Contrato de Tratamento de Dados Pessoais (DPA)

Documento: Data Processing Agreement (DPA) — Acordo de Operação de Dados Pessoais Sistema: Pontou — Registro Eletrônico de Ponto Versão: 1.0 — 07/04/2026 Modalidade: Aceite eletrônico

1. Partes

1.1 Operadora dos Dados

CYBX TECNOLOGIA E ASSESSORIA LTDA CNPJ: 60.045.537/0001-08 Endereço: Avenida Dom Pedro II, 207 — Jardim América, Assis Chateaubriand/PR, CEP 85.935-005 Encarregado de Dados (DPO): [email protected] ("CYBX", "Operadora")

1.2 Controladora dos Dados

[Empresa Contratante] CNPJ: [CNPJ da Empresa] Endereço: [Endereço da Empresa] E-mail de contato (LGPD): [E-mail de contato da Empresa] ("Cliente", "Controladora")

As partes acima qualificadas firmam o presente Contrato de Tratamento de Dados Pessoais ("DPA"), nos termos do Art. 39 da Lei nº 13.709/2018 (LGPD), que regerá o tratamento de dados pessoais realizado pela CYBX em nome da Controladora durante a prestação dos serviços do sistema Pontou.

Este DPA é parte indissociável dos Termos de Uso e da Política de Privacidade do Pontou.

2. Definições

Para os fins deste DPA, considera-se:

• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável (LGPD Art. 5º, I)
• Dados Pessoais Sensíveis: dados sobre origem racial, convicção religiosa, dado biométrico, etc. (LGPD Art. 5º, II)
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, armazenamento, eliminação, etc.)
• Controladora: [Empresa Contratante], a quem competem as decisões referentes ao tratamento dos dados de seus funcionários
• Operadora: CYBX, que realiza o tratamento de dados pessoais em nome da Controladora
• Titular: pessoa natural a quem se referem os dados pessoais — neste contexto, os funcionários da Controladora
• Subprocessador: terceiro contratado pela CYBX para executar parte do tratamento (ex.: hospedagem, e-mail, gateway de pagamento)
• Incidente de Segurança: qualquer evento que possa acarretar risco ou dano relevante aos titulares
• ANPD: Autoridade Nacional de Proteção de Dados

3. Objeto

3.1. Este DPA tem por objeto estabelecer as condições e obrigações relativas ao tratamento de dados pessoais realizado pela CYBX, na qualidade de Operadora, em nome de [Empresa Contratante], na qualidade de Controladora, durante a utilização da plataforma Pontou.

3.2. A CYBX trata os dados pessoais exclusivamente conforme as instruções da Controladora, nos limites deste DPA, dos Termos de Uso e da Política de Privacidade.

3.3. A CYBX não utiliza os dados pessoais para finalidades próprias, comerciais ou de marketing, nem para treinamento de modelos de inteligência artificial.

4. Natureza, finalidade e duração do tratamento

4.1 Natureza

O tratamento é realizado por meio do sistema Pontou, plataforma SaaS de Registro Eletrônico de Ponto via Programa (REP-P), em conformidade com a Portaria MTP nº 671/2021.

4.2 Finalidades específicas

• Registro eletrônico de ponto e controle de jornada de trabalho
• Cálculo de horas normais, extras, banco de horas, intervalos e adicional noturno
• Geração de documentos legais (AFD, AEJ, espelho de ponto, comprovantes assinados)
• Validação de identidade do funcionário no momento da marcação
• Comunicação operacional com gestores e funcionários
• Cumprimento de obrigações legais trabalhistas pela Controladora

4.3 Duração

4.3.1. O tratamento ocorre durante toda a vigência do contrato entre [Empresa Contratante] e a CYBX para uso do Pontou.

4.3.2. Após o término do contrato, a CYBX manterá os dados pelos prazos legais aplicáveis (vide seção 13) e os eliminará conforme o cronograma estabelecido.

5. Categorias de dados pessoais tratados

5.1 Dados pessoais comuns dos funcionários

• Nome completo, CPF, matrícula, cargo, função, data de admissão
• E-mail e telefone (quando fornecidos)
• Jornada contratada, escala, turno
• Horários de marcação (entrada, saída, intervalos)
• Foto/selfie capturada no momento da marcação
• Coordenadas GPS no momento da marcação
• Identificação do dispositivo (fingerprint, IP, user-agent)
• PIN/senha pessoal (armazenada com hash)
• Logs de acesso e atividade

5.2 Dados pessoais sensíveis

• Template biométrico facial (vetor numérico irreversível derivado da face), tratado somente quando a Controladora habilitar a função de reconhecimento facial e o funcionário consentir expressamente por meio do Termo de Consentimento Biométrico

5.3 Categorias de titulares

• Funcionários celetistas (CLT) vinculados a [Empresa Contratante]
• Aprendizes, estagiários e trabalhadores temporários sob responsabilidade da Controladora

6. Obrigações da Operadora (CYBX)

A CYBX, na qualidade de Operadora, compromete-se a:

6.1 Tratamento conforme instruções

6.1.1. Tratar os dados pessoais exclusivamente conforme as instruções documentadas da Controladora, salvo quando exigido por lei ou ordem judicial.

6.1.2. Notificar imediatamente a Controladora caso receba uma instrução que, em sua avaliação, viole a LGPD ou outra norma de proteção de dados.

6.2 Confidencialidade

6.2.1. Garantir que toda pessoa autorizada a tratar os dados pessoais esteja submetida a obrigação de confidencialidade.

6.2.2. Limitar o acesso aos dados pessoais aos funcionários e contratados da CYBX que necessitem conhecê-los para a prestação do Serviço, sob princípio do menor privilégio.

6.3 Segurança

6.3.1. Implementar medidas técnicas e organizacionais adequadas para garantir a segurança dos dados pessoais, conforme detalhado na seção 9 deste DPA.

6.4 Atendimento aos direitos dos titulares

6.4.1. Auxiliar a Controladora, na medida do possível, no atendimento aos pedidos de exercício dos direitos dos titulares previstos no Art. 18 da LGPD.

6.4.2. Disponibilizar funcionalidades dentro da Plataforma para que os titulares possam acessar, corrigir e revogar o consentimento de forma autônoma, quando aplicável.

6.5 Notificação de incidentes

6.5.1. Notificar a Controladora em até 24 (vinte e quatro) horas após tomar ciência de qualquer incidente de segurança que envolva os dados pessoais tratados em nome de [Empresa Contratante].

6.5.2. Fornecer todas as informações relevantes sobre o incidente, conforme exigido pelo Art. 48 da LGPD.

6.5.3. Cooperar com a Controladora na comunicação à ANPD e aos titulares afetados, quando exigida por lei.

6.6 Auxílio na conformidade

6.6.1. Auxiliar a Controladora a cumprir suas obrigações legais relativas a:

• Notificação de incidentes à ANPD e aos titulares
• Elaboração de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD)
• Atendimento a fiscalizações e investigações da ANPD

6.7 Devolução e eliminação

6.7.1. Ao término do contrato, devolver ou eliminar todos os dados pessoais tratados em nome da Controladora, conforme a opção desta e respeitados os prazos legais de retenção (CLT Art. 74 + prescrição trabalhista).

6.7.2. Disponibilizar à Controladora, durante 30 (trinta) dias após o término do contrato, ferramentas para exportação completa dos dados em formatos abertos.

6.8 Auditoria

6.8.1. Disponibilizar à Controladora, mediante solicitação razoável e com aviso prévio mínimo de 15 dias, as informações necessárias para demonstrar o cumprimento das obrigações deste DPA.

6.8.2. Para clientes corporativos com requisitos específicos, pode ser acordada auditoria presencial mediante assinatura de NDA, com custos arcados pela Controladora.

6.9 Registro de operações

6.9.1. Manter registro das operações de tratamento de dados pessoais realizadas em nome da Controladora, conforme Art. 37 da LGPD.

7. Obrigações da Controladora

[Empresa Contratante], na qualidade de Controladora, compromete-se a:

7.1 Base legal e finalidade

7.1.1. Garantir que possui base legal adequada para o tratamento dos dados pessoais inseridos na Plataforma, em especial para o registro de jornada (CLT Art. 74) e para o uso de biometria (consentimento específico do titular).

7.1.2. Definir e documentar as finalidades específicas do tratamento.

7.2 Informação aos titulares

7.2.1. Informar adequadamente seus funcionários sobre o uso da Plataforma Pontou, suas finalidades, bases legais e direitos como titulares.

7.2.2. Disponibilizar aos funcionários a Política de Privacidade do Pontou e o Termo de Consentimento Biométrico (quando aplicável).

7.3 Consentimento biométrico

7.3.1. Obter o consentimento específico, livre e informado de cada funcionário antes do cadastro biométrico, por meio do Termo de Consentimento Biométrico fornecido pelo Pontou.

7.3.2. Garantir que nenhum funcionário sofra prejuízo ou retaliação por recusar o uso de biometria, oferecendo-lhe os métodos alternativos disponíveis (PIN + foto + GPS).

7.4 Qualidade dos dados

7.4.1. Manter os dados dos funcionários atualizados, precisos e completos.

7.4.2. Comunicar prontamente desligamentos para que os dados sejam tratados conforme as políticas de retenção e eliminação.

7.5 Atendimento aos titulares

7.5.1. Atender aos pedidos de exercício dos direitos dos titulares, conforme Art. 18 da LGPD.

7.5.2. Comunicar à CYBX os pedidos que dependam de ação técnica na Plataforma.

7.6 Uso lícito da Plataforma

7.6.1. Utilizar a Plataforma apenas para finalidades legítimas e em conformidade com a legislação trabalhista e de proteção de dados.

7.6.2. Não inserir dados pessoais de pessoas que não sejam funcionários ou prestadores de serviço sob sua responsabilidade.

7.7 Segurança das credenciais

7.7.1. Manter a segurança das credenciais de acesso de seus gestores e administradores.

7.7.2. Comunicar imediatamente à CYBX qualquer suspeita de acesso não autorizado.

8. Subprocessadores

8.1 Autorização geral

8.1.1. A Controladora autoriza a CYBX a contratar subprocessadores para auxiliar na prestação do Serviço, conforme lista atualizada disponível em https://pontou.com.br/subprocessadores.

8.2 Lista atual de subprocessadores

8.3 Obrigações dos subprocessadores

8.3.1. A CYBX compromete-se a contratar apenas subprocessadores que ofereçam garantias suficientes de segurança e proteção de dados.

8.3.2. A CYBX firmará com cada subprocessador instrumento contratual contendo obrigações de proteção de dados equivalentes às deste DPA.

8.3.3. A CYBX permanece integralmente responsável perante a Controladora pelos atos dos subprocessadores.

8.4 Notificação de mudanças

8.4.1. A CYBX notificará a Controladora com 30 (trinta) dias de antecedência sobre qualquer alteração na lista de subprocessadores.

8.4.2. A Controladora terá direito de objetar à mudança no prazo de 15 dias. Caso a objeção seja considerada razoável e não possa ser resolvida, a Controladora poderá rescindir o contrato sem multa.

9. Medidas técnicas e organizacionais de segurança

A CYBX implementa as seguintes medidas para proteger os dados pessoais tratados em nome de [Empresa Contratante]:

9.1 Medidas técnicas

• Criptografia em trânsito: TLS 1.3 obrigatório em todas as comunicações
• Criptografia em repouso: AES-256 para dados sensíveis (templates biométricos, senhas)
• Hash de senhas: bcrypt com custo 12
• Hash de integridade: SHA-256 em cada marcação de ponto (conforme Portaria 671)
• Tokens JWT: curta duração (15 minutos) com refresh token rotativo
• Banco de dados: PostgreSQL com Row-Level Security (RLS) multi-tenant
• Backups: diários, criptografados, com retenção de 30 dias
• Monitoramento: 24/7 com alertas automáticos (Uptime Robot)
• Atualizações de segurança: aplicadas regularmente

9.2 Medidas organizacionais

• Controle de acesso baseado em papéis (RBAC): admin, gestor, contador, DP, funcionário
• Princípio do menor privilégio: cada usuário tem apenas as permissões necessárias
• Logs de auditoria: acessos administrativos retidos por 6 meses
• Treinamento: equipe da CYBX recebe treinamento periódico em proteção de dados
• Plano de Resposta a Incidentes: documentado e testado
• Política de senhas fortes: aplicada a todos os usuários internos
• Acordo de Confidencialidade (NDA): firmado com todos os funcionários e prestadores

9.3 Localização dos dados

9.3.1. Os dados pessoais são armazenados em servidores localizados na região Brasil (São Paulo) da Oracle Cloud Infrastructure.

9.3.2. Eventuais transferências internacionais ocorrem apenas quando indispensáveis e protegidas por cláusulas contratuais padrão ou outras salvaguardas previstas no Art. 33 da LGPD.

10. Notificação de incidentes

10.1. Em caso de incidente de segurança envolvendo dados pessoais de funcionários de [Empresa Contratante], a CYBX notificará a Controladora em até 24 (vinte e quatro) horas após tomar ciência, contendo:

• Descrição da natureza do incidente
• Categorias e quantidade aproximada de titulares afetados
• Categorias e quantidade aproximada de registros afetados
• Consequências prováveis do incidente
• Medidas adotadas ou propostas para remediar o incidente e mitigar os riscos
• Contato do Encarregado de Dados (DPO) para mais informações

10.2. A CYBX cooperará com a Controladora na comunicação à ANPD e aos titulares afetados, quando exigida por lei (LGPD Art. 48).

10.3. A CYBX manterá registro de todos os incidentes de segurança, ainda que não notificáveis à ANPD.

11. Direitos dos titulares

11.1. A CYBX disponibilizará à Controladora as ferramentas técnicas necessárias para que esta atenda aos pedidos de exercício dos direitos dos titulares previstos no Art. 18 da LGPD:

• Confirmação da existência de tratamento
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados
• Portabilidade dos dados
• Eliminação dos dados tratados com consentimento
• Informação sobre compartilhamento
• Revogação do consentimento

11.2. Quando o pedido for direcionado diretamente à CYBX, esta encaminhará à Controladora no prazo de até 5 (cinco) dias úteis, salvo quando puder ser respondido sem necessidade de envolvimento da Controladora.

12. Relatório de Impacto à Proteção de Dados (RIPD)

12.1. A CYBX elaborou e mantém atualizado um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) referente ao tratamento de dados biométricos no sistema Pontou, conforme exigido pela Resolução ANPD nº 2/2022.

12.2. A Controladora poderá solicitar acesso ao RIPD a qualquer momento, mediante pedido pelo canal [email protected].

12.3. A CYBX auxiliará a Controladora na elaboração de seus próprios RIPDs, quando aplicável, fornecendo informações técnicas sobre o tratamento.

13. Retenção e eliminação de dados

13.1. Após o término dos prazos acima, os dados são eliminados de forma irreversível.

13.2. A Controladora poderá solicitar a eliminação antecipada de dados não fiscais a qualquer momento.

14. Vigência e rescisão

14.1. Este DPA entra em vigor na data do aceite eletrônico pela Controladora e permanece vigente durante toda a relação contratual entre as partes para uso do Pontou.

14.2. As obrigações de confidencialidade, segurança e retenção de dados sobrevivem ao término do contrato, conforme os prazos legais aplicáveis.

14.3. A rescisão deste DPA implica na rescisão do contrato de uso do Pontou, e vice-versa.

15. Aceite eletrônico — validade jurídica

15.1 Validade legal

Este DPA é aceito por meio de assinatura eletrônica simples, plenamente válida no ordenamento jurídico brasileiro com fundamento em:

• Medida Provisória nº 2.200-2/2001, Art. 10, §2º
• Lei nº 14.063/2020
• LGPD (Lei nº 13.709/2018), Art. 39
• Código Civil, Art. 107

15.2 Registro de evidências

No momento do aceite, o sistema Pontou registra automaticamente em base de dados imutável:

• Razão social, CNPJ e endereço da Controladora
• Nome e CPF do responsável legal que aceitou
• Versão exata do DPA aceita (incluindo hash SHA-256 do conteúdo)
• Data, hora e fuso horário do aceite (timestamp UTC)
• Endereço IP de origem
• Informações do dispositivo (navegador, sistema operacional)
• Hash criptográfico final do conjunto de evidências

15.3 Comprovante

Após o aceite, a Controladora receberá por e-mail o PDF integral deste DPA na versão exata aceita, e poderá consultá-lo permanentemente no painel da Plataforma.

16. Disposições gerais

16.1 Acordo integral

Este DPA, em conjunto com os Termos de Uso e a Política de Privacidade, constitui o acordo integral entre as partes sobre o tratamento de dados pessoais.

16.2 Conflito entre documentos

Em caso de conflito entre este DPA e outros documentos, prevalecerão as disposições deste DPA no que se refere especificamente ao tratamento de dados pessoais.

16.3 Alterações

A CYBX poderá alterar este DPA mediante comunicação à Controladora com 30 dias de antecedência. Alterações decorrentes de imposição legal ou regulatória entram em vigor imediatamente.

16.4 Independência das cláusulas

A invalidade ou inexequibilidade de qualquer cláusula deste DPA não afeta as demais.

17. Lei aplicável e foro

17.1. Este DPA é regido pelas leis da República Federativa do Brasil, em especial pela Lei nº 13.709/2018 (LGPD).

17.2. Fica eleito o foro da comarca de Assis Chateaubriand, Estado do Paraná, para dirimir quaisquer questões decorrentes deste DPA.

18. Contato

CYBX Tecnologia e Assessoria Ltda CNPJ 60.045.537/0001-08 Av. Dom Pedro II, 207 — Jardim América, Assis Chateaubriand/PR — CEP 85.935-005

Em favor de: [Empresa Contratante] CNPJ [CNPJ da Empresa] [Endereço da Empresa] [E-mail de contato da Empresa]

Documento desenvolvido em conformidade com a Lei nº 13.709/2018 (LGPD), Art. 39; Resolução ANPD nº 2/2022; MP nº 2.200-2/2001; e Lei nº 14.063/2020.