação de identidade reforçada (KYC) , mediante coleta de imagem facial e prova de vida, para confirmação de que o solicitante é o titular do documento apresentado;
b) Verificação de idade reforçada , em segmentos com restrição etária quando aplicável a operação ali ocorrer, conforme a configuração que venha a ser estabelecida pela Política de Uso Aceitável dos Termos.
5.4.4.1. Do regime aplicável. O tratamento de dados biométricos para fins de verificação de identidade fundamenta -se no art. 11, II, "g", da LGPD — garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônico s —, ressalvado o tratamento para fins discriminatórios , expressamente vedado.
5.4.4.2. Das salvaguardas técnicas para dados biométricos. Em razão da sensibilidade particular dos dados biométricos (irreversibilidade, identificabilidade única), aplicam -se salvaguardas reforçadas:
a) Coleta direta pelo provedor especializado de KYC contratado pela SharkBot, em ambiente certificado, sem retenção desnecessária pela Plataforma;
b) Processamento mediante vetorização ou templates biométricos, evitando -se a retenção da imagem original quando a verificação possa ser realizada com o vetor;
c) Criptografia reforçada no armazenamento, com chaves segregadas;
d) Controle de acesso estritíssimo , em regime de need -to-know , com trilhas de auditoria;
e) Prazo de retenção restrito ao necessário à finalidade da verificação;
f) Vedação ao uso secundário em qualquer outra finalidade, em particular para perfilagem, identificação em situações fora do KYC, ou treinamento de IA.
5.4.5. Outras categorias. O tratamento eventual de outras categorias de Dados Pessoais Sensíveis — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dados genéticos — é regido pelo regim e geral desta Cláusula, dependendo de base legal específica do art. 11 da LGPD, observados os princípios da minimização e da não -discriminação.
5.4.5.1. Da postura institucional sobre essas categorias. A SharkBot não realiza coleta deliberada dessas categorias na operação ordinária da Plataforma. Eventual contato com tais informações, em razão da operação de Vendedores ou de comunicações específicas, é tratado com observância do regime do art. 11 e das vedações constitucionais à discriminação.
5.5.1. Do regime reforçado. O tratamento de Dados Pessoais Sensíveis pela SharkBot observa, em adição às medidas gerais de segurança da informação descritas na Cláusula Décima desta Política, salvaguardas reforçadas proporcionais à sensibilidade da categoria.
5.5.2. Salvaguardas técnicas reforçadas. Aplicam -se às operações que envolvam Dados Sensíveis:
a) Segregação técnica em ambientes dedicados, com isolamento em relação a tratamentos não - sensíveis;
b) Criptografia adicional em repouso e em trânsito, com chaves segregadas e gestão diferenciada;
c) Controle de acesso estritíssimo em regime de need -to-know , com lista nominal de pessoas autorizadas e trilhas de auditoria detalhadas;
d) Pseudonimização sempre que viável e compatível com a finalidade do tratamento;
e) Tokenização em sistemas que processem dados biométricos, evitando -se manipulação direta da informação sensível;
f) Monitoramento intensificado das operações realizadas, com alertas automáticos para padrões anômalos;
g) Backup criptografado em ambientes segregados, com prazo de retenção restrito;
h) Eliminação técnica efetiva e tempestiva ao término do prazo aplicável, com testes de irreversibilidade.
5.5.3. Salvaguardas administrativas reforçadas. Aplicam -se ainda:
a) Treinamento específico das equipes que tenham acesso a Dados Sensíveis, com atualizações periódicas;
b) Política interna específica sobre tratamento de Dados Sensíveis, com procedimentos documentados;
c) Termos de confidencialidade assinados pelos colaboradores e prestadores que tenham acesso;
d) Auditoria periódica sobre os tratamentos realizados;
e) Registro qualificado das operações no ROPA — Registro das Operações de Tratamento, com identificação específica das operações sensíveis;
f) Avaliação prévia do risco mediante RIPD — Relatório de Impacto à Proteção de Dados Pessoais quando o tratamento sensível, por sua escala, finalidade ou natureza, apresentar potencial de risco elevado aos direitos e liberdades do titular, em conformidade com o art. 38 da LGPD;
g) Revisão periódica da necessidade da coleta e da retenção, com eliminação proativa de dados cuja necessidade tenha cessado.
5.5.4. Salvaguardas no compartilhamento. Eventual compartilhamento de Dados Sensíveis observa, em adição às regras gerais da Cláusula Sétima:
a) Avaliação prévia da necessidade e da proporcionalidade do compartilhamento;
b) Instrumento contratual específico com o destinatário, com salvaguardas reforçadas;
c) Limitação ao estritamente necessário à finalidade que justifica o compartilhamento;
d) Vedação a transferência internacional que não atenda aos requisitos do art. 33 da LGPD com salvaguardas adequadas à sensibilidade;
e) Registro detalhado do compartilhamento, com identificação do destinatário, do escopo, da base legal e da finalidade.
5.5.5. Salvaguardas em incidentes. Incidentes de Segurança envolvendo Dados Sensíveis recebem prioridade máxima no regime de resposta a incidentes da SharkBot, com:
a) Notificação imediata ao Encarregado e às áreas competentes;
b) Avaliação de comunicação à ANPD e aos titulares afetados, com presunção elevada de configuração de incidente comunicável;
c) Tempestividade reforçada na contenção, na resposta e na recuperação;
d) Comunicação em linguagem clara aos titulares afetados, com orientações sobre medidas de mitigação ao seu alcance.
5.5.6. Das salvaguardas pelo Vendedor. Quando o tratamento de Dados Sensíveis decorra da operação do Vendedor, é responsabilidade do Vendedor adotar, em sua infraestrutura própria e em seus procedimentos, salvaguardas compatíveis com a sensibilidade dos dados, sem prejuízo das medidas adotadas pela SharkBot na infraestrutura da Plataforma. A SharkBot pode, conforme a Cláusula Terceira, item 3.4.5, exigir do Vendedor a adequação a padrões mínimos quando identificada inadequação.
5.6.1. Do princípio. Os Dados Pessoais Sensíveis, em razão de sua natureza, são tratados exclusivamente para a finalidade específica que justificou sua coleta, sendo vedado seu uso para finalidades secundárias estranhas ao tratamento original, ainda que tal uso, em relação a dados não sensíveis, pudesse ser admitido por interpretação extensiva.
5.6.2. Vedação à perfilagem comportamental sensível. É vedado o uso de Dados Sensíveis para construção de perfis comportamentais dirigidos ao titular, que utilizem essas categorias como critério ou que dela derivem segmentações operacionais. Em particular:
a) Não se utilizam dados de saúde para segmentar comunicações comerciais;
b) Não se utilizam dados sobre vida sexual ou orientação sexual para perfilagem de marketing;
c) Não se utilizam dados sobre origem racial ou étnica para classificação ou priorização de atendimento;
d) Não se utilizam dados sobre convicção religiosa, política ou sindical para qualquer forma de segmentação dirigida.
5.6.3. Vedação ao marketing direcionado com base em Dados Sensíveis. É vedada a utilização de Dados Sensíveis para fundamentação ou direcionamento de comunicações de marketing relacional ou ampliado, em qualquer hipótese, ressalvada manifestação específica e inequívoca do titular consentindo expressamente com tal uso para finalidade determinada.
5.6.4. Vedação ao treinamento de IA com Dados Sensíveis. É vedado o uso de Dados Pessoais Sensíveis para treinamento, fine -tuning ou validação de modelos de inteligência artificial e aprendizado de máquina, salvo mediante:
a) Consentimento específico e em destaque do titular, em conformidade com o art. 11, I, da LGPD, e com a Cláusula Décima Primeira desta Política;
b) Documentação prévia das salvaguardas aplicáveis ao treinamento;
c) Avaliação de impacto específica.
5.6.4.1. Da preferência por dados anonimizados ou sintéticos. Mesmo nas hipóteses em que haja consentimento, a SharkBot privilegia o uso de dados anonimizados ou sintéticos , evitando - se o uso de Dados Sensíveis identificáveis para treinamento, em harmonia com a postura institucional conservadora da Cláusula Décima Primeira.
5.6.5. Vedação ao compartilhamento para vantagem econômica. Em conformidade com o art. 11, §3º, da LGPD, é vedada a comunicação ou o uso compartilhado de Dados Sensíveis com objetivo de obtenção de vantagem econômica, ressalvadas as hipóteses ali excepcionadas — prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, incluindo serviços auxilia res de diagnose e terapia, em benefício dos interesses do titular, ou demais hipóteses legalmente previstas.
5.6.6. Vedação à transferência inadequada. A transferência internacional de Dados Sensíveis observa as exigências reforçadas da Cláusula Oitava desta Política, com instrumentos contratuais específicos e salvaguardas compatíveis com a sensibilidade dos dados.
5.6.7. Da consequência das vedações. O descumprimento das vedações desta subcláusula configura violação a princípios da LGPD e, conforme o caso, pode ensejar:
a) Em relação à SharkBot: medidas de remediação interna, comunicação ao Encarregado, comunicação à ANPD e aos titulares afetados quando aplicável, responsabilidade civil e administrativa nos termos da LGPD;
b) Em relação ao Vendedor: quando o descumprimento decorra de configuração de sua operação, aplicação das medidas previstas na Cláusula Vigésima Sexta dos Termos de Uso, sem prejuízo da responsabilidade do Vendedor perante titulares e autoridades.
5.7.1. Da preservação dos direitos gerais. O titular de Dados Pessoais Sensíveis preserva, integralmente, os direitos previstos no art. 18 da LGPD e na Cláusula Décima Segunda desta Política.
5.7.2. Do direito reforçado de informação. Em razão da sensibilidade da categoria, o titular tem direito a informação especialmente clara e detalhada sobre:
a) as finalidades específicas do tratamento;
b) a base legal específica do art. 11 da LGPD;
c) o compartilhamento eventualmente realizado;
d) o prazo de retenção;
e) as salvaguardas adotadas;
f) as consequências de eventual oposição ou revogação de consentimento.
5.7.3. Do direito de revogação reforçada. Quando o tratamento estiver fundamentado em consentimento específico , o titular pode revogá -lo a qualquer momento, com cessação imediata do tratamento e, observadas as ressalvas do art. 16 da LGPD, eliminação dos dados sensíveis, ressalvada retenção legítima por outra base legal aplicável.
5.7.4. Do direito de oposição. Em hipóteses excepcionais nas quais o tratamento de Dados Sensíveis se fundamente em base legal que admita oposição, esta pode ser exercida fundamentadamente pelo titular, com análise pela SharkBot dos fundamentos da oposição e da viabilidade de cessação do tratamento.
5.8.1. Da interpretação restritiva. As bases legais autorizadoras do tratamento de Dados Sensíveis, bem como as ressalvas às vedações, são interpretadas restritivamente , em conformidade com o regime do art. 11 da LGPD e com a finalidade protetiva da norma.
5.8.2. Da prevalência protetiva em caso de dúvida. Em caso de dúvida razoável sobre a aplicação desta Cláusula a tratamento específico, prevalece a interpretação que assegure maior proteção ao titular , em harmonia com o item 3.10.3 desta Política.
5.8.3. Da cooperação institucional. A SharkBot coopera, no que couber, com órgãos de defesa de direitos cujas competências envolvam a proteção de titulares de Dados Sensíveis — Ministério Público, Defensorias, autoridades de proteção a vulneráveis, observadas as Cláusulas pertinentes desta Política e dos Termos de Uso.
5.8.4. Da articulação com tratamentos específicos. Tratamentos sensíveis que se enquadrem, em adição, em regime particular previsto em outras Cláusulas desta Política — biométricos no contexto de KYC, saúde no contexto de operação de Vendedor profissional, sensíveis no contexto de incidentes — observam, c umulativamente, as disposições desta Cláusula e as do regime específico aplicável.
5.8.5. Do esclarecimento adicional. O titular que tenha dúvidas sobre o tratamento de seus Dados Sensíveis pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo gratuitamente os direitos previstos no art. 18 da LGPD e nesta Política.
6.1.1. A presente Cláusula apresenta, em formato pareado e organizado, as finalidades para as quais a SharkBot trata Dados Pessoais e as bases legais que fundamentam, perante a LGPD, cada um desses tratamentos. A apresentação é estruturada por categoria de titular (Vendedor, Consumidor Final, Visitante) e, em relação aos dados de Consumidor Final, distingue o regime aplicável conforme o papel da SharkB ot (Operadora ou Controladora).
6.1.2. Da centralidade desta Cláusula. Esta Cláusula é o núcleo operacional desta Política. É aqui que se concretiza, em relação a cada finalidade específica, a articulação entre os dados descritos na Cláusula Quarta, os papéis estabelecidos na Cláusula Terceira e os princípios estruturantes da LGPD. Toda operação de tratamento r ealizada pela SharkBot encontra, nesta Cláusula, sua declaração de finalidade e sua fundamentação jurídica .
6.1.3. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 6º, I, da LGPD , quanto ao princípio da finalidade — propósito específico, legítimo, explícito e informado ao titular;
b) art. 6º, II, da LGPD , quanto ao princípio da adequação — compatibilidade entre tratamento, finalidade e contexto;
c) art. 6º, III, da LGPD , quanto ao princípio da necessidade — limitação ao mínimo necessário;
d) art. 7º da LGPD , quanto às bases legais para tratamento de Dados Pessoais em geral;
e) art. 11 da LGPD , quanto às bases legais para tratamento de Dados Pessoais Sensíveis, em harmonia com a Cláusula Quinta desta Política;
f) art. 9º da LGPD , quanto ao direito do titular ao acesso facilitado e claro a informações sobre as finalidades específicas, a forma e a duração do tratamento;
g) art. 10 da LGPD , quanto às hipóteses específicas de legítimo interesse e ao dever de adoção de medidas para garantir a transparência do tratamento;
h) regulamentação da ANPD , notadamente no que se refere ao detalhamento de finalidades e à documentação de legítimo interesse.
6.1.4. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) a Cláusula Segunda desta Política , em particular as definições de Base Legal, Legítimo Interesse e LIA;
b) a Cláusula Terceira , quanto ao papel exercido pela SharkBot em cada tratamento;
c) a Cláusula Quarta , quanto às categorias de dados objeto de tratamento;
d) a Cláusula Quinta , quanto ao regime específico de Dados Sensíveis;
e) a Cláusula Sétima , quanto a eventuais compartilhamentos decorrentes das finalidades aqui descritas;
f) a Cláusula Nona , quanto aos prazos de retenção aplicáveis a cada finalidade;
g) a Cláusula Décima Primeira , quanto ao regime específico de uso de dados para desenvolvimento de produto e IA;
h) a Cláusula Décima Segunda , quanto ao exercício de direitos pelo titular, em especial o direito de oposição em tratamentos fundados em legítimo interesse;
i) a Cláusula Trigésima Quarta dos Termos de Uso , quanto ao regime contratual de proteção de dados.
6.1.5. Da estrutura pareada. Cada finalidade é apresentada nesta Cláusula em formato pareado, contendo:
a) Identificação clara da finalidade , em linguagem acessível;
b) Descrição operacional , com o detalhamento das atividades concretas envolvidas;
c) Categoria de dados tratados em razão da finalidade, com remissão à Cláusula Quarta;
d) Base legal específica invocada, com fundamentação no artigo correspondente da LGPD;
e) Eventuais salvaguardas ou particularidades aplicáveis;
f) Direito de oposição , quando aplicável, com indicação do canal de exercício.
6.1.6. Da minimização aplicada. Em relação a cada finalidade descrita, observa -se o princípio da minimização: tratam -se apenas os dados estritamente necessários à finalidade respectiva, vedando -se o uso, na finalidade declarada, de dados coletados para outras finalidades, salvo quando e xpressamente compatibilizado pela base legal aplicável e em conformidade com a expectativa razoável do titular.
6.1.7. Da vedação ao desvio de finalidade. É vedada a utilização dos Dados Pessoais para finalidades incompatíveis com aquelas declaradas, em conformidade com o art. 7º, §6º, da LGPD.
Eventual ampliação ou alteração relevante das finalidades observará o regime de atualização desta Política, conforme a Cláusula Décima Quinta, com comunicação ao titular e, conforme o caso, com renovação de consentimento ou nova fundamentação em base legal apropriada.
6.2.1. Da apresentação. Esta subcláusula apresenta as finalidades para as quais a SharkBot, na qualidade de Controladora , trata os Dados Pessoais do Vendedor, de seus sócios, administradores, beneficiário final, representantes legais e usuários operacionais delegados, em harmonia com a Cláusula Terceira, item 3.3, desta Política.
6.2.2. Cadastro e operação da Conta.
a) Descrição operacional: identificação do Vendedor, criação e gestão de sua Conta na Plataforma, autenticação de acessos, atribuição de funcionalidades, controle do ciclo de vida da relação contratual, execução das obrigações recíprocas dos Termos de Uso.
b) Categorias de dados: dados cadastrais, dados de identificação dos sócios e beneficiário final, dados de acesso e credenciais, dados de uso da Plataforma — itens 4.2.2, 4.2.3 e 4.2.6 da Cláusula Quarta.
c) Base legal: execução do contrato e procedimentos preliminares relacionados a contrato do qual o titular é parte , conforme art. 7º, V, da LGPD.
d) Salvaguardas: controle de acesso à Conta mediante autenticação robusta; armazenamento de senha em forma de hash; trilhas de auditoria.
6.2.3. Verificação de identidade (KYC) e diligência cadastral.
a) Descrição operacional: verificação da identidade do Vendedor e de seus sócios e beneficiário final; consulta a bases públicas e a provedores de KYC; confirmação documental; classificação de risco; identificação de Pessoas Politicamente Expostas (PEP); consulta a listas restriti vas (sanções internacionais, COAF, CEIS, CNEP); diligência continuada conforme o regime de KYC adotado.
b) Categorias de dados: dados cadastrais, dados de identificação documental, documentos de KYC, dados de conformidade regulatória — itens 4.2.2, 4.2.3, 4.2.4 e 4.2.10 da Cláusula Quarta.
Excepcionalmente, dados biométricos em KYC reforçado, conforme regime da Cláusula Quinta, item 5.4.4.
c) Bases legais: (i) cumprimento de obrigação legal e regulatória pelo controlador , conforme art. 7º, II, da LGPD, em razão das exigências da Lei nº 9.613/1998 (antilavagem), da Lei nº 13.810/2019 (sanções internacionais), da Resolução COAF nº 36/2021 e da Instrução Normativa RFB nº 2.119/2022;
(ii) legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, em complemento à base legal anterior, para finalidades de prevenção a fraude e proteção do ecossistema da Plataforma, com LIA documentada;
(iii) para os dados biométricos eventualmente coletados em KYC reforçado: garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos , conforme art. 11, II, "g", da LGPD.
d) Salvaguardas: segregação técnica dos dados sensíveis biométricos; armazenamento mediante vetorização ou templates sempre que viável; controle de acesso restritíssimo; vedação ao uso secundário, em conformidade com a Cláusula Quinta.
6.2.4. Cobrança da Taxa contratual e gestão financeira.
a) Descrição operacional: apuração da Taxa devida pelo Vendedor sobre as Vendas Aprovadas; cobrança pelos meios estabelecidos na Cláusula Nona dos Termos; gestão de pendências, parcelamentos e ajustes financeiros; conciliação financeira; gestão de inadimplências.
b) Categorias de dados: dados financeiros, dados transacionais, dados cadastrais — itens 4.2.5,
4.2.8 e 4.2.2 da Cláusula Quarta.
c) Base legal: execução do contrato , conforme art. 7º, V, da LGPD.
6.2.5. Emissão de documentos fiscais e cumprimento de obrigações tributárias.
a) Descrição operacional: emissão de Notas Fiscais de Serviço Eletrônica (NFS -e) em favor do Vendedor; eventuais retenções tributárias; emissão de comprovantes e informes; manutenção de registros contábeis vinculados à relação SharkBot –Vendedor; cumprimento das obrigações acessóri as da SharkBot.
b) Categorias de dados: dados cadastrais, dados fiscais, dados transacionais — itens 4.2.2, 4.2.11 e 4.2.8 da Cláusula Quarta.
c) Base legal: cumprimento de obrigação legal e regulatória pelo controlador , conforme art. 7º, II, da LGPD, em razão da legislação tributária aplicável (Código Tributário Nacional, legislação federal, estadual e municipal pertinente).
6.2.6. Suporte técnico e atendimento operacional.
a) Descrição operacional: atendimento a solicitações do Vendedor pelos canais oficiais; abertura, tramitação e resolução de tickets; prestação de esclarecimentos técnicos; auxílio em integrações, configurações e ajustes operacionais; resposta a consultas comerciais e contratuais.
b) Categorias de dados: dados de comunicação, dados cadastrais, dados de uso da Plataforma — itens 4.2.9, 4.2.2 e 4.2.7 da Cláusula Quarta.
c) Base legal: execução do contrato , conforme art. 7º, V, da LGPD.
6.2.7. Comunicações transacionais e operacionais.
a) Descrição operacional: envio de comunicações operacionais essenciais ao Vendedor, incluindo confirmações de operações, alertas de segurança, notificações de manutenção, comunicação de alterações dos Termos, vencimentos da Taxa, relatórios de operação, alertas regulatórios. Tais comunicações constituem execução natural da relação contratual, dispensando consentimento autônomo.
b) Categorias de dados: dados de comunicação, dados cadastrais — itens 4.2.9 e 4.2.2 da Cláusula Quarta.
c) Base legal: execução do contrato , conforme art. 7º, V, da LGPD.
6.2.8. Comunicações de marketing relacional.
a) Descrição operacional: envio ao Vendedor de comunicações sobre novidades da Plataforma, lançamento de funcionalidades, conteúdos educativos sobre uso da Plataforma, oportunidades vinculadas à operação, eventos institucionais relacionados.
b) Categorias de dados: dados cadastrais, dados de comunicação, dados de uso da Plataforma — itens 4.2.2, 4.2.9 e 4.2.7 da Cláusula Quarta.
c) Base legal: legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, com LIA documentada que considera (i) a expectativa razoável do Vendedor no contexto de relação contratual ativa, (ii) a relevância para o exercício adequado da relação contratual, (iii) a proporcionalidade e (iv) as salvag uardas adotadas, em particular o direito de oposição imediato.
d) Direito de oposição: o Vendedor pode opor -se a essas comunicações a qualquer momento, gratuitamente, mediante:
(i) mecanismo de descadastramento ( opt-out) presente nas próprias comunicações;
(ii) ajuste nas configurações de notificação na área logada da Plataforma;
(iii) comunicação ao Canal do Encarregado.
e) Cessação: exercida a oposição, a SharkBot cessa imediatamente o envio dessas comunicações, sem prejuízo das comunicações transacionais e operacionais do item 6.2.7, que decorrem da execução contratual.
6.2.9. Comunicações de marketing ampliado.
a) Descrição operacional: envio ao Vendedor de comunicações de marketing externas ao escopo direto da relação contratual, incluindo comunicações institucionais, parcerias, eventos comerciais ampliados, conteúdos comerciais não vinculados à operação direta da Plataforma.
b) Categorias de dados: dados cadastrais, dados de comunicação — itens 4.2.2 e 4.2.9 da Cláusula Quarta.
c) Base legal: consentimento específico do titular , conforme art. 7º, I, da LGPD, manifestado mediante opt-in ativo e revogável a qualquer momento.
d) Direito de revogação: o consentimento é revogável a qualquer momento, por mecanismo simples e gratuito presente nas próprias comunicações ou pelo Canal do Encarregado, sem prejuízo da licitude do tratamento realizado anteriormente.
6.2.10. Prevenção à fraude e segurança da Plataforma.
a) Descrição operacional: monitoramento da operação para detecção de padrões anômalos, prevenção de fraudes, identificação de comportamentos abusivos, proteção da integridade do ecossistema da Plataforma; análise transacional, comportamental e de risco; scoring interno;
identificação de Vendedores envolvidos em práticas vedadas pelos Termos.
b) Categorias de dados: dados de uso da Plataforma, dados transacionais, dados de conformidade regulatória, dados inferidos — itens 4.2.7, 4.2.8, 4.2.10 e 4.7.5 da Cláusula Quarta.
c) Base legal: legítimo interesse do controlador e de terceiros (em particular, dos demais Vendedores e Consumidores Finais que se beneficiam da integridade da Plataforma), conforme art. 7º, IX, da LGPD, com LIA documentada que considera (i) a expectativa razoável do titular quanto a controles antifraude na Plataforma , (ii) a relevância da finalidade para a proteção do ecossistema, (iii) a proporcionalidade do tratamento, (iv) o impacto sobre o titular e (v) as salvaguardas adotadas.
d) Direito de oposição: o Vendedor pode opor -se ao tratamento mediante manifestação fundamentada ao Canal do Encarregado, hipótese em que a SharkBot avaliará os fundamentos da oposição contrastados com a relevância do legítimo interesse, podendo, conforme o caso, manter o tratam ento, restringi -lo ou cessá -lo.
6.2.11. Cooperação com autoridades e cumprimento de determinações.
a) Descrição operacional: atendimento a requisições e ordens de autoridades competentes (judiciais, administrativas, policiais, regulatórias); comunicação espontânea exigida por lei (ao COAF, à ANPD em casos de incidentes comunicáveis, a autoridades de proteção infantojuvenil);
cooperação em investigações em curso; preservação de provas em legal hold; resposta a intimações.
b) Categorias de dados: todas as categorias da Cláusula Quarta, conforme o escopo da requisição ou da determinação.
c) Bases legais: (i) cumprimento de obrigação legal ou regulatória pelo controlador , conforme art. 7º, II, da LGPD;
(ii) exercício regular de direitos em processo judicial, administrativo ou arbitral , conforme art.
7º, VI, da LGPD;
(iii) quando envolver Dados Sensíveis: art. 11, II, alíneas "a" e "d", da LGPD.
d) Articulação: o regime detalhado de cooperação está disciplinado na Cláusula Vigésima Nona dos Termos de Uso, observada a hipótese de notificação ao titular ou de dispensa de notificação prevista em lei.
6.2.12. Defesa em processos judiciais, administrativos e arbitrais.
a) Descrição operacional: preservação e utilização dos dados necessários ao exercício regular de direitos da SharkBot em eventuais litígios envolvendo o Vendedor; produção de provas; instrução de defesas; cumprimento do contraditório e da ampla defesa; apresentação de elementos a tribunais arbitrais; apresentação de elementos em mediação.
b) Categorias de dados: todas as categorias da Cláusula Quarta, conforme a relevância para a defesa.
c) Base legal: exercício regular de direitos em processo judicial, administrativo ou arbitral , conforme art. 7º, VI, da LGPD.
d) Articulação: retenção pós -término observa a Cláusula Nona desta Política e os prazos prescricionais aplicáveis.
6.2.13. Melhoria do produto e da experiência.
a) Descrição operacional: análise de uso da Plataforma para identificação de oportunidades de melhoria; correção de erros e otimização de desempenho; calibragem de algoritmos internos;
evolução de funcionalidades; análise estatística de comportamento; medição de adoção e satisfaçã o. Sempre que viável, realiza -se com dados agregados ou anonimizados , conforme a Cláusula Décima Primeira.
b) Categorias de dados: dados de uso da Plataforma, dados de comunicação, dados transacionais — itens 4.2.7, 4.2.9 e 4.2.8 da Cláusula Quarta. Preferência por dados agregados, anonimizados ou pseudonimizados.
c) Base legal: legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, com LIA documentada e preferência por categorias de dados de menor identificabilidade.
d) Direito de oposição: o Vendedor pode opor -se ao tratamento para essa finalidade mediante manifestação ao Canal do Encarregado, hipótese em que a SharkBot avaliará a viabilidade de exclusão dos dados do titular dos processos analíticos, observadas as limitações técnicas em amb ientes de dados já agregados ou anonimizados.
6.2.14. Treinamento de modelos de IA com dados identificáveis.
a) Descrição operacional: uso de Dados Pessoais identificáveis do Vendedor para treinamento, fine-tuning ou validação de modelos de inteligência artificial vinculados à evolução da Plataforma. Esta finalidade somente se aplica mediante manifestação específica do Vendedor.
b) Categorias de dados: conforme escopo do consentimento concedido.
c) Base legal: consentimento específico, livre, informado e em destaque , conforme art. 7º, I, e art. 8º, da LGPD, em harmonia com a Cláusula Décima Primeira desta Política.
d) Particularidades: consentimento revogável a qualquer momento, sem prejuízo da licitude do tratamento já realizado e observada a viabilidade técnica de remoção de contribuição em modelos já treinados, conforme item 11.5 desta Política.
6.3.1. Da apresentação. Esta subcláusula apresenta as finalidades para as quais a SharkBot, na qualidade de Operadora , trata Dados Pessoais de Consumidor Final, conforme as instruções do Vendedor (Controlador Principal) e em harmonia com a Cláusula Terceira, item 3.4, desta Política.
6.3.2. Da natureza derivada. As finalidades descritas nesta subcláusula são derivadas das decisões do Vendedor em sua operação. A base legal específica de cada tratamento é determinada pelo Vendedor, em sua relação direta com o Consumidor Final, observado o regime do art. 7º (e do art. 11, em caso de Dados Sensíveis) da LGPD. A SharkBot, como Operadora, executa o tratamento conforme as configurações da Conta e dos Bots, sem decidir autonomamente sobre as finalidades.
6.3.3. Execução do Fluxo configurado pelo Vendedor.
a) Descrição operacional: execução técnica dos Fluxos configurados pelo Vendedor; envio de mensagens automatizadas ao Consumidor Final conforme programação; coleta de respostas e dados conforme campos configurados; processamento das interações; avanço do Consumidor pelas etapas co nfiguradas pelo Vendedor.
b) Categorias de dados: identificadores do Telegram, dados cadastrais coletados pelo Bot, conteúdo de mensagens, histórico de interações — itens 4.3.3, 4.3.4, 4.3.5 e 4.3.6 da Cláusula Quarta.
c) Base legal aplicável: definida pelo Vendedor, com fundamento no art. 7º (ou art. 11, se sensível) da LGPD, conforme a finalidade da operação, podendo ser:
(i) consentimento (art. 7º, I);
(ii) execução de contrato com o Consumidor Final (art. 7º, V);
(iii) procedimentos preliminares relacionados a contrato com o Consumidor Final (art. 7º, V);
(iv) legítimo interesse do Vendedor (art. 7º, IX), com LIA documentada pelo Vendedor;
(v) demais bases legais aplicáveis ao caso concreto.
d) Responsabilidade: o Vendedor é responsável primário pela escolha da base legal, pela informação ao Consumidor Final e pelas salvaguardas substantivas. A SharkBot, como Operadora, executa o tratamento conforme configurado.
6.3.4. Armazenamento e processamento dos dados conforme configurado.
a) Descrição operacional: armazenamento na infraestrutura da Plataforma dos dados coletados na operação do Vendedor; processamento operacional necessário à execução dos Fluxos;
manutenção da disponibilidade dos dados para o Vendedor; preservação operacional pelo prazo configurado.
b) Categorias de dados: todas as categorias coletadas pela operação do Vendedor.
c) Base legal aplicável: decorrente da base legal estabelecida pelo Vendedor para a operação concreta, conforme item 6.3.3, "c".
6.3.5. Integração com Gateways de Pagamento.
a) Descrição operacional: roteamento técnico de transações iniciadas no Bot do Vendedor para o Gateway de Pagamento contratado, com encaminhamento dos dados estritamente necessários; recebimento de retorno do Gateway sobre status da transação; vinculação do retorno à operação do V endedor; atualização do estado da transação no Bot.
b) Categorias de dados: dados transacionais, identificadores do Telegram, eventuais dados cadastrais necessários ao Gateway — itens 4.3.7, 4.3.3 e 4.3.4 da Cláusula Quarta.
c) Base legal aplicável: decorrente da base legal estabelecida pelo Vendedor para a operação de venda ao Consumidor Final, tipicamente execução de contrato ou procedimentos preliminares .
d) Particularidade: a SharkBot não acessa autonomamente dados sensíveis de instrumentos de pagamento (cartão completo, CVV, senhas), conforme a Cláusula Quarta, item 4.3.7.1.
6.3.6. Integração com a API do Telegram.
a) Descrição operacional: integração técnica com a infraestrutura do Telegram para envio e recebimento de mensagens, execução de Bots, gestão de identificadores de usuário, conformidade com a API e os Bot Terms of Service do Telegram.
b) Categorias de dados: identificadores do Telegram, conteúdo de mensagens, metadados técnicos — itens 4.3.3, 4.3.5 e 4.3.9 da Cláusula Quarta.
c) Base legal aplicável: decorrente da base legal estabelecida pelo Vendedor para a operação concreta, ressaltando que o tratamento na infraestrutura do Telegram é regido por suas próprias políticas e pelos respectivos Terms of Service, conforme a Cláusula Sétima desta Política.
6.3.7. Produção de relatórios e métricas para o Vendedor.
a) Descrição operacional: geração de relatórios sobre o desempenho da operação do Vendedor (volume, conversão, abandono, segmentação); produção de painéis e dashboards analíticos;
consolidação de informações para análise pelo Vendedor.
b) Categorias de dados: dados transacionais, dados de comportamento, histórico de interações — itens 4.3.7, 4.3.8 e 4.3.6 da Cláusula Quarta.
c) Base legal aplicável: decorrente da base legal estabelecida pelo Vendedor para sua operação.
6.3.8. Disponibilização de funcionalidades de exportação ao Vendedor.
a) Descrição operacional: disponibilização ao Vendedor de funcionalidades para exportação dos dados sob seu controle, em formatos estruturados; viabilização de portabilidade técnica entre o Vendedor e fornecedores externos eventualmente designados pelo Vendedor.
b) Categorias de dados: dados configurados pelo Vendedor para exportação.
c) Base legal aplicável: decorrente da base legal estabelecida pelo Vendedor; quanto à portabilidade exercida por Consumidor Final, observada a base legal do art. 18, V, da LGPD em relação ao Vendedor enquanto Controlador Principal.
6.4.1. Da apresentação. Esta subcláusula apresenta as finalidades para as quais a SharkBot, em caráter autônomo e na qualidade de Controladora dos dados de Consumidor Final, realiza tratamento independentemente da decisão do Vendedor, em harmonia com a Cláusula Terceira, item 3.5, desta Política. As finalidades aqui descritas são taxativas , conforme estabelecido no item 3.5.4.
6.4.2. Prevenção à fraude e à integridade da Plataforma.
a) Descrição operacional: análise de padrões transacionais e comportamentais agregados envolvendo Consumidores Finais; identificação de operações suspeitas de fraude; detecção de uso de instrumentos de pagamento clonados ou indevidos; identificação de Consumidores Finais envolvido s em fraude estrutural ao ecossistema; scoring interno de risco; bloqueio preventivo de operações.
b) Categorias de dados: dados transacionais, dados de comportamento, metadados técnicos, dados inferidos — itens 4.3.7, 4.3.8, 4.3.9 e 4.7.5 da Cláusula Quarta.
c) Base legal: legítimo interesse do controlador e de terceiros , conforme art. 7º, IX, da LGPD, fundamentado em LIA documentada que considera, expressamente:
(i) a expectativa razoável do Consumidor Final quanto a controles antifraude em transações em ambiente digital;
(ii) a relevância da finalidade para a proteção do próprio Consumidor Final, dos demais Consumidores Finais e da integridade do ecossistema da Plataforma;
(iii) a proporcionalidade do tratamento, com preferência por dados agregados ou anonimizados quando viável;
(iv) o impacto sobre o titular, mitigado pelas salvaguardas adotadas;
(v) a inexistência de meios menos invasivos de igual eficácia para a finalidade.
d) Direito de oposição: o Consumidor Final pode opor -se mediante manifestação fundamentada ao Canal do Encarregado, observado que, em razão da natureza da finalidade (proteção do próprio titular e de terceiros), a oposição é avaliada com particular cautela, podendo a SharkBot manter o tratamento quando a oposição contrarie interesses prevalentes.
6.4.3. Segurança da Plataforma e da informação.
a) Descrição operacional: implementação e operação de medidas técnicas e administrativas de segurança da informação; detecção e resposta a incidentes; proteção dos ativos informacionais da SharkBot e de sua infraestrutura; análise de eventos anômalos; manutenção de logs de seguran ça; resposta a tentativas de ataque, invasão ou exploração.
b) Categorias de dados: metadados técnicos, registros operacionais, logs de acesso à aplicação — itens 4.3.9 e correlatos da Cláusula Quarta.
c) Base legal: legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, com LIA documentada considerando a relevância da segurança para a operação confiável da Plataforma.
d) Particularidade: a guarda de registros de acesso a aplicações observa, adicionalmente, o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), com prazo legal de 6 (seis) meses, prorrogável por ordem de autoridade.
6.4.4. Conformidade regulatória própria da SharkBot.
a) Descrição operacional: cumprimento das obrigações legais e regulatórias que recaem diretamente sobre a SharkBot, incluindo:
(i) comunicação de operações suspeitas ao COAF (Lei nº 9.613/1998 e regulamentação correlata);
(ii) observância do regime de sanções internacionais (Lei nº 13.810/2019);
(iii) guarda de registros de acesso a aplicações (art. 15 do Marco Civil);
(iv) comunicação à ANPD em casos de incidentes comunicáveis (art. 48 da LGPD);
(v) observância da Lei nº 14.811/2024, em matéria de proteção infantojuvenil em ambiente digital;
(vi) cooperação com autoridades em requisições, ordens e investigações.
b) Categorias de dados: todas as categorias de dados de Consumidor Final, conforme o escopo da obrigação aplicável.
c) Base legal: cumprimento de obrigação legal ou regulatória pelo controlador , conforme art. 7º, II, da LGPD; em hipóteses que envolvam Dados Sensíveis: art. 11, II, "a", da LGPD.
6.4.5. Cumprimento dos Termos de Uso.
a) Descrição operacional: exercício das prerrogativas contratuais da SharkBot perante o Vendedor que envolvam dados de Consumidor Final — bloqueio preventivo de operações suspeitas, suspensão da Conta do Vendedor, banimento, retenção de evidências em apuração disciplinar, restriçã o operacional de Bots em caso de violação dos Termos.
b) Categorias de dados: dados transacionais, conteúdo de mensagens (em hipóteses de apuração específica), histórico de interações, metadados técnicos.
c) Bases legais: (i) exercício regular de direitos , conforme art. 7º, VI, da LGPD, em razão das prerrogativas contratuais da SharkBot;
(ii) legítimo interesse do controlador e de terceiros , conforme art. 7º, IX, da LGPD, em razão da proteção do ecossistema, com LIA documentada.
6.4.6. Defesa em processos judiciais, administrativos e arbitrais.
a) Descrição operacional: preservação e utilização dos dados necessários à defesa da SharkBot em eventuais litígios envolvendo Consumidores Finais, Vendedores ou terceiros; produção de provas; instrução de defesas; resposta a demandas em mediação ou arbitragem.
b) Categorias de dados: todas as categorias relevantes ao litígio.
c) Base legal: exercício regular de direitos em processo judicial, administrativo ou arbitral , conforme art. 7º, VI, da LGPD; em hipóteses que envolvam Dados Sensíveis: art. 11, II, "d", da LGPD.
6.4.7. Melhoria agregada do produto.
a) Descrição operacional: evolução técnica e analítica da Plataforma com base em padrões consolidados de uso; identificação de oportunidades de aprimoramento; calibragem de algoritmos vinculados ao funcionamento da Plataforma. Realiza -se preferencialmente com dados agregados, anonimizados ou sintéticos , conforme a Cláusula Décima Primeira.
b) Categorias de dados: preferencialmente dados agregados ou anonimizados; em hipóteses específicas, dados pseudonimizados; vedada a utilização para esta finalidade de Dados Pessoais Sensíveis sem consentimento específico.
c) Base legal: legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, com LIA documentada e preferência por categorias de dados de menor identificabilidade.
d) Direito de oposição: preservado o direito de oposição do titular, com avaliação de viabilidade técnica de exclusão em ambientes de dados já agregados ou anonimizados.
6.4.8. Atendimento ao próprio Consumidor Final.
a) Descrição operacional: atendimento de requisições do Consumidor Final dirigidas diretamente à SharkBot pelo Canal do Encarregado, no contexto das finalidades próprias acima descritas;
coordenação com o Vendedor (Controlador Principal) em hipóteses cabíveis.
b) Categorias de dados: dados de comunicação, dados estritamente necessários à requisição.
c) Base legal: execução do contrato com o Vendedor (em sua qualidade de Operadora), em concorrência com legítimo interesse quando o atendimento envolver finalidades próprias da SharkBot.
6.5.1. Da apresentação. Esta subcláusula apresenta as finalidades para as quais a SharkBot, na qualidade de Controladora , trata Dados Pessoais de Visitantes do sítio institucional e dos canais de comunicação institucional, em harmonia com a Cláusula Terceira, item 3.8, desta Política.
6.5.2. Funcionamento técnico do sítio institucional.
a) Descrição operacional: operação técnica do sítio https://sharkbot.com.br ; manutenção da sessão; balanceamento de carga; segurança da aplicação; prevenção a ataques; manutenção operacional.
b) Categorias de dados: dados de navegação, cookies estritamente necessários — itens 4.4.2 e
4.4.3 da Cláusula Quarta.
c) Base legal: legítimo interesse do controlador , conforme art. 7º, IX, da LGPD, especificamente para os cookies estritamente necessários ao funcionamento, dispensando consentimento conforme orientação consolidada da ANPD.
6.5.3. Análise estatística e personalização da experiência.
a) Descrição operacional: análise estatística agregada do comportamento de navegação; personalização da apresentação do sítio; melhoria da experiência do Visitante; medição de audiência e desempenho.
b) Categorias de dados: dados de navegação, cookies analíticos e funcionais — itens 4.4.2 e 4.4.3 da Cláusula Quarta.
c) Base legal: consentimento específico do titular , conforme art. 7º, I, da LGPD, manifestado por meio de banner de cookies que permita escolha granular, observada a Política de Cookies (Cláusula Décima Quarta).
d) Direito de revogação: consentimento revogável a qualquer momento, mediante ajuste nas configurações de cookies do sítio.
6.5.4. Marketing institucional e remarketing.
a) Descrição operacional: apresentação de comunicações institucionais ampliadas; remarketing em plataformas de terceiros; mensuração de conversão de campanhas; personalização de oferta a Visitantes que demonstrem interesse específico.
b) Categorias de dados: dados de navegação, cookies de marketing, identificadores publicitários — itens 4.4.2 e 4.4.3 da Cláusula Quarta.
c) Base legal: consentimento específico do titular , conforme art. 7º, I, da LGPD, manifestado em banner de cookies, com escolha granular e revogabilidade.
d) Particularidade: detalhamento dos provedores e tecnologias utilizados consta da Política de Cookies (Cláusula Décima Quarta).
6.5.5. Atendimento a contatos e inscrições.
a) Descrição operacional: atendimento a contatos solicitados pelo Visitante por meio de formulário de contato, chat institucional, inscrição em newsletter, inscrição em material rico, inscrição em webinar ou evento; resposta a dúvidas comerciais; encaminhamento de propostas;
envio de conteúdos solicitados.
b) Categorias de dados: dados de formulários — item 4.4.4 da Cláusula Quarta.
c) Base legal: (i) para atendimento ao próprio contato solicitado: execução de procedimentos preliminares relacionados a contrato a pedido do titular , conforme art. 7º, V, da LGPD;
(ii) para envio de conteúdos vinculados à inscrição: consentimento específico do titular , conforme art. 7º, I, da LGPD, com possibilidade de descadastramento a qualquer momento.
6.6.1. Da centralidade do legítimo interesse. Várias finalidades descritas nesta Cláusula são fundamentadas na base legal do legítimo interesse , conforme o art. 7º, IX, da LGPD. Em razão da centralidade dessa base legal e do regime específico exigido pela LGPD para sua adoção, a SharkBot assume os compromissos institucionais detalhados nesta subcláusula.
6.6.2. Do compromisso de elaboração de LIA. A SharkBot elabora , para cada tratamento fundamentado no legítimo interesse, um Legitimate Interest Assessment (LIA) , em conformidade com o art. 10 da LGPD e com as orientações da ANPD, contendo:
a) Identificação clara da finalidade legítima invocada;
b) Avaliação da necessidade , demonstrando que o tratamento é objetivamente necessário ao atingimento da finalidade e que não há alternativa menos invasiva de igual eficácia;
c) Avaliação de proporcionalidade , considerando: (i) a expectativa razoável do titular no contexto;
(ii) a natureza dos dados envolvidos;
(iii) o impacto sobre os direitos e liberdades do titular;
(iv) a relação entre o titular e o controlador;
d) Identificação das salvaguardas adotadas para mitigação de impactos;
e) Demonstração da prevalência do legítimo interesse sobre os direitos e liberdades fundamentais que requeiram a proteção dos Dados Pessoais;
f) Revisão periódica da LIA, com atualização conforme alteração das condições de tratamento.
6.6.3. Da disponibilização da LIA. A SharkBot mantém à disposição , mediante requerimento fundamentado:
a) da ANPD , a documentação de LIA pertinente ao tratamento sob exame, em conformidade com o art. 10, §3º, da LGPD;
b) do titular , mediante requerimento ao Canal do Encarregado, resumo da LIA aplicável ao tratamento de seus dados, com preservação de informações que constituam segredo comercial ou industrial, em conformidade com o art. 19, §1º, da LGPD.
6.6.4. Do direito de oposição como contrapartida. Em harmonia com o art. 18, §2º, da LGPD, todos os tratamentos fundamentados em legítimo interesse asseguram ao titular o direito de oposição , exercitável mediante manifestação fundamentada ao Canal do Encarregado. A SharkBot avaliará os fundamentos da oposição contrastados com a relevância do legítimo interesse, podendo:
a) Acolher a oposição, cessando o tratamento;
b) Acolher parcialmente a oposição, restringindo o tratamento;
c) Rejeitar fundamentadamente a oposição, demonstrando a prevalência do legítimo interesse.
6.6.5. Da revisão periódica das LIAs. As LIAs documentadas pela SharkBot são objeto de revisão periódica , no mínimo anual ou em razão de alteração relevante das condições de tratamento, com atualização e versionamento, preservando -se histórico para fins de demonstração de conformidade.
6.6.6. Da publicação de princípios. A SharkBot pode, complementarmente, publicar princípios institucionais sobre o uso do legítimo interesse, em documento próprio acessível pelo sítio institucional, em conformidade com a transparência reforçada exigida pela LGPD para essa base legal.
6.7.1. Do princípio da finalidade. Conforme o art. 6º, I, da LGPD, o tratamento observa propósito específico e legítimo. Os Dados Pessoais coletados para uma finalidade não são tratados, em regra, para finalidade incompatível com a original (art. 7º, §6º).
6.7.2. Da compatibilidade contextual. Considera -se compatível com a finalidade original o tratamento que:
a) Mantenha relação direta com a finalidade declarada;
b) Seja razoavelmente esperado pelo titular no contexto da relação;
c) Não amplie o impacto sobre o titular além do razoável;
d) Observe os princípios da LGPD;
e) Esteja amparado por base legal apropriada , ainda que distinta daquela invocada para a coleta original.
6.7.3. Da hipótese de finalidade nova. Quando uma finalidade nova não for compatível com a finalidade original, a SharkBot:
a) Comunica o titular sobre a nova finalidade;
b) Identifica a base legal específica aplicável;
c) Obtém consentimento renovado , quando esta for a base legal aplicável;
d) Assegura o direito do titular de não consentir ou de opor -se, conforme o caso.
6.8.1. Da apresentação consolidada. A SharkBot pode disponibilizar, complementarmente a esta Cláusula, quadro consolidado de finalidades e bases legais, em formato visual de fácil consulta, no sítio institucional, sem prejuízo da prevalência interpretativa do texto desta Política.
6.8.2. Da atualização das finalidades. Eventuais alterações nas finalidades de tratamento — incluindo a inclusão de novas finalidades, a alteração de bases legais ou a cessação de finalidades existentes — são incorporadas a esta Política e comunicadas conforme a Cláusula Décima Quinta.
Em alte rações que envolvam consentimento previamente concedido, o titular é especificamente informado.
6.8.3. Da articulação com tratamentos sensíveis. As finalidades que envolvam Dados Pessoais Sensíveis observam, adicionalmente, o regime da Cláusula Quinta desta Política, com bases legais próprias do art. 11 da LGPD.
6.8.4. Da articulação com IA. As finalidades que envolvam uso de dados para desenvolvimento ou treinamento de IA observam, adicionalmente, o regime da Cláusula Décima Primeira desta Política, com salvaguardas específicas e postura institucional conservadora.
6.8.5. Do esclarecimento adicional. O titular que tenha dúvida sobre a finalidade específica para a qual seus Dados Pessoais são tratados, ou sobre a base legal invocada, pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo gratuitamente os direito s previstos no art. 18 da LGPD e nesta Política.
7.1.1. A presente Cláusula disciplina as hipóteses, os destinatários, as condições e os limites do compartilhamento de Dados Pessoais pela SharkBot com terceiros, em razão da operação da Plataforma e em conformidade com a Lei nº 13.709/2018 (LGPD).
7.1.2. Da terminologia adotada. Para os fins desta Cláusula, considera -se "compartilhamento " qualquer ato de comunicação, difusão, transferência, interconexão ou disponibilização de Dados Pessoais a terceiros, conforme o art. 5º, XVI, da LGPD, abrangendo as situações descritas nesta Cláusula.
7.1.3. Do princípio orientador. A SharkBot adota, em matéria de compartilhamento, os seguintes princípios estruturantes:
a) Minimização: o compartilhamento é restrito aos dados estritamente necessários à finalidade que o justifica;
b) Finalidade específica: o compartilhamento ocorre exclusivamente para finalidades declaradas e legítimas, vedando -se uso pelo destinatário para finalidades estranhas;
c) Salvaguardas contratuais: o compartilhamento com Subprocessadores e demais terceiros é regido por instrumentos contratuais que imponham padrões de proteção compatíveis com a LGPD;
d) Transparência: as categorias de destinatários são identificadas nesta Cláusula, com possibilidade de detalhamento mediante requerimento ao Canal do Encarregado;
e) Vedações estruturais: observam -se as vedações específicas do item 7.9 desta Cláusula, em particular a vedação à venda de Dados Pessoais.
7.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, XVI, da LGPD , quanto ao conceito de compartilhamento;
b) art. 7º, V, da LGPD , quanto ao compartilhamento em execução contratual;
c) art. 11, §3º, da LGPD , quanto à vedação ao compartilhamento de Dados Sensíveis para vantagem econômica;
d) arts. 33 a 36 da LGPD , quanto à transferência internacional, em harmonia com a Cláusula Oitava;
e) arts. 39 e 42 a 45 da LGPD , quanto às responsabilidades dos agentes de tratamento;
f) regulamentação da ANPD , em particular sobre Subprocessadores e Data Processing Agreements (DPAs);
g) art. 9º, V, da LGPD , quanto ao direito do titular à informação sobre uso compartilhado e suas finalidades.
7.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Terceira desta Política , quanto ao papel da SharkBot em cada compartilhamento;
b) a Cláusula Quinta , quanto ao regime reforçado de compartilhamento de Dados Sensíveis (item 5.5.4);
c) a Cláusula Sexta , quanto às finalidades que justificam o compartilhamento;
d) a Cláusula Oitava , quanto à transferência internacional de dados;
e) a Cláusula Décima , quanto à segurança da informação no compartilhamento;
f) a Cláusula Vigésima Nona dos Termos de Uso , quanto à cooperação com autoridades.
7.2.1. Do conceito. Conforme a Cláusula Segunda desta Política, item 2.4.1, alínea "a", Subprocessador é o terceiro contratado pela SharkBot para realizar operações de tratamento de Dados Pessoais em sua infraestrutura, em apoio à prestação dos serviços da Plataforma, atuando sob instruções da SharkBot e em conformidade com instrumento contratual específic o.
7.2.2. Da função operacional. Os Subprocessadores não substituem a SharkBot em sua qualidade de agente de tratamento — eles executam atividades técnicas determinadas que a SharkBot, por opção operacional, contratou de provedores especializados, sem que isso altere a configuração de papéis estabelecida na Cláusula Terceira desta Política.
7.2.3. Das categorias de Subprocessadores. A SharkBot contrata Subprocessadores nas seguintes categorias funcionais:
a) Provedor de infraestrutura em nuvem , para hospedagem da Plataforma, armazenamento de dados, processamento computacional e demais serviços de infraestrutura — notadamente Amazon Web Services (AWS), sem prejuízo de outros provedores que venham a ser indicados na relação atualizada de Subproce ssadores disponibilizada pelo Canal do Encarregado;
b) Provedor de banco de dados gerenciado , conforme integração com a infraestrutura em nuvem — quando distinto do provedor principal, identificável na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
c) Provedor de e -mail transacional , para envio das comunicações eletrônicas operacionais e de marketing relacional — notadamente Amazon SES ou SendGrid, sem prejuízo de outros provedores que venham a ser indicados na relação atualizada de Subprocessadores disponibilizada pelo Canal do Enca rregado;
d) Provedor de monitoramento, observabilidade e segurança da informação , para operação dos sistemas de SIEM, IDS/IPS, monitoramento de aplicação e detecção de anomalias — notadamente Cloudflare e Sentry, sem prejuízo de outros provedores que venham a ser indicados na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
e) Provedor de análise interna e métricas operacionais , para apoio à operação técnica da Plataforma — identificável na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
f) Provedor de KYC e antifraude , para verificação de identidade do Vendedor e de seus sócios e beneficiário final, consulta a listas restritivas e classificação de risco — notadamente idwall ou Unico, sem prejuízo de outros provedores que venham a ser indicados na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
g) Provedor de gestão de tickets e atendimento ao cliente , para a operação dos canais de suporte — identificável na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
h) Provedor de assinatura eletrônica , quando aplicável a operações específicas — notadamente Clicksign, sem prejuízo de outros provedores que venham a ser indicados na relação atualizada de Subprocessadores disponibilizada pelo Canal do Encarregado;
i) Provedor de comunicação por aplicativos de mensageria , quando utilizada para operações específicas;
j) Demais provedores especializados efetivamente em uso, identificáveis mediante requerimento ao Canal do Encarregado.
7.2.4. Da diligência prévia. A SharkBot adota, na seleção e na contratação de Subprocessadores, diligência prévia que inclui, conforme o porte do tratamento envolvido:
a) avaliação da maturidade em proteção de dados e em segurança da informação;
b) verificação de certificações reconhecidas (ISO/IEC 27001, ISO/IEC 27701, SOC 2, conformidade com GDPR);
c) análise de localização dos servidores e da arquitetura de armazenamento;
d) verificação da existência de mecanismos próprios de resposta a incidentes;
e) avaliação reputacional do provedor.
7.2.5. Do instrumento contratual. A SharkBot celebra com cada Subprocessador, ou recepciona instrumento equivalente disponibilizado pelo Subprocessador, Data Processing Agreement (DPA) ou cláusulas contratuais correspondentes, contendo, no mínimo:
a) objeto, natureza, finalidade e duração do tratamento;
b) categorias de dados e de titulares envolvidos;
c) obrigações do Subprocessador quanto a sigilo, segurança, atendimento de direitos, cooperação em incidentes e devolução ou eliminação ao término;
d) regime de subcontratação pelo próprio Subprocessador (sub -Subprocessadores), com mecanismos de transparência e de aprovação;
e) direitos de auditoria ou de obtenção de evidências de conformidade;
f) transferência internacional , quando aplicável, com salvaguardas adequadas conforme a Cláusula Oitava;
g) responsabilidades em caso de incidente e regime de notificação;
h) regime aplicável ao término do contrato.
7.2.6. Da relação atualizada. A SharkBot mantém, internamente, relação atualizada de seus Subprocessadores em uso , com identificação, categoria funcional e localização de processamento. Esta relação é disponibilizada ao titular, mediante requerimento fundamentado ao Canal do Encarregado, observada a preservação de informações comerciais sensíveis e a possibilidade de redação para proteção de aspectos competitivos não essenciais ao exercício do direito de informação.
7.2.7. Da alteração de Subprocessadores. A SharkBot pode, a seu critério operacional e técnico, alterar seus Subprocessadores , mediante:
a) diligência prévia sobre o novo provedor, conforme o item 7.2.4;
b) celebração ou recepção do instrumento contratual aplicável;
c) transição planejada que preserve a integridade e a continuidade dos dados;
d) observância dos prazos de retenção e dos regimes de eliminação aplicáveis. A alteração ordinária de Subprocessadores é evento operacional inerente à evolução da Plataforma, sendo informada na próxima atualização desta Política conforme a Cláusula Décima Quinta. Alterações de impacto particularmente relevante são objeto de comunic ação específica.
7.3.1. Da inerência da integração. A operação dos Bots na Plataforma envolve, em razão da finalidade comercial, o processamento de transações de pagamento por meio de Gateways de Pagamento , em conformidade com a Cláusula Décima Primeira dos Termos de Uso. O compartilhamento de dados com os Gateways é, portanto, inerente à operação da Plataforma.
7.3.2. Do regime do Gateway como Controlador autônomo. Os Gateways de Pagamento atuam como controladores autônomos em relação aos dados de pagamento que tratam diretamente, sob suas próprias políticas de privacidade e em conformidade com a regulamentação aplicável ao setor de pagamentos, em particular:
a) Lei nº 12.865/2013 e regulamentação do Banco Central do Brasil sobre arranjos e instituições de pagamento;
b) Resoluções do BCB aplicáveis às instituições de pagamento;
c) Padrões internacionais de segurança de dados de pagamento — em particular, certificação PCI-DSS (Payment Card Industry Data Security Standard);
d) Regulação aplicável a arranjos de pagamento específicos (Pix, cartão de crédito, débito automático, boleto registrado).
7.3.3. Da arquitetura técnica. A SharkBot não tem acesso autônomo a dados sensíveis de instrumentos de pagamento dos Consumidores Finais, em particular:
a) número completo do cartão de crédito (PAN);
b) código de segurança do cartão (CVV ou CVC);
c) senha do cartão ou do internet banking ;
d) tokens sensíveis de pagamento. Esses dados são tratados diretamente pelo Gateway , em ambiente certificado PCI-DSS, sem trânsito pela infraestrutura da SharkBot, ressalvado o estritamente necessário ao roteamento da transação por mecanismos seguros e tokenizados, conforme a Cláusula Quarta, item 4.3.7.1.
7.3.4. Dos dados compartilhados com o Gateway. A SharkBot compartilha com o Gateway os dados estritamente necessários ao processamento da transação, tipicamente:
a) identificação da operação (número, valor, moeda, descrição);
b) identificação do Vendedor beneficiário da transação;
c) identificação do Consumidor Final mediante dados que o próprio Consumidor forneceu ao Bot do Vendedor (nome, e -mail, CPF quando aplicável);
d) dados técnicos da operação (endereço IP, fingerprint de dispositivo, geolocalização aproximada quando disponíveis), em apoio à prevenção a fraudes do próprio Gateway.
7.3.5. Da política do Gateway. As políticas de privacidade dos Gateways integrados à Plataforma podem ser consultadas diretamente nos respectivos sítios eletrônicos. A SharkBot indica, na documentação operacional da Plataforma, os Gateways atualmente disponíveis, com remissão às respec tivas políticas, sem assumir responsabilidade autônoma pelas práticas de proteção de dados desses controladores.
7.3.6. Do papel do Vendedor. Em relação aos dados de Consumidor Final compartilhados com o Gateway, o Vendedor mantém sua qualidade de Controlador Principal , sendo responsável pela informação ao Consumidor Final sobre o Gateway utilizado e sobre as implicações desse compartilhamento. A SharkBot, na qualidade de Operadora dos dados de Consumidor Final, executa o roteamento conforme as configurações de Gateway estabelecidas pelo Vendedor em sua Conta.
7.4.1. Da inerência da operação na infraestrutura do Telegram. A operação dos Bots ocorre, por concepção da Plataforma , na infraestrutura técnica do Telegram. Toda interação entre Consumidor Final e Bot — envio de mensagens, recepção de respostas, acionamento de comandos — transita, necessariamente, pela infraestrutura do Telegram.
7.4.2. Do regime do Telegram como controlador autônomo. O Telegram trata os dados de comunicação dos Consumidores Finais e dos Vendedores em razão da utilização de sua plataforma, em conformidade com:
a) suas próprias políticas , disponíveis em https://telegram.org/privacy ;
b) seus Terms of Service , Bot Terms of Service e API Terms of Service ;
c) a regulação aplicável a sua jurisdição de operação. A SharkBot não tem ingerência sobre o tratamento que o Telegram realiza em sua própria infraestrutura.
7.4.3. Da integração técnica. A SharkBot integra -se à API do Telegram nos termos estabelecidos pelo próprio Telegram, observando os limites técnicos e operacionais da API. Os Bots criados pelos Vendedores na Plataforma são registrados perante o Telegram e operam sob os Bot Terms of Service do Telegram, sem prejuízo da relação contratual entre Vendedor e SharkBot regida pelos Termos de Uso.
7.4.4. Do compartilhamento de dados. Em razão da operação na infraestrutura do Telegram:
a) identificadores e mensagens trafegadas no Bot transitam, necessariamente, pela infraestrutura do Telegram;
b) dados de identificação do Consumidor Final (user ID do Telegram, username, foto de perfil pública, número de telefone quando voluntariamente compartilhado) são originalmente atribuídos pelo Telegram;
c) eventos do Bot (mensagens enviadas, comandos acionados) podem ser logados pelo Telegram em razão de suas próprias finalidades;
d) políticas autônomas do Telegram disciplinam o tratamento que essa plataforma realiza dos dados.
7.4.5. Da responsabilidade autônoma do Telegram. A SharkBot não responde pelo tratamento que o Telegram realiza de dados em sua própria infraestrutura. Eventuais dúvidas, requisições ou reclamações relativas ao tratamento pelo Telegram devem ser dirigidas diretamente à plataforma, pelos canais por ela disponibilizados.
7.4.6. Do esclarecimento aos titulares. A SharkBot recomenda ao titular — Vendedor ou Consumidor Final — a leitura da política de privacidade do Telegram, para compreensão integral do regime aplicável à camada de comunicação na qual os Bots operam.
7.5.1. Das hipóteses de uso. Provedores de analytics e tracking podem ser utilizados:
a) Pela SharkBot , em seu sítio institucional e na própria Plataforma, para finalidades de análise estatística, otimização e marketing institucional, conforme a Cláusula Sexta, itens 6.5.3 e 6.5.4, e a Política de Cookies (Cláusula Décima Quarta);
b) Pelo Vendedor , em sua operação no Bot, mediante configuração específica em sua Conta, para apoiar a estratégia comercial do próprio Vendedor.
7.5.2. Dos provedores utilizados pela SharkBot. Em seu sítio institucional e na própria Plataforma, a SharkBot pode utilizar provedores de analytics e tracking tais como Google Analytics 4 e Microsoft Clarity, sem prejuízo de outros provedores indicados na relação atualizada disponibilizada pelo Canal do Encarregado. A relação detalhada e atualizada consta da Política de Cookies (Cláusula Décima Quarta) integrante desta Política como Anexo, com a respectiva categoria, finalidade e base legal.
7.5.3. Dos provedores utilizados pelo Vendedor em sua operação. Quando o Vendedor configura, em sua operação, integração com provedores de analytics ou tracking — para apoiar suas próprias finalidades comerciais —, a configuração e a respectiva responsabilidade são primárias do Vendedor, na qualidade de Controlador Principal. O Vendedor é responsável por:
a) escolher os provedores que utilizará em sua operação;
b) fundamentar o tratamento na base legal apropriada perante o Consumidor Final;
c) informar adequadamente o Consumidor Final sobre os provedores utilizados;
d) observar as políticas autônomas dos respectivos provedores;
e) manter os instrumentos contratuais ou consentimentos necessários. A SharkBot disponibiliza a infraestrutura técnica de integração, mas não decide pelo Vendedor quais provedores este utilizará nem as finalidades para as quais o tratamento ocorrerá em sua operação.
7.5.4. Das limitações técnicas. A SharkBot adota, em relação a analytics e tracking utilizados em seu próprio sítio e na Plataforma, salvaguardas em conformidade com a Política de Cookies, incluindo:
a) Bloqueio prévio de cookies não -essenciais, com ativação mediante consentimento do Visitante;
b) Configuração de "IP anonymization " e similares, quando disponibilizadas pelo provedor;
c) Restrição de finalidades secundárias do provedor, quando contratualmente possível;
d) Acompanhamento da evolução regulatória sobre uso de cookies e trackers , em particular orientações da ANPD.
7.6.1. Das hipóteses. O compartilhamento de Dados Pessoais com autoridades públicas pode ocorrer em três modalidades, descritas nesta subcláusula.
7.6.2. Em cumprimento a ordem judicial, requisição administrativa ou determinação de autoridade. A SharkBot atende a:
a) ordens judiciais (mandados, decisões, sentenças, intimações);
b) requisições do Ministério Público , no exercício de suas atribuições constitucionais;
c) requisições policiais , observados os requisitos legais de cada modalidade;
d) requisições de autoridades regulatórias (ANPD, BCB, COAF, Receita Federal, Senacon, autoridades de proteção infantojuvenil, autoridades sanitárias, ANATEL, e demais órgãos com competência sobre matéria envolvida);
e) requisições de autoridades administrativas com competência legal específica;
f) demais determinações com fundamento em lei.
7.6.2.1. Do exame da requisição. A SharkBot examina formalmente cada requisição quanto a:
a) competência da autoridade requisitante;
b) fundamentação legal do pedido;
c) escopo do que é requisitado, com observância da proporcionalidade;
d) regime de sigilo eventualmente aplicável;
e) prazo e forma de atendimento.
7.6.2.2. Da ressalva à manifestação fundamentada. Quando uma requisição apresentar dúvida razoável quanto à legalidade, à competência ou à proporcionalidade, a SharkBot pode apresentar manifestação fundamentada à autoridade requisitante, sem prejuízo do dever de atendimento da decisão final, observado o art. 11 da Lei nº 9.296/1996, o art. 23 da LGPD e a regulamentação aplicável.
7.6.3. Em comunicação espontânea exigida por lei. A SharkBot realiza comunicação espontânea a autoridades nas hipóteses em que a lei a impõe, em particular:
a) Comunicação ao COAF de operações suspeitas, conforme art. 11 da Lei nº 9.613/1998 e regulamentação correlata, observado o regime de sigilo quanto à comunicação realizada (art.
11, §2º, e demais dispositivos aplicáveis);
b) Comunicação à ANPD em hipóteses de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares, conforme art. 48 da LGPD , observado o regime da Cláusula Décima Terceira desta Política;
c) Comunicação a autoridades de proteção infantojuvenil em hipóteses de identificação de violação a direitos de crianças e adolescentes, conforme a Lei nº 8.069/1990 (ECA) , a Lei nº 14.811/2024 , a Cláusula Vigésima Terceira dos Termos de Uso e a Cláusula Quarta, item 4.6, desta Política;
d) Comunicação a autoridades específicas em hipóteses análogas previstas em legislação setorial.
7.6.4. Em cooperação com investigações em curso. A SharkBot pode cooperar com investigações conduzidas por autoridades, dentro dos limites legais, mediante:
a) fornecimento de dados especificamente requisitados;
b) preservação de evidências sob legal hold mediante determinação;
c) prestação de esclarecimentos sobre aspectos operacionais quando relevante;
d) atuação coordenada em apurações que envolvam a operação da Plataforma.
7.6.5. Do regime de notificação ao titular. Quanto à comunicação ao titular sobre o compartilhamento com autoridades:
a) Em regra , a SharkBot pode notificar o titular sobre o compartilhamento, conforme as boas práticas de transparência;
b) Em hipóteses de sigilo legalmente exigido , a SharkBot observa o sigilo , abstendo -se de notificar o titular ou de revelar informações sobre a comunicação realizada — caso típico das comunicações ao COAF nos termos do art. 11, §2º, da Lei nº 9.613/1998, ou de determinações específicas de autoridades em investigação;
c) Em hipóteses de sigilo determinado por autoridade , a SharkBot observa estritamente os termos da determinação, comunicando o titular apenas após a cessação do regime de sigilo.
7.6.6. Da articulação com os Termos. O regime detalhado de cooperação com autoridades, incluindo procedimentos internos, prazos, canal de recebimento de requisições e regime de imunidade por cumprimento de dever legal, está disciplinado na Cláusula Vigésima Nona dos Termos de Uso , à qual esta Cláusula se articula sistemicamente.
7.7.1. Das hipóteses. Em caso de operação societária da SharkBot — fusão, incorporação, cisão, aquisição, transferência de controle, reorganização societária ou operação análoga —, os Dados Pessoais sob tratamento podem ser transferidos à entidade sucessora , em conformidade com a Cláusula Quadragésima dos Termos de Uso e em harmonia com a LGPD.
7.7.2. Das salvaguardas na operação societária. A transferência observa, cumulativamente:
a) Regime de sigilo aplicável à fase preparatória da operação societária, com restrição de acesso na due diligence ;
b) Compromissos da sucessora quanto à continuidade das condições de proteção dos dados, em padrão não inferior ao adotado pela SharkBot;
c) Continuidade das finalidades declaradas nesta Política, sem ampliação não consentida pelo titular;
d) Comunicação aos titulares quando legalmente exigida ou quando a operação envolver alteração relevante nas condições de tratamento;
e) Direito de oposição ou de rescisão , conforme aplicável, nos termos da Cláusula Quadragésima dos Termos de Uso e do regime de alteração desta Política (Cláusula Décima Quinta).
7.7.3. Da informação ao titular. Concretizada operação societária, a SharkBot ou a sucessora informa o titular pelos canais oficiais, com indicação:
a) da identidade da sucessora;
b) da data de eficácia da operação;
c) das eventuais alterações nas condições de tratamento;
d) dos direitos preservados do titular.
7.7.4. Da articulação contratual. Em relação aos Vendedores, o regime detalhado de cessão e sucessão na relação contratual está disciplinado na Cláusula Quadragésima dos Termos de Uso , à qual esta Cláusula se articula sistemicamente.
7.8.1. Das hipóteses. Em circunstâncias específicas, Dados Pessoais podem ser compartilhados com profissionais externos vinculados por dever de sigilo profissional , quando indispensável à execução de obrigações da SharkBot ou ao exercício de seus direitos. São destinatários típicos:
a) Advogados — em representação da SharkBot em processos judiciais, administrativos e arbitrais, ou em consultoria jurídica;
b) Auditores independentes — em auditorias contábeis, fiscais, de conformidade ou de segurança;
c) Contadores e tributaristas — em razão das obrigações contábeis e fiscais da SharkBot;
d) Consultores especializados — em matérias específicas (proteção de dados, segurança da informação, regulação setorial), vinculados por dever profissional ou por contrato de confidencialidade;
e) Mediadores e árbitros — em procedimentos de resolução de controvérsias, conforme a Cláusula Quadragésima Terceira dos Termos de Uso.
7.8.2. Das condições. O compartilhamento com profissionais externos observa:
a) Necessidade e proporcionalidade ao fim específico que motivou a contratação;
b) Vinculação a sigilo profissional decorrente da própria função (advogados, contadores, auditores) ou por instrumento contratual de confidencialidade;
c) Limitação da finalidade ao escopo da prestação de serviços;
d) Vedação ao uso secundário em finalidades estranhas.
7.8.3. Da responsabilidade. Os profissionais externos respondem, perante a SharkBot e perante os titulares, pelo cumprimento dos deveres de sigilo, em conformidade com sua regulação profissional e com os instrumentos contratuais aplicáveis.
7.9.1. Da centralidade das vedações. Em adição às disposições gerais desta Cláusula, a SharkBot adota, como compromisso institucional, as vedações expressas detalhadas nesta subcláusula, vinculantes em qualquer hipótese de compartilhamento.
7.9.2. Vedação à venda de Dados Pessoais. A SharkBot não vende Dados Pessoais sob seu tratamento. Em particular:
a) não comercializa, a qualquer título, bases de dados de Vendedores, de Consumidores Finais ou de Visitantes;
b) não cede onerosamente Dados Pessoais a terceiros para finalidades comerciais externas;
c) não disponibiliza Dados Pessoais a terceiros mediante contrapartida econômica direta ou indireta, ressalvadas as hipóteses específicas de compartilhamento operacional desta Cláusula, em que a contrapartida econômica refere -se à prestação de serviço pelo t erceiro à SharkBot, e não à aquisição dos dados.
7.9.3. Vedação à cessão para finalidade estranha. A SharkBot não cede Dados Pessoais a terceiros para finalidades estranhas àquelas declaradas nesta Política. Em particular:
a) não cede dados para marketing externo de terceiros sem consentimento específico do titular;
b) não cede dados para finalidades de pesquisa, perfilagem, credit scoring externo ou outras que não estejam explicitamente declaradas;
c) não cede dados em razão de relacionamentos comerciais paralelos da SharkBot com terceiros que não envolvam a prestação de serviço integrado à Plataforma.
7.9.4. Vedação ao compartilhamento entre Vendedores. A SharkBot não compartilha dados de Consumidores Finais entre os Vendedores da Plataforma. Em particular:
a) a base de Consumidores Finais de cada Vendedor é isolada das bases de outros Vendedores;
b) dados coletados em operação de um Vendedor não são disponibilizados a outro Vendedor, ainda que ambos atuem em segmentos análogos ou tenham relação comercial entre si;
c) eventual cooperação entre Vendedores, no compartilhamento de dados de seus Consumidores Finais, depende de relação contratual direta entre os Vendedores envolvidos, com bases legais e consentimentos próprios, sem participação da SharkBot;
d) métricas e benchmarks que a SharkBot eventualmente disponibilize a Vendedores são agregadas e anonimizadas , sem possibilidade de identificação individual de Consumidores Finais ou de outros Vendedores específicos.
7.9.5. Vedação ao compartilhamento sensível para vantagem econômica. Em conformidade com o art. 11, §3º, da LGPD, a SharkBot não compartilha Dados Pessoais Sensíveis com objetivo de obtenção de vantagem econômica, ressalvadas as hipóteses excepcionais ali admitidas (serviços de saúde, assistência farmacêutica, assistência à saúde, em benefício dos interesses do titular) — hipóteses que, na prática, não se aplicam à operação da SharkBot .
7.9.6. Vedação ao compartilhamento para fins discriminatórios. A SharkBot não compartilha Dados Pessoais — sensíveis ou não — para finalidades discriminatórias, em conformidade com o art. 6º, IX, da LGPD. Em particular:
a) não compartilha dados que permitam discriminação por origem racial ou étnica, convicção religiosa, opinião política, gênero, orientação sexual, saúde, deficiência ou outra característica protegida;
b) não disponibiliza inferências ou perfis que possam ser utilizados para fins discriminatórios.
7.9.7. Vedação ao compartilhamento sem base legal. A SharkBot não compartilha Dados Pessoais sem base legal apropriada, conforme as Cláusulas Quinta e Sexta desta Política. Em particular, eventual solicitação de compartilhamento por terceiro, ainda que dotada de aparência institucional, é rejeitada quando não fundamentada em ordem judicial, requisição administrativa formal ou outra base legal específica.
7.9.8. Vedação ao compartilhamento contrário ao titular. A SharkBot não compartilha Dados Pessoais para finalidades que sejam contrárias aos interesses do titular , ressalvadas as hipóteses específicas previstas em lei (cooperação com autoridades em investigação de ilícitos do próprio titular, prevenção a fraude estrutural, defesa em processos), em que o compartilhamento decorre de obrigação ou de exercício regular de direitos.
7.10.1. Da informação ao titular. O titular preserva o direito de obter informação sobre as entidades públicas e privadas com as quais a SharkBot realizou compartilhamento de seus Dados Pessoais, conforme o art. 18, VII, da LGPD, mediante requerimento ao Canal do Encarregado, observada a possibilidade de redação para preservação de informações comerciais sensíveis e de regimes de sigilo legalmente exigidos.
7.10.2. Da articulação com a Cláusula Oitava. O compartilhamento que envolva transferência internacional de dados — em particular com Subprocessadores globais e provedores internacionais — observa, em adição, o regime da Cláusula Oitava desta Política.
7.10.3. Da articulação com a Cláusula Nona. Os prazos de retenção dos dados compartilhados, e os procedimentos de eliminação ao término, observam o regime da Cláusula Nona desta Política, com aplicação às operações de tratamento eventualmente realizadas pelos destinatários do compartilhamento.
7.10.4. Da articulação com a Cláusula Décima Terceira. Incidentes de Segurança envolvendo o compartilhamento de Dados Pessoais — incluindo incidentes em Subprocessadores que afetem dados sob tratamento da SharkBot — recebem o regime de resposta da Cláusula Décima Terceira desta Política e da Cláusula Trigésim a Sétima dos Termos de Uso.
7.10.5. Da atualização das categorias. A SharkBot pode, em razão da evolução técnica ou operacional da Plataforma, alterar suas categorias de Subprocessadores e seus destinatários típicos. Tais alterações são incorporadas a esta Política e comunicadas conforme a Cláusula Décima Quinta, sem pre juízo da continuidade da operação enquanto não consumadas alterações de impacto particularmente relevante.
7.10.6. Do esclarecimento adicional. O titular que tenha dúvida sobre o compartilhamento específico de seus Dados Pessoais — incluindo a identidade de destinatários, a categoria do compartilhamento, a base legal aplicável ou as salvaguardas adotadas — pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, para esclarecimento gratuito.
8.1.1. A presente Cláusula disciplina a transferência internacional de Dados Pessoais pela SharkBot, em conformidade com os arts. 33 a 36 da Lei nº 13.709/2018 (LGPD), com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) — em particular a Resolução CD/ANPD nº 19/2024 sobre transferência internacional e suas eventuais sucessoras —, e com as práticas internacionalmente reconhecidas em matéria de fluxo transnacional de dados.
8.1.2. Do conceito. Para os fins desta Cláusula e em conformidade com o art. 5º, XV, da LGPD, considera -se "transferência internacional de Dados Pessoais" a transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro, abrangendo qualquer ato de comunicação, disponibilização, processamento, armazenamento ou acesso por agente situado em jurisdição diversa do Bra sil.
8.1.3. Do reconhecimento institucional. A SharkBot reconhece, com transparência , que parte da operação técnica da Plataforma envolve transferência internacional de Dados Pessoais. Tal reconhecimento decorre de:
a) Utilização de provedores de infraestrutura em nuvem com presença global, cuja arquitetura técnica pode envolver processamento em data centers situados em diferentes jurisdições;
b) Utilização de Subprocessadores especializados sediados ou com operações em jurisdições estrangeiras;
c) Integração com a infraestrutura do Telegram , plataforma com sede e operação fora do Brasil;
d) Eventuais integrações operacionais com provedores internacionais (e -mail transacional, monitoramento, analytics , autenticação) cujas arquiteturas podem envolver fluxo transnacional de dados.
8.1.4. Do princípio orientador. A SharkBot adota, em matéria de transferência internacional, os seguintes princípios estruturantes:
a) Necessidade operacional: a transferência ocorre exclusivamente quando inerente à arquitetura técnica do provedor utilizado ou quando objetivamente necessária à finalidade do tratamento;
b) Equivalência de proteção: a transferência observa salvaguardas que preservem padrão de proteção compatível com a LGPD, conforme as hipóteses autorizadoras do art. 33;
c) Transparência: as jurisdições de destino e os instrumentos de proteção adotados são informados nesta Política, com possibilidade de detalhamento adicional mediante requerimento ao Canal do Encarregado;
d) Adequação dinâmica: a SharkBot acompanha a evolução regulatória da ANPD em matéria de transferência internacional e adequa as práticas conforme a evolução do regime jurídico aplicável.
8.1.5. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, XV, da LGPD , quanto ao conceito de transferência internacional;
b) arts. 33 a 36 da LGPD , quanto ao regime de transferência internacional;
c) Resolução CD/ANPD nº 19/2024 , que regulamenta a transferência internacional de dados pessoais e aprova o conteúdo das cláusulas -padrão contratuais;
d) demais regulamentações da ANPD sobre o tema, presentes e supervenientes;
e) art. 9º, V, da LGPD , quanto ao direito do titular à informação sobre uso compartilhado e suas finalidades, incluindo transferência internacional;
f) princípios da LGPD previstos no art. 6º, em particular transparência, segurança, prevenção e responsabilização.
8.1.6. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Sétima desta Política , em particular os itens 7.2 (Subprocessadores) e 7.4 (Telegram), em que ocorrem fluxos transnacionais;
b) a Cláusula Quinta , item 5.5.4, alínea "d", quanto à vedação à transferência internacional inadequada de Dados Sensíveis;
c) a Cláusula Décima , quanto à segurança da informação aplicável aos dados em trânsito internacional;
d) a Cláusula Décima Terceira , quanto a incidentes envolvendo dados em jurisdições estrangeiras;
e) a Cláusula Décima Segunda , quanto ao direito de informação do titular sobre os destinos específicos.
8.2.1. Da identificação geral dos destinos. Em razão da arquitetura técnica da Plataforma e da utilização de Subprocessadores com presença global, dados pessoais sob tratamento da SharkBot podem ser processados, armazenados ou acessados nas seguintes jurisdições, sem prejuízo de outras jurisdições que venham a ser efetivamente envolvidas conforme arquitetura técnica em uso, identificáveis na relação atualizada disponibilizada pelo Canal do Encarregado:
a) Brasil , como jurisdição principal de operação da Plataforma e localização preferencial de armazenamento;
b) Estados Unidos da América , em razão da utilização de provedores com data centers nessa jurisdição (notadamente provedor de infraestrutura em nuvem, provedor de e -mail transacional, provedor de monitoramento);
c) União Europeia (Irlanda) , em razão de provedores que adotam essa jurisdição como hub de processamento;
d) Outras jurisdições eventualmente envolvidas em razão de arquiteturas técnicas específicas dos Subprocessadores, identificáveis mediante requerimento ao Canal do Encarregado ;
e) Telegram — as operações na infraestrutura do Telegram observam a localização técnica da plataforma, conforme detalhado nas políticas próprias da plataforma e em seus Bot Terms of Service e API Terms of Service.
8.2.2. Da arquitetura preferencial. A SharkBot adota, sempre que tecnicamente viável e compatível com a oferta dos provedores utilizados, preferência por processamento e armazenamento em região brasileira , em particular em zonas de disponibilidade dos provedores de nuvem situadas no Brasil — notadamente AWS São Paulo (sa -east -1), em harmonia com as recomendações de soberania de dados.
8.2.3. Da impossibilidade técnica de localização exclusivamente nacional. A SharkBot reconhece que, em determinadas categorias de tratamento, a localização exclusivamente nacional não é tecnicamente viável , em particular:
a) Replicação para alta disponibilidade , que pode envolver redundância em zonas geograficamente diversas para fins de resiliência operacional;
b) Backup geograficamente disperso , em arquitetura de recuperação de desastres;
c) Operações de Subprocessadores especializados cujas arquiteturas técnicas centralizam processamento em jurisdições específicas;
d) Integração com a infraestrutura do Telegram , cuja localização decorre da arquitetura própria da plataforma;
e) Eventuais necessidades operacionais de fluxo transnacional para finalidades inerentes à prestação do serviço.
8.2.4. Da relação atualizada. A SharkBot mantém, em sua documentação interna, relação atualizada das jurisdições de destino efetivamente envolvidas em cada categoria de tratamento, com identificação dos respectivos Subprocessadores e dos instrumentos de proteção adotados.
Esta relação é disponibilizada ao titular, mediante requerimento ao Canal do Encarregado, observados os limites de proteção de informações comerciais sensíveis.
8.3.1. Da exigência de hipótese autorizadora. A transferência internacional de Dados Pessoais somente é admitida quando enquadrada em uma das hipóteses autorizadoras do art. 33 da LGPD . A SharkBot identifica, nesta subcláusula, as hipóteses sob as quais realiza as transferências em sua operação.
8.3.2. Hipóteses utilizadas pela SharkBot. A SharkBot fundamenta as transferências internacionais em sua operação nas seguintes hipóteses do art. 33 da LGPD:
a) Transferência baseada em cláusulas -padrão contratuais aprovadas pela ANPD (art. 33, II, "c"), conforme adoção das cláusulas estabelecidas na Resolução CD/ANPD nº 19/2024 , em instrumento contratual com Subprocessadores estrangeiros;
b) Transferência necessária para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular (art. 33, V), em hipóteses específicas de operação que dependa, por sua natureza, de provedor estrangeiro;
c) Transferência necessária para o cumprimento de obrigação legal ou regulatória pelo controlador (art. 33, IV), em hipóteses pontuais de cooperação com autoridades estrangeiras quando legalmente exigida;
d) Transferência necessária para o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 33, VI), em hipóteses de litígio com elemento internacional;
e) Transferência baseada em normas corporativas globais (art. 33, II, "b"), quando aplicável a Subprocessador que adote tal instrumento aprovado pela ANPD;
f) Transferência baseada em selos, certificados e códigos de conduta regularmente emitidos (art. 33, II, "d"), quando aplicável.
8.3.3. Da hipótese principal. A hipótese predominante nas transferências realizadas pela SharkBot é a do art. 33, II, "c", da LGPD — transferência baseada em cláusulas -padrão contratuais aprovadas pela ANPD, conforme detalhado no item 8.4 desta Cláusula.
8.3.4. Hipóteses não utilizadas. A SharkBot não fundamenta suas transferências internacionais ordinárias em:
a) Transferência para país com nível adequado de proteção reconhecido pela ANPD (art. 33, I), em razão de a ANPD ainda não ter editado lista de países com adequação reconhecida ao tempo da redação desta Política;
b) Transferência baseada em consentimento específico do titular para a transferência (art. 33, VIII), salvo em hipóteses específicas em que o consentimento seja expressamente colhido para a finalidade da transferência;
c) Transferência para proteção da vida ou da incolumidade física do titular ou de terceiro (art. 33, VII), hipótese excepcional;
d) Transferência por autorização da ANPD (art. 33, III), hipótese excepcional.
8.3.5. Da evolução das hipóteses. A configuração de hipóteses utilizadas pode evoluir conforme:
a) Edição de listagem de países com nível adequado pela ANPD;
b) Aprovação de normas corporativas globais ou códigos de conduta de Subprocessadores;
c) Reconhecimento de novos selos ou certificados pela ANPD;
d) Necessidades operacionais supervenientes. Eventuais alterações relevantes nas hipóteses utilizadas são incorporadas a esta Política e comunicadas conforme a Cláusula Décima Quinta.
8.4.1. Da relevância das cláusulas -padrão. As cláusulas -padrão contratuais aprovadas pela ANPD constituem o instrumento de proteção mais utilizado pela SharkBot em suas transferências internacionais, em razão de:
a) Sua aprovação formal pela autoridade reguladora brasileira, conferindo segurança jurídica;
b) Sua compatibilidade conceitual com instrumentos análogos internacionalmente reconhecidos (Standard Contractual Clauses — SCCs do GDPR);
c) Sua aceitação pelos Subprocessadores globais , em geral preparados para celebração desse tipo de instrumento;
d) Sua flexibilidade para adaptação a diferentes categorias de transferência.
8.4.2. Da Resolução CD/ANPD nº 19/2024. A SharkBot adota o regime estabelecido pela Resolução CD/ANPD nº 19/2024 , que regulamenta a transferência internacional de Dados Pessoais e aprova o conteúdo das cláusulas -padrão contratuais brasileiras. A SharkBot:
a) incorpora as cláusulas -padrão aprovadas em seus instrumentos contratuais com Subprocessadores estrangeiros;
b) observa as obrigações específicas decorrentes do regime, em particular quanto à documentação, à publicidade e à demonstração de conformidade;
c) acompanha a evolução regulatória, incluindo eventual reedição da Resolução, edição de Resoluções complementares ou alterações no conteúdo das cláusulas -padrão;
d) adequa -se tempestivamente às alterações regulatórias supervenientes.
8.4.3. Da estrutura típica das cláusulas -padrão. As cláusulas -padrão celebradas pela SharkBot contemplam, em conformidade com o regime regulamentar, no mínimo:
a) Identificação das partes — controlador, operador ou subprocessador, conforme o caso;
b) Descrição da operação de transferência — natureza, finalidade, duração, categorias de dados, categorias de titulares, jurisdição de destino;
c) Obrigações do importador — observância de princípios e direitos da LGPD, salvaguardas de segurança, regime de subcontratação, atendimento a direitos dos titulares, cooperação em incidentes;
d) Direitos dos titulares — exercício perante exportador e, conforme o caso, perante importador;
e) Regime de responsabilidade — alocação de responsabilidade entre exportador e importador;
f) Cláusulas específicas sobre acessos por autoridades estrangeiras à jurisdição do importador;
g) Foro e lei aplicável — em harmonia com a competência da ANPD;
h) Mecanismos de resolução de controvérsias entre as partes.
8.4.4. Dos instrumentos equivalentes. Em casos específicos, a SharkBot pode adotar instrumentos equivalentes aceitos pelo regime brasileiro, em particular:
a) DPAs internacionais disponibilizados por Subprocessadores globais (notadamente provedores de nuvem como AWS, GCP, Azure), que incorporam, em regra, cláusulas compatíveis com os requisitos da ANPD e do GDPR, mediante celebração eletrônica;
b) Adendos específicos que adequem instrumentos pré -existentes ao regime brasileiro de transferência internacional;
c) Cláusulas -padrão contratuais do GDPR (Standard Contractual Clauses), com as adequações necessárias para conformidade com o regime brasileiro, quando aplicáveis.
8.4.5. Das salvaguardas adicionais. Em adição aos instrumentos contratuais formais, a SharkBot adota, na transferência internacional, salvaguardas técnicas e administrativas complementares:
a) Criptografia em trânsito mediante TLS atualizado, em todas as transferências entre fronteiras;
b) Criptografia em repouso nas jurisdições de destino, com chaves segregadas quando aplicável;
c) Pseudonimização , sempre que viável e compatível com a finalidade do tratamento;
d) Controle de acesso restritíssimo em jurisdições de destino, em regime de need -to-know com trilhas de auditoria;
e) Monitoramento de acessos anômalos em sistemas de Subprocessadores estrangeiros;
f) Escolha preferencial de regiões dos provedores que ofereçam padrões compatíveis com a LGPD e com regimes equivalentes (GDPR);
g) Avaliação periódica das condições de proteção nas jurisdições de destino, com adequação em caso de alteração relevante do regime jurídico aplicável (em particular acompanhamento de casos como Schrems II e desenvolvimentos análogos no Brasil).
8.4.6. Da diligência reforçada para Dados Sensíveis. Para transferência internacional envolvendo Dados Pessoais Sensíveis , conforme a Cláusula Quinta desta Política, aplicam -se salvaguardas reforçadas , em harmonia com o item 5.5.4, alínea "d", incluindo:
a) Avaliação prévia específica da adequação da jurisdição de destino e do importador;
b) Instrumento contratual reforçado com cláusulas adicionais sobre tratamento sensível;
c) Restrição da finalidade ao estritamente necessário ao processamento sensível;
d) Vedação à transferência quando o regime jurídico da jurisdição de destino não oferecer padrão compatível com a sensibilidade dos dados;
e) Documentação qualificada da transferência sensível em RIPD específico, conforme art. 38 da LGPD.
8.5.1. Do compromisso institucional. O regime de transferência internacional brasileiro é dinâmico , com a ANPD em processo de consolidação de sua doutrina regulatória. A SharkBot assume, como compromisso institucional, acompanhar a evolução regulatória e adequar tempestivamente suas práticas, mediante:
a) monitoramento de Resoluções, Guias Orientativos e demais atos normativos editados pela ANPD;
b) avaliação das implicações regulatórias para as transferências em curso;
c) revisão dos instrumentos contratuais e das salvaguardas adotadas, conforme a evolução do regime;
d) comunicação aos titulares quando a alteração regulatória implicar mudança relevante na operação;
e) documentação das adequações realizadas, para fins de demonstração de conformidade.
8.5.2. Do contexto regulatório de referência. A redação desta Política considera, como contexto regulatório de referência:
a) a LGPD em sua redação vigente;
b) a Resolução CD/ANPD nº 19/2024 e suas eventuais sucessoras;
c) as demais Resoluções da ANPD sobre temas correlatos (incidentes, agentes de tratamento, sanções);
d) os Guias Orientativos da ANPD sobre transferência internacional;
e) as manifestações da ANPD em decisões em casos concretos publicizadas.
8.5.3. Da atualização tempestiva. Em caso de edição de novo ato normativo da ANPD ou de alteração relevante do regime aplicável, a SharkBot:
a) Examina o impacto sobre as transferências em curso;
b) Adequa os instrumentos contratuais e as salvaguardas, no prazo razoável compatível com a complexidade técnica da adequação;
c) Comunica aos titulares quando a adequação implicar alteração nas condições do tratamento — observada a Cláusula Décima Quinta desta Política;
d) Documenta as alterações implementadas, mantendo histórico para fins de demonstração de conformidade.
8.5.4. Da continuidade operacional durante adequações. Eventuais adequações regulatórias não interrompem a continuidade operacional da Plataforma, observando -se a transição planejada e a manutenção de salvaguardas mínimas durante o período de adaptação.
8.6.1. Do direito. O titular preserva, em conformidade com o art. 9º, V, e o art. 18, VII, da LGPD, o direito de obter informação sobre as transferências internacionais de seus Dados Pessoais, incluindo:
a) os países e organismos internacionais de destino;
b) os Subprocessadores estrangeiros envolvidos;
c) as finalidades específicas da transferência;
d) os instrumentos de proteção adotados (cláusulas -padrão, normas corporativas, certificações);
e) as salvaguardas técnicas e administrativas complementares aplicadas;
f) a base legal específica do art. 33 da LGPD invocada.
8.6.2. Do exercício. O direito de informação é exercido mediante requerimento ao Canal do Encarregado , identificado na Cláusula Primeira, item 1.4, com:
a) resposta gratuita , em conformidade com o art. 19, §3º, da LGPD;
b) prazo razoável de atendimento, observados os parâmetros do art. 19;
c) linguagem acessível , conforme a Cláusula Primeira, item 1.6.3;
d) fundamentação adequada ao escopo do questionamento.
8.6.3. Dos limites. O direito de informação é exercido com observância das limitações legítimas:
a) Proteção de informações comerciais sensíveis — em particular sobre arquitetura técnica e relações comerciais com Subprocessadores —, com possibilidade de redação para preservação de segredo comercial e industrial (art. 19, §1º, da LGPD);
b) Proteção de direitos de terceiros , quando o exercício do direito puder afetar dados ou direitos de outros titulares;
c) Proteção de regimes de sigilo legalmente exigidos.
8.6.4. Do esclarecimento adicional. A SharkBot pode, complementarmente, disponibilizar:
a) Quadro consolidado de transferências internacionais em formato visual, no sítio institucional;
b) Documentação técnica específica mediante requerimento, com nível de detalhe adequado ao escopo da requisição;
c) Encaminhamento ao Subprocessador específico, quando o esclarecimento envolver práticas próprias do importador.
8.7.1. Da vedação à transferência sem hipótese autorizadora. A SharkBot não realiza transferências internacionais que não se enquadrem em hipótese autorizadora do art. 33 da LGPD ou que não observem os instrumentos de proteção exigidos.
8.7.2. Da vedação à transferência para jurisdições inadequadas. A SharkBot não transfere Dados Pessoais para jurisdições cujas práticas regulatórias e cuja arquitetura jurídica sejam manifestamente incompatíveis com o padrão de proteção da LGPD, ressalvada a aplicação de salvaguardas reforçadas que assegurem proteção equivalente caso a caso.
8.7.3. Da vedação à transferência para finalidade não declarada. A transferência internacional observa estritamente as finalidades declaradas nesta Política. É vedada a utilização de canais de transferência internacional para finalidade não declarada ou para evasão de regimes de proteção.
8.7.4. Da vedação à transferência sensível inadequada. Em harmonia com a Cláusula Quinta, item 5.5.4, alínea "d", a SharkBot não realiza transferência internacional de Dados Pessoais Sensíveis quando a jurisdição de destino não ofereça salvaguardas adequadas à sensibilidade dos dados.
8.7.5. Da vedação à transferência contornadora. A SharkBot não utiliza estruturas de transferência internacional para contornar regimes de proteção mais protetivos, garantia esta vinculante em qualquer arquitetura adotada.
8.8.1. Do regime de acessos. Os Subprocessadores e demais destinatários de transferências internacionais podem estar sujeitos, em suas jurisdições de origem, a obrigações legais de cooperação com autoridades locais, incluindo eventual acesso a Dados Pessoais sob seu tratamento.
8.8.2. Da postura institucional. A SharkBot adota, em relação a tais acessos, as seguintes posturas:
a) Transparência: reconhece, com clareza, que tais acessos podem ocorrer em jurisdições de destino;
b) Resistência razoável: exige, dos Subprocessadores, compromisso contratual de resistência razoável a acessos manifestamente ilegais, abusivos ou desproporcionais por autoridades estrangeiras, com adoção de medidas legais cabíveis;
c) Notificação ao exportador: exige, dos Subprocessadores, compromisso de notificar a SharkBot quando juridicamente possível, sobre requisições recebidas de autoridades estrangeiras envolvendo dados sob tratamento;
d) Avaliação de adequação: acompanha o regime jurídico das jurisdições de destino quanto a acessos por autoridades, com adequação das transferências em caso de alteração relevante.
8.8.3. Da cláusula adicional sobre acessos. Os instrumentos contratuais celebrados pela SharkBot com Subprocessadores estrangeiros incorporam, sempre que possível, cláusulas específicas sobre acessos por autoridades estrangeiras, em harmonia com a doutrina internacional consolidada após casos como Schrems II (CJEU, 2020), e em conformidade com o regime brasileiro em desenvolvimento sobre o tema.
8.9.1. Da articulação com a Cláusula Sétima. As transferências internacionais decorrem, em sua maioria, do compartilhamento com Subprocessadores e demais terceiros disciplinados na Cláusula Sétima. As duas Cláusulas observam -se conjuntamente, com complementaridade operacional.
8.9.2. Da articulação com a Cláusula Décima. A segurança da informação aplicada às transferências internacionais — criptografia, controle de acesso, monitoramento — observa o regime estabelecido na Cláusula Décima desta Política, com salvaguardas adicionais conforme item 8.4.5 desta Cláusula.
8.9.3. Da articulação com a Cláusula Décima Terceira. Incidentes de Segurança envolvendo transferências internacionais — em particular incidentes em Subprocessadores estrangeiros — recebem o regime de resposta da Cláusula Décima Terceira desta Política, com cooperação coordenada entre exportador e importador conforme os instrumentos contratuais.
8.9.4. Da articulação com a Cláusula Décima Quinta. Alterações relevantes no regime de transferência internacional — incluindo inclusão de novas jurisdições, alteração de Subprocessadores estrangeiros ou adoção de novos instrumentos de proteção — são incorporadas a esta Política e comunicadas conforme a Cl áusula Décima Quinta.
8.9.5. Da preservação de direitos. Nada nesta Cláusula afasta direitos do titular previstos na LGPD, em particular o direito de exercer todos os direitos do art. 18 em relação a dados em trânsito ou armazenamento internacional.
8.9.6. Do esclarecimento adicional. O titular que tenha dúvida sobre a transferência internacional específica de seus Dados Pessoais — incluindo a jurisdição de destino, o Subprocessador envolvido, a base legal aplicável ou as salvaguardas adotadas — pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo gratuitamente o direito de informação.
9.1.1. A presente Cláusula disciplina os prazos de retenção e o regime de eliminação dos Dados Pessoais tratados pela SharkBot, em conformidade com a Lei nº 13.709/2018 (LGPD), em particular com seus arts. 15 e 16, e em articulação direta com a Cláusula Trigésima Oitava dos Termos de Uso (Portabilidade, Exportação e Retenção de Dados do Vendedor).
9.1.2. Da finalidade. Esta Cláusula tem por finalidade:
a) estabelecer com clareza os prazos aplicáveis a cada categoria de dado, em função da finalidade do tratamento;
b) identificar as hipóteses que autorizam a retenção pós -término, em conformidade com o art. 16 da LGPD;
c) disciplinar os procedimentos técnicos de eliminação efetiva, com janelas operacionais realistas;
d) assegurar ao titular o direito de comprovação da eliminação, mediante mecanismo declaratório;
e) harmonizar com o regime contratual da Cláusula Trigésima Oitava dos Termos de Uso.
9.1.3. Do princípio orientador. A SharkBot adota, em matéria de retenção e eliminação, os seguintes princípios estruturantes:
a) Eliminação como regra: após o término do tratamento, a eliminação é a regra; a retenção é exceção, fundamentada em hipótese legal específica;
b) Necessidade temporal: os prazos observam o tempo estritamente necessário ao cumprimento da finalidade ou da obrigação legal aplicável;
c) Minimização ao longo do ciclo: revisão periódica dos dados retidos, com eliminação proativa de dados cuja necessidade tenha cessado;
d) Anonimização como alternativa: preferência pela anonimização efetiva em hipóteses específicas, em substituição à eliminação, quando compatível com a finalidade;
e) Transparência: os prazos são informados nesta Cláusula, com possibilidade de detalhamento adicional mediante requerimento ao Canal do Encarregado;
f) Realismo técnico: as janelas operacionais de eliminação reconhecem a arquitetura técnica de armazenamento, backups e propagação entre sistemas.
9.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 15 da LGPD , quanto ao término do tratamento;
b) art. 16 da LGPD , quanto às hipóteses de retenção pós -término;
c) art. 6º, III, da LGPD , quanto ao princípio da necessidade;
d) art. 12 da LGPD , quanto à anonimização como alternativa à eliminação;
e) art. 18, IV e VI, da LGPD , quanto aos direitos do titular relacionados à eliminação;
f) art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), quanto à guarda obrigatória de registros de acesso a aplicações;
g) art. 173 do Código Tributário Nacional , quanto a prazos de guarda fiscal;
h) art. 10 da Lei nº 9.613/1998 (antilavagem) , quanto a prazos específicos de retenção de registros;
i) regulamentação da ANPD sobre o tema.
9.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) a Cláusula Trigésima Oitava dos Termos de Uso , que disciplina, em paralelo, a portabilidade e a retenção dos dados do Vendedor sob perspectiva contratual, harmonizando -se ao presente regime;
b) a Cláusula Quarta desta Política , quanto à identificação das categorias de dados tratados;
c) a Cláusula Sexta , quanto às finalidades cuja cessação dispara o início da contagem dos prazos;
d) a Cláusula Décima Segunda , quanto ao exercício pelo titular do direito de eliminação;
e) a Cláusula Décima Terceira , quanto a legal hold em incidentes;
f) a Cláusula Vigésima Nona dos Termos , quanto a retenções determinadas por autoridade.
9.2.1. Da regra do art. 15 da LGPD. Em conformidade com o art. 15 da LGPD, o tratamento de Dados Pessoais será terminado nas seguintes hipóteses:
a) Verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
b) Fim do período de tratamento , conforme estabelecido nesta Política;
c) Comunicação do titular , inclusive no exercício de seu direito de revogação do consentimento, ressalvado o interesse público;
d) Determinação da Autoridade Nacional , quando houver violação ao disposto na LGPD.
9.2.2. Da eliminação como regra. Verificada uma das hipóteses do art. 15, o tratamento é encerrado e os dados são, em regra, eliminados , ressalvadas as hipóteses de retenção autorizada pelo art. 16 da LGPD, conforme detalhado no item 9.6 desta Cláusula.
9.2.3. Da articulação com o término contratual. Quando o término do tratamento decorra do término da relação contratual entre SharkBot e Vendedor, observa -se, em adição:
a) a janela de portabilidade estabelecida no item 38.3.1 da Cláusula Trigésima Oitava dos Termos de Uso, durante a qual o Vendedor pode exportar seus dados;
b) o regime restritivo aplicável ao banimento por violação grave, conforme item 38.3.4 da Cláusula Trigésima Oitava dos Termos;
c) as obrigações de retenção legal aplicáveis, conforme item 9.6 desta Cláusula;
d) o regime específico aplicável aos dados de Consumidor Final na hipótese de término da relação com o Vendedor, conforme item 9.4.6 desta Cláusula.
9.3.1. Da apresentação. Esta subcláusula apresenta os prazos aplicáveis às principais categorias de dados do Vendedor, com indicação da finalidade que determina o prazo e da fundamentação normativa aplicável.
9.3.2. Dados cadastrais e de identificação.
a) Durante a vigência da relação contratual: retenção pelo período de duração do vínculo contratual entre SharkBot e Vendedor, com finalidade de gestão da relação contratual e operação da Plataforma.
b) Após o término da relação contratual: (i) 5 (cinco) anos , para fins de cumprimento de obrigações fiscais e tributárias da SharkBot, em conformidade com o art. 173 do Código Tributário Nacional e legislação correlata;
(ii) Pelo prazo prescricional aplicável a eventuais pretensões pendentes ou razoavelmente antecipáveis, em conformidade com o art. 16, II, da LGPD;
(iii) Eliminação após o esgotamento dos prazos acima, ressalvada retenção específica por outras finalidades.
9.3.3. Documentos e registros de KYC e antilavagem.
a) Durante a vigência: retenção pelo período do vínculo contratual, atualizada conforme as exigências de KYC continuado.
b) Após o término: 5 (cinco) anos , contados da extinção da relação contratual ou da realização da operação, em conformidade com o art. 10, II, da Lei nº 9.613/1998 (antilavagem) e regulamentação correlata, podendo o prazo ser prorrogado por determinação de autoridade competente, em particular do COAF ou do Banco Central do Brasil.
9.3.4. Dados transacionais e financeiros.
a) Durante a vigência: retenção pelo período do vínculo contratual, para gestão financeira e cobrança da Taxa.
b) Após o término: (i) 5 (cinco) anos , para fins fiscais e tributários, conforme art. 173 do CTN e legislação tributária aplicável;
(ii) 5 (cinco) anos , para fins antilavagem, conforme art. 10 da Lei nº 9.613/1998;
(iii) Pelo prazo prescricional aplicável a pretensões cíveis pendentes ou razoavelmente antecipáveis, observados os arts. 205 e 206 do Código Civil;
(iv) Eliminação após o esgotamento dos prazos acima.
9.3.5. Dados fiscais e documentos fiscais.
a) Documentos fiscais emitidos pela SharkBot em favor do Vendedor: retenção pelo prazo aplicável à legislação tributária — 5 (cinco) anos , em regra, contados do exercício seguinte ao da emissão (art. 173 do CTN), sem prejuízo de prazos estendidos previstos em legislação específica.
b) Comprovantes de retenção tributária e informes: retenção pelos mesmos prazos fiscais, com observância de eventuais regimes específicos.
9.3.6. Dados de comunicação e suporte.
a) Durante a vigência: retenção pelo período do vínculo contratual, para gestão do relacionamento e do histórico de atendimentos.
b) Após o término: 3 (três) anos , para fins de defesa em eventuais pretensões e atendimento a requisições posteriores ao término, observado o prazo prescricional do art. 206, §3º, V, do Código Civil para pretensões de reparação civil.
9.3.7. Dados de marketing direto.
a) Marketing relacional (legítimo interesse): retenção pelo período de vigência do legítimo interesse, com cessação imediata em caso de oposição ( opt-out) pelo Vendedor.
b) Marketing ampliado (consentimento): retenção pelo período de vigência do consentimento, com cessação imediata em caso de revogação.
c) Após cessação: os dados deixam de ser tratados para essa finalidade; eventual permanência decorre de outras finalidades aplicáveis ao mesmo dado (cadastral, fiscal, antilavagem, conforme aplicável).
9.3.8. Logs de acesso à aplicação.
a) Prazo legal: 6 (seis) meses , em conformidade com o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
b) Prorrogação: o prazo pode ser prorrogado por determinação de autoridade competente (judicial, policial, ministerial, administrativa), em conformidade com o art. 15, §2º, do Marco Civil.
c) Após o prazo: eliminação, ressalvada retenção determinada por autoridade ou outras hipóteses específicas.
9.3.9. Dados de conformidade regulatória e antifraude.
a) Durante a vigência: retenção pelo período do vínculo contratual.
b) Após o término: 5 (cinco) anos , para fins antilavagem (Lei nº 9.613/1998) e prevenção a fraude estrutural, em harmonia com a finalidade legítima de proteção do ecossistema da Plataforma e dos demais Vendedores e Consumidores Finais.
9.3.10. Dados retidos em razão de incidentes ou apurações.
a) Hipótese: dados envolvidos em incidente de segurança, apuração disciplinar ou investigação em curso.
b) Prazo: pelo período necessário à conclusão da apuração ou ao cumprimento das obrigações decorrentes (cooperação com autoridades, defesa em processo, comunicação aos titulares, legal hold ), conforme detalhado nas Cláusulas Décima Terceira desta Política e Vigésima Nona dos Termos de Uso.
9.4.1. Da apresentação. Esta subcláusula apresenta os prazos aplicáveis às principais categorias de dados de Consumidor Final, observando a configuração de papéis estabelecida na Cláusula Terceira desta Política.
9.4.2. Da articulação dos papéis. Os prazos descritos nesta subcláusula refletem:
a) os prazos definidos pelo Vendedor em sua qualidade de Controlador Principal, na operação concreta de cada Bot — informados ao Consumidor Final pela Política de Privacidade do próprio Vendedor;
b) os prazos aplicáveis à SharkBot em razão de finalidades próprias (item 3.5 da Cláusula Terceira) e em razão de obrigações legais incidentes diretamente sobre a SharkBot.
9.4.3. Dados cadastrais e identificadores coletados pelo Bot.
a) Durante a operação: retenção pelo período em que persistir o tratamento configurado pelo Vendedor em seu Bot, conforme as decisões do Vendedor enquanto Controlador Principal.
b) Após cessação do tratamento pelo Vendedor: (i) retenção pelo prazo determinado pelo Vendedor para sua finalidade legítima, observados os limites legais;
(ii) retenção, pela SharkBot, pelos prazos aplicáveis às finalidades próprias do item 9.4.6 desta Cláusula;
(iii) eliminação ao esgotamento dos prazos aplicáveis.
c) Em caso de revogação de consentimento ou exercício do direito de eliminação pelo Consumidor Final: cessação do tratamento e eliminação, observadas as ressalvas do art. 16 da LGPD.
9.4.4. Conteúdo de mensagens e histórico de interações.
a) Durante a operação: retenção pelo período configurado pelo Vendedor em sua operação, com retenção operacional pela SharkBot enquanto necessária ao funcionamento do Bot.
b) Após cessação do tratamento: eliminação no prazo razoavelmente compatível com a operação, observadas as ressalvas legais.
9.4.5. Dados transacionais.
a) Durante a operação: retenção pelo período da relação operacional.
b) Após cessação: (i) 5 (cinco) anos , para fins fiscais e tributários do Vendedor, conforme art. 173 do CTN, observados os prazos da legislação aplicável ao Vendedor;
(ii) 5 (cinco) anos , para fins antilavagem aplicáveis à SharkBot, conforme art. 10 da Lei nº 9.613/1998;
(iii) Pelo prazo necessário à prevenção a fraude estrutural , na medida em que constituam histórico relevante para a SharkBot na qualidade de Controladora dessa finalidade própria;
(iv) Eliminação ao esgotamento dos prazos.
9.4.6. Dados retidos pela SharkBot em finalidades próprias.
a) Para prevenção à fraude e segurança da Plataforma: retenção pelo prazo necessário à finalidade, em geral 5 (cinco) anos , observando o ciclo de manifestação de fraude e a relevância do histórico para detecção de padrões.
b) Para conformidade regulatória própria: retenção pelos prazos legais aplicáveis a cada obrigação (5 anos em antilavagem, 6 meses para logs do Marco Civil, prazos específicos da legislação setorial).
c) Para defesa em processo: retenção pelos prazos prescricionais aplicáveis às pretensões pendentes ou razoavelmente antecipáveis.
d) Para cumprimento dos Termos: retenção pelo prazo necessário à execução das prerrogativas contratuais e à cessação das circunstâncias que motivaram o tratamento.
9.4.7. Logs de acesso à aplicação atribuíveis à SharkBot.
a) Prazo legal: 6 (seis) meses , em conformidade com o art. 15 do Marco Civil da Internet , prorrogáveis por determinação de autoridade.
b) Após o prazo: eliminação, ressalvada retenção determinada.
9.4.8. Dados em situação de banimento de Vendedor.
a) Hipótese: dados de Consumidores Finais cujo Vendedor tenha sido banido, em particular em razão de violações graves dos Termos (proteção infantojuvenil, anti -corrupção, fraude qualificada, ilícitos penais).
b) Regime aplicável: observância do regime restritivo do item 38.3.4 da Cláusula Trigésima Oitava dos Termos de Uso, com:
(i) preservação das evidências necessárias à apuração e à cooperação com autoridades;
(ii) eventual restrição à exportação ao Vendedor banido, quando a disponibilização puder prejudicar Consumidores Finais ou contornar o banimento;
(iii) continuidade do tratamento pela SharkBot em finalidades próprias (segurança, cooperação com autoridades, defesa em processos), pelos prazos aplicáveis;
(iv) preservação dos direitos dos próprios Consumidores Finais em relação a seus dados, exercitáveis perante a SharkBot pelo Canal do Encarregado.
9.5.1. Da apresentação. Esta subcláusula apresenta os prazos aplicáveis aos dados dos Visitantes do sítio institucional e dos canais de comunicação institucional.
9.5.2. Dados de navegação e cookies. Conforme detalhado em Política de Cookies específica, integrante desta Política como Anexo, com prazos por categoria de cookie:
a) Cookies estritamente necessários: prazo da sessão ou conforme função técnica específica;
b) Cookies funcionais: conforme finalidade específica;
c) Cookies analíticos: conforme prazo configurado, com cessação em caso de revogação do consentimento;
d) Cookies de marketing: conforme prazo configurado, com cessação em caso de revogação do consentimento.
9.5.3. Dados de formulários de contato.
a) Prazo: 2 (dois) anos , contados do último contato relevante, salvo se houver continuidade da relação ou outra finalidade aplicável.
b) Após o prazo: eliminação, ressalvada retenção decorrente de outras finalidades.
9.5.4. Dados de inscrição em newsletter, materiais ricos ou eventos.
a) Prazo: durante a vigência da inscrição, com cessação imediata em caso de descadastramento (opt-out).
b) Após cessação: eliminação dos dados utilizados especificamente para essa finalidade, ressalvada permanência decorrente de outra finalidade aplicável.
9.5.5. Logs de acesso ao sítio institucional.
a) Prazo legal: 6 (seis) meses , em conformidade com o art. 15 do Marco Civil da Internet, prorrogáveis por determinação de autoridade.
9.6.1. Da exigência de hipótese autorizadora. Esgotada a finalidade original do tratamento, a retenção dos dados somente é admitida quando enquadrada em uma das hipóteses do art. 16 da LGPD .
9.6.2. Hipóteses utilizadas pela SharkBot. A SharkBot fundamenta retenções pós -término nas seguintes hipóteses do art. 16:
a) Cumprimento de obrigação legal ou regulatória pelo controlador (art. 16, I): (i) registros de acesso a aplicações — 6 meses (art. 15 Marco Civil);
(ii) documentos fiscais e tributários — 5 anos (art. 173 CTN e legislação correlata);
(iii) registros antilavagem — 5 anos (art. 10 Lei nº 9.613/1998);
(iv) registros cuja guarda seja imposta por regulamentação setorial específica aplicável.
b) Estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização (art. 16, II): hipótese aplicável quando a SharkBot, em parcerias institucionais futuras, ceder dados anonimizados para pesquisa, observados os requisitos da LGPD.
c) Transferência a terceiro, desde que respeitados os requisitos de tratamento da LGPD (art. 16, III): hipótese aplicável em sucessão societária ou cessão regulada, conforme a Cláusula Sétima.
d) Uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados (art. 16, IV): hipótese aplicável quando a SharkBot mantenha bases anonimizadas para finalidades analíticas próprias, observada a efetividade da anonimização.
9.6.3. Hipóteses de exercício regular de direitos. Em adição às hipóteses do art. 16, observa -se ainda:
a) Retenção para exercício regular de direitos em processo judicial, administrativo ou arbitral , em conformidade com o art. 7º, VI, da LGPD, pelos prazos prescricionais aplicáveis a cada pretensão;
b) Retenção em razão de legal hold mediante ordem ou requisição de autoridade, conforme a Cláusula Vigésima Nona dos Termos de Uso, pelo prazo determinado.
9.6.4. Da limitação proporcional. A retenção pós -término observa, cumulativamente:
a) Limitação ao estritamente necessário à finalidade específica que a justifica;
b) Segregação técnica dos dados retidos em ambientes de acesso restrito;
c) Acesso baseado em need -to-know , com trilhas de auditoria;
d) Anonimização , sempre que compatível com a finalidade da retenção;
e) Eliminação tempestiva após cessada a finalidade da retenção.
9.6.5. Da retenção em contexto de litígio ou investigação. Na vigência de litígio, procedimento administrativo, arbitragem ou investigação que envolva direta ou indiretamente o titular ou a operação da SharkBot, aplica -se regime de legal hold , com:
a) Suspensão da eliminação dos dados relevantes;
b) Preservação integral dos registros pertinentes, inclusive metadados e logs, pelo tempo necessário à tutela dos direitos envolvidos;
c) Documentação do legal hold , com identificação do escopo e da causa;
d) Retomada do processo de eliminação após cessada a causa da retenção.
9.7.1. Do regime de eliminação. Esgotados os prazos de retenção e inexistindo outra base legal de manutenção, a SharkBot promove a eliminação dos dados por métodos técnicos efetivos, observando o estado da técnica e as características da arquitetura de armazenamento.
9.7.2. Dos métodos de eliminação. A eliminação é realizada por meios compatíveis com a natureza do dado e da arquitetura, incluindo, conforme o caso:
a) Exclusão lógica seguida de sobrescrita ou descarte de chave criptográfica de dados cifrados em repouso;
b) Descarte físico seguro de mídias de armazenamento descontinuadas, com observância dos protocolos aplicáveis;
c) Eliminação em camadas de backup , observado o ciclo de rotação dos backups ;
d) Eliminação em réplicas e caches nos sistemas que as mantenham;
e) Anonimização efetiva e irreversível , em hipóteses específicas, em substituição à eliminação, preservando utilidade agregada para finalidades analíticas e estatísticas sem reter Dados Pessoais identificáveis, em conformidade com o art. 12 da LGPD.
9.7.3. Da janela técnica em ambientes de produção. A eliminação em ambientes de produção ocorre em prazo máximo de 30 (trinta) dias corridos , contados do evento que motiva a eliminação (esgotamento do prazo de retenção, cessação da finalidade, exercício do direito do titular), ressalvadas retenções legítimas e legal holds aplicáveis.
9.7.4. Da janela técnica em ambientes de backup . A eliminação em ambientes de backup e recuperação ocorre em prazo máximo de 180 (cento e oitenta) dias corridos ou conforme o ciclo técnico de rotação dos backups aplicável, o que for menor, considerando que:
a) os ambientes de backup observam ciclos de rotação técnicos compatíveis com a arquitetura de recuperação de desastres;
b) a eliminação imediata em camadas de backup não é tecnicamente viável sem comprometer a integridade do regime de continuidade operacional;
c) durante a janela de backup , os dados permanecem em ambientes segregados, com acesso estritíssimo, exclusivamente para fins de eventual recuperação operacional.
9.7.5. Da eliminação em Subprocessadores. A SharkBot instrui seus Subprocessadores a promoverem a eliminação correspondente nos ambientes sob seu tratamento, dentro das janelas técnicas aplicáveis a cada ambiente , observando -se que:
a) prazos podem variar conforme a arquitetura de cada Subprocessador;
b) Subprocessadores globais podem operar com janelas próprias compatíveis com regimes internacionais (GDPR, CCPA);
c) instrumentos contratuais (DPAs) preveem o regime de eliminação após o término da prestação dos serviços;
d) a SharkBot acompanha o cumprimento, na medida razoável, sem assumir responsabilidade por janelas operacionais inerentes a cada Subprocessador.
9.7.6. Da articulação técnica e contratual. As janelas operacionais desta subcláusula refletem a realidade técnica de sistemas em escala, em harmonia com:
a) o item 38.5.2 da Cláusula Trigésima Oitava dos Termos de Uso , com idêntica calibragem;
b) as práticas internacionais de SaaS B2B (alinhadas a Stripe, Shopify, AWS, Salesforce);
c) as orientações da ANPD sobre eliminação efetiva.
9.7.7. Da efetividade da anonimização. Quando a anonimização for adotada como alternativa à eliminação, a SharkBot:
a) adota técnicas compatíveis com o estado da arte (supressão, generalização, agregação, ruído estatístico, conforme o caso);
b) realiza testes periódicos de irreversibilidade da reidentificação;
c) observa o limite do art. 12, §2º, da LGPD — dados anonimizados utilizados para perfilagem comportamental de pessoa identificada podem voltar à condição de Dados Pessoais;
d) documenta a anonimização realizada, para fins de demonstração de conformidade.
9.8.1. Do direito do titular. O titular tem direito a obter, mediante requerimento ao Canal do Encarregado, declaração de eliminação relativa a seus Dados Pessoais.
9.8.2. Do conteúdo da declaração. A declaração emitida pela SharkBot contém:
a) Confirmação de que a eliminação foi concluída ou está em curso na janela técnica aplicável;
b) Indicação do escopo abrangido pela eliminação;
c) Indicação dos dados que permanecem retidos , com identificação da respectiva base legal de retenção (cumprimento de obrigação legal específica, exercício regular de direitos em processo, anonimização ou outra hipótese do art. 16);
d) Data da efetivação da eliminação, quando consumada;
e) Data prevista de conclusão da eliminação, quando ainda em curso na janela técnica.
9.8.3. Da natureza declaratória. A comprovação tem natureza declaratória , com lastro nos registros internos da SharkBot, e não envolve , salvo determinação de autoridade:
a) auditoria técnica exaustiva dos sistemas;
b) produção de evidência forense específica;
c) demonstração técnica detalhada que envolva exposição de arquitetura proprietária.
9.8.4. Da limitação. A comprovação observa as limitações:
a) Proteção de informações sensíveis sobre arquitetura técnica e relações comerciais com Subprocessadores;
b) Proteção de regimes de sigilo legalmente exigidos;
c) Proteção de direitos de terceiros , quando aplicável.
9.8.5. Da gratuidade. A emissão da declaração é gratuita, em conformidade com o art. 19, §3º, da LGPD.
9.8.6. Da hipótese de comprovação ampliada. Em casos em que a comprovação declaratória se mostrar insuficiente — por exemplo, em razão de determinação de autoridade ou em litígio específico —, a SharkBot pode prestar comprovação complementar, com nível de detalhe proporcional à requisição, observad as as limitações do item 9.8.4.
9.9.1. Da harmonização. Esta Cláusula é harmoniosa com o regime estabelecido pela Cláusula Trigésima Oitava dos Termos de Uso (Portabilidade, Exportação e Retenção de Dados do Vendedor), replicando, em linguagem adaptada à perspectiva do titular, os parâmetros ali fixados na perspectiva contratual.
9.9.2. Da hierarquia interpretativa. Em caso de eventual divergência interpretativa entre esta Cláusula e a Cláusula Trigésima Oitava dos Termos:
a) prevalece, em matéria contratual (relação entre SharkBot e Vendedor), a Cláusula Trigésima Oitava dos Termos;
b) prevalece, em matéria de transparência aos titulares e de proteção de dados , a presente Cláusula;
c) ambos os instrumentos são interpretados harmonicamente , sem prejuízo das normas imperativas da LGPD.
9.9.3. Da janela de portabilidade. A janela de portabilidade pós -término — durante a qual o Vendedor pode exportar seus dados antes da eliminação — observa o item 38.3.1 da Cláusula Trigésima Oitava dos Termos, harmonizando -se com o presente regime de retenção e eliminação.
9.9.4. Do regime restritivo em banimento por violação grave. Em hipóteses de banimento por violação grave (proteção infantojuvenil, anti -corrupção, fraude qualificada, ilícitos penais), aplica -se o regime restritivo do item 38.3.4 da Cláusula Trigésima Oitava dos Termos, com possíveis restrições à exportação e à el iminação imediata.
9.10.1. Da atualização dos prazos. Os prazos desta Cláusula podem ser ajustados em razão de:
a) evolução da legislação ou da regulamentação aplicável;
b) orientações supervenientes da ANPD;
c) alteração das finalidades de tratamento;
d) evolução das práticas de proteção de dados. Eventuais alterações são incorporadas a esta Política e comunicadas conforme a Cláusula Décima Quinta.
9.10.2. Da articulação com tratamentos sensíveis. Os prazos aplicáveis a Dados Pessoais Sensíveis observam, em adição, o regime reforçado da Cláusula Quinta, com particular atenção à minimização da retenção e à eliminação tempestiva.
9.10.3. Da articulação com transferências internacionais. Os prazos aplicáveis a dados em jurisdições estrangeiras observam, em adição, o regime da Cláusula Oitava, com instruções aos Subprocessadores estrangeiros sobre a eliminação correspondente.
9.10.4. Da articulação com incidentes. A retenção excepcional em razão de incidentes de segurança ou de apurações observa o regime da Cláusula Décima Terceira desta Política e da Cláusula Trigésima Sétima dos Termos de Uso.
9.10.5. Do esclarecimento adicional. O titular que tenha dúvida sobre os prazos de retenção específicos aplicáveis a seus Dados Pessoais ou sobre o estado de eliminação pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo gratuitamente os direitos p revistos no art. 18 da LGPD e nesta Política.
10.1.1. A presente Cláusula apresenta o regime de segurança da informação adotado pela SharkBot na proteção dos Dados Pessoais sob seu tratamento, em conformidade com os arts. 6º, VII, 46, 47, 48 e 49 da Lei nº 13.709/2018 (LGPD), com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) e com padrões internaciona lmente reconhecidos em segurança da informação.
10.1.2. Da finalidade. Esta Cláusula tem por finalidade:
a) dar transparência ao titular sobre as medidas de segurança adotadas pela SharkBot, em conformidade com o art. 9º da LGPD;
b) demonstrar compromisso institucional com a proteção dos Dados Pessoais, em harmonia com o princípio da segurança (art. 6º, VII) e com o princípio da prevenção (art. 6º, VIII);
c) estabelecer parâmetros orientadores das medidas técnicas e administrativas adotadas;
d) identificar padrões de referência internacionalmente reconhecidos que orientam a operação;
e) delimitar a natureza da obrigação de segurança como obrigação de meio, e não de resultado.
10.1.3. Do princípio orientador. A SharkBot adota, em matéria de segurança da informação, os seguintes princípios estruturantes:
a) Proporcionalidade ao risco: as medidas adotadas são proporcionais aos riscos envolvidos, considerando a natureza, o escopo, o contexto e as finalidades do tratamento, bem como as probabilidades e a gravidade dos riscos para os direitos e liberdades dos titulares;
b) Estado da técnica: observância dos padrões técnicos contemporâneos, com atualização contínua conforme a evolução tecnológica e regulatória;
c) Defesa em profundidade ( defense in depth ): combinação de múltiplas camadas de proteção, sem dependência exclusiva de qualquer medida isolada;
d) Privacidade desde a concepção e por padrão ( privacy by design and by default ): incorporação de considerações de proteção de dados na concepção dos sistemas e nas configurações padrão;
e) Melhoria contínua: revisão periódica das medidas, com adaptação às novas ameaças, vulnerabilidades, técnicas de ataque e oportunidades de aprimoramento;
f) Responsabilização: documentação das medidas, dos eventos relevantes e das melhorias, para fins de demonstração de conformidade.
10.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 6º, VII e VIII, da LGPD , quanto aos princípios da segurança e da prevenção;
b) art. 46 da LGPD , quanto às medidas de segurança aptas a proteger Dados Pessoais;
c) art. 47 da LGPD , quanto à observância dos padrões técnicos mínimos pela ANPD;
d) art. 48 da LGPD , quanto à comunicação de incidentes (em harmonia com a Cláusula Décima Terceira);
e) art. 49 da LGPD , quanto aos sistemas que tratem Dados Pessoais e devam ser estruturados com observância dos requisitos de segurança;
f) art. 50 da LGPD , quanto às boas práticas e governança;
g) regulamentação da ANPD , em particular a Resolução CD/ANPD nº 15/2024 sobre comunicação de incidentes e a regulamentação sobre dosimetria de sanções;
h) Marco Civil da Internet (Lei nº 12.965/2014), quanto à guarda segura de registros;
i) padrões internacionalmente reconhecidos de gestão de segurança da informação e de privacidade, conforme item 10.4 desta Cláusula.
10.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Quinta , item 5.5, quanto às salvaguardas reforçadas para Dados Pessoais Sensíveis;
b) a Cláusula Sétima , quanto à segurança no compartilhamento com Subprocessadores;
c) a Cláusula Oitava , quanto à segurança em transferências internacionais;
d) a Cláusula Nona , quanto à segurança nos processos de eliminação;
e) a Cláusula Décima Primeira , quanto à segurança no contexto de IA;
f) a Cláusula Décima Terceira , quanto à resposta a Incidentes de Segurança;
g) a Política de Segurança da Informação , integrante desta Política como Anexo específico, conforme item 10.6;
h) a Cláusula Trigésima Sétima dos Termos de Uso , quanto ao regime contratual de Incidentes;
i) as Cláusulas Décima Sétima e Décima Oitava dos Termos , quanto a manutenções e disponibilidade.
10.2.1. Da apresentação. Esta subcláusula descreve, em caráter ilustrativo e não exaustivo, as principais medidas técnicas adotadas pela SharkBot na proteção dos Dados Pessoais.
10.2.2. Controles de acesso e autenticação.
a) Autenticação robusta dos usuários da Plataforma e dos colaboradores e prestadores que acessem dados pessoais, mediante credenciais individualizadas e mecanismos de verificação compatíveis com o estado da técnica;
b) Autenticação multifator (MFA / 2FA) disponível como recurso para Vendedores e adotada como exigência interna para acessos administrativos;
c) Princípio do menor privilégio (least privilege ), com atribuição de permissões estritamente necessárias à função desempenhada;
d) Necessidade de conhecimento (need -to-know ), com acesso a Dados Pessoais limitado às pessoas cuja função exija o acesso;
e) Gestão de identidades e acessos , com processos formais de criação, alteração e revogação de credenciais, especialmente em desligamentos e alterações funcionais;
f) Senhas armazenadas em formato de hash compatível com o estado da técnica, sem possibilidade de recuperação em texto claro;
g) Bloqueio automático após tentativas falhas, com mecanismos de prevenção a ataques de força bruta e credential stuffing ;
h) Trilhas de auditoria detalhadas dos acessos a Dados Pessoais, com retenção compatível com a finalidade.
10.2.3. Criptografia.
a) Criptografia em trânsito mediante TLS atualizado em todas as comunicações entre cliente e servidor, entre componentes internos e em transferências para Subprocessadores e parceiros;
b) Criptografia em repouso dos dados sensíveis e críticos, com algoritmos compatíveis com o estado da técnica;
c) Gestão de chaves criptográficas com armazenamento segregado, ciclo de vida documentado, rotação periódica e controle de acesso restritíssimo;
d) Pseudonimização sempre que viável e compatível com a finalidade do tratamento;
e) Criptografia reforçada para categorias de dados de maior sensibilidade, conforme a Cláusula Quinta;
f) Acompanhamento da evolução de técnicas criptográficas, com revisão periódica dos algoritmos em uso para evitar obsolescência.
10.2.4. Segregação de ambientes.
a) Separação técnica entre ambientes de produção, homologação, desenvolvimento e teste;
b) Restrição de dados de produção em ambientes não -produtivos, com adoção, sempre que viável, de dados anonimizados, sintéticos ou de teste;
c) Segregação de redes mediante mecanismos de isolamento (VPCs, subnets , security groups , regras de firewall );
d) Segregação por categoria de dado quando aplicável, com isolamento técnico de Dados Sensíveis e demais categorias críticas.
10.2.5. Monitoramento e detecção de anomalias.
a) Monitoramento contínuo dos sistemas e da infraestrutura, com coleta de logs, métricas e eventos relevantes;
b) SIEM (Security Information and Event Management ) para correlação e análise de eventos de segurança;
c) Detecção de intrusão mediante mecanismos automatizados (IDS/IPS) e mecanismos de comportamento (UEBA — User and Entity Behavior Analytics ) quando aplicável;
d) Alertas automáticos para padrões anômalos identificados;
e) Resposta tempestiva a alertas, com escalonamento conforme a criticidade;
f) Trilhas de auditoria preservadas pelos prazos aplicáveis, conforme a Cláusula Nona desta Política e o art. 15 do Marco Civil.
10.2.6. Gestão de vulnerabilidades.
a) Identificação contínua de vulnerabilidades nos sistemas, na infraestrutura e em componentes de terceiros;
b) Avaliação de criticidade mediante padrões reconhecidos (CVSS, CVE, KEV);
c) Aplicação tempestiva de correções (patches ), priorizada conforme a criticidade da vulnerabilidade;
d) Acompanhamento de zero -days e vulnerabilidades de impacto sistêmico , com adoção de medidas mitigatórias enquanto não disponibilizada correção definitiva;
e) Avaliação periódica de dependências de bibliotecas, frameworks e demais componentes de terceiros;
f) Programa de disclosure responsável para recebimento de comunicações sobre vulnerabilidades por terceiros, com tratamento adequado e proteção dos comunicantes de boa - fé.
10.2.7. Testes de segurança.
a) Testes de penetração (penetration tests ) periódicos, conduzidos por equipes internas qualificadas ou por terceiros especializados, com escopo proporcional ao porte e à criticidade da operação;
b) Análises de código (estática e dinâmica) integradas ao ciclo de desenvolvimento, com identificação de falhas no estágio mais precoce viável;
c) Auditorias periódicas de configuração de sistemas e de infraestrutura;
d) Avaliações específicas em mudanças de arquitetura ou em integrações relevantes;
e) Documentação dos resultados e tratamento das constatações, com priorização baseada em risco.
10.2.8. Backup e continuidade operacional.
a) Rotinas regulares de backup dos dados, com testes periódicos de restauração;
b) Plano de continuidade operacional documentado, com procedimentos de recuperação compatíveis com o porte e a criticidade da operação;
c) Plano de recuperação de desastres (Disaster Recovery Plan ), com objetivos de recuperação (RTO — Recovery Time Objective ; RPO — Recovery Point Objective ) compatíveis com o estado da técnica;
d) Redundância geográfica das infraestruturas críticas, conforme aplicável;
e) Backups segregados com criptografia e controle de acesso restrito;
f) Eliminação tempestiva dos backups expirados, conforme item 9.7.4 desta Política.
10.2.9. Proteção contra ataques cibernéticos.
a) Proteção contra ataques de negação de serviço (DDoS), mediante serviços especializados de mitigação;
b) Proteção contra ataques a aplicações (Web Application Firewall — WAF) com regras atualizadas;
c) Proteção contra injection attacks , cross -site scripting (XSS), cross -site request forgery (CSRF) e demais vetores comuns identificados em padrões reconhecidos (OWASP Top 10);
d) Proteção contra ataques à cadeia de suprimentos (supply -chain attacks ), com avaliação de dependências e fornecedores;
e) Acompanhamento de inteligência de ameaças (threat intelligence ), com adaptação das medidas conforme o cenário evolutivo.
10.2.10. Segurança no ciclo de desenvolvimento.
a) Padrões internos de desenvolvimento seguro alinhados a práticas reconhecidas (Secure SDLC, DevSecOps);
b) Revisão de código com atenção a aspectos de segurança;
c) Controle de versões com rastreabilidade de alterações;
d) Ambientes segregados entre desenvolvimento, homologação e produção;
e) Procedimentos de aprovação para alterações em produção;
f) Atenção específica a aspectos de privacidade ( privacy by design ) na concepção de novas funcionalidades.
10.3.1. Da apresentação. Esta subcláusula descreve as principais medidas administrativas adotadas pela SharkBot, complementares às medidas técnicas.
10.3.2. Políticas internas formalizadas.
a) Política de Segurança da Informação , formalizada e revisada periodicamente, integrante desta Política como Anexo específico (item 10.6);
b) Políticas internas específicas sobre temas relevantes, incluindo gestão de acessos, classificação da informação, uso aceitável dos recursos, backup e recuperação, gestão de incidentes, log management , retenção e eliminação;
c) Procedimentos operacionais documentados para implementação das políticas, com adequação ao porte e à complexidade da operação;
d) Aprovação institucional das políticas, com vinculação dos colaboradores e prestadores;
e) Revisão periódica , com atualização conforme evolução regulatória, tecnológica e operacional.
10.3.3. Treinamento e capacitação.
a) Treinamento de admissão para novos colaboradores e prestadores que tenham acesso a Dados Pessoais, com conteúdo sobre LGPD, segurança da informação e práticas internas;
b) Treinamentos periódicos de reciclagem para colaboradores em funções relevantes;
c) Treinamentos específicos para funções de maior responsabilidade (desenvolvimento, infraestrutura, suporte com acesso a dados, atendimento jurídico);
d) Conscientização contínua sobre ameaças emergentes ( phishing , engenharia social, insider threats ) e práticas defensivas;
e) Avaliação de eficácia mediante exercícios práticos quando viável (simulações de phishing , exercícios de mesa de incidentes);
f) Documentação dos treinamentos realizados, para fins de demonstração de conformidade.
10.3.4. Contratos e relações com terceiros.
a) Contratos com Subprocessadores que imponham padrões de segurança compatíveis com a LGPD, conforme detalhado na Cláusula Sétima, item 7.2.5;
b) Cláusulas de confidencialidade em contratos com colaboradores e prestadores que tenham acesso a Dados Pessoais ou a informações sensíveis;
c) Diligência prévia sobre fornecedores e parceiros relevantes, conforme item 7.2.4 da Cláusula Sétima;
d) Acompanhamento contínuo das práticas dos terceiros relevantes;
e) Direitos de auditoria ou de obtenção de evidências de conformidade, conforme aplicável e proporcional ao porte da contratação;
f) Procedimentos de offboarding de terceiros, com revogação tempestiva de acessos.
10.3.5. Governança em proteção de dados e segurança.
a) Encarregado pelo Tratamento de Dados Pessoais (DPO), conforme a Cláusula Primeira, item 1.3, com atribuições alinhadas à LGPD;
b) Estrutura interna de segurança da informação , com responsáveis identificados e processos formalizados;
c) Comitê de Privacidade e Segurança ou estrutura equivalente, quando o porte e a complexidade da operação justifiquem;
d) Gestão de riscos de segurança e de privacidade, com identificação, avaliação, tratamento e monitoramento de riscos;
e) Indicadores de desempenho (KPIs) e métricas de segurança e privacidade, com acompanhamento periódico;
f) Comunicação com a alta administração , com prestação de contas regular sobre o estado da segurança e da conformidade.
10.3.6. Plano de resposta a incidentes.
a) Plano formalizado de resposta a Incidentes de Segurança, com procedimentos de detecção, contenção, erradicação, recuperação e lições aprendidas;
b) Equipe de resposta a incidentes identificada, com papéis e responsabilidades definidos, incluindo Encarregado, áreas técnicas, área jurídica e comunicação institucional;
c) Canais de comunicação interna estabelecidos para escalonamento tempestivo;
d) Procedimentos de comunicação externa — à ANPD, aos titulares afetados, a Subprocessadores envolvidos, a autoridades competentes, à imprensa quando aplicável — com responsáveis identificados;
e) Testes periódicos do plano, mediante exercícios de mesa ( tabletop exercises ) ou simulações;
f) Documentação dos incidentes ocorridos, com lições aprendidas incorporadas ao processo;
g) Articulação com a Cláusula Décima Terceira desta Política e com a Cláusula Trigésima Sétima dos Termos de Uso.
10.3.7. Avaliação de impacto à proteção de dados (RIPD).
a) Elaboração de RIPD para tratamentos de alto risco aos direitos e liberdades dos titulares, em conformidade com o art. 38 da LGPD;
b) Critérios para identificação de tratamentos que demandam RIPD, considerando escala, finalidade, natureza dos dados, perfil dos titulares e riscos potenciais;
c) Conteúdo do RIPD , abrangendo descrição do tratamento, avaliação de necessidade e proporcionalidade, identificação de riscos, medidas de mitigação;
d) Atualização dos RIPDs em caso de alteração relevante das condições de tratamento;
e) Disponibilização à ANPD , mediante requerimento, em conformidade com o art. 38, parágrafo único, da LGPD.
10.3.8. Documentação para demonstração de conformidade.
a) ROPA (Registro das Operações de Tratamento), com descrição das atividades de tratamento, conforme art. 37 da LGPD;
b) LIAs (Legitimate Interest Assessments ) para tratamentos fundados em legítimo interesse, conforme item 6.6 desta Política;
c) Registros de incidentes ocorridos e medidas adotadas;
d) Registros de exercício de direitos dos titulares, conforme a Cláusula Décima Segunda;
e) Registros de comunicações com a ANPD;
f) Demais documentos demonstrativos da operação do programa de privacidade e segurança.
10.4.1. Da postura institucional. A SharkBot adota, como referência , padrões internacionalmente reconhecidos em segurança da informação e em proteção de dados, observando, em medida proporcional ao porte e à criticidade da operação:
a) ISO/IEC 27001 — sistema de gestão de segurança da informação, como referência para a estruturação dos controles e da governança;
b) ISO/IEC 27701 — sistema de gestão de privacidade da informação, como extensão da ISO 27001 para o tratamento de Dados Pessoais;
c) ISO/IEC 27018 — código de prática para proteção de Dados Pessoais identificáveis em ambientes de nuvem pública;
d) NIST Cybersecurity Framework (NIST CSF) — estrutura de referência para gestão de risco de segurança cibernética, com as cinco funções (identificar, proteger, detectar, responder, recuperar);
e) NIST Privacy Framework — estrutura complementar para gestão de risco de privacidade;
f) OWASP Top 10 — referência para tratamento de vulnerabilidades em aplicações web;
g) CIS Controls — controles críticos de segurança como referência operacional;
h) Padrões setoriais aplicáveis , em particular o PCI-DSS quando aplicável a aspectos da operação relacionados a pagamentos, observada a divisão de responsabilidade técnica com os Gateways conforme a Cláusula Sétima, item 7.3.
10.4.2. Da natureza referencial. A adoção desses padrões como referência não implica, necessariamente, certificação formal em todos eles — significa que os controles, processos e estruturas da SharkBot são concebidos com inspiração nessas referências, em medida adequada ao porte e à evolução da operação.
10.4.3. Da certificação eventual. A SharkBot pode, em fases evolutivas do programa de segurança e privacidade, buscar certificação formal em padrões específicos, mediante auditoria por organismo independente. Eventuais certificações obtidas são publicizadas em canais oficiais, com indicação do escopo e do prazo de validade.
10.4.4. Da observância do art. 47 da LGPD. A SharkBot acompanha eventuais padrões técnicos mínimos que venham a ser estabelecidos pela ANPD em conformidade com o art. 47 da LGPD, adequando suas práticas para alinhamento.
10.4.5. Da observância da regulamentação setorial. Em aspectos da operação que envolvam regulamentação setorial específica (instituições de pagamento sob regulação do BCB, regulamentação aplicável a categorias específicas de dados, regulamentação setorial sobre segurança), a SharkBot observa as exigências aplicáveis, em adição ao regime geral desta Cláusula.
10.5.1. Do princípio. A obrigação de segurança da informação assumida pela SharkBot é, por sua natureza, obrigação de meio , e não de resultado. A SharkBot empreende esforços razoáveis e proporcionais ao risco envolvido, adotando medidas técnicas e administrativas compatíveis com o estado da técnica, sem que tal compromisso implique garantia absoluta de inviolabilidade dos sistemas ou dos dados.
10.5.2. Do reconhecimento das limitações inerentes. A SharkBot reconhece, com transparência, que:
a) nenhuma medida de segurança oferece proteção absoluta contra ataques sofisticados, vulnerabilidades inéditas ( zero -days ) ou condutas dolosas;
b) a evolução das ameaças cibernéticas é dinâmica e contínua, exigindo adaptação permanente das medidas;
c) fatores externos podem influenciar a segurança da operação — incidentes em Subprocessadores, falhas em infraestrutura crítica de terceiros, eventos de força maior cibernética, conforme a Cláusula Quadragésima Primeira dos Termos de Uso;
d) a colaboração do titular é elemento essencial da segurança — em particular quanto à proteção de credenciais, à atualização de dispositivos e à observância de práticas seguras de uso;
e) a complexidade dos sistemas modernos, com múltiplos componentes, integrações e dependências, introduz superfícies de ataque que demandam gestão contínua.
10.5.3. Da consequência da natureza de obrigação de meio. Em conformidade com a doutrina e a jurisprudência sobre obrigações de meio aplicadas à segurança da informação:
a) a ocorrência de Incidente de Segurança, por si só, não caracteriza inadimplemento quando adotadas as medidas razoáveis ao estado da técnica;
b) a aferição de responsabilidade considera a adequação e a proporcionalidade das medidas adotadas em relação ao risco identificável;
c) a SharkBot demonstra, mediante documentação de conformidade , a observância dos padrões aplicáveis, na hipótese de questionamento;
d) a aferição observa o regime do art. 44 da LGPD — irregularidade quando o tratamento não fornecer a segurança que dele se pode esperar, considerando -se as circunstâncias relevantes.
10.5.4. Das hipóteses exonerativas. Sem prejuízo do regime geral, são reconhecidas como hipóteses que afastam ou mitigam a responsabilidade da SharkBot por Incidentes de Segurança, em harmonia com o art. 43 da LGPD:
a) Não realização do tratamento que lhe é atribuído;
b) Inexistência de violação à legislação de proteção de dados;
c) Culpa exclusiva do titular ou de terceiro , em particular nas hipóteses em que o Incidente decorra de:
(i) comprometimento de credenciais por negligência do titular;
(ii) conduta dolosa de terceiros que explore, com sofisticação inédita, vulnerabilidades não razoavelmente identificáveis;
(iii) falhas em infraestrutura externa fora do controle razoável da SharkBot;
d) Configuração de força maior cibernética , conforme a Cláusula Quadragésima Primeira, item 41.2.2, alínea "f", dos Termos de Uso.
10.5.5. Da articulação com Incidentes. Os procedimentos de resposta a Incidentes de Segurança, incluindo comunicação à ANPD e aos titulares afetados quando aplicável, observam o regime da Cláusula Décima Terceira desta Política e da Cláusula Trigésima Sétima dos Termos de Uso .
10.6.1. Da existência de Anexo específico. O detalhamento operacional das medidas técnicas e administrativas referidas nesta Cláusula, incluindo procedimentos específicos, parâmetros técnicos detalhados e processos de governança, constitui objeto de Política de Segurança da Informação específica, integrante desta Política como Anexo.
10.6.2. Da função da Política específica. A Política de Segurança da Informação tem por função:
a) detalhar tecnicamente as medidas indicadas nesta Cláusula, com nível de aprofundamento adequado a documento operacional;
b) estabelecer procedimentos específicos para os colaboradores, prestadores e parceiros da SharkBot;
c) disciplinar a operação dos processos de segurança em base contínua;
d) fornecer parâmetros para auditoria e demonstração de conformidade.
10.6.3. Da disponibilização. A Política de Segurança da Informação é disponibilizada:
a) Em parte , em formato resumido e adequado ao titular leigo, no sítio institucional da SharkBot, com descrição geral das medidas de segurança;
b) Em sua integralidade , mediante requerimento fundamentado ao Canal do Encarregado, observada a proteção de informações sensíveis cuja divulgação completa possa comprometer a própria segurança (em particular detalhes técnicos específicos sobre arquitetura, configurações e mecan ismos de detecção, cuja exposição reduziria a eficácia das medidas);
c) Para autoridades competentes , em conformidade com requisições legítimas, observado o regime da Cláusula Vigésima Nona dos Termos de Uso.
10.6.4. Da atualização. A Política de Segurança da Informação é objeto de revisão periódica , com atualização conforme:
a) evolução das ameaças e das vulnerabilidades identificadas;
b) alteração da arquitetura técnica da Plataforma;
c) atualização da regulamentação aplicável;
d) incorporação de lições aprendidas em incidentes;
e) revisão dos padrões de referência adotados.
10.6.5. Do versionamento. A SharkBot mantém histórico de versões da Política de Segurança da Informação, com identificação das alterações relevantes e das datas de vigência, para fins de documentação e demonstração de conformidade.
10.7.1. Da articulação com a Cláusula Décima Terceira. A resposta a Incidentes de Segurança — incluindo comunicação à ANPD, aos titulares afetados e demais providências — observa o regime da Cláusula Décima Terceira desta Política, com articulação com a Cláusula Trigésima Sétima dos Termos de Uso .
10.7.2. Da articulação com a Cláusula Sétima. A segurança no compartilhamento com Subprocessadores, em particular quanto a obrigações contratuais e diligência sobre terceiros, observa o regime da Cláusula Sétima desta Política.
10.7.3. Da articulação com a Cláusula Oitava. A segurança em transferências internacionais, com salvaguardas técnicas adicionais, observa o regime da Cláusula Oitava desta Política.
10.7.4. Da articulação com a Cláusula Quinta. Tratamentos envolvendo Dados Pessoais Sensíveis observam, adicionalmente, o regime de salvaguardas reforçadas estabelecido no item 5.5 da Cláusula Quinta desta Política.
10.7.5. Do compromisso evolutivo. A SharkBot assume compromisso de evolução contínua das medidas desta Cláusula, com adaptação às mudanças no cenário de ameaças, às novas exigências regulatórias e às melhores práticas internacionalmente reconhecidas.
10.7.6. Do esclarecimento adicional. O titular que tenha dúvida sobre as medidas de segurança aplicáveis ao tratamento de seus Dados Pessoais pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, observada a proteção de informações cuja divulgação completa pos sa comprometer a própria segurança operacional.
11.1.1. A presente Cláusula disciplina o uso de Dados Pessoais para desenvolvimento de produto, melhoria técnica e treinamento de modelos de inteligência artificial e de aprendizado de máquina pela SharkBot, em conformidade com a Lei nº 13.709/2018 (LGPD), com a regulamentação aplicável da Autoridade Nacional de Proteção de Dados (ANPD) e em articulação obrigatória com a Cláusula Trigésima Quinta dos Termos de Uso .
11.1.2. Da relevância da disciplina específica. A inteligência artificial e o aprendizado de máquina ocupam posição central na evolução técnica das plataformas digitais contemporâneas, mas seu uso suscita questões particularmente sensíveis em proteção de dados, em razão de:
a) Escala dos conjuntos de dados frequentemente envolvidos no treinamento;
b) Persistência dos efeitos — uma vez treinado um modelo, a contribuição de dados específicos pode ser técnica e operacionalmente difícil de remover;
c) Capacidade de inferência dos modelos, que podem revelar informações não contidas explicitamente nos dados originais;
d) Riscos de membership inference , model inversion e memorization que podem comprometer a privacidade mesmo em modelos aparentemente protegidos;
e) Alcance discriminatório potencial em decisões automatizadas;
f) Estado regulatório evolutivo sobre o tema, no Brasil e internacionalmente.
11.1.3. Da postura institucional conservadora. A SharkBot adota, em matéria de IA e desenvolvimento, postura institucional conservadora , em harmonia com:
a) o estado regulatório atual brasileiro em IA;
b) as manifestações da ANPD sobre o tema, em particular o posicionamento da autoridade no caso Meta (2024), no qual restou consolidada a inadequação do legítimo interesse como base legal para treinamento de IA com dados identificáveis dos usuários;
c) a discussão do Marco Legal da Inteligência Artificial no Brasil (Projeto de Lei nº 2.338/2023 e desenvolvimentos correlatos);
d) as boas práticas internacionais , em particular o regime europeu pós -AI Act (Regulamento (UE) 2024/1689);
e) a doutrina especializada sobre proteção de dados em sistemas de IA.
11.1.4. Do princípio orientador. A SharkBot adota os seguintes princípios estruturantes em IA e desenvolvimento:
a) Preferência por dados não -identificáveis: o uso de dados anonimizados, agregados ou sintéticos é privilegiado em todas as finalidades em que tais categorias possam atender ao propósito;
b) Consentimento específico para dados identificáveis: o uso de Dados Pessoais identificáveis para treinamento de modelos depende de consentimento específico, livre, informado e em destaque;
c) Vedação ao legítimo interesse para treinamento com dados identificáveis: em harmonia com o regime regulatório consolidado, a SharkBot não invoca o legítimo interesse como base legal para treinamento de modelos com dados identificáveis;
d) Proibição de finalidades discriminatórias: os modelos não são treinados, configurados ou utilizados para finalidades discriminatórias vedadas pelo art. 6º, IX, da LGPD;
e) Transparência quanto a decisões automatizadas: observância do direito do titular à revisão de decisões automatizadas, conforme art. 20 da LGPD;
f) Vedação à comercialização externa de modelos: os modelos desenvolvidos pela SharkBot são utilizados para evolução da Plataforma e não são comercializados a terceiros como produto autônomo;
g) Avaliação de impacto: elaboração de Relatório de Impacto à Proteção de Dados (RIPD) para tratamentos com dados identificáveis em IA, em conformidade com o art. 38 da LGPD.
11.1.5. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, XI e XII, da LGPD , quanto aos conceitos de anonimização e consentimento;
b) art. 6º, I, II, III, VI, VII e IX, da LGPD , quanto aos princípios da finalidade, adequação, necessidade, transparência, segurança e não discriminação;
c) arts. 7º, I, e 8º da LGPD , quanto ao consentimento como base legal;
d) art. 11 da LGPD , quanto a Dados Sensíveis em IA;
e) art. 12 da LGPD , quanto à anonimização e ao seu limite (§2º);
f) art. 18 da LGPD , quanto aos direitos do titular, em particular oposição (§2º) e revisão (art. 20);
g) art. 38 da LGPD , quanto ao Relatório de Impacto;
h) regulamentação da ANPD , em particular manifestações sobre IA;
i) Marco Legal da Inteligência Artificial brasileiro, conforme aplicável e na medida de sua vigência.
11.1.6. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) a Cláusula Trigésima Quinta dos Termos de Uso , que disciplina, em paralelo, o uso de dados para desenvolvimento de produto sob perspectiva contratual, harmonizando -se ao presente regime;
b) a Cláusula Segunda desta Política , item 2.5, quanto às definições técnicas das categorias de dados em IA;
c) a Cláusula Quinta , item 5.6.4, quanto à vedação ao uso de Dados Sensíveis para treinamento sem base legal específica;
d) a Cláusula Sexta , item 6.2.14, quanto à finalidade específica de treinamento de modelos com consentimento;
e) a Cláusula Décima , item 10.3.7, quanto à elaboração de RIPDs;
f) a Cláusula Décima Segunda , quanto ao direito de revisão de decisões automatizadas.
11.2.1. Da relevância da distinção. Em razão dos diferentes regimes jurídicos aplicáveis a cada categoria, a SharkBot adota distinção rigorosa entre os tipos de dados envolvidos em IA, em harmonia com a Cláusula Segunda, item 2.5, desta Política.
11.2.2. Dados Pessoais identificáveis em IA.
a) Conceito: dados que permitem reconhecer pessoa natural, direta ou indiretamente, em conformidade com o art. 5º, I, da LGPD;
b) Regime: sujeitos integralmente à LGPD;
c) Uso para treinamento: somente mediante consentimento específico , livre, informado e em destaque do titular, nos termos do art. 7º, I, c/c art. 8º, da LGPD, e conforme detalhado no item
11.4 desta Cláusula;
d) Vedação ao legítimo interesse: a SharkBot não invoca legítimo interesse para treinamento de modelos com dados identificáveis, em harmonia com a postura regulatória consolidada.
11.2.3. Dados pseudonimizados em IA.
a) Conceito: dados aos quais foi removida a possibilidade de associação direta a um indivíduo, mas que podem ser revertidos mediante chave ou dados adicionais (art. 13, §4º, LGPD);
b) Regime: continuam sendo Dados Pessoais para fins da LGPD;
c) Uso para treinamento: sujeito ao mesmo regime dos dados identificáveis quanto à exigência de consentimento, ressalvado o eventual uso restrito a finalidades específicas em que a pseudonimização atue como salvaguarda de segurança e em que o consentimento abranja o tratamento;
d) Função operacional: a pseudonimização é medida de segurança , não meio de afastar a aplicação da LGPD.
11.2.4. Dados anonimizados em IA.
a) Conceito: dados aos quais foram aplicadas técnicas que tornam irreversível , com base em meios técnicos razoáveis e disponíveis no momento do tratamento, a possibilidade de associação direta ou indireta a um indivíduo (art. 5º, XI, e art. 12, caput , LGPD);
b) Regime: não são Dados Pessoais enquanto mantida a anonimização;
c) Uso para treinamento: autorizado , observadas as salvaguardas técnicas e a manutenção da efetividade da anonimização ao longo do ciclo de uso;
d) Diligência: a SharkBot adota técnicas de anonimização compatíveis com o estado da arte (supressão, generalização, agregação, k-anonymity , l-diversity , t-closeness , ruído estatístico/diferencial, conforme o caso) e realiza testes periódicos de irreversibilidade;
e) Limite do art. 12, §2º: dados utilizados para formação de perfil comportamental de pessoa natural identificada, ainda que tratados em forma agregada, podem voltar à condição de Dados Pessoais quando o processo for reversível ou exigir esforço razoável para reidentificação. A SharkBot observa esse limite na concepção dos tratamentos.
11.2.5. Dados agregados em IA.
a) Conceito: dados consolidados estatisticamente sobre conjunto de titulares, sem possibilidade de atribuição individual aos integrantes do conjunto;
b) Regime: não são Dados Pessoais quando efetivamente agregados sem possibilidade de inferência individual;
c) Uso para treinamento: autorizado , observada a efetividade da agregação;
d) Cuidado: agregação de pequenos conjuntos que permita inferência individual não atende ao padrão exigido para afastamento do regime da LGPD; a SharkBot adota tamanhos de conjunto e técnicas de proteção compatíveis com a efetividade da agregação.
11.2.6. Dados sintéticos em IA.
a) Conceito: dados artificialmente gerados por modelos estatísticos ou algorítmicos, treinados a partir de dados reais, mas que não correspondem a titulares específicos, reproduzindo padrões e propriedades estatísticas do conjunto original sem reproduzir os indivíduos ;
b) Regime: não são Dados Pessoais quando efetivamente sintéticos e sem vinculação reidentificável a titular concreto;
c) Uso para treinamento: autorizado , observada a efetividade da síntese;
d) Diligência específica: a SharkBot adota, na geração de dados sintéticos, salvaguardas que reduzam o risco de reprodução involuntária de informações específicas de titulares reais utilizados como base, observando o estado da técnica em geração sintética e mitigando memorization attacks e model inversion attacks .
11.2.7. Do quadro -síntese. Para clareza:
a) Sujeitos integralmente à LGPD em IA: dados identificáveis e pseudonimizados — exigem consentimento específico para treinamento, conforme item 11.4;
b) Não sujeitos à LGPD enquanto mantida a categoria, observadas as ressalvas técnicas: dados anonimizados, agregados e sintéticos — autorizados para treinamento com salvaguardas técnicas;
c) Posição da SharkBot: privilegia o uso das categorias do item "b"; o uso de dados das categorias do item "a" para treinamento exige consentimento específico do titular.
11.3.1. Da apresentação. Esta subcláusula disciplina o uso de dados para finalidades de melhoria técnica do produto que não envolvam, necessariamente, treinamento de modelos de IA — incluindo correção de erros, otimização de desempenho, evolução de funcionalidades, calibragem de algoritmos internos, análise estatística de comportamento, medição de adoção e satisfação.
11.3.2. Do princípio da minimização aplicado. Em todas as finalidades de melhoria técnica, a SharkBot:
a) Privilegia categorias não -identificáveis — dados agregados, anonimizados ou pseudonimizados — sempre que viável e compatível com a finalidade;
b) Limita ao estritamente necessário o uso de dados identificáveis, restringindo -o a hipóteses em que a finalidade não possa ser razoavelmente atingida com categorias menos invasivas;
c) Documenta a justificativa do nível de identificabilidade utilizado em cada finalidade.
11.3.3. Da base legal. O uso de dados para melhoria técnica do produto fundamenta -se em:
a) Legítimo interesse do controlador (art. 7º, IX, LGPD), com LIA documentada que considera (i) a expectativa razoável do titular quanto à evolução técnica do serviço, (ii) a relevância da finalidade para o aprimoramento da Plataforma, (iii) a proporcionalidade do tratamento, (iv) o impacto sobre o titular, mitigado pela preferência por categorias não -identificáveis, e (v) as salvaguardas adotadas;
b) Para Dados Sensíveis: vedado o uso para essa finalidade sob legítimo interesse, em conformidade com a Cláusula Quinta, item 5.3.4;
c) Para uso identificável que extrapole a expectativa razoável do titular: consentimento específico, conforme item 11.4.
11.3.4. Das salvaguardas no uso para melhoria.
a) Segregação técnica dos ambientes analíticos em relação aos ambientes de produção;
b) Controle de acesso estritíssimo aos dados utilizados para melhoria;
c) Pseudonimização ou anonimização prévia, sempre que compatível com a finalidade analítica;
d) Vedação ao uso secundário dos dados para finalidades estranhas àquela declarada;
e) Vedação à comunicação a terceiros dos resultados que permitam identificação individual;
f) Documentação dos estudos realizados e das medidas adotadas.
11.3.5. Do direito de oposição. O titular pode opor -se ao tratamento de seus dados para melhoria técnica fundamentado em legítimo interesse, mediante manifestação ao Canal do Encarregado, hipótese em que a SharkBot avaliará a viabilidade de exclusão dos dados do titular dos processos an alíticos, observadas as limitações técnicas em ambientes de dados já agregados ou anonimizados.
Identificáveis
11.4.1. Da regra estruturante. O uso de Dados Pessoais identificáveis para treinamento, fine- tuning , validação ou aperfeiçoamento de modelos de inteligência artificial e aprendizado de máquina pela SharkBot somente é admitido mediante consentimento específico, livre, informado e em destaque do titular, em conformidade com o art. 7º, I, c/c art. 8º, da LGPD.
11.4.2. Da fundamentação da postura. A postura institucional de exigência de consentimento específico, com afastamento do legítimo interesse, fundamenta -se:
a) No regime regulatório consolidado , em particular no posicionamento da ANPD no caso Meta (2024), no qual restou claramente afirmada a inadequação do legítimo interesse como base legal autônoma para treinamento de IA com dados identificáveis dos usuários, exigindo -se consentimento específic o;
b) Na jurisprudência e doutrina internacionais convergentes quanto ao tratamento de IA generativa e modelos de linguagem;
c) Na natureza específica do treinamento de IA , que envolve incorporação dos dados em estruturas modelísticas, com persistência dos efeitos e dificuldade técnica de remoção individualizada;
d) Na expectativa razoável do titular , que ao fornecer dados em contexto contratual ou comercial específico, não razoavelmente espera, sem manifestação expressa, que tais dados sejam utilizados para finalidade tecnicamente complexa de treinamento de modelos;
e) Na assimetria informacional entre o titular e o agente de tratamento em IA, agravada pela complexidade técnica dos sistemas envolvidos.
11.4.3. Dos requisitos do consentimento. O consentimento para treinamento de IA com dados identificáveis observa, cumulativamente, os requisitos do art. 8º da LGPD:
a) Manifestação livre , sem condicionamento ao acesso a serviços essenciais ou a benefícios desproporcionais;
b) Manifestação informada , com clareza sobre: (i) a categoria de dados utilizada;
(ii) os modelos especificamente envolvidos e suas funcionalidades;
(iii) o regime de armazenamento e os prazos;
(iv) as consequências do treinamento, incluindo eventual contribuição persistente do titular para os modelos;
(v) o regime de revogação e seus efeitos;
(vi) os direitos do titular, em particular acesso, oposição e revogação;
c) Manifestação inequívoca , sem ambiguidade quanto à concordância;
d) Em destaque das demais cláusulas , com mecanismo de manifestação separado e específico, vedando -se bundling (agrupamento) com outras manifestações de vontade;
e) Específico para a finalidade , sem cláusula genérica que abranja finalidades futuras indeterminadas;
f) Documentado , com possibilidade de demonstração do consentimento concedido perante o titular e a autoridade.
11.4.4. Da vedação a consentimento implícito ou induzido. É vedado:
a) Consentimento implícito ou tácito decorrente de mera utilização da Plataforma;
b) Consentimento por opt-out — o consentimento exige manifestação ativa por opt-in;
c) Consentimento agrupado com aceite de Termos ou de Política;
d) Consentimento condicionado a benefício essencial ou a continuidade da prestação;
e) Consentimento induzido por interface enganosa ( dark patterns ), urgência artificial ou apresentação desequilibrada de informação;
f) Consentimento de Vendedor abrangendo dados de Consumidor Final — o consentimento, quando aplicável a dados de Consumidor Final, é manifestação do próprio Consumidor Final, jamais substituída pelo Vendedor.
11.4.5. Do regime atual da operação. A SharkBot, ao tempo da redação desta Política, não realiza treinamento de modelos de IA com dados identificáveis de Vendedores ou de Consumidores Finais. Eventual implementação futura observará rigorosamente os requisitos desta subcláusula, com:
a) mecanismo específico de coleta de consentimento, separado do aceite dos Termos e desta Política;
b) comunicação prévia e adequada aos titulares;
c) elaboração de RIPD específico, conforme item 11.6;
d) atualização desta Política, conforme a Cláusula Décima Quinta;
e) análise pela equipe de privacidade e, conforme o caso, consulta à ANPD.
11.4.6. Do regime de Dados Sensíveis em IA. Em hipóteses excepcionais que envolvam Dados Pessoais Sensíveis em treinamento de IA, observam -se, cumulativamente:
a) os requisitos desta subcláusula quanto a consentimento;
b) os requisitos do art. 11, I, da LGPD — consentimento específico e em destaque para a finalidade;
c) a vedação à comunicação ou ao uso compartilhado de Dados Sensíveis com objetivo de obtenção de vantagem econômica (art. 11, §3º);
d) as salvaguardas reforçadas da Cláusula Quinta, item 5.5;
e) a preferência absoluta por dados anonimizados, sintéticos ou agregados em qualquer hipótese de treinamento envolvendo categorias sensíveis.
11.5.1. Da regra geral. O uso de dados anonimizados, agregados e sintéticos para treinamento de modelos é autorizado , observadas as salvaguardas desta subcláusula e a efetividade da categoria adotada.
11.5.2. Das finalidades autorizadas. São finalidades para as quais a SharkBot pode utilizar dados anonimizados, agregados ou sintéticos:
a) Desenvolvimento e melhoria de funcionalidades da Plataforma vinculadas a IA;
b) Treinamento de modelos analíticos e preditivos vinculados à operação;
c) Calibragem de algoritmos internos de detecção de fraude, segurança e classificação;
d) Pesquisa e desenvolvimento vinculados à evolução técnica da Plataforma;
e) Avaliação de desempenho dos modelos em uso;
f) Geração de novos dados sintéticos para ampliar conjuntos de treinamento;
g) Compartilhamento eventual com Subprocessadores especializados, sob instruções da SharkBot e em conformidade com instrumentos contratuais.
11.5.3. Da efetividade técnica.
a) Anonimização observa as exigências do item 11.2.4 — irreversibilidade, técnicas compatíveis com o estado da arte, testes periódicos, observância do art. 12, §2º, LGPD;
b) Agregação observa as exigências do item 11.2.5 — tamanho de conjunto adequado, ausência de inferência individual;
c) Síntese observa as exigências do item 11.2.6 — diligência contra reprodução de titulares específicos, mitigação de memorization e model inversion attacks .
11.5.4. Das salvaguardas técnicas em treinamento. No treinamento de modelos com dados anonimizados, agregados ou sintéticos, a SharkBot adota:
a) Documentação dos conjuntos de dados utilizados, com identificação da categoria e da técnica de proteção;
b) Avaliação de risco de reidentificação por meio do modelo treinado, em particular para detectar memorization de dados específicos;
c) Testes de robustez dos modelos contra ataques de inferência;
d) Monitoramento dos modelos em produção quanto a comportamento anômalo;
e) Atualização técnica das salvaguardas conforme evolução das ameaças;
f) Preferência por privacy -preserving machine learning quando viável (aprendizado federado, privacidade diferencial, computação multipartes segura).
11.5.5. Da reversão da categoria. Caso, em curso de tratamento, a SharkBot identifique que a anonimização, agregação ou síntese deixou de ser efetiva — em razão de avanços técnicos de reidentificação, integração com novos conjuntos ou outras circunstâncias —, os dados são tratados como dados identificáveis , com aplicação do regime correspondente, e adoção de medidas de mitigação.
11.6.1. Da exigência. Para tratamentos de IA que envolvam dados identificáveis , em particular em treinamento e fine-tuning de modelos, a SharkBot elabora Relatório de Impacto à Proteção de Dados Pessoais (RIPD) , em conformidade com o art. 38 da LGPD.
11.6.2. Do conteúdo do RIPD em IA. O RIPD específico para tratamentos de IA contém, no mínimo:
a) Descrição do tratamento — finalidade, dados utilizados, categoria de modelos, fluxo de processamento;
b) Avaliação da necessidade e da proporcionalidade , considerando alternativas menos invasivas;
c) Identificação dos riscos específicos de IA — memorization , model inversion , membership inference , viés discriminatório, alucinação, decisão automatizada com efeito relevante;
d) Avaliação de impacto sobre os direitos e liberdades dos titulares;
e) Medidas de mitigação adotadas — técnicas (privacidade diferencial, federated learning , guardrails ) e administrativas (revisão humana, auditoria, monitoramento);
f) Análise de bases legais e de hipóteses de exercício de direitos;
g) Avaliação da necessidade de consulta à ANPD quando aplicável (art. 38, parágrafo único).
11.6.3. Da atualização do RIPD. O RIPD é atualizado em caso de:
a) alteração relevante das condições de tratamento;
b) identificação de novos riscos;
c) evolução do estado da técnica em mitigação;
d) alteração da base legal aplicável;
e) orientação superveniente da ANPD ou alteração da legislação aplicável.
11.6.4. Da disponibilização. O RIPD é disponibilizado:
a) À ANPD , mediante requerimento, em conformidade com o art. 38, parágrafo único, da LGPD;
b) Em forma resumida , ao titular que tenha legítimo interesse na informação, mediante requerimento ao Canal do Encarregado, observada a proteção de informações comerciais e técnicas sensíveis.
11.7.1. Do princípio. Os modelos de IA desenvolvidos pela SharkBot são utilizados exclusivamente para evolução da Plataforma e para o processamento interno . A SharkBot não vende, não cede, não loca, não licencia e não comercializa seus modelos a terceiros como produto autônomo.
11.7.2. Das hipóteses ressalvadas. A vedação do item 11.7.1 não se aplica a:
a) Operações societárias da SharkBot — fusão, incorporação, cisão, aquisição —, em que os modelos podem ser transferidos à entidade sucessora, observada a Cláusula Sétima, item 7.7, e a continuidade dos compromissos institucionais;
b) Cessão a sucessor em descontinuação assistida, conforme a Cláusula Décima Quinta dos Termos de Uso;
c) Compartilhamento com Subprocessadores especializados sob instruções da SharkBot, para finalidades operacionais específicas, sem caracterização de comercialização autônoma.
11.7.3. Da vedação à comercialização de dados de treinamento. A SharkBot não vende, não cede, não loca, não licencia e não comercializa os conjuntos de dados utilizados para treinamento, em qualquer categoria (identificáveis, pseudonimizados, anonimizados, agregados, sintéticos).
11.7.4. Da vedação à comercialização de dados de saída. A SharkBot não comercializa os dados de saída ( outputs ) gerados por seus modelos a terceiros para finalidades estranhas à operação da Plataforma.
11.8.1. Do direito de revogação. O titular que tenha consentido com o uso de seus Dados Pessoais identificáveis para treinamento de IA pode revogar o consentimento a qualquer momento, mediante manifestação ao Canal do Encarregado, com:
a) Procedimento simples e gratuito , em conformidade com o art. 8º, §5º, da LGPD;
b) Resposta tempestiva quanto às providências adotadas;
c) Documentação da revogação para fins de cumprimento e demonstração.
11.8.2. Dos efeitos da revogação. A revogação produz, como efeitos:
a) Cessação imediata do uso dos dados identificáveis do titular para novas operações de treinamento, fine-tuning ou validação de modelos;
b) Remoção dos dados identificáveis do titular dos datasets de treinamento ainda não consumidos;
c) Preservação da licitude do tratamento já realizado anteriormente à revogação, em conformidade com o art. 8º, §5º, in fine , da LGPD;
d) Tratamento específico dos modelos já treinados, conforme item 11.8.3.
11.8.3. Dos modelos já treinados — da realidade técnica. Em relação a modelos já treinados com dados identificáveis do titular antes da revogação:
a) A SharkBot reconhece , com transparência, que a remoção individualizada da contribuição do titular em modelos já treinados é técnica e operacionalmente complexa , podendo ser, em determinadas arquiteturas, inviável sem reconstrução integral do modelo ;
b) Em razão dessa limitação , a SharkBot adota, conforme aplicável e proporcional ao porte da operação:
(i) Não -uso futuro dos dados do titular em novas operações de treinamento;
(ii) Documentação da revogação para incorporação ao próximo ciclo de evolução do modelo;
(iii) Substituição do modelo no ciclo evolutivo, com retreinamento ou fine-tuning sem os dados do titular, na medida em que técnica e economicamente viável;
(iv) Adoção de machine unlearning quando viável tecnicamente — técnica em desenvolvimento que permite remoção da contribuição específica de dados sem reconstrução integral do modelo;
(v) Documentação das limitações técnicas no caso concreto, com transparência ao titular;
c) A SharkBot acompanha a evolução das técnicas de machine unlearning e adota, conforme amadureçam, mecanismos progressivamente mais robustos de atendimento ao direito de revogação.
11.8.4. Da informação ao titular sobre a revogação. Ao receber requerimento de revogação que envolva modelos já treinados, a SharkBot informa o titular, com clareza:
a) sobre as medidas adotadas para cessação do uso futuro;
b) sobre as limitações técnicas quanto a modelos já treinados;
c) sobre o plano evolutivo de adoção de mecanismos mais robustos;
d) sobre os direitos preservados do titular, incluindo eventual reclamação à ANPD.
11.9.1. Do direito. O titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de Dados Pessoais que afetem seus interesses, em conformidade com o art. 20 da LGPD.
11.9.2. Da abrangência. O direito alcança decisões:
a) Tomadas unicamente com base em tratamento automatizado, sem participação humana relevante na decisão concreta;
b) Que afetem os interesses do titular, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo, de crédito ou de personalidade.
11.9.3. Das hipóteses na operação da SharkBot. São exemplos de decisões automatizadas eventualmente envolvidas na operação da Plataforma e sujeitas a esse direito:
a) Decisões antifraude que resultem em bloqueio preventivo, recusa de operação ou suspensão da Conta, fundamentadas em algoritmos automatizados;
b) Classificações de risco atribuídas pelos sistemas internos de KYC e de prevenção a fraude;
c) Decisões sobre limites operacionais baseadas em modelagem automatizada;
d) Decisões sobre admissibilidade de operações baseadas em modelos preditivos;
e) Recomendações automatizadas que afetem materialmente a operação do Vendedor ou a interação do Consumidor Final.
11.9.4. Do exercício do direito. O titular pode exercer o direito mediante manifestação ao Canal do Encarregado, hipótese em que a SharkBot:
a) Promove revisão por pessoa natural qualificada da decisão impugnada;
b) Considera os fundamentos apresentados pelo titular;
c) Comunica o resultado da revisão em prazo razoável, com fundamentação;
d) Adota as providências cabíveis em caso de identificação de inadequação na decisão original.
11.9.5. Do direito à informação sobre critérios. Em conformidade com o art. 20, §1º, da LGPD, o titular pode solicitar informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os limites de proteção de segredo comercial e industrial (art. 20, §2º).
11.9.6. Da auditoria pela ANPD. Em conformidade com o art. 20, §3º, da LGPD, na hipótese de não oferecimento das informações com fundamento na proteção de segredo comercial e industrial, a ANPD pode realizar auditoria para verificação de aspectos discriminatórios em tratamento automatiz ado de Dados Pessoais. A SharkBot coopera com eventual auditoria nessa hipótese, observada a preservação proporcional de informações sensíveis.
11.9.7. Da mitigação de viés. A SharkBot adota, na concepção e na operação de seus sistemas automatizados, medidas para prevenção e mitigação de viés discriminatório , incluindo:
a) Avaliação prévia dos conjuntos de treinamento quanto a representatividade e equilíbrio;
b) Testes de equidade dos modelos em produção;
c) Monitoramento contínuo dos resultados produzidos, com identificação de padrões discriminatórios;
d) Revisão humana em decisões de impacto material;
e) Documentação das medidas de mitigação adotadas.
11.10.1. Da harmonização. Esta Cláusula é harmoniosa com o regime estabelecido pela Cláusula Trigésima Quinta dos Termos de Uso (Uso de Dados para Desenvolvimento de Produto), replicando, em linguagem adaptada à perspectiva do titular, os parâmetros ali fixados na perspectiva contratual.
11.10.2. Da hierarquia interpretativa. Em caso de eventual divergência interpretativa entre esta Cláusula e a Cláusula Trigésima Quinta dos Termos:
a) prevalece, em matéria contratual (relação entre SharkBot e Vendedor), a Cláusula Trigésima Quinta dos Termos;
b) prevalece, em matéria de transparência aos titulares e de proteção de dados , a presente Cláusula;
c) ambos os instrumentos são interpretados harmonicamente , sem prejuízo das normas imperativas da LGPD.
11.10.3. Da unidade sistêmica. O regime aqui adotado integra a estrutura jurídica de proteção de dados da SharkBot, articulando -se com:
a) a postura conservadora estabelecida nos Termos de Uso;
b) o regime de Dados Sensíveis da Cláusula Quinta desta Política;
c) o regime de finalidades e bases legais da Cláusula Sexta;
d) o regime de segurança da Cláusula Décima.
11.11.1. Da evolução regulatória. A matéria desta Cláusula está em evolução regulatória ativa , no Brasil e internacionalmente. A SharkBot acompanha:
a) deliberações da ANPD sobre IA, em particular eventuais Resoluções, Guias Orientativos e manifestações em casos concretos;
b) Marco Legal da Inteligência Artificial brasileiro;
c) regulamentação setorial que venha a impactar IA;
d) boas práticas internacionais , em particular regimes europeu (AI Act), norte -americano (ordens executivas e legislação federal e estadual) e demais jurisdições relevantes.
11.11.2. Da adequação tempestiva. Em caso de evolução regulatória, a SharkBot adequa tempestivamente suas práticas, incorporando alterações nesta Política conforme a Cláusula Décima Quinta.
11.11.3. Da articulação com tratamentos sensíveis. Tratamentos de IA que envolvam Dados Pessoais Sensíveis observam, adicionalmente, o regime reforçado da Cláusula Quinta desta Política, com bases legais próprias do art. 11 da LGPD e salvaguardas específicas.
11.11.4. Da articulação com decisões automatizadas envolvendo Consumidor Final. Quando decisões automatizadas envolverem dados de Consumidor Final na operação do Vendedor, a aplicação do art. 20 da LGPD observa o regime de papéis da Cláusula Terceira — o Vendedor, como Controlador Principal, é o responsável primário pelo atendimento; a SharkBot, como Operadora ou Controladora própria conforme o caso, presta apoio e atende diretamente nas finalidades em que atue como Controladora.
11.11.5. Do esclarecimento adicional. O titular que tenha dúvida sobre o uso de seus Dados Pessoais em IA, sobre decisões automatizadas que o afetem ou sobre os critérios de tratamento adotados pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, exercendo gra tuitamente os direitos previstos no art. 18 e no art. 20 da LGPD e nesta Política.
12.1.1. A presente Cláusula apresenta o catálogo de direitos assegurados aos titulares de Dados Pessoais pela Lei nº 13.709/2018 (LGPD), as modalidades de exercício desses direitos perante a SharkBot e os procedimentos aplicáveis ao atendimento, em conformidade com os arts. 17 a 22 da LGPD e com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD).
12.1.2. Da centralidade desta Cláusula. Esta Cláusula é o núcleo do exercício prático dos direitos pelo titular. Aqui se concretiza a transparência das Cláusulas anteriores em mecanismos efetivos de tutela, em conformidade com o princípio da livre acesso (art. 6º, IV, LGPD) e com o direito do titular ao acesso facilitado e gratuito a informações claras sobre o tratamento de seus dados (art.
9º).
12.1.3. Do princípio orientador. A SharkBot adota, em matéria de exercício de direitos, os seguintes princípios estruturantes:
a) Acessibilidade: os direitos são exercitáveis por canais simples, em linguagem clara e adequada ao titular leigo, em conformidade com os arts. 8º, §6º, e 9º da LGPD;
b) Gratuidade: o exercício dos direitos é gratuito, em conformidade com o art. 19, §3º, da LGPD;
c) Tempestividade: os direitos são atendidos nos prazos legais, com comunicação tempestiva ao titular sobre o andamento das requisições;
d) Boa -fé: as requisições são examinadas e respondidas com boa -fé objetiva, sem exigência de formalidades desnecessárias e sem barreiras desproporcionais;
e) Imparcialidade: o atendimento é imparcial, vedando -se discriminação entre titulares e retaliação contra quem exerça direitos;
f) Documentação: os exercícios e as respostas são documentados, para fins de demonstração de conformidade.
12.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) arts. 17 a 22 da LGPD , quanto aos direitos do titular;
b) art. 6º, IV, da LGPD , quanto ao princípio do livre acesso;
c) art. 9º da LGPD , quanto ao direito de acesso facilitado e claro a informações sobre o tratamento;
d) art. 41 da LGPD , quanto às atribuições do Encarregado em receber reclamações e prestar esclarecimentos;
e) regulamentação da ANPD , em particular sobre dosimetria de prazos e formas de atendimento;
f) arts. 5º, XXXIII, e 37, §3º, II, da Constituição Federal , no tocante ao direito à informação;
g) art. 5º, XII, da Constituição Federal , no tocante à proteção da privacidade.
12.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) a Cláusula Primeira desta Política , em particular o item 1.4 (Canal do Encarregado);
b) a Cláusula Terceira , quanto ao papel da SharkBot em cada tratamento, com reflexo direto sobre o canal de exercício de direitos;
c) a Cláusula Sexta , quanto às bases legais que afetam o exercício de direitos específicos (em particular oposição em legítimo interesse, revogação em consentimento);
d) a Cláusula Nona , quanto às hipóteses de retenção legítima que limitam o direito à eliminação;
e) a Cláusula Décima Primeira , quanto ao direito à revisão de decisões automatizadas (art. 20) e às limitações em modelos já treinados;
f) a Cláusula Décima Quinta , quanto à comunicação de alterações relevantes que afetem o exercício de direitos.
12.2.1. Da apresentação. Esta subcláusula apresenta os direitos do titular previstos no art. 18 da LGPD, com identificação clara de cada um, descrição do conteúdo e indicação das particularidades operacionais aplicáveis na SharkBot.
12.2.2. Confirmação da existência de tratamento (art. 18, I).
a) Conteúdo: o titular tem direito de saber se a SharkBot trata seus Dados Pessoais.
b) Operacionalização: mediante manifestação ao Canal do Encarregado, a SharkBot informa, em prazo legal, se efetivamente trata dados do titular requerente.
c) Forma da resposta: declaração clara, em linguagem acessível, com indicação afirmativa ou negativa.
12.2.3. Acesso aos dados (art. 18, II).
a) Conteúdo: o titular tem direito de obter cópia ou consulta detalhada dos Dados Pessoais que a SharkBot trata sobre ele.
b) Operacionalização: mediante manifestação ao Canal do Encarregado, a SharkBot disponibiliza ao titular informação sobre os dados objeto de tratamento.
c) Forma da resposta: (i) Em formato simplificado , por padrão, mediante comunicação clara e organizada das categorias de dados tratadas, das finalidades, das bases legais e demais informações relevantes;
(ii) Por meio de declaração eletrônica ou impressa , mediante requerimento expresso, em prazo razoável compatível com a complexidade da requisição;
(iii) Em formato estruturado , quando aplicável e tecnicamente viável.
d) Conteúdo da resposta , em conformidade com o art. 19 da LGPD: (i) finalidade específica do tratamento;
(ii) forma e duração do tratamento, observados os segredos comerciais e industriais;
(iii) identificação do controlador;
(iv) informações de contato do controlador;
(v) informações sobre uso compartilhado de dados pelo controlador e a finalidade;
(vi) responsabilidades dos agentes que realizarão o tratamento;
(vii) direitos do titular, com menção explícita aos direitos do art. 18 da LGPD.
12.2.4. Correção de dados incompletos, inexatos ou desatualizados (art. 18, III).
a) Conteúdo: o titular tem direito de solicitar a correção de dados incompletos, inexatos ou desatualizados.
b) Operacionalização: (i) em relação a dados acessíveis pelo próprio titular na Plataforma (área logada do Vendedor, configurações do Bot quanto a dados próprios), a correção pode ser realizada diretamente pelo titular;
(ii) em relação a dados não acessíveis diretamente, mediante manifestação ao Canal do Encarregado.
c) Documentação: a SharkBot pode solicitar documentação razoável que comprove a inadequação dos dados objeto de correção, em particular em hipóteses de alteração de informações cadastrais ou regulatórias relevantes.
d) Comunicação a terceiros: quando os dados corrigidos houverem sido compartilhados com terceiros, a SharkBot comunica a correção, na medida razoável e proporcional ao porte do compartilhamento.
12.2.5. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (art. 18, IV).
a) Conteúdo: o titular tem direito de solicitar a anonimização, o bloqueio ou a eliminação de Dados Pessoais que sejam:
(i) desnecessários — cuja necessidade tenha cessado;
(ii) excessivos — coletados além do estritamente necessário à finalidade;
(iii) tratados em desconformidade com a LGPD.
b) Operacionalização: mediante manifestação fundamentada ao Canal do Encarregado, com indicação da hipótese invocada.
c) Resposta da SharkBot: análise da fundamentação e adoção da medida cabível (anonimização, bloqueio ou eliminação), com comunicação ao titular sobre as providências adotadas e eventuais limitações.
12.2.6. Portabilidade dos dados a outro fornecedor (art. 18, V).
a) Conteúdo: o titular tem direito à portabilidade dos seus Dados Pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa, observada a regulamentação da ANPD e os segredos comercial e industrial.
b) Operacionalização: (i) Para o Vendedor , em relação aos dados de sua operação, a portabilidade observa os mecanismos da Plataforma e o regime contratual da Cláusula Trigésima Oitava dos Termos de Uso;
(ii) Para o Consumidor Final , em relação aos dados sob sua titularidade, a portabilidade é exercida primariamente perante o Vendedor (Controlador Principal), com apoio técnico da SharkBot na qualidade de Operadora;
(iii) Para o Vendedor titular em relação aos seus próprios Dados Pessoais (cadastrais, financeiros, transacionais relativos a si próprio), mediante requerimento ao Canal do Encarregado.
c) Formato da portabilidade: em formato estruturado, comumente utilizado e legível por máquina (CSV, JSON ou formato análogo), conforme tecnicamente viável e proporcional à natureza dos dados.
d) Limites: a portabilidade observa os limites de proteção de segredos comerciais e industriais, em conformidade com o art. 19, §1º, da LGPD, e a regulamentação eventualmente editada pela ANPD sobre o tema.
12.2.7. Eliminação dos dados tratados com consentimento (art. 18, VI).
a) Conteúdo: o titular pode solicitar a eliminação dos Dados Pessoais tratados com base em consentimento, observadas as exceções legais.
b) Operacionalização: mediante revogação do consentimento, conforme item 12.2.10 desta Cláusula, com cessação do tratamento e eliminação dos dados.
c) Limites: a eliminação é limitada pelas hipóteses de retenção autorizada do art. 16 da LGPD e pelos prazos da Cláusula Nona desta Política (cumprimento de obrigação legal, exercício regular de direitos, anonimização para uso exclusivo, transferência a terceiro resp eitada a LGPD, ou estudo por órgão de pesquisa).
12.2.8. Informação sobre entidades públicas e privadas com as quais houve compartilhamento (art. 18, VII).
a) Conteúdo: o titular tem direito de saber com quais entidades públicas e privadas a SharkBot compartilhou seus Dados Pessoais.
b) Operacionalização: mediante manifestação ao Canal do Encarregado, a SharkBot informa as categorias de destinatários e, na medida razoável, os destinatários específicos do compartilhamento, em harmonia com a Cláusula Sétima desta Política.
c) Limites: a informação observa a proteção de segredos comerciais e os regimes de sigilo legalmente exigidos (art. 19, §1º, da LGPD, e disposições análogas), inclusive quanto a comunicações ao COAF nos termos do art. 11, §2º, da Lei nº 9.613/1998, em harmonia com o item 7.6.5 desta Política.
12.2.9. Informação sobre a possibilidade de não fornecer consentimento e suas consequências (art. 18, VIII).
a) Conteúdo: o titular tem direito de ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
b) Operacionalização: essa informação consta: (i) desta Política, com identificação das finalidades baseadas em consentimento;
(ii) dos próprios mecanismos de coleta de consentimento, em harmonia com o art. 8º, §4º, da LGPD;
(iii) mediante esclarecimento adicional ao Canal do Encarregado, quando solicitado pelo titular.
12.2.10. Revogação do consentimento (art. 18, IX).
a) Conteúdo: o titular pode revogar consentimento previamente concedido, a qualquer momento, mediante manifestação expressa.
b) Operacionalização: (i) Por mecanismo simplificado , em particular nas comunicações cuja origem se deu por consentimento (mecanismo de descadastramento — opt-out), em harmonia com o art. 8º, §5º, da LGPD;
(ii) Mediante manifestação ao Canal do Encarregado , em hipóteses gerais de revogação;
(iii) Por configurações da Plataforma , quando aplicável a determinadas finalidades.
c) Efeitos da revogação: (i) cessação imediata do tratamento baseado naquele consentimento;
(ii) eliminação dos dados tratados exclusivamente com base no consentimento revogado, ressalvadas retenções legítimas;
(iii) preservação da licitude do tratamento já realizado anteriormente à revogação, em conformidade com o art. 8º, §5º, in fine , da LGPD;
(iv) Em IA , quando aplicável, observa o regime específico do item 11.8 desta Política, com particular atenção aos efeitos sobre modelos já treinados.
12.3.1. Do conteúdo. O titular pode opor -se a tratamento realizado com fundamento em hipóteses de dispensa de consentimento — em particular tratamentos baseados em legítimo interesse —, em caso de descumprimento da LGPD ou em razão de circunstâncias particulares de sua situação.
12.3.2. Da operacionalização. A oposição é exercida mediante manifestação fundamentada ao Canal do Encarregado, indicando:
a) o tratamento específico ao qual se opõe;
b) os fundamentos da oposição, com referência à situação particular do titular;
c) o resultado pretendido (cessação total, restrição, ajustes específicos).
12.3.3. Da avaliação pela SharkBot. Recebida manifestação fundamentada, a SharkBot:
a) Examina a oposição em harmonia com a base legal invocada para o tratamento questionado;
b) Considera a expectativa razoável do titular e a relevância do legítimo interesse;
c) Pondera os interesses envolvidos, em harmonia com a LIA documentada;
d) Adota uma das seguintes providências: (i) Acolhe a oposição , cessando o tratamento;
(ii) Acolhe parcialmente a oposição , restringindo o tratamento;
(iii) Rejeita fundamentadamente a oposição , demonstrando a prevalência do legítimo interesse, com comunicação clara das razões ao titular.
12.3.4. Da preservação de direitos. A rejeição da oposição não afasta o direito do titular de:
a) apresentar reclamação à ANPD;
b) buscar tutela jurisdicional em hipóteses cabíveis;
c) apresentar nova oposição em caso de alteração das circunstâncias.
12.4.1. Do conteúdo. O titular tem direito a solicitar a revisão , por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado de Dados Pessoais que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo, de crédito ou aspectos da personalidade .
12.4.2. Do regime aplicável. O exercício deste direito observa o regime estabelecido na Cláusula Décima Primeira, item 11.9 , desta Política, com:
a) identificação das hipóteses concretas na operação da SharkBot (item 11.9.3);
b) procedimento de revisão por pessoa natural qualificada;
c) direito à informação sobre critérios e procedimentos (art. 20, §1º), observados os limites de segredo comercial e industrial (art. 20, §2º);
d) cooperação com eventual auditoria pela ANPD (art. 20, §3º);
e) medidas de mitigação de viés discriminatório.
12.4.3. Da articulação com Consumidor Final. Quando a decisão automatizada decorra da operação do Vendedor, o exercício do direito observa o regime de papéis da Cláusula Terceira — Vendedor é responsável primário; SharkBot atende em finalidades próprias e presta apoio técnico, conforme aplicável.
12.5.1. Do conteúdo. Em conformidade com o art. 18, §1º, da LGPD, o titular pode apresentar petição perante a Autoridade Nacional de Proteção de Dados (ANPD) , quanto aos seus dados.
12.5.2. Da preservação independente. Este direito é independente do exercício de direitos perante a SharkBot, podendo ser exercido:
a) Antes de qualquer manifestação à SharkBot;
b) Concomitantemente ao exercício de direitos pelo Canal do Encarregado;
c) Após a resposta da SharkBot, em caso de insatisfação ou de dúvida sobre o atendimento.
12.5.3. Dos canais da ANPD. O titular pode apresentar petição à ANPD por meio dos canais oficiais da autoridade, disponíveis em https://www.gov.br/anpd , com observância dos procedimentos estabelecidos pela própria autoridade.
12.5.4. Do esclarecimento sem prejuízo. A SharkBot incentiva o exercício deste direito quando o titular entender necessário, sem que isso represente fragilidade institucional ou retaliação.
12.5.5. Da cooperação institucional. A SharkBot mantém canal aberto de cooperação com a ANPD, atendendo tempestivamente requisições e procedimentos institucionais oriundos da autoridade.
12.6.1. Direito à explicação clara. O titular tem direito a receber, em qualquer manifestação, explicação clara, em linguagem acessível , sobre o tratamento de seus dados, em conformidade com os arts. 8º, §6º, e 9º da LGPD.
12.6.2. Direito à não -discriminação no exercício. A SharkBot assegura que nenhum titular sofrerá discriminação , retaliação ou prejuízo em razão do exercício de qualquer direito previsto nesta Política e na LGPD, em harmonia com os arts. 5º, X, da Constituição Federal e 6º, IX, da LGPD.
12.6.3. Direito à interpretação favorável em caso de dúvida. Em caso de dúvida razoável sobre o alcance ou a aplicação de um direito específico, prevalece a interpretação que assegure maior proteção ao titular , em harmonia com o item 3.10.3 desta Política.
12.6.4. Direito à mediação institucional. O titular pode solicitar à SharkBot intermediação com Subprocessadores ou terceiros envolvidos no tratamento, em hipóteses em que o exercício direto perante esses terceiros se mostre dificultado.
12.7.1. Do canal primário. O Vendedor exerce os direitos do art. 18 e 20 da LGPD diretamente perante a SharkBot, pelo Canal do Encarregado , identificado na Cláusula Primeira, item 1.4, desta Política.
12.7.2. Da fundamentação do regime. Em conformidade com a Cláusula Terceira, item 3.3, a SharkBot atua como Controladora dos Dados Pessoais do Vendedor, sendo o ponto de contato direto para o exercício de direitos.
12.7.3. Dos mecanismos disponíveis. O Vendedor exerce direitos:
a) Mediante manifestação ao Canal do Encarregado , pelos meios identificados no item 1.4 (e - mail, formulário, endereço postal);
b) Mediante uso de funcionalidades disponibilizadas pela Plataforma para exercício direto, em hipóteses específicas (configurações de comunicação, opt -out de marketing, atualização cadastral);
c) Mediante exportação de dados disponibilizada pela Plataforma, em harmonia com a Cláusula Trigésima Oitava dos Termos de Uso.
12.7.4. Da resposta direta. A SharkBot atende diretamente as requisições do Vendedor, sem necessidade de intermediação.
12.8.1. Do canal primário. O Consumidor Final exerce os direitos do art. 18 e 20 da LGPD, em primeiro plano, perante o Vendedor que opera o Bot com o qual interagiu.
12.8.2. Da fundamentação do regime. Em conformidade com a Cláusula Terceira, item 3.6, o Vendedor é o Controlador Principal dos dados do Consumidor Final. Por essa razão, o canal primário de exercício de direitos é o próprio Vendedor.
12.8.3. Dos canais do Vendedor. O Consumidor Final localiza os canais do Vendedor:
a) Na Política de Privacidade do próprio Vendedor , que é o documento principal de transparência aplicável à operação concretamente envolvida;
b) No próprio Bot , em mensagens de orientação configuradas pelo Vendedor;
c) No sítio institucional do Vendedor , quando disponível;
d) Em outros canais divulgados pelo Vendedor.
12.8.4. Do canal subsidiário com a SharkBot. O Consumidor Final pode, em caráter subsidiário , dirigir -se ao Canal do Encarregado da SharkBot , identificado na Cláusula Primeira, item 1.4, em qualquer das seguintes hipóteses:
a) Quando o Vendedor não estiver identificável ou não possa ser localizado;
b) Quando o Vendedor não atenda tempestivamente à requisição do Consumidor Final;
c) Quando a requisição se relacione, primariamente, com finalidades em que a SharkBot atua como Controladora autônoma (segurança, prevenção à fraude, conformidade regulatória, melhoria agregada, cumprimento dos Termos), conforme a Cláusula Terceira, item 3.5;
d) Quando o Consumidor Final tenha dúvida sobre o canal correto, hipótese em que a SharkBot orienta o procedimento adequado;
e) Em hipóteses de violação a direitos que envolvam diretamente a infraestrutura ou a operação da Plataforma.
12.8.5. Do tratamento da requisição pela SharkBot. Recebida requisição do Consumidor Final, a SharkBot:
a) Identifica o papel aplicável ao tratamento envolvido;
b) Em hipóteses em que atue como Operadora , encaminha a requisição ao Vendedor responsável, presta apoio técnico para o atendimento, comunica o Consumidor Final sobre o canal correto, sem prejuízo de eventual atuação direta da SharkBot em paralelo;
c) Em hipóteses em que atue como Controladora autônoma , atende diretamente a requisição;
d) Em hipóteses mistas , atende às parcelas de sua competência e encaminha as parcelas de competência do Vendedor.
12.8.6. Da informação ao Consumidor Final. A SharkBot informa o Consumidor Final, com clareza:
a) sobre o canal correto de exercício do direito;
b) sobre as eventuais providências adotadas pela SharkBot;
c) sobre os prazos aplicáveis à resposta;
d) sobre os direitos preservados , incluindo eventual reclamação à ANPD.
12.8.7. Do não -comprometimento do exercício. Em caso de inércia ou recusa do Vendedor em atender requisição do Consumidor Final, este pode:
a) dirigir -se à SharkBot para apoio na obtenção da resposta;
b) apresentar reclamação à ANPD , conforme o item 12.5;
c) buscar tutela jurisdicional quando aplicável.
12.9.1. Do canal primário. O Visitante do sítio institucional exerce os direitos do art. 18 da LGPD diretamente perante a SharkBot, pelo Canal do Encarregado , identificado na Cláusula Primeira, item 1.4.
12.9.2. Da fundamentação do regime. Em conformidade com a Cláusula Terceira, item 3.8, a SharkBot atua como Controladora dos Dados Pessoais dos Visitantes.
12.9.3. Dos mecanismos específicos. Em particular, o Visitante pode:
a) Gerenciar preferências de cookies diretamente no sítio, mediante banner de cookies e configurações disponibilizadas, em conformidade com a Política de Cookies (Cláusula Décima Quarta);
b) Descadastrar -se de newsletters, mediante mecanismo simples disponibilizado nas próprias comunicações;
c) Exercer demais direitos mediante manifestação ao Canal do Encarregado.
12.10.1. Do recebimento da requisição. A SharkBot recebe requisições pelo Canal do Encarregado identificado na Cláusula Primeira, item 1.4. As manifestações observam:
a) Acessibilidade dos canais disponibilizados;
b) Possibilidade de utilização de qualquer dos meios disponibilizados (e -mail, formulário, endereço postal);
c) Resposta gratuita ao titular, em conformidade com o art. 19, §3º, da LGPD;
d) Linguagem acessível na resposta, sem exigência de formalidade técnica desnecessária na manifestação.
12.10.2. Da autenticação do titular. Para garantir a segurança das informações e prevenir o atendimento indevido a pessoa diversa do titular, a SharkBot adota mecanismos proporcionais de autenticação:
a) Identificação por meio das credenciais de acesso à Plataforma, no caso de Vendedor com Conta ativa;
b) Verificação de elementos cadastrais, no caso de titulares cuja relação tenha sido encerrada;
c) Verificação de elementos relacionados à interação com Bots específicos, no caso de Consumidor Final, observado o limite das informações disponíveis à SharkBot na qualidade em que atua;
d) Apresentação de documentação razoável de identidade, em hipóteses específicas em que a verificação digital não seja suficiente;
e) Verificações reforçadas em requisições de impacto material (eliminação irreversível, portabilidade ampla, exercício de direitos sensíveis), proporcionalmente ao risco.
12.10.3. Da proporcionalidade da autenticação. A autenticação observa a proporcionalidade — a SharkBot:
a) não exige documentação desproporcional ao risco da requisição;
b) não cria barreiras que dificultem injustificadamente o exercício de direitos;
c) adapta o nível de verificação à sensibilidade da requisição.
12.10.4. Da recusa de atendimento por inviabilidade de autenticação. Quando não for possível autenticar o titular de forma razoavelmente segura, a SharkBot:
a) Comunica a impossibilidade ao requerente;
b) Indica os mecanismos alternativos disponíveis para superação;
c) Esclarece os direitos preservados , incluindo reclamação à ANPD;
d) Documenta a recusa e as razões, para fins de demonstração de conformidade.
12.10.5. Da identificação do escopo da requisição. Em requisições genéricas ou imprecisas, a SharkBot pode solicitar esclarecimentos ao titular para identificação adequada do escopo da requisição, sem que essa solicitação configure barreira ao exercício do direito.
12.10.6. Do registro das requisições. A SharkBot mantém registro das requisições recebidas, das respostas prestadas e das providências adotadas, observando:
a) o regime de proteção dos próprios dados decorrentes da interação;
b) os prazos de retenção aplicáveis;
c) o uso restrito dos registros para finalidades de atendimento, melhoria contínua, defesa em procedimento e demonstração de conformidade;
d) o sigilo das comunicações.
12.11.1. Da fundamentação. Os prazos de atendimento observam o art. 19 da LGPD e a regulamentação aplicável.
12.11.2. Confirmação e acesso. Para os direitos de confirmação da existência de tratamento e de acesso aos dados (art. 18, I e II), a SharkBot responde:
a) Em formato simplificado , no prazo de 15 (quinze) dias , contados da requisição, em conformidade com o art. 19, II, da LGPD;
b) Por meio de declaração eletrônica ou impressa , em prazo razoável compatível com a complexidade da requisição.
12.11.3. Demais modalidades. Para os demais direitos (correção, anonimização/bloqueio/eliminação, portabilidade, eliminação por revogação, informação sobre compartilhamento, oposição, revisão), a SharkBot responde em prazo razoável , considerando:
a) a natureza do direito e a complexidade técnica da requisição;
b) o volume de dados envolvidos;
c) a necessidade de apuração ou de articulação com Subprocessadores ou terceiros;
d) as eventuais limitações legítimas aplicáveis.
12.11.4. Da resposta intermediária. Quando o atendimento integral não for possível no prazo do item 12.11.2, a SharkBot:
a) Comunica o titular sobre o andamento da requisição;
b) Apresenta justificativa para eventual extensão de prazo;
c) Indica prazo estimado para conclusão;
d) Mantém o titular informado sobre o progresso.
12.11.5. Da contagem. Os prazos contam -se a partir do recebimento da requisição, considerada recebida quando dirigida ao Canal do Encarregado e contendo elementos suficientes para identificação inicial do titular e do escopo.
12.11.6. Do dia inicial e final. Aplicam -se as regras gerais de contagem de prazos em dias corridos, salvo disposição específica em contrário, com observância do regime de comunicações da Cláusula Quadragésima Segunda dos Termos de Uso, naquilo que aplicável.
12.12.1. Do princípio. Os direitos do titular não são absolutos . Seu exercício observa as limitações legítimas estabelecidas pela LGPD e pela legislação aplicável, descritas nesta subcláusula.
12.12.2. Retenções legítimas (art. 16 da LGPD). O direito à eliminação é limitado pelas hipóteses de retenção autorizada do art. 16 da LGPD:
a) Cumprimento de obrigação legal ou regulatória pelo controlador;
b) Estudo por órgão de pesquisa , em forma anonimizada;
c) Transferência a terceiro , respeitados os requisitos da LGPD;
d) Uso exclusivo do controlador , vedado o acesso por terceiro, mediante anonimização;
e) Exercício regular de direitos em processo judicial, administrativo ou arbitral. Em qualquer dessas hipóteses, os dados podem permanecer retidos pelos prazos aplicáveis, em harmonia com a Cláusula Nona desta Política, com cessação do uso para finalidade ordinária.
12.12.3. Segredo comercial e industrial (art. 19, §1º, e art. 20, §2º). As respostas da SharkBot observam a proteção de segredos comerciais e industriais , em particular quanto a:
a) Arquitetura técnica da Plataforma;
b) Detalhes operacionais de Subprocessadores e relações comerciais;
c) Critérios e procedimentos de decisões automatizadas, sem prejuízo do direito do titular à informação clara sobre os parâmetros gerais (art. 20, §1º) e da possibilidade de auditoria pela ANPD (art. 20, §3º).
12.12.4. Direitos de terceiros. O exercício de direitos pelo titular observa a preservação de direitos de terceiros :
a) quando o exercício envolva dados que pertençam, simultaneamente, a outros titulares (por exemplo, dados de Consumidores Finais em base operada por Vendedor);
b) quando o exercício possa afetar a esfera jurídica de outras pessoas;
c) quando o exercício envolva informações sobre terceiros eventualmente identificadas no contexto da requisição.
12.12.5. Sigilo legalmente exigido. Em hipóteses em que regime de sigilo legalmente exigido afaste a obrigação de informação ou de comunicação ao titular — em particular comunicações ao COAF (art. 11, §2º, da Lei nº 9.613/1998), determinações específicas de autoridade em investigação, e hip óteses análogas — a SharkBot observa estritamente o regime de sigilo aplicável.
12.12.6. Inviabilidade técnica em modelos já treinados. Em hipóteses específicas envolvendo modelos de IA já treinados, a remoção individualizada da contribuição do titular pode ser tecnicamente inviável. Em harmonia com a Cláusula Décima Primeira, item 11.8.3, a SharkBot adota as medidas alternativas ali prev istas, com transparência ao titular sobre as limitações e o plano evolutivo.
12.12.7. Manifestação manifestamente infundada ou abusiva. A SharkBot pode recusar o atendimento de manifestações:
a) Manifestamente infundadas ou desprovidas de qualquer elemento de identificação do titular ou do escopo;
b) Manifestamente abusivas , notadamente em razão de caráter repetitivo, dilatório ou destinado a obstaculizar a operação;
c) Que constituam abuso de direito , nos termos do art. 187 do Código Civil;
d) Que violem direitos de terceiros ou afetem desproporcionalmente outros titulares; devendo, em qualquer caso, comunicar ao titular as razões da recusa, com indicação dos direitos preservados, em particular reclamação à ANPD.
12.13.1. Da centralidade da articulação com o Vendedor. Em razão do regime de papéis, o exercício de direitos pelo Consumidor Final tem dimensão dupla :
a) Perante o Vendedor , na qualidade de Controlador Principal;
b) Perante a SharkBot , em finalidades próprias e em apoio técnico nos demais casos.
12.13.2. Da informação ao Consumidor Final pela operação do Vendedor. A informação ao Consumidor Final sobre o tratamento de seus dados na operação do Vendedor é responsabilidade primária do Vendedor, na qualidade de Controlador Principal, devendo ser disponibilizada na Política de Privacidade própria do Vendedor.
12.13.3. Da função desta Política. Esta Política, em relação ao Consumidor Final, cumpre a função de:
a) Esclarecer o papel da SharkBot na cadeia de tratamento;
b) Disciplinar as finalidades próprias em que a SharkBot atua como Controladora autônoma;
c) Disponibilizar canal subsidiário de exercício de direitos;
d) Prestar apoio na orientação do Consumidor Final sobre o canal correto.
12.13.4. Da preservação integral dos direitos. Sem prejuízo do regime de papéis, o Consumidor Final preserva integralmente os direitos previstos na LGPD, com canais e mecanismos efetivos para seu exercício.
12.14.1. Da articulação com Cláusulas específicas. Os direitos descritos nesta Cláusula observam, adicionalmente, as disposições específicas:
a) Cláusula Quinta , quanto a direitos relativos a Dados Pessoais Sensíveis;
b) Cláusula Sexta , quanto a direitos vinculados a bases legais específicas (em particular oposição em legítimo interesse, revogação em consentimento);
c) Cláusula Nona , quanto à comprovação de eliminação;
d) Cláusula Décima Primeira , quanto ao direito à revisão de decisões automatizadas e às limitações em modelos de IA já treinados.
12.14.2. Da articulação com regime evolutivo. Os direitos do titular podem evoluir em razão de alterações da LGPD, da regulamentação da ANPD e da jurisprudência consolidada. A SharkBot acompanha a evolução e adequa as práticas, comunicando alterações relevantes conforme a Cláusula Décima Quinta.
12.14.3. Da preservação de direitos não enumerados. A enumeração desta Cláusula é abrangente, mas não exaustiva . Eventuais direitos previstos na LGPD ou em regulamentação superveniente que não estejam expressamente listados nesta Cláusula são igualmente assegurados.
12.14.4. Da gratuidade reafirmada. O exercício dos direitos previstos nesta Cláusula é gratuito , em conformidade com o art. 19, §3º, da LGPD, vedando -se cobrança de taxa, custo administrativo ou contrapartida.
12.14.5. Do esclarecimento adicional. O titular que tenha dúvida sobre o exercício de qualquer direito previsto nesta Cláusula, sobre o canal correto, sobre o procedimento aplicável ou sobre os limites de eventual ressalva, pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, para esclarecimento gratuito e em linguagem acessível.
13.1.1. A presente Cláusula disciplina o regime aplicável aos Incidentes de Segurança envolvendo Dados Pessoais sob tratamento da SharkBot, em conformidade com o art. 48 da Lei nº 13.709/2018 (LGPD) , com a Resolução CD/ANPD nº 15/2024 (e suas eventuais sucessoras) e em articulação obrigatória com a Cláusula Trigésima Sétima dos Termos de Uso .
13.1.2. Da finalidade. Esta Cláusula tem por finalidade:
a) Esclarecer ao titular o regime aplicável a Incidentes que envolvam seus Dados Pessoais;
b) Disciplinar os procedimentos de prevenção, detecção, contenção, resposta e recuperação;
c) Estabelecer o regime de notificação à ANPD e aos titulares afetados em hipóteses de risco ou dano relevante;
d) Distribuir responsabilidades entre Vendedor (Controlador Principal) e SharkBot (Operadora ou Controladora própria, conforme o caso);
e) Especificar o conteúdo das notificações em conformidade com o art. 48, §1º, da LGPD;
f) Harmonizar com o regime contratual da Cláusula Trigésima Sétima dos Termos de Uso.
13.1.3. Do princípio orientador. A SharkBot adota, em matéria de Incidentes, os seguintes princípios estruturantes:
a) Tempestividade: detecção, contenção e resposta tempestivas, com escalonamento conforme criticidade;
b) Transparência: comunicação clara e adequada aos titulares afetados e à ANPD nas hipóteses legalmente exigidas, sem ocultação injustificada;
c) Proteção do titular: primazia do interesse do titular afetado, com adoção de medidas que mitiguem efetivamente o impacto sobre seus direitos;
d) Cooperação: atuação coordenada entre SharkBot, Vendedor, Subprocessadores, autoridades e demais agentes envolvidos;
e) Aprendizagem: incorporação das lições aprendidas em cada Incidente ao programa de segurança, em ciclo de melhoria contínua;
f) Documentação: registro adequado dos Incidentes ocorridos, das medidas adotadas e das comunicações realizadas, para fins de demonstração de conformidade.
13.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 48 da LGPD , quanto ao dever de comunicação;
b) arts. 46 e 47 da LGPD , quanto à segurança como obrigação dos agentes de tratamento;
c) art. 49 da LGPD , quanto à estruturação dos sistemas de tratamento;
d) art. 50 da LGPD , quanto a boas práticas e governança;
e) Resolução CD/ANPD nº 15/2024 , sobre comunicação de incidentes de segurança envolvendo dados pessoais, e suas eventuais sucessoras;
f) demais regulamentações da ANPD sobre o tema, presentes e supervenientes;
g) padrões internacionais de gestão de incidentes (ISO/IEC 27035 e correlatos), em medida adequada à operação;
h) art. 9º da LGPD , quanto ao direito do titular à informação clara sobre o tratamento de seus dados, incluindo eventos que os afetem.
13.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) a Cláusula Trigésima Sétima dos Termos de Uso , que disciplina, em paralelo, o regime contratual de Incidentes, harmonizando -se com a presente Cláusula;
b) a Cláusula Terceira desta Política , quanto ao papel exercido pela SharkBot em cada tratamento, com reflexo direto sobre as responsabilidades em Incidentes;
c) a Cláusula Décima , quanto ao regime geral de segurança da informação;
d) a Cláusula Quinta , item 5.5.5, quanto às salvaguardas em Incidentes envolvendo Dados Pessoais Sensíveis, com prioridade máxima;
e) a Cláusula Sétima , quanto a Incidentes em Subprocessadores;
f) a Cláusula Oitava , quanto a Incidentes envolvendo dados em jurisdições estrangeiras;
g) a Cláusula Nona , item 9.6.5, quanto a legal hold em Incidentes;
h) a Cláusula Vigésima Nona dos Termos , quanto a cooperação com autoridades.
13.2.1. Da definição. Para os fins desta Política e em harmonia com o art. 5º, X, e o art. 48 da LGPD, considera -se "Incidente de Segurança" o evento adverso, confirmado ou fundadamente suspeito , que afete a confidencialidade, integridade, disponibilidade ou autenticidade de Dados Pessoais ou de ativos informacionais que os contenham, abrangendo, exemplificativamente:
a) Acesso não autorizado aos sistemas, ambientes ou bases de dados;
b) Exposição indevida de Dados Pessoais a terceiros sem base legal;
c) Vazamento ou perda de Dados Pessoais por meios diversos;
d) Alteração indevida ou corrupção de Dados Pessoais sem autorização;
e) Destruição não autorizada de Dados Pessoais;
f) Indisponibilidade prolongada que afete o exercício de direitos pelo titular ou a continuidade do tratamento;
g) Comprometimento de credenciais que possa ensejar acessos indevidos;
h) Ataque cibernético bem -sucedido que afete dados ou sistemas;
i) Falha em controles de segurança que tenha exposto dados ou ativos;
j) Incidente em Subprocessador que afete dados sob tratamento da SharkBot.
13.2.2. Da gradação. Os Incidentes podem assumir, conforme a magnitude:
a) Incidentes Menores — eventos contidos rapidamente, sem impacto material sobre titulares ou sobre a operação, com tratamento interno conforme o programa de segurança;
b) Incidentes Significativos — eventos com impacto operacional ou potencial impacto sobre titulares, demandando resposta estruturada e avaliação quanto à comunicação;
c) Incidentes Comunicáveis — eventos que possam acarretar risco ou dano relevante aos titulares, ensejando comunicação à ANPD e aos titulares afetados, conforme item 13.4;
d) Incidentes Graves ou de Grande Magnitude — eventos com impacto severo, abrangência ampla ou envolvendo categorias particularmente sensíveis, recebendo regime de resposta intensificado.
13.2.3. Da inclusão de eventos suspeitos. O conceito alcança eventos fundadamente suspeitos , e não apenas confirmados, em harmonia com a postura preventiva da LGPD. A SharkBot trata, com seriedade equivalente, suspeitas razoáveis e eventos confirmados, sem aguardar confirmação para iniciar contenção e resposta.
13.3.1. Da estruturação do procedimento. A SharkBot adota procedimento estruturado de resposta a Incidentes, em ciclo de cinco fases que se complementam: prevenção, detecção, contenção, resposta e recuperação.
13.3.2. Prevenção. A prevenção observa o regime geral de segurança da informação da Cláusula Décima desta Política, com:
a) Medidas técnicas descritas no item 10.2;
b) Medidas administrativas descritas no item 10.3;
c) Salvaguardas reforçadas para Dados Sensíveis (item 5.5);
d) Treinamento e conscientização das equipes;
e) Diligência sobre Subprocessadores (item 7.2.4);
f) Avaliação de risco contínua;
g) Programa de gestão de vulnerabilidades (item 10.2.6).
13.3.3. Detecção. A detecção observa:
a) Monitoramento contínuo dos sistemas e da infraestrutura, com SIEM e mecanismos correlatos;
b) Alertas automáticos para padrões anômalos;
c) Recebimento de comunicações de terceiros — bug bounty , responsible disclosure , denúncias —, com tratamento adequado;
d) Comunicações de Subprocessadores sobre Incidentes em sua infraestrutura;
e) Comunicações de titulares , quando identifiquem situação de risco ou exposição;
f) Acompanhamento de inteligência de ameaças (threat intelligence ) externa.
13.3.4. Contenção. Identificado o Incidente, a SharkBot adota medidas de contenção tempestivas:
a) Isolamento técnico dos sistemas, ambientes ou contas afetadas;
b) Bloqueio de acessos indevidos identificados;
c) Revogação de credenciais comprometidas;
d) Aplicação de correções emergenciais ;
e) Acionamento da equipe de resposta a Incidentes;
f) Escalonamento interno conforme criticidade do evento;
g) Documentação inicial do Incidente e das medidas de contenção adotadas.
13.3.5. Resposta. Concluída a contenção inicial, a SharkBot conduz fase de resposta:
a) Avaliação técnica detalhada do Incidente — natureza, escopo, vetor, impacto sobre dados e titulares;
b) Avaliação jurídica quanto a obrigações de notificação à ANPD e aos titulares;
c) Acionamento do Encarregado (DPO) e das demais áreas competentes (jurídica, técnica, comunicação institucional, alta administração quando aplicável);
d) Comunicação a Subprocessadores e parceiros envolvidos, conforme aplicável;
e) Comunicação a autoridades competentes em hipóteses de obrigação legal (item 13.4);
f) Comunicação aos titulares afetados , quando aplicável (item 13.4);
g) Adoção de medidas de mitigação dos efeitos sobre os titulares;
h) Eventual ativação de planos específicos de comunicação institucional, conforme magnitude.
13.3.6. Recuperação. Após a resposta, a SharkBot promove a recuperação:
a) Restauração dos sistemas e dados afetados, em conformidade com o plano de continuidade operacional;
b) Verificação da integridade das medidas de segurança restabelecidas;
c) Monitoramento intensificado no período pós -Incidente, para detectar eventuais reincidências;
d) Avaliação de impacto remanescente sobre os titulares;
e) Atendimento prioritário a requerimentos relacionados ao Incidente recebidos pelo Canal do Encarregado.
13.3.7. Lições aprendidas. Concluído o ciclo, a SharkBot promove avaliação posterior:
a) Identificação das causas do Incidente — técnicas, processuais, humanas;
b) Avaliação da adequação das medidas adotadas;
c) Identificação de melhorias preventivas, de detecção, de contenção, de resposta e de recuperação;
d) Atualização de políticas e procedimentos internos conforme as lições aprendidas;
e) Atualização do programa de treinamento , quando aplicável;
f) Documentação consolidada do Incidente e das lições aprendidas, para fins de demonstração de conformidade.
13.3.8. Da temporalidade. As fases observam temporalidade compatível com a natureza e a gravidade do Incidente, sem preclusão entre elas — algumas medidas (contenção e comunicação à ANPD, por exemplo) podem ocorrer em paralelo, conforme as circunstâncias.
13.4.1. Da hipótese de notificação. Em conformidade com o art. 48 da LGPD, a SharkBot, na qualidade de Controladora , comunica à ANPD e aos titulares afetados a ocorrência de Incidente de Segurança que possa acarretar risco ou dano relevante aos titulares.
13.4.2. Dos critérios de relevância. A avaliação de risco ou dano relevante observa, em harmonia com a Resolução CD/ANPD nº 15/2024 e regulamentação correlata, em particular:
a) Natureza dos dados afetados, com especial atenção a Dados Pessoais Sensíveis e a categorias de proteção reforçada (dados financeiros, biométricos, de saúde);
b) Volume de dados envolvidos;
c) Quantidade de titulares afetados;
d) Facilidade de identificação dos titulares a partir dos dados expostos;
e) Possibilidade de uso indevido dos dados em prejuízo dos titulares;
f) Gravidade dos potenciais impactos — financeiros, reputacionais, discriminatórios, de exposição;
g) Boa -fé e integridade dos eventuais agentes do Incidente;
h) Medidas técnicas de proteção aplicadas aos dados (criptografia, pseudonimização);
i) Eventuais medidas adotadas que mitiguem o risco.
13.4.3. Do prazo. A comunicação à ANPD observa o prazo razoável estabelecido pela autoridade, em conformidade com a regulamentação aplicável — atualmente, em harmonia com a Resolução CD/ANPD nº 15/2024 , o prazo de 3 (três) dias úteis contados do conhecimento do Incidente, sem prejuízo de eventual atualização desse prazo conforme a evolução regulatória.
13.4.4. Da comunicação aos titulares. Os titulares afetados são comunicados em prazo razoável , observando:
a) Tempestividade compatível com a natureza do Incidente;
b) Linguagem clara e acessível , em conformidade com o art. 9º da LGPD;
c) Prioridade ao titular afetado por Incidente envolvendo Dados Sensíveis ou de impacto severo;
d) Comunicação pelos canais oficiais — e-mail cadastrado, notificação na área logada, banner institucional —, conforme proporcional à abrangência;
e) Apresentação de orientações para mitigação do impacto pelo próprio titular, quando aplicável (alteração de senha, monitoramento de movimentações, contato com autoridades).
13.4.5. Das hipóteses excepcionais de não -comunicação. A não -comunicação aos titulares pode ocorrer, em harmonia com a regulamentação da ANPD, quando:
a) Comunicação geral efetiva for inviável ou exija esforço desproporcional, hipótese em que se admite comunicação por meios que assegurem alcance equivalente;
b) A comunicação puder afetar gravemente investigação em curso ou interesse público relevante, observada a temporariedade da exceção;
c) Os dados afetados estiverem efetivamente protegidos por medidas que tornem improvável o uso indevido (criptografia, anonimização, tokens sem contexto);
d) Medidas tempestivas adotadas tenham eliminado o risco antes do conhecimento do titular. Em qualquer dessas hipóteses, a SharkBot mantém a comunicação à ANPD, conforme aplicável.
13.4.6. Da articulação com sigilo legal. Hipóteses de sigilo legalmente exigido (em particular comunicações ao COAF, conforme art. 11, §2º, da Lei nº 9.613/1998) observam estritamente o regime aplicável, com eventual diferimento ou modulação da comunicação ao titular conforme determinado por lei ou autoridade.
13.5.1. Do conteúdo mínimo. Em conformidade com o art. 48, §1º, da LGPD e com a regulamentação da ANPD, a notificação contém:
a) Descrição da natureza dos dados pessoais afetados;
b) Informações sobre os titulares envolvidos, em formato compatível com a proteção de identificação direta;
c) Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
d) Riscos relacionados ao Incidente ;
e) Motivos da demora , no caso de a comunicação não ter sido imediata;
f) Medidas adotadas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
13.5.2. Do conteúdo ampliado. Em adição ao conteúdo mínimo legal, a SharkBot pode incluir, conforme a relevância:
a) Vetor identificado ou suspeito do Incidente, na medida adequada;
b) Período de exposição estimado;
c) Quantitativo aproximado de titulares afetados;
d) Categoria específica de Subprocessadores envolvidos, quando aplicável;
e) Status atual das ações de contenção e remediação;
f) Contatos específicos para esclarecimentos do titular ou da autoridade;
g) Indicação de canais para registro de eventuais danos identificados pelo titular.
13.5.3. Da forma da notificação aos titulares. A comunicação aos titulares é redigida em linguagem clara, acessível e adequada ao titular leigo , evitando -se tecnicismo desnecessário, em conformidade com o art. 9º da LGPD. Quando aplicável, são utilizados recursos visuais ou explicativos para facilitar a compreensão.
13.5.4. Da forma da notificação à ANPD. A comunicação à ANPD observa a forma e os canais estabelecidos pela autoridade — atualmente, mediante uso do canal eletrônico específico disponibilizado pela ANPD para comunicação de incidentes —, com nível técnico -jurídico adequado à interlocução institu cional.
13.5.5. Da atualização da notificação. Em hipóteses de Incidentes em desenvolvimento, em que dados completos não estejam disponíveis no primeiro momento, a SharkBot:
a) Comunica em primeiro momento as informações disponíveis, com indicação dos pontos pendentes de apuração;
b) Atualiza a comunicação conforme novas informações sejam apuradas;
c) Encaminha relatório consolidado ao final da investigação, conforme aplicável.
13.6.1. Da articulação com o regime de papéis. A repartição de responsabilidade em Incidentes observa o regime de papéis estabelecido na Cláusula Terceira desta Política, com distinção entre:
a) Incidentes envolvendo dados em que a SharkBot atue como Controladora (dados de Vendedor, dados de Visitante, dados de Consumidor Final em finalidades próprias da SharkBot) — responsabilidade primária da SharkBot, incluindo notificação à ANPD e aos titulares;
b) Incidentes envolvendo dados em que a SharkBot atue como Operadora (dados de Consumidor Final na operação do Vendedor) — responsabilidade primária do Vendedor, na qualidade de Controlador Principal, com cooperação técnica da SharkBot.
13.6.2. Do Vendedor como Controlador Principal. Em Incidentes envolvendo dados de Consumidor Final na operação do Vendedor, são responsabilidades primárias do Vendedor:
a) Comunicar à ANPD o Incidente, quando configurada hipótese de risco ou dano relevante (art. 48 LGPD);
b) Comunicar aos Consumidores Finais afetados , conforme aplicável;
c) Adotar medidas de mitigação sob sua governança;
d) Cooperar com a SharkBot no fluxo técnico -jurídico de resposta;
e) Manter documentação do Incidente em sua escrituração interna.
13.6.3. Da cooperação da SharkBot. Em Incidentes em que o Vendedor seja Controlador Principal, a SharkBot, na qualidade de Operadora:
a) Comunica o Vendedor sobre o Incidente, com tempestividade adequada para que o Vendedor possa cumprir seus deveres;
b) Disponibiliza informações técnicas disponíveis sobre a natureza, o escopo e os Consumidores Finais potencialmente afetados;
c) Coopera tecnicamente na contenção, na avaliação e na remediação do Incidente;
d) Apoia o Vendedor , na medida razoável, na elaboração de notificações à ANPD e aos titulares;
e) Adota medidas técnicas próprias que estejam ao seu alcance, em conformidade com o regime de segurança;
f) Comunica diretamente a ANPD ou os titulares , em hipóteses específicas, quando: (i) a SharkBot, na qualidade de Controladora autônoma (item 3.5 da Cláusula Terceira), tenha responsabilidade direta;
(ii) o Vendedor mostrar -se inerte ou recusar -se a cumprir seus deveres, hipótese em que a SharkBot age subsidiariamente para preservar os direitos dos titulares;
(iii) o Incidente envolva, simultaneamente, dados em que a SharkBot atue como Controladora — caso em que ela cumpre suas obrigações próprias, sem prejuízo das obrigações do Vendedor.
13.6.4. Da SharkBot como Controladora autônoma em Consumidor Final. Em Incidentes envolvendo dados de Consumidor Final tratados pela SharkBot em finalidades próprias (item 3.5 da Cláusula Terceira) — segurança, prevenção à fraude, conformidade regulatória, melhoria agregada, cumprimento dos Termos —, a responsabilidade de notificação é da própria SharkBot.
13.6.5. Do Vendedor em Incidentes próprios. Sem prejuízo das responsabilidades como Controlador Principal de dados de Consumidor Final, o Vendedor pode, ele próprio, ser titular afetado por Incidente envolvendo seus Dados Pessoais (cadastrais, financeiros, transacionais relativos a si próprio) — hipótese em que a SharkBot, na qualidade de Controladora desses dados, observa o regime aplicável a Incidentes envolvendo Vendedor titular.
13.6.6. Dos Subprocessadores. Incidentes ocorridos em Subprocessadores que afetem dados sob tratamento da SharkBot recebem o seguinte regime:
a) O Subprocessador comunica imediatamente a SharkBot, em conformidade com o instrumento contratual aplicável (DPA);
b) A SharkBot avalia o impacto sobre os dados sob seu tratamento;
c) Conforme o caso , a SharkBot atua como Controladora ou Operadora, observando o regime aplicável a cada papel;
d) A SharkBot coopera com o Subprocessador na contenção, resposta e recuperação;
e) A SharkBot comunica o Vendedor (quando dados de Consumidor Final estiverem envolvidos), a ANPD e os titulares afetados, conforme aplicável.
13.6.7. Da responsabilidade civil. Sem prejuízo da repartição operacional desta Cláusula, a responsabilidade civil por danos causados aos titulares observa o regime dos arts. 42 a 45 da LGPD, em harmonia com a Cláusula Trigésima Sétima dos Termos de Uso.
13.7.1. Da harmonização. Esta Cláusula é harmoniosa com o regime estabelecido pela Cláusula Trigésima Sétima dos Termos de Uso (Incidentes de Segurança), replicando, em linguagem adaptada à perspectiva do titular, os parâmetros ali fixados na perspectiva contratual.
13.7.2. Da hierarquia interpretativa. Em caso de eventual divergência interpretativa entre esta Cláusula e a Cláusula Trigésima Sétima dos Termos:
a) prevalece, em matéria contratual (relação entre SharkBot e Vendedor), a Cláusula Trigésima Sétima dos Termos;
b) prevalece, em matéria de transparência aos titulares e de proteção de dados , a presente Cláusula;
c) ambos os instrumentos são interpretados harmonicamente , sem prejuízo das normas imperativas da LGPD.
13.7.3. Da unidade sistêmica. O regime aqui adotado integra, como elemento essencial, a estrutura jurídica de proteção de dados da SharkBot, articulando -se com:
a) o regime de segurança da Cláusula Décima desta Política;
b) o regime contratual de Incidentes da Cláusula Trigésima Sétima dos Termos;
c) as obrigações decorrentes da Cláusula Quinta (Dados Sensíveis) e da Cláusula Décima Primeira (IA);
d) o regime de cooperação com autoridades da Cláusula Vigésima Nona dos Termos.
13.8.1. Da prioridade máxima. Incidentes envolvendo Dados Pessoais Sensíveis recebem prioridade máxima no regime de resposta, em harmonia com a Cláusula Quinta, item 5.5.5, desta Política.
13.8.2. Das medidas específicas. Aplicam -se, em adição ao regime geral:
a) Notificação imediata ao Encarregado e às áreas competentes;
b) Presunção elevada de configuração de Incidente Comunicável, com avaliação rigorosa da hipótese de notificação à ANPD e aos titulares;
c) Tempestividade reforçada na contenção, na resposta e na recuperação;
d) Comunicação em linguagem particularmente clara aos titulares afetados, com orientações específicas sobre medidas de mitigação;
e) Acompanhamento intensificado dos efeitos sobre os titulares no período pós -Incidente.
13.8.3. Da articulação com o regime de Dados Sensíveis. A articulação com o regime de Dados Sensíveis observa a Cláusula Quinta desta Política, em particular as salvaguardas reforçadas e a vedação a finalidades secundárias.
13.9.1. Da prioridade absoluta. Incidentes que envolvam Dados Pessoais de crianças e adolescentes recebem prioridade absoluta , em harmonia com a Cláusula Quarta, item 4.6, e a Cláusula Vigésima Terceira dos Termos de Uso.
13.9.2. Das comunicações específicas. Em Incidentes que envolvam dados de menores:
a) Comunicação imediata à ANPD;
b) Comunicação a autoridades de proteção infantojuvenil competentes, conforme a natureza do Incidente;
c) Adoção de medidas reforçadas de mitigação;
d) Cooperação intensificada com Conselho Tutelar, Ministério Público, Polícia e órgãos especializados quando aplicável.
13.10.1. Da preservação de direitos. Em razão da ocorrência de Incidente, os titulares afetados preservam integralmente os direitos previstos na Cláusula Décima Segunda desta Política, com particular atenção a:
a) Direito à informação clara sobre o Incidente e seus impactos;
b) Direito de acesso aos dados afetados;
c) Direito de eliminação ou anonimização, conforme aplicável;
d) Direito de oposição a tratamentos específicos eventualmente associados;
e) Direito de petição à ANPD ;
f) Direito a buscar reparação por danos efetivamente sofridos, em conformidade com os arts. 42 a 45 da LGPD.
13.10.2. Do canal específico. A SharkBot disponibiliza canal específico para esclarecimentos e atendimento dos titulares afetados por Incidente — preferencialmente o Canal do Encarregado , com tratamento prioritário para essas requisições.
13.10.3. Do registro de eventuais danos. Titulares que identifiquem danos decorrentes de Incidente podem registrá -los pelo Canal do Encarregado, com:
a) Apresentação dos elementos disponíveis sobre o dano;
b) Indicação do nexo com o Incidente, na medida em que perceptível;
c) Documentação que considerar pertinente.
13.10.4. Da resposta da SharkBot. A SharkBot examina os registros recebidos e:
a) Coopera com o titular na apuração;
b) Avalia a relação com o Incidente;
c) Adota medidas de mitigação cabíveis;
d) Encaminha o titular a canais adequados em hipóteses específicas (autoridades, Defensoria Pública, Procons, Ministério Público) quando aplicável.
13.11.1. Do registro interno. A SharkBot mantém registro interno dos Incidentes de Segurança ocorridos, contendo:
a) Identificação do Incidente, com data e hora de ocorrência e de detecção;
b) Descrição técnica do evento;
c) Categoria de dados afetados;
d) Quantitativo aproximado de titulares afetados;
e) Avaliação de risco e classificação do Incidente;
f) Medidas de contenção, resposta e recuperação adotadas;
g) Comunicações realizadas — interna, à ANPD, aos titulares, a Subprocessadores, ao Vendedor;
h) Lições aprendidas e melhorias incorporadas.
13.11.2. Do uso para demonstração de conformidade. O registro interno serve à demonstração de conformidade perante a ANPD, em fiscalizações e procedimentos administrativos, em conformidade com o art. 6º, X, da LGPD (princípio da responsabilização e prestação de contas).
13.11.3. Da retenção do registro. O registro de Incidentes é mantido pelos prazos compatíveis com:
a) Prazos prescricionais aplicáveis a eventuais pretensões;
b) Eventuais determinações de autoridade ;
c) Prazos de retenção da Cláusula Nona desta Política.
13.12.1. Da articulação com Cláusulas específicas. As disposições desta Cláusula observam, adicionalmente:
a) Cláusula Quinta , em Incidentes envolvendo Dados Pessoais Sensíveis;
b) Cláusula Sétima , em Incidentes envolvendo Subprocessadores ou compartilhamento;
c) Cláusula Oitava , em Incidentes envolvendo dados em jurisdições estrangeiras;
d) Cláusula Décima Primeira , em Incidentes envolvendo dados utilizados para IA;
e) Cláusula Décima Segunda , quanto ao exercício de direitos pelos titulares afetados.
13.12.2. Da evolução regulatória. O regime de Incidentes está em evolução regulatória ativa, com a ANPD em processo de consolidação de sua doutrina. A SharkBot acompanha a evolução, em particular:
a) Eventuais alterações da Resolução CD/ANPD nº 15/2024;
b) Manifestações da ANPD em casos concretos;
c) Edição de Guias Orientativos sobre o tema;
d) Decisões consolidadas em sanções aplicadas.
13.12.3. Da adequação tempestiva. Em caso de evolução regulatória, a SharkBot adequa tempestivamente suas práticas, incorporando alterações nesta Política conforme a Cláusula Décima Quinta.
13.12.4. Do compromisso institucional. A SharkBot reafirma seu compromisso institucional com a proteção de Dados Pessoais e com a tempestiva, transparente e adequada resposta a Incidentes, em harmonia com a confiança depositada pelos titulares e com as exigências legais e regulatórias aplicáve is.
13.12.5. Do esclarecimento adicional. O titular que tenha dúvida sobre Incidente que possa ter afetado seus Dados Pessoais — incluindo eventos cujo conhecimento direto a SharkBot não tenha — pode dirigir -se ao Canal do Encarregado, identificado na Cláusula Primeira, item 1.4, para esclarecime nto gratuito e tempestivo.
14.1.1. A presente Cláusula apresenta o regime aplicável ao uso de Cookies e Tecnologias Similares pela SharkBot em seu sítio institucional ( https://sharkbot.com.br ) e nos canais de comunicação correlatos, em conformidade com a Lei nº 13.709/2018 (LGPD), com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) — em particular o Guia Orientativo sobre Cookies e Proteção de Dados publicado pela ANPD — e com a Lei nº 12.965/2014 (Marco Civil da Internet).
14.1.2. Da finalidade. Esta Cláusula tem por finalidade:
a) Apresentar, em síntese , o regime de uso de Cookies pela SharkBot;
b) Distinguir as categorias de Cookies e suas respectivas bases legais;
c) Identificar o mecanismo de gerenciamento de preferências disponibilizado ao Visitante;
d) Remeter à Política de Cookies específica , integrante desta Política como Anexo, para detalhamento operacional.
14.1.3. Da função sintética desta Cláusula. Esta Cláusula opera em caráter sintético , com função de fornecer ao titular, no corpo desta Política, panorama geral do regime aplicável a Cookies. O detalhamento técnico -operacional — relação de Cookies em uso, prazos específicos, fornecedores, vetores específicos de cada Cookie — consta da Política de Cookies integrante desta Política como Anexo, conforme item 14.5.
14.1.4. Do princípio orientador. A SharkBot adota, em matéria de Cookies, os seguintes princípios estruturantes:
a) Transparência: o Visitante é informado, no primeiro acesso, sobre os Cookies utilizados, mediante banner adequado e Política de Cookies acessível;
b) Granularidade do consentimento: quando aplicável, o Visitante pode consentir ou recusar Cookies por categoria, sem agrupamento forçado;
c) Bloqueio prévio dos não -essenciais: Cookies não -estritamente -necessários permanecem inativos até a manifestação de consentimento pelo Visitante;
d) Reversibilidade: o Visitante pode, a qualquer momento, alterar suas preferências de Cookies;
e) Vedação a dark patterns : o banner é desenhado de modo neutro, sem mecanismos enganosos que induzam a aceitação;
f) Atualização contínua: a relação de Cookies é mantida atualizada, com revisão periódica.
14.1.5. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 5º, I, da LGPD , quanto ao conceito de Dados Pessoais aplicáveis a identificadores de navegação;
b) art. 7º, I e IX, da LGPD , quanto às bases legais aplicáveis;
c) art. 8º da LGPD , quanto aos requisitos do consentimento;
d) art. 9º da LGPD , quanto ao direito de informação clara;
e) Guia Orientativo sobre Cookies e Proteção de Dados Pessoais da ANPD (e suas eventuais atualizações);
f) Marco Civil da Internet , quanto à neutralidade da rede e ao tratamento de registros de acesso a aplicações;
g) boas práticas internacionais , em particular em jurisdições que disciplinam Cookies de modo aprofundado (GDPR e ePrivacy Directive, com adaptações ao regime brasileiro).
14.1.6. Da articulação sistêmica. Esta Cláusula articula -se, de forma complementar, com:
a) a Cláusula Quarta , item 4.4.3, quanto à coleta de dados de navegação por Cookies;
b) a Cláusula Sexta , item 6.5, quanto às finalidades aplicáveis aos dados dos Visitantes;
c) a Cláusula Sétima , item 7.5, quanto a provedores de analytics e tracking ;
d) a Política de Cookies específica, integrante desta Política como Anexo.
14.2.1. Da apresentação. Esta subcláusula apresenta as categorias de Cookies utilizadas pela SharkBot em seu sítio institucional, com identificação clara de cada uma, descrição do conteúdo e indicação da base legal aplicável.
14.2.2. Cookies estritamente necessários.
a) Conceito: Cookies indispensáveis ao funcionamento técnico do sítio e à prestação dos serviços ativamente solicitados pelo Visitante (por exemplo, manutenção da sessão, balanceamento de carga, autenticação básica, segurança contra ataques cibernéticos);
b) Função: sem esses Cookies, o sítio não funciona adequadamente ;
c) Manifestação do Visitante: dispensam consentimento , por sua natureza essencial, em conformidade com a orientação da ANPD e com práticas internacionais consolidadas;
d) Não -bloqueio: os Cookies estritamente necessários são ativados independentemente da manifestação do Visitante no banner, com transparência sobre seu uso;
e) Persistência: prazo limitado ao estritamente necessário à finalidade técnica.
14.2.3. Cookies funcionais.
a) Conceito: Cookies que permitem funcionalidades aprimoradas e personalização da experiência (por exemplo, idioma escolhido, preferências de exibição, recursos de interface);
b) Função: otimizam a experiência do Visitante, sem serem estritamente necessários ao funcionamento básico;
c) Manifestação do Visitante: mediante consentimento específico, manifestado no banner;
d) Bloqueio prévio: permanecem inativos até a manifestação de consentimento;
e) Persistência: conforme prazo configurado, com cessação imediata em caso de revogação.
14.2.4. Cookies analíticos.
a) Conceito: Cookies que permitem medir audiência, comportamento de navegação e desempenho do sítio, gerando estatísticas agregadas que orientam aprimoramentos;
b) Função: apoiam decisões de melhoria do sítio e dos canais institucionais, com base em padrões agregados de uso;
c) Manifestação do Visitante: mediante consentimento específico, manifestado no banner;
d) Bloqueio prévio: permanecem inativos até a manifestação de consentimento;
e) Provedores típicos: Google Analytics 4 e Microsoft Clarity, sem prejuízo de outros provedores conforme detalhado na Política de Cookies anexa;
f) Configurações de proteção: quando tecnicamente viável, são adotadas configurações que reduzem a identificabilidade dos dados (anonimização de IP, limitação da retenção pelo provedor, restrição de finalidades secundárias);
g) Persistência: conforme prazo configurado, com cessação imediata em caso de revogação.
14.2.5. Cookies de marketing.
a) Conceito: Cookies que permitem comunicações institucionais ampliadas, remarketing e mensuração de conversão de campanhas, em plataformas de terceiros;
b) Função: apoiam comunicações comerciais e institucionais da SharkBot dirigidas ao Visitante;
c) Manifestação do Visitante: mediante consentimento específico, manifestado no banner;
d) Bloqueio prévio: permanecem inativos até a manifestação de consentimento;
e) Provedores típicos: [Meta Pixel e Google Ads, sem prejuízo de outros provedores ], conforme detalhado na Política de Cookies anexa;
f) Compartilhamento com terceiros: o uso desses Cookies envolve compartilhamento de dados com os respectivos provedores, em conformidade com suas próprias políticas de privacidade, com salvaguardas previstas na Política de Cookies anexa;
g) Persistência: conforme prazo configurado, com cessação imediata em caso de revogação.
14.2.6. Outras categorias. Eventualmente, em razão da evolução técnica, outras categorias de Cookies ou Tecnologias Similares podem ser utilizadas, com regime detalhado na Política de Cookies anexa, observando os princípios gerais desta Cláusula.
14.3.1. Da apresentação. Esta subcláusula identifica as bases legais aplicáveis a cada categoria de Cookies, em harmonia com a Cláusula Sexta desta Política e com a orientação da ANPD.
14.3.2. Cookies estritamente necessários.
a) Base legal: legítimo interesse do controlador (art. 7º, IX, da LGPD), em razão da indispensabilidade técnica ao funcionamento do sítio e à prestação dos serviços ativamente solicitados pelo Visitante;
b) Justificação: o uso desses Cookies é objetivamente necessário, sem alternativas menos invasivas tecnicamente viáveis, com expectativa razoável do Visitante quanto à existência de mecanismos técnicos básicos de funcionamento;
c) Direito de oposição: preservado, observado que a oposição pode tornar inviável o uso do sítio em sua plenitude.
14.3.3. Cookies funcionais, analíticos e de marketing.
a) Base legal: consentimento específico do titular (art. 7º, I, da LGPD), manifestado em banner de Cookies, com escolha granular por categoria , em conformidade com o art. 8º da LGPD;
b) Requisitos do consentimento: (i) livre , sem condicionamento à navegação no sítio;
(ii) informado , com clareza quanto às categorias e finalidades;
(iii) inequívoco , mediante manifestação ativa do Visitante;
(iv) específico , com escolha por categoria de Cookie;
(v) revogável a qualquer momento, com mecanismo simples e gratuito.
c) Direito de revogação: o Visitante pode, a qualquer momento, revogar o consentimento, mediante:
(i) acesso ao banner ou ao painel de configurações de Cookies, disponível no rodapé do sítio ou em link específico;
(ii) configurações do navegador, com remoção de Cookies armazenados;
(iii) manifestação ao Canal do Encarregado, conforme a Cláusula Primeira, item 1.4.
14.3.4. Da postura quanto ao legítimo interesse. A SharkBot não invoca o legítimo interesse como base legal para Cookies funcionais, analíticos ou de marketing, em harmonia com a orientação da ANPD que privilegia o consentimento específico para essas categorias, em razão das expectativas razoáveis do Visitante e da natureza das finalidades envolvidas.
14.4.1. Do banner de Cookies. No primeiro acesso do Visitante ao sítio institucional, é apresentado banner de Cookies com:
a) Informação clara sobre o uso de Cookies pela SharkBot;
b) Identificação das categorias utilizadas;
c) Mecanismo de escolha granular por categoria — permitindo aceitar, recusar ou personalizar cada categoria separadamente;
d) Link para a Política de Cookies detalhada;
e) Equilíbrio visual entre as opções de aceitar e de recusar, sem destaque desproporcional para qualquer alternativa;
f) Continuidade da navegação preservada quando o Visitante recuse Cookies não -essenciais — o sítio permanece funcional para os recursos compatíveis com a recusa.
14.4.2. Da vedação a dark patterns . O banner é desenhado em conformidade com práticas éticas, vedando -se, em especial:
a) Botão de "aceitar todos" com destaque visual desproporcional em relação à opção de recusar ou personalizar;
b) Linguagem enganosa ou manipuladora;
c) Navegação obstruída ou condicionada a aceitação;
d) Bloqueio do conteúdo do sítio em caso de recusa de Cookies não -essenciais;
e) Pressão por urgência artificial ou contadores;
f) Apresentação confusa que dificulte a compreensão.
14.4.3. Da escolha granular por categoria. O banner permite ao Visitante:
a) Aceitar todos os Cookies das categorias não -essenciais;
b) Recusar todos os Cookies das categorias não -essenciais;
c) Personalizar a escolha por categoria, ativando ou desativando Cookies funcionais, analíticos e de marketing separadamente;
d) Visualizar a relação de Cookies em cada categoria, com indicação de fornecedor, finalidade e prazo;
e) Salvar as preferências em mecanismo persistente, evitando que o banner seja apresentado novamente em cada acesso, ressalvada eventual atualização relevante das categorias.
14.4.4. Do painel de preferências. Em adição ao banner, a SharkBot disponibiliza painel de preferências de Cookies acessível em qualquer momento da navegação, em rodapé do sítio ou em link específico, permitindo ao Visitante:
a) Revisar suas preferências atuais;
b) Alterar sua escolha a qualquer momento;
c) Revogar consentimentos previamente concedidos;
d) Consultar a Política de Cookies detalhada.
14.4.5. Da revogação por configurações do navegador. O Visitante pode, alternativamente, gerenciar Cookies pelas configurações do navegador , mediante:
a) Remoção de Cookies armazenados;
b) Bloqueio de Cookies futuros, por categoria ou de modo geral;
c) Configuração de modo de navegação privada (anônima/incógnita), que limita a persistência de Cookies à sessão.
A SharkBot reconhece que a gestão pelo navegador pode ter efeito sobre o funcionamento técnico do sítio e sobre experiências personalizadas, sem que tal efeito caracterize falha da Plataforma.
14.4.6. Da atualização do banner. Em caso de alteração relevante das categorias de Cookies, dos provedores ou das finalidades, a SharkBot:
a) Reapresenta o banner ao Visitante, solicitando nova manifestação;
b) Comunica a alteração com antecedência razoável quando possível;
c) Documenta o histórico de manifestações para fins de demonstração de conformidade.
14.4.7. Do registro do consentimento. A SharkBot mantém registro técnico das manifestações de consentimento dos Visitantes, contendo:
a) identificador técnico da sessão e do dispositivo;
b) categorias aceitas e recusadas;
c) data, hora e versão do banner;
d) demais dados necessários à demonstração da licitude do tratamento, observada a minimização e a proteção da própria informação de consentimento.
14.5.1. Da existência de Anexo específico. A presente Cláusula tem caráter sintético . O detalhamento operacional e técnico do regime de Cookies pela SharkBot consta de Política de Cookies específica , integrante desta Política como Anexo vinculante.
14.5.2. Do conteúdo da Política de Cookies. A Política de Cookies contém, no mínimo:
a) Relação atualizada dos Cookies utilizados, com identificação de cada um;
b) Identificação do fornecedor de cada Cookie (próprio da SharkBot ou de terceiro);
c) Finalidade específica de cada Cookie;
d) Categoria a que pertence (estritamente necessário, funcional, analítico, marketing);
e) Prazo de persistência (sessão, dias, meses, anos);
f) Domínio ao qual pertence (próprio do sítio ou de terceiro);
g) Base legal aplicável;
h) Indicação de transferência internacional dos dados, quando aplicável, com país de destino;
i) Link para a política de privacidade do fornecedor , em Cookies de terceiros;
j) Mecanismos de gerenciamento e revogação;
k) Procedimento para esclarecimentos adicionais, com indicação do Canal do Encarregado.
14.5.3. Da disponibilização. A Política de Cookies é disponibilizada:
a) No banner inicial de Cookies, mediante link de fácil acesso;
b) No rodapé do sítio , em todas as páginas;
c) No painel de preferências de Cookies;
d) Mediante requerimento ao Canal do Encarregado, em caso de dúvida específica.
14.5.4. Da atualização da Política de Cookies. A Política de Cookies é objeto de revisão periódica , com atualização conforme:
a) alteração das categorias ou dos Cookies em uso;
b) alteração de fornecedores;
c) evolução da regulamentação aplicável;
d) alteração das finalidades ou das bases legais;
e) evolução das boas práticas em transparência sobre Cookies.
14.5.5. Do versionamento. A SharkBot mantém histórico de versões da Política de Cookies, com identificação das alterações relevantes e das datas de vigência, em harmonia com o regime geral de atualização desta Política (Cláusula Décima Quinta).
14.6.1. Do reconhecimento. Cookies de fornecedores estrangeiros — em particular Cookies analíticos e de marketing — envolvem, frequentemente, transferência internacional de dados para as jurisdições de operação dos respectivos provedores.
14.6.2. Do regime aplicável. A transferência internacional de dados via Cookies observa o regime da Cláusula Oitava desta Política, com:
a) identificação dos países de destino na Política de Cookies anexa;
b) instrumentos de proteção aplicáveis (cláusulas -padrão, DPAs dos provedores);
c) salvaguardas técnicas e administrativas;
d) direito de informação do Visitante sobre os destinos.
14.6.3. Da independência das políticas dos provedores. Os Cookies de terceiros são regidos, em parte, pelas políticas de privacidade dos respectivos provedores, com responsabilidade autônoma desses controladores. A SharkBot:
a) Realiza diligência prévia sobre os provedores adotados;
b) Privilegia provedores com práticas compatíveis com a LGPD;
c) Mantém transparência sobre os provedores em uso, na Política de Cookies anexa;
d) Disponibiliza links para as políticas dos respectivos provedores.
14.7.1. Da preservação de direitos. O Visitante preserva integralmente os direitos previstos na Cláusula Décima Segunda desta Política em relação aos dados coletados via Cookies, em particular:
a) Direito à informação clara sobre os Cookies utilizados;
b) Direito de acesso aos dados coletados;
c) Direito de revogar consentimento previamente concedido;
d) Direito de oposição em hipóteses específicas;
e) Direito de petição à ANPD;
f) Direito a esclarecimentos adicionais , mediante manifestação ao Canal do Encarregado.
14.7.2. Do exercício pelo Visitante. O exercício dos direitos é facilitado:
a) Pelos mecanismos do banner e do painel de preferências (gestão direta);
b) Pelas configurações do navegador (gestão técnica);
c) Pelo Canal do Encarregado (gestão institucional), conforme a Cláusula Primeira, item 1.4, e a Cláusula Décima Segunda, item 12.9.
14.8.1. Da articulação com a Cláusula Sexta. As bases legais identificadas nesta Cláusula observam o regime geral da Cláusula Sexta desta Política, em particular o item 6.5 (Visitantes).
14.8.2. Da articulação com a Cláusula Sétima. Os provedores de Cookies de terceiros (analíticos, marketing) observam, em adição, o regime de compartilhamento da Cláusula Sétima , item 7.5.
14.8.3. Da articulação com a Cláusula Oitava. Cookies envolvendo transferência internacional observam, em adição, o regime da Cláusula Oitava , item 14.6.
14.8.4. Da articulação com a Cláusula Décima Segunda. O exercício de direitos pelo Visitante observa o regime da Cláusula Décima Segunda , item 12.9.
14.8.5. Da evolução regulatória. O regime de Cookies está em evolução regulatória — em particular, a ANPD pode editar Resoluções específicas sobre o tema, em complemento ao Guia Orientativo atual. A SharkBot acompanha a evolução e adequa suas práticas conforme aplicável.
14.8.6. Da incorporação de inovações técnicas. A evolução técnica pode introduzir novas Tecnologias Similares (alternativas a Cookies, fingerprinting , server -side tracking ). A SharkBot adota, em relação a essas tecnologias, postura institucional compatível com o regime desta Cláusula — transparência, consentimento quando aplicável, vedação a dark patterns , atualização da Política de Cookies anexa.
14.8.7. Do esclarecimento adicional. O Visitante que tenha dúvida sobre Cookies utilizados pela SharkBot pode:
a) Consultar a Política de Cookies anexa, com detalhamento técnico;
b) Acessar o painel de preferências no sítio;
c) Dirigir -se ao Canal do Encarregado para esclarecimentos adicionais, identificado na Cláusula Primeira, item 1.4.
15.1.1. A presente Cláusula apresenta as disposições finais aplicáveis a esta Política de Privacidade, disciplinando seu regime de atualização , sua vigência , sua aplicação aos diferentes grupos de titulares, sua lei aplicável e foro , e estabelecendo regras interpretativas residuais que asseguram coerência sistêmica ao instrumento.
15.1.2. Da finalidade. Esta Cláusula tem por finalidade:
a) Estabelecer o regime de atualização e versionamento da Política;
b) Disciplinar a comunicação de alterações aos titulares;
c) Reafirmar a aplicação diferenciada aos três grupos de titulares — Vendedor, Consumidor Final, Visitante;
d) Identificar a lei aplicável e o foro , em harmonia com a Cláusula Quadragésima Quarta dos Termos de Uso;
e) Reafirmar a preservação dos direitos imperativos do titular, em particular do consumidor titular nas hipóteses excepcionais de aplicação do Código de Defesa do Consumidor;
f) Estabelecer regras interpretativas residuais ;
g) Indicar a data de vigência desta versão da Política e o canal de esclarecimentos.
15.1.3. Do princípio orientador. A SharkBot adota, em matéria de disposições finais, os seguintes princípios:
a) Estabilidade com adaptabilidade: a Política tem caráter estável, mas comporta atualizações tempestivas conforme evolução regulatória, técnica e operacional;
b) Transparência nas alterações: alterações relevantes são comunicadas aos titulares, com antecedência razoável quando viável;
c) Preservação de direitos adquiridos: alterações não retroagem sobre direitos previamente exercidos ou consentimentos previamente concedidos, ressalvada a aplicação de novas regras a tratamentos futuros;
d) Coerência sistêmica: harmonização permanente com os Termos de Uso, com os Anexos e com a evolução normativa aplicável;
e) Acessibilidade contínua: versões anteriores acessíveis ao titular para fins de informação e demonstração de conformidade.
15.1.4. Do fundamento. Esta Cláusula observa, cumulativamente:
a) art. 9º da LGPD , quanto ao direito do titular à informação sobre o tratamento;
b) art. 6º, VI, da LGPD , quanto ao princípio da transparência;
c) arts. 421 e 422 do Código Civil , quanto à boa -fé objetiva;
d) Marco Civil da Internet (Lei nº 12.965/2014), quanto a padrões de comunicação digital;
e) regulamentação da ANPD sobre transparência;
f) art. 51, VII, do Código de Defesa do Consumidor , nas hipóteses excepcionais de aplicação;
g) boas práticas internacionais em matéria de versionamento e atualização de Políticas de Privacidade.
15.1.5. Da articulação sistêmica. Esta Cláusula articula -se, de forma estruturante, com:
a) todas as Cláusulas anteriores desta Política , naquilo que se refere a alterações específicas;
b) a Cláusula Trigésima Nona dos Termos de Uso , quanto ao regime contratual de alterações de Termos;
c) a Cláusula Quadragésima Quarta dos Termos , quanto ao foro competente e à lei aplicável;
d) a Cláusula Quadragésima Segunda dos Termos , quanto ao regime geral de comunicações;
e) a Política de Privacidade do Vendedor , quando aplicável, na operação de cada Vendedor com seus Consumidores Finais.
15.2.1. Do direito de atualização. A SharkBot poderá atualizar esta Política de Privacidade a qualquer tempo, em razão de:
a) Alterações na legislação aplicável , em particular na LGPD e em legislação correlata;
b) Edição de regulamentação pela ANPD ou por outras autoridades competentes;
c) Decisões judiciais ou administrativas relevantes que afetem a interpretação aplicável;
d) Evolução das práticas de proteção de dados, em particular em matéria de IA e de novas tecnologias;
e) Novas funcionalidades da Plataforma SharkBot;
f) Alterações na arquitetura técnica ou em Subprocessadores;
g) Aprimoramento da redação , da clareza ou da organização do instrumento;
h) Incorporação de lições aprendidas em incidentes ou em fiscalizações;
i) Adequação a operações societárias da SharkBot.
15.2.2. Da tipologia das alterações. As alterações podem ser:
a) Alterações Substanciais: aquelas que impactam materialmente o tratamento de dados, os direitos do titular, as bases legais aplicáveis ou a estrutura de papéis. Exemplos: alteração da configuração de papéis (Cláusula Terceira), inclusão de novas finalidades (Cláusula Sexta), alter ação de prazos de retenção (Cláusula Nona), alteração do regime de IA (Cláusula Décima Primeira);
b) Alterações Não -Substanciais: aquelas de caráter clarificador, editorial, organizacional, corretivo ou de atualização de elementos técnicos sem impacto material. Exemplos: ajustes de redação, atualização de relação de Subprocessadores no rol exemplificativo, atualização de identificaç ão cadastral, melhorias de clareza;
c) Alterações Imediatas por Imposição Legal: aquelas decorrentes de exigência legal, regulatória, judicial ou de autoridade que demande vigência imediata. Exemplos: edição de Resolução da ANPD com vigência imediata, decisão judicial que afete a operação, ordem de autoridade.
15.2.3. Do regime de comunicação.
a) Para Alterações Substanciais: (i) comunicação aos titulares com antecedência mínima de 30 (trinta) dias corridos em relação à entrada em vigor, quando viável;
(ii) comunicação por canais oficiais , em particular: e-mail cadastrado do Vendedor; notificação na área logada da Plataforma; banner ou aviso destacado no sítio institucional; comunicado em destaque ao Visitante quando aplicável;
(iii) destaque das modificações principais, com indicação clara dos pontos alterados;
(iv) identificação da data de entrada em vigor das novas disposições;
(v) quando a alteração envolver revogação ou substituição de consentimento previamente concedido , manifestação específica do titular para a nova configuração, em harmonia com o art.
8º da LGPD;
b) Para Alterações Não -Substanciais: (i) publicação do texto atualizado no sítio institucional, com indicação da data da última revisão;
(ii) comunicação informativa pelos canais ordinários, sem exigência de prazo específico de antecedência;
(iii) registro da versão no histórico, conforme item 15.3.
c) Para Alterações Imediatas por Imposição Legal: (i) podem entrar em vigor imediatamente ou em prazo reduzido compatível com a natureza da imposição;
(ii) são comunicadas aos titulares pelos canais oficiais, com a celeridade possível, inclusive de forma simultânea ou posterior à vigência, conforme o caso;
(iii) apresentam fundamentação da excepcionalidade, ressalvadas hipóteses de sigilo legal aplicável.
15.2.4. Do dever de leitura. Os titulares são instados a revisar periodicamente esta Política, especialmente quando recebam comunicação sobre alterações relevantes. A continuidade da utilização da Plataforma, do sítio institucional ou da interação com os canais oficiais após a vigência das alterações caracteriza ciência das novas disposições.
15.2.5. Da preservação dos direitos do titular. Em alterações substanciais, o titular preserva o direito de:
a) Solicitar esclarecimentos sobre as alterações pelo Canal do Encarregado;
b) Exercer os direitos previstos na Cláusula Décima Segunda, em particular em relação aos dados sob tratamento;
c) Apresentar reclamação à ANPD se entender que a alteração viola a LGPD;
d) Em hipóteses específicas , revogar consentimento previamente concedido se a alteração afeta as condições do tratamento consentido;
e) Em relação ao Vendedor , rescindir a relação contratual em harmonia com a Cláusula Trigésima Nona dos Termos de Uso, quando a alteração da Política configurar alteração substancial dos Termos.
15.2.6. Da articulação com a Cláusula 39ª dos Termos. O regime de alterações desta Política harmoniza -se com a Cláusula Trigésima Nona dos Termos de Uso , observada a prevalência da Cláusula 39ª dos Termos em matéria contratual e a prevalência desta Cláusula em matéria de proteção de dados ao titular leigo, em harmonia com o item 3.9.2 desta Política.
15.3.1. Do princípio. A SharkBot mantém histórico das versões anteriores desta Política de Privacidade, em harmonia com o princípio da transparência e com o direito do titular à informação sobre o tratamento.
15.3.2. Do conteúdo do histórico. O histórico contém, para cada versão:
a) Identificação numérica da versão (ex.: 1.0, 1.1, 2.0);
b) Data de publicação da versão;
c) Data de entrada em vigor ;
d) Data de superação pela versão seguinte, quando aplicável;
e) Resumo das alterações relevantes em relação à versão anterior ( changelog );
f) Texto integral da versão.
15.3.3. Da disponibilização. O histórico é disponibilizado:
a) No sítio institucional da SharkBot, em área específica de fácil acesso, em particular no rodapé do sítio;
b) Mediante requerimento ao Canal do Encarregado, quando o titular necessitar de versão específica para fins probatórios ou de exercício de direitos;
c) Pelo prazo mínimo de 5 (cinco) anos contados da superação de cada versão, sem prejuízo de prazos mais longos quando aplicáveis (em particular prazos prescricionais de pretensões eventualmente baseadas na versão).
15.3.4. Da aplicabilidade da versão na controvérsia. Em caso de controvérsia sobre a aplicação de versão específica desta Política a fato concreto, prevalece:
a) A versão vigente na data do fato gerador da pretensão, para efeitos substantivos;
b) A versão vigente no momento da manifestação do titular para tratamentos cuja base legal seja consentimento, em relação ao escopo do consentimento concedido;
c) A versão mais favorável ao titular , em caso de dúvida razoável sobre a vigência aplicável quando inexista distinção clara nos elementos anteriores.
15.4.1. Da integração aos Termos. Para o Vendedor, esta Política de Privacidade integra os Termos de Uso da Plataforma SharkBot como Anexo vinculante , conforme estabelecido na Cláusula Segunda dos Termos.
15.4.2. Da consequência da integração. A aceitação dos Termos pelo Vendedor:
a) Importa em ciência integral desta Política;
b) Importa em concordância com seu conteúdo, ressalvadas as bases legais que dependem de manifestação específica (consentimento, em hipóteses pontuais);
c) Submete o Vendedor ao regime de proteção de dados aqui estabelecido, em harmonia com o regime contratual dos Termos.
15.4.3. Da hierarquia interpretativa. A relação contratual entre Vendedor e SharkBot é regida prioritariamente pelos Termos de Uso , complementados por esta Política nos pontos relativos a tratamento de Dados Pessoais. Em caso de divergência interpretativa entre os dois instrumentos:
a) Prevalece, em matéria contratual, a Cláusula correspondente dos Termos ;
b) Prevalece, em matéria de transparência aos titulares e de proteção de dados, esta Política ;
c) Prevalece, em matéria de norma imperativa, a LGPD ou a regulamentação da ANPD .
15.4.4. Da relação do Vendedor com seus próprios titulares. O Vendedor permanece, em sua qualidade de Controlador Principal dos dados de seus Consumidores Finais, responsável por:
a) Manter Política de Privacidade própria dirigida aos seus Consumidores Finais;
b) Disponibilizar canais próprios de exercício de direitos pelos Consumidores Finais;
c) Cumprir as obrigações decorrentes da LGPD em sua relação direta com os titulares.
15.4.5. Do compromisso institucional. A SharkBot pode, em apoio à conformidade do ecossistema:
a) Disponibilizar materiais educativos aos Vendedores sobre LGPD;
b) Oferecer modelos de Política de Privacidade ou orientações operacionais;
c) Cooperar com Vendedores no atendimento de demandas dos Consumidores Finais quando aplicável.
15.5.1. Do esclarecimento ao Consumidor Final. Para o Consumidor Final, esta Política de Privacidade descreve:
a) O papel da SharkBot na cadeia de tratamento dos seus dados, em harmonia com a Cláusula Terceira;
b) As finalidades próprias em que a SharkBot atua como Controladora autônoma (item 3.5);
c) Os direitos preservados do Consumidor Final perante a SharkBot;
d) Os canais disponíveis para exercício de direitos.
15.5.2. Da relação primária com o Vendedor. A relação primária do Consumidor Final em proteção de dados é com o Vendedor que opera o Bot com o qual interagiu, na qualidade de Controlador Principal. Esta Política não substitui a Política de Privacidade do Vendedor, que é o documento principal de transparência aplicável à operação concretamente envolvida.
15.5.3. Da função complementar desta Política. Esta Política, em relação ao Consumidor Final, cumpre a função de:
a) Esclarecer o papel da SharkBot na infraestrutura;
b) Disciplinar as finalidades próprias em que a SharkBot atua como Controladora autônoma;
c) Disponibilizar canal subsidiário de exercício de direitos, conforme a Cláusula Décima Segunda, item 12.8;
d) Prestar orientação sobre o canal correto.
15.5.4. Da preservação integral dos direitos. Sem prejuízo do regime de papéis, o Consumidor Final preserva integralmente os direitos previstos na LGPD, com canais e mecanismos efetivos para seu exercício, conforme a Cláusula Décima Segunda.
15.6.1. Do escopo. Para o Visitante do sítio institucional ou dos canais de comunicação correlatos, esta Política descreve:
a) Os Dados Pessoais tratados em razão do acesso (item 4.4);
b) As finalidades aplicáveis (item 6.5);
c) O regime de Cookies (Cláusula Décima Quarta);
d) Os direitos preservados do Visitante (Cláusula Décima Segunda, item 12.9).
15.6.2. Da complementaridade da Política de Cookies. Para o Visitante, esta Política é complementada pela Política de Cookies específica, integrante como Anexo, com detalhamento técnico do uso de Cookies e Tecnologias Similares.
15.7.1. Da lei aplicável. Esta Política rege -se pela legislação brasileira , em particular:
a) Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) ;
b) Lei nº 12.965/2014 — Marco Civil da Internet ;
c) Código Civil (Lei nº 10.406/2002);
d) Código de Defesa do Consumidor (Lei nº 8.078/1990), nas hipóteses excepcionais de aplicação;
e) Constituição Federal , em particular nos direitos fundamentais aplicáveis;
f) Regulamentação da ANPD ;
g) Demais normas brasileiras aplicáveis ao tratamento de Dados Pessoais.
15.7.2. Do foro competente. O foro competente para dirimir controvérsias relativas a esta Política observa o regime estabelecido na Cláusula Quadragésima Quarta dos Termos de Uso , com:
a) Foro de eleição indicado nos Termos, para a relação contratual entre SharkBot e Vendedor;
b) Preservação do direito do consumidor titular ao foro de seu domicílio , nas hipóteses excepcionais de relação de consumo, em conformidade com o art. 101, I, do Código de Defesa do Consumidor ;
c) Preservação do direito de petição à ANPD , independentemente de foro;
d) Preservação do direito de buscar tutela jurisdicional em hipóteses cabíveis;
e) Preservação dos direitos imperativos previstos em lei.
15.7.3. Da articulação com regime de resolução de conflitos. Para a relação entre SharkBot e Vendedor, eventuais controvérsias observam, em adição, o regime de resolução extrajudicial de conflitos estabelecido na Cláusula Quadragésima Terceira dos Termos de Uso , com:
a) Tratativa formal prévia ;
b) Mediação ;
c) Eventual arbitragem facultativa ;
d) Jurisdição estatal como via residual.
15.7.4. Da preservação imperativa em matéria de consumo. Nas hipóteses excepcionais em que a relação seja enquadrada como de consumo, em conformidade com a Lei nº 8.078/1990:
a) Aplicam -se as normas imperativas do CDC;
b) Fica afastada , em relação ao consumidor reconhecido, eventual cláusula que lhe seja contrária às normas imperativas, em particular nos termos do art. 51 do CDC ;
c) Preserva -se o direito ao foro do domicílio do consumidor (art. 101, I, CDC);
d) Preservam -se os demais direitos imperativos previstos no CDC.
15.7.5. Da sobrevivência das demais disposições. A aplicação excepcional do CDC nas hipóteses do item 15.7.4 não prejudica a validade das demais disposições desta Política, que permanecem eficazes na parte compatível com o regime consumerista.
15.8.1. Do princípio. Em caso de dúvida razoável na interpretação desta Política, prevalece a interpretação que assegure maior proteção ao titular , em harmonia com a finalidade protetiva da LGPD e com o item 3.10.3 desta Política.
15.8.2. Da boa -fé interpretativa. As disposições desta Política são interpretadas com boa-fé objetiva (art. 422 do Código Civil), considerando:
a) A finalidade protetiva da LGPD;
b) A função social da relação de tratamento;
c) A expectativa razoável do titular;
d) O contexto da relação concretamente envolvida;
e) A vedação ao abuso de direito (art. 187 do Código Civil).
15.8.3. Da interpretação harmônica. Esta Política é interpretada harmonicamente :
a) Com a LGPD e com a regulamentação da ANPD, com prevalência das normas imperativas;
b) Com os Termos de Uso , em harmonia com a Cláusula Trigésima Quarta dos Termos;
c) Com os demais Anexos , em particular a Política de Cookies;
d) Com as Cláusulas internas , evitando -se contradições entre Cláusulas;
e) Em favor da unidade sistêmica do regime de proteção de dados da SharkBot.
15.8.4. Da preservação imperativa. Nenhuma disposição desta Política pode ser interpretada no sentido de:
a) Afastar normas imperativas da LGPD ou de outras leis aplicáveis;
b) Restringir direitos imperativos do titular;
c) Permitir interpretação contra o titular quando exista interpretação compatível com seus direitos;
d) Configurar renúncia a direitos pelo titular além dos limites legalmente admitidos.
15.8.5. Da prevalência da realidade. Em caso de eventual descompasso entre o texto desta Política e a operação efetiva, prevalece a realidade — a SharkBot adequa imediatamente sua operação ao regime declarado nesta Política, ou alternativamente promove a atualização tempestiva da Política para refletir a operação efetiva, com a comunicação aos titulares conforme o item 15.2.
15.9.1. Da versão atual. A presente versão desta Política de Privacidade é identificada como:
a) Versão: 1.0;
b) Data de publicação: 10 de maio de 2026 ;
c) Data de entrada em vigor: 12 de maio de 2026.
15.9.2. Da continuidade. Esta versão permanece em vigor até a publicação de versão superveniente, conforme o regime de atualização do item 15.2.
15.9.3. Da disponibilização permanente. Esta Política é disponibilizada permanentemente:
a) No sítio institucional da SharkBot, em área de fácil acesso, em particular no rodapé do sítio;
b) Na área logada da Plataforma, para acesso pelo Vendedor;
c) Mediante requerimento ao Canal do Encarregado, para versão impressa ou em formato específico, quando solicitado.
15.10.1. Do canal preferencial. Para esclarecimentos sobre esta Política, sobre o tratamento de Dados Pessoais pela SharkBot ou sobre o exercício de direitos, o titular dirige -se ao Canal do Encarregado , identificado na Cláusula Primeira, item 1.4 , desta Política, com:
a) Resposta gratuita , em conformidade com o art. 19, §3º, da LGPD;
b) Linguagem clara e acessível ;
c) Tempestividade compatível com a natureza da questão.
15.10.2. Dos demais canais. Para matérias correlatas — não diretamente relacionadas a proteção de dados —, o titular utiliza os canais específicos identificados na Cláusula Primeira, item 1.5 , desta Política:
a) Canal de Suporte , para questões operacionais;
b) Canal Ético , para denúncias específicas;
c) Canal de Notice & Takedown , para denúncias de conteúdo;
d) Demais canais oficiais publicados pela SharkBot.
15.10.3. Da reclamação à ANPD. Independentemente do atendimento prestado pela SharkBot, o titular preserva o direito de apresentar reclamação à ANPD , pelos canais oficiais da autoridade, em https://www.gov.br/anpd , em harmonia com o art. 18, §1º, da LGPD e com a Cláusula Décima Segunda, item 12.5, desta Política.
15.11.1. Da unidade do instrumento. Esta Política, em sua integralidade, constitui instrumento único e indivisível de transparência sobre o tratamento de Dados Pessoais pela SharkBot. As Cláusulas anteriores e a presente Cláusula são interpretadas de modo articulado, sem que a eventual invalidade de Cláusula específica afete a validade do conjunto.
15.11.2. Da não -renúncia. A eventual tolerância da SharkBot quanto a aspectos específicos do tratamento ou ao exercício de direitos pelos titulares não configura renúncia a direitos ou a posições futuras, salvo manifestação expressa em sentido contrário.
15.11.3. Da cessão e da sucessão. Em caso de cessão da posição contratual ou de sucessão da SharkBot — incluindo operações societárias —, esta Política e as obrigações dela decorrentes acompanham a sucessora, em harmonia com a Cláusula Sétima, item 7.7, desta Política e com a Cláusula Qua dragésima dos Termos de Uso.
15.11.4. Da articulação com os Anexos. Esta Política é complementada pelos seguintes Anexos:
a) Política de Cookies , conforme a Cláusula Décima Quarta;
b) Política de Segurança da Informação , conforme a Cláusula Décima, item 10.6;
c) Eventuais demais Anexos que venham a ser editados em apoio operacional ao regime aqui estabelecido.
15.11.5. Da sobrevivência. As disposições desta Política sobrevivem ao término da relação contratual entre SharkBot e Vendedor, no que couber, em particular quanto a:
a) Validade do tratamento já realizado durante a vigência;
b) Retenções legítimas pós -término (Cláusula Nona);
c) Direitos do titular preservados mesmo após o término;
d) Disposições sobre cooperação com autoridades em fatos pretéritos;
e) Disposições sobre responsabilidade por violações ocorridas durante a vigência; em harmonia com a Cláusula Quadragésima Quinta dos Termos de Uso (Sobrevivência de Cláusulas).
15.12.1. Do compromisso institucional. A SharkBot reafirma seu compromisso institucional permanente com a proteção dos Dados Pessoais sob seu tratamento, com a transparência perante os titulares, com a observância da LGPD e com a evolução contínua de suas práticas em harmonia com o estado da regulação e da técnica.
15.12.2. Do convite à interlocução. A SharkBot convida os titulares — Vendedores, Consumidores Finais e Visitantes — a manterem interlocução ativa pelo Canal do Encarregado, contribuindo, com suas dúvidas, sugestões e reclamações, para o aprimoramento contínuo do regime de proteção de dados da SharkBot.
15.12.3. Da boa -fé recíproca. As disposições desta Política são executadas com boa-fé objetiva entre SharkBot e titulares, em harmonia com os princípios da LGPD e com a função social da proteção de dados como direito fundamental.
Este documento é a reprodução integral do instrumento oficial. Em caso de divergência de formatação, prevalece o PDF oficial.