Adendo de Tratamento de Dados — Viterb

Este Adendo integra o contrato principal entre a Viterb e o Cliente e regula, entre eles, a relação específica de tratamento de dado pessoal: o Cliente como controlador, a Viterb como operadora. É o documento que o time de privacidade de uma empresa compradora avalia antes da proposta comercial — e foi escrito para ser assinado como está, junto com o contrato principal.

Este Adendo usa os termos definidos no documento que organiza todas as políticas da Viterb (o mapa de documentos e definições comuns) e, para característica de modelo de inteligência artificial — onde processa, se retém, se exige compartilhamento com o fornecedor, se treina —, remete ao Anexo I — Modelos de Inteligência Artificial e Tratamento de Dados, que é a fonte da verdade publicada dessas características. O corpo das cláusulas é redigido por conceito, sob a lei brasileira; o artigo equivalente em cada jurisdição está no quadro de correspondência normativa (seção 16.3) — trocar a jurisdição de referência troca o quadro citado, não o corpo do texto.

Versão: 9 · Data: 30/09/2026 · Substitui: a versão 8, de 25/09/2026.

O que mudou na versão 9 (30/09/2026, contrato acompanha o produto — relatório ao advogado de 30/09, docs/policies/PARA_O_ADVOGADO_30set2026.md, parte 4.3, ponto 3.6): (1) o item 13.4 ganha a ressalva expressa ao teste abandonado das Condições Comerciais §5.4 (apagamento ao completar 31 dias sem acesso, sem janela de recuperação — decisão do RB de 29/09, docs/DECISOES_RB.md:1298); a regra geral dos 30 dias de recuperação não mudou para nenhuma outra hipótese. (2) A exceção de trânsito da seção 9 deixa de dizer, sem qualificação, que a Cloudflare não armazena conteúdo: ela guarda o backup cifrado pela Viterb, na jurisdição União Europeia (fato registrado na Lista de Fornecedores 1.5; enquadramento jurídico com a assessoria).

O que mudou na versão 8 (25/09/2026, correção do parecer do advisor sobre o cliente parceiro): uma remissão de uma linha na seção 13.1, para os Termos de Uso 18.2(b) — que, para o cliente parceiro, congela a contagem dos prazos de eliminação enquanto a exportação do Conteúdo do Cliente não existir. Sem essa remissão, este Adendo prevalecia sozinho pela 25.2 dos Termos (dado pessoal) e apagava no prazo comum, contrariando a promessa feita ao cliente parceiro. Nenhum prazo deste Adendo mudou para os demais Clientes. Origem: docs/_progresso/ADVISOR_CLIENTE_PARCEIRO_25set2026.md (B3).

O que mudou na versão 7 (21/09/2026, à noite): correção na definição de "Fornecedor de inteligência artificial" (seção 0) e atribuição das declarações da seção 14.3. A versão 6 dizia, na definição, que "nos fluxos operados pela Viterb, o modelo é executado dentro da infraestrutura do provedor de nuvem — que é o Subprocessador —, e o fornecedor do modelo não recebe o Conteúdo do Cliente". A Viterb retirou essa afirmação em 21/09/2026: o fornecedor do modelo (Anthropic em todos os fluxos que a Viterb opera; OpenAI no Plano Completo, quando o Cliente escolhe um modelo dela) é Subprocessador ao lado do provedor de nuvem, e consta como tal na Lista de Fornecedores, versão 1.3. Dois fundamentos: na Chave própria, "não recebe" é falso sem discussão — o fornecedor escolhido pelo Cliente recebe o conteúdo, sob o contrato dele com o Cliente; e, nos fluxos pela infraestrutura, "não recebe" é alegação negativa sobre terceiro que só o terceiro pode garantir — a Viterb reproduz a declaração do provedor com a fonte, não a afirma em nome próprio. Na seção 14.3, as frases "sem compartilhamento com a Anthropic" e "não é compartilhado com o fornecedor do modelo" passaram a dizer que são declarações do provedor de infraestrutura. As seções 8.1 e 8.2 nomeiam os dois papéis (provedor de infraestrutura e fornecedor do modelo) e apontam para a Lista de Fornecedores como página própria. Nenhuma obrigação mudou. Registro: docs/DECISOES_RB.md, seção K, item 2 (21/09/2026).

O que mudou na versão 6 (21/09/2026): correção de fato na seção 14.3. A versão 5 tratava a "família GPT-5.x (OpenAI)" como retida só no tráfego sinalizado e, ao dizer que "para os modelos (i) e (ii) não existe rota restrita ao Brasil ou à União Europeia", deixava implícito que os modelos OpenAI tinham essa rota. Não têm: pelos model cards publicados pelo provedor de infraestrutura, lidos em 21/09/2026, o único perfil regional para GPT-5.6 Luna, Terra e Sol e GPT-6 Astra é o americano (Estados Unidos e Canadá) — não existe perfil europeu nem brasileiro. O item (iii) passou a nomear os quatro modelos, a declarar a região de destino (Estados Unidos ou Canadá), a retenção de até 30 dias do tráfego sinalizado e a ausência de compartilhamento com o fornecedor do modelo; a frase de ausência de rota passou a alcançar os três itens; a alocação da seção 14.3 passou a alcançá-los; e a mesma seção ganhou o aviso de aderência à LGPD exibido a cada seleção desses modelos, na forma decidida pela Viterb em 21/09/2026. Nenhuma outra obrigação mudou.

O que mudou na versão 5 (19/09/2026): a contratação "Enterprise" passa a se chamar "Grandes Contas" (seção 0, definição de Modelo próprio do Cliente, e seção 9.6), acompanhando a troca de nome decidida pela Viterb em 14/09/2026 e aplicada a todos os documentos. Nenhuma obrigação mudou.

Resumo em 30 segundos

• Este documento existe porque a empresa que contrata a Viterb continua sendo dona da decisão sobre o próprio dado. A lei brasileira chama isso de ser controladora; a Viterb trata o dado seguindo instrução dela, no papel de operadora — a seção 1 explica por quê.
• A Viterb só faz com o dado o que este documento, o contrato principal e a configuração da conta autorizam — nunca decide por conta própria uma finalidade nova para o dado da empresa cliente.
• Tudo o que a Viterb processa por decisão própria fica no Brasil ou na União Europeia, com fornecedor que não guarda nada e sem que o dado treine modelo de ninguém — promessa inteira, sem asterisco — seção 9.
• O catálogo de modelos tem variedade, com etiqueta honesta: cada modelo diz, na tela, se pode receber dado sigiloso com segurança ou não. Quem decide quem usa o quê é a empresa cliente — por time e por pessoa, com a decisão registrada, e a responsabilidade acompanha a escolha — seções 9, 14 e 15.
• A Viterb pode usar outras empresas para ajudar a prestar o serviço (hospedagem; e, nas chamadas que a própria Viterb opera, o provedor de infraestrutura que executa o modelo e o fornecedor do modelo de inteligência artificial), mas avisa com antecedência antes de trocar ou adicionar uma, e publica a lista com data — seção 8.
• Se algo der errado (incidente de segurança), a empresa cliente é avisada em até 48 horas depois de a Viterb confirmar o que aconteceu — seção 11.
• Ao final do contrato, a empresa cliente recebe o dado dela de volta (ou confirma o apagamento), com a ressalva honesta de que o backup cifrado leva até 35 dias adicionais para girar por completo — seção 13.
• Quatro avisos que quase nenhum contrato brasileiro de inteligência artificial faz estão aqui, formalizados como cláusula — não é boa vontade, é o texto que assina — seção 14.

0. Termos usados neste Adendo

As definições abaixo são copiadas, sem alteração de sentido, do bloco de definições comum de todas as políticas da Viterb. Se um dia divergirem, aquele documento é a fonte da verdade.

• Cliente — a empresa que contrata a Viterb. É ela quem decide para que serve o dado que entra no sistema — a lei chama isso de controladora.
• Usuário — a pessoa física que usa o produto dentro da conta de um Cliente, normalmente um funcionário dele.
• Administrador — o Usuário que o Cliente designa para administrar a conta: é ele quem libera modelos e funções, por time e por Usuário individual, em nome do Cliente.
• Conteúdo do Cliente — tudo o que os usuários de um Cliente colocam ou geram dentro do produto: documento enviado, mensagem de conversa, e a memória que o sistema constrói a partir disso. Pertence ao Cliente — a Viterb trata, não é dona.
• Fornecedor de inteligência artificial — a empresa que efetivamente recebe a pergunta e os trechos de conteúdo recuperados, e gera a resposta em linguagem natural. Nos fluxos operados pela Viterb (Plano Completo, crédito de cortesia da primeira semana, Consolidação Noturna), o modelo do fornecedor é executado dentro da infraestrutura do provedor de nuvem contratado pela Viterb; o provedor de nuvem e o fornecedor do modelo são, ambos, Subprocessadores da Viterb e constam da Lista de Fornecedores (seção 2 de lá), com a declaração de cada um sobre retenção, treinamento e repasse de conteúdo atribuída a quem a fez. Na modalidade de Chave própria e no Modelo próprio do Cliente, o fornecedor é contratado pelo Cliente e não é Subprocessador da Viterb — mas recebe o Conteúdo do Cliente, sob o contrato dele com o Cliente (seção 9.3). Quem é Subprocessador, em cada caso, está na Lista de Fornecedores. *(Nota de correção, 21/09/2026: até a versão 6 esta definição dizia que "o fornecedor do modelo não recebe o Conteúdo do Cliente" nos fluxos operados pela Viterb. Retirado pelos fundamentos da nota de versão no topo.)*
• Chave própria — modalidade em que o próprio Cliente contrata o fornecedor de inteligência artificial diretamente, e conecta a credencial dele dentro do produto da Viterb.
• Plano Completo — modalidade em que é a própria Viterb quem contrata e opera o fornecedor de inteligência artificial, em nome do serviço prestado ao Cliente.
• Modelo próprio do Cliente — na contratação Grandes Contas, o modelo de inteligência artificial que o próprio Cliente contrata ou hospeda em infraestrutura dele, no território que escolher, e conecta à plataforma para uso da própria conta — seção 9.6.
• Zona Homologada — o conjunto dos dois territórios onde o Conteúdo do Cliente pode ser processado sob a rota de transferência internacional reconhecida pela autoridade brasileira de proteção de dados: o Brasil e a União Europeia/Espaço Econômico Europeu. A definição completa, e o enquadramento de cada modelo dentro ou fora dela, estão no Anexo I.
• Anexo I — o Anexo I — Modelos de Inteligência Artificial e Tratamento de Dados: a fonte da verdade publicada sobre as características de cada modelo do catálogo (onde processa, se retém, se exige compartilhamento com o fornecedor, se treina).
• Consolidação Noturna — rotina automática, que roda todos os dias, em que o sistema lê o que foi registrado no período e sugere o que deve virar memória permanente. Roda por conta da Viterb, todos os dias, em todos os planos — inclusive no de chave própria.
• Crédito de cortesia da primeira semana — os primeiros R$ 5 (cinco reais) de uso liberados, sem custo, para quem contrata na modalidade de chave própria, antes de conectar a própria chave. Roda na chave da Viterb.
• Controlador — quem decide para que o dado pessoal é usado — a finalidade e os meios do tratamento.
• Operador — quem trata dado pessoal em nome do controlador, seguindo instruções documentadas dele, sem decidir sozinho para que aquele dado serve.
• Subprocessador — qualquer fornecedor que a Viterb contrata, na condição de operadora, que também chega a tocar dado pessoal do Conteúdo do Cliente para ajudar a prestar parte do serviço.
• Transferência internacional — o envio de dado pessoal para fora do Brasil, mesmo que o processamento seja rápido ou temporário.
• Incidente de segurança — qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dado pessoal tratado pela Viterb.
• Dado pessoal — qualquer informação que identifique, ou permita identificar, uma pessoa física.
• Dado pessoal sensível — categoria de dado pessoal com proteção reforçada pela lei (origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico). A Viterb não foi desenhada para tratar dado sensível.

1. Quem é controlador, quem é operador, e por que isso muda tudo o que vem depois

Cláusula:

1.1 Para o Conteúdo do Cliente, o Cliente é controlador — é ele quem decide, na condição de contratante do serviço, para que finalidades o dado dos seus Usuários é tratado dentro da plataforma. A Viterb é operadora — trata o Conteúdo do Cliente seguindo as instruções documentadas do Cliente (este Adendo, o contrato principal e as configurações da própria conta), sem decidir, por conta própria, uma finalidade nova para aquele dado.

1.2 Para os próprios dados de cadastro e faturamento que a Viterb coleta sobre o Cliente (razão social, CNPJ, histórico de pagamento), a Viterb é controladora — mas esse dado não é objeto deste Adendo, que trata apenas do Conteúdo do Cliente e dos dados pessoais dos Usuários tratados dentro dele.

Em português claro: a sua empresa continua sendo a dona da decisão sobre o próprio dado. A Viterb é a ferramenta que executa essa decisão — guarda, organiza, processa — mas não decide, por conta própria, usar esse dado para outra coisa que não seja prestar o serviço contratado. Essa divisão de papéis é o motivo pelo qual este documento existe: a lei exige que operador e controlador combinem, por escrito, os termos dessa relação — e é isso que as próximas seções fazem.

2. Objeto, natureza e finalidade do tratamento

Cláusula:

2.1 Objeto deste Adendo: regular o tratamento de dado pessoal que a Viterb realiza, na condição de operadora, ao prestar o serviço de plataforma de memória organizacional com inteligência artificial contratado pelo Cliente.

2.2 Natureza do tratamento: coleta, armazenamento, indexação, organização, consulta, geração de resposta assistida por inteligência artificial, backup e eliminação do Conteúdo do Cliente e dos dados pessoais nele contidos — realizados por meio automatizado, dentro da infraestrutura descrita na seção 7.

2.3 Finalidade do tratamento: exclusivamente prestar o serviço contratado pelo Cliente — permitir que os Usuários dele guardem documentos e conversas, busquem dentro desse conteúdo, e recebam resposta gerada por inteligência artificial com base no que foi inserido na plataforma. A Viterb não trata o Conteúdo do Cliente para nenhuma outra finalidade, inclusive não o utiliza para treinar modelo de inteligência artificial, próprio ou de terceiro, e não o utiliza para publicidade.

Em português claro: a Viterb só toca no seu dado para fazer o produto funcionar — guardar, indexar, responder, fazer backup, apagar quando for a hora. Nada além disso, e nada disso é usado para outro fim, nem mesmo para melhorar produtos de outros clientes ou treinar inteligência artificial.

3. Categorias de dado pessoal e de titulares envolvidos

Cláusula:

3.1 Categorias de titulares: os Usuários cadastrados pelo Cliente (funcionários, prestadores ou representantes autorizados por ele a usar a plataforma) e, eventualmente, terceiros mencionados dentro do conteúdo que os Usuários inserem (por exemplo, o nome de um cliente do Cliente, citado dentro de um documento).

3.2 Categorias de dado pessoal tratado:

3.3 Dado pessoal sensível: a plataforma não foi desenhada para coletar, pedir ou depender de dado pessoal sensível para funcionar. Como o produto aceita qualquer documento que o Usuário decida inserir, é tecnicamente possível que dado sensível apareça dentro do conteúdo inserido por decisão do próprio Cliente — nesse caso, ter base legal para aquele dado é responsabilidade do Cliente, não da Viterb (seção 15).

Em português claro: o dado que passa pela Viterb é, no fundo, o que os seus funcionários escrevem e enviam para trabalhar — nome, conversa, documento. A Viterb não pede, nem precisa, de informação de saúde, religião, orientação ou outro dado sensível para o produto funcionar. Se alguém colocar isso dentro de um documento por conta própria, quem responde por isso é a empresa cliente, não a Viterb.

4. Duração do tratamento

Cláusula:

4.1 O tratamento dura enquanto durar o contrato principal entre o Cliente e a Viterb, observados os prazos específicos de guarda de cada tipo de dado (seção 13) e o prazo de eliminação ou devolução ao final do contrato (seção 13).

4.2 Encerrado o contrato, a Viterb não mantém o Conteúdo do Cliente além dos prazos descritos na seção 13, exceto o que a lei exigir manter (tipicamente, documento fiscal, pelo prazo legal próprio).

5. Instruções documentadas — o Cliente manda, dentro da lei

Cláusula:

5.1 A Viterb trata o Conteúdo do Cliente exclusivamente conforme instrução documentada do Cliente. Constituem instrução documentada, para os efeitos deste Adendo: (a) o contrato principal e este Adendo; (b) as opções que o Cliente escolhe dentro da própria conta (por exemplo, o prazo de guarda de histórico de conversa, ou a modalidade de contratação); (c) qualquer instrução adicional enviada por escrito pelo Administrador da conta do Cliente ao canal de suporte ou privacidade da Viterb; e (d) a liberação de um modelo de inteligência artificial pelo Administrador — para a conta, para time determinado ou para Usuário individual — somada à seleção ativa desse modelo pelo Usuário autorizado, ambas informadas pelo rótulo na tela e registradas pela Viterb (seção 14.3; Anexo I, seção 5): juntas, elas constituem instrução documentada específica do Cliente para as requisições dirigidas àquele modelo.

5.2 Se uma instrução do Cliente, na avaliação da Viterb, violar a lei de proteção de dados ou outra norma aplicável, a Viterb informa o Cliente imediatamente, indicando o motivo, antes de executá- la. A Viterb pode suspender a execução daquela instrução específica até que o Cliente confirme, corrija ou retire o pedido — sem que essa suspensão seja considerada descumprimento do contrato pela Viterb.

5.3 A Viterb não trata o Conteúdo do Cliente para nenhuma finalidade fora das instruções documentadas — em particular, não decide sozinha ampliar o uso do dado, revender acesso a ele, ou combiná-lo com dado de outro Cliente.

Em português claro: a Viterb só faz o que a sua empresa manda, dentro do que está escrito no contrato e nas opções que a própria conta oferece — inclusive a decisão de quais modelos de inteligência artificial cada equipe e cada pessoa da sua empresa podem usar. Se um dia um pedido seu for, na nossa avaliação, contrário à lei, avisamos antes de executar — não cumprimos calado uma instrução que pareça ilegal, e também não decidimos, por conta própria, usar o dado da sua empresa para algo que ela não pediu.

6. Confidencialidade de quem tem acesso ao dado

Cláusula:

6.1 Toda pessoa que trabalha para a Viterb e tem, pela função, acesso ao Conteúdo do Cliente está sujeita a dever contratual de confidencialidade, com acesso restrito ao mínimo necessário para exercer aquela função (acesso por necessidade, não acesso geral).

6.2 O dever de confidencialidade sobrevive ao fim do vínculo daquela pessoa com a Viterb e ao fim do contrato entre o Cliente e a Viterb.

Em português claro: quem trabalha na Viterb e tem acesso ao seu dado é obrigado, por contrato, a manter sigilo — e esse acesso já nasce limitado ao que a função da pessoa exige, não é acesso livre a tudo. Esse dever não acaba quando a pessoa sai da empresa nem quando o contrato com a sua empresa termina.

7. Medidas de segurança — o que fazemos, descrito de forma verificável

Cláusula:

7.1 A Viterb adota, no mínimo, as seguintes medidas técnicas e organizacionais para proteger o Conteúdo do Cliente:

• Cifragem em trânsito — toda comunicação entre o Usuário e a plataforma, e entre a plataforma e os subprocessadores (seção 8), é cifrada.
• Cifragem em repouso — senha e backup ficam cifrados quando armazenados.
• Painel administrativo não exposto publicamente — o painel administrativo interno da Viterb não é acessível a partir da internet aberta.
• Registro e monitoramento — a Viterb mantém registro de acesso e monitora evento de segurança sobre a própria infraestrutura.

7.2 Isolamento e acesso administrativo:

• Isolamento entre clientes. O dado de cada Cliente é mantido segregado dos demais dentro do banco de dados e do índice de busca — nenhuma conta alcança dado de outro Cliente; no complemento de servidor exclusivo, a segregação é também por máquina separada. A Viterb mantém teste negativo documentado e datado dessa segregação — uma conta tentando ler dado de outro Cliente, no banco e no índice de busca, e falhando — como evidência disponível ao Cliente na forma da seção 12.1.
• Verificação em duas etapas no login do painel administrativo. O acesso de quem administra a plataforma exige verificação em duas etapas.

7.3 O que a Viterb não promete, porque seria falso prometer: não existe cifragem que impeça o próprio sistema de ler o Conteúdo do Cliente — a plataforma precisa ler o conteúdo para indexá-lo e responder às perguntas dos Usuários. A Viterb não possui certificação própria de segurança da informação; as certificações eventualmente aplicáveis são das empresas subcontratadas (seção 8), e verificáveis diretamente com cada uma delas.

Em português claro: protegemos o seu dado com criptografia em trânsito e em repouso, painel administrativo fora do alcance da internet aberta, monitoramento, separação entre os dados de cada cliente — com teste guardado que prova a separação — e segundo fator no login de quem administra a plataforma. E somos honestos sobre os limites: não fingimos ter uma certificação própria que não temos, nem prometemos uma criptografia que impediria o próprio sistema de ler o que você escreve, porque isso tornaria o produto incapaz de responder às suas perguntas.

8. Subcontratação — quem mais toca no seu dado, e como isso é controlado

Cláusula:

8.1 O Cliente autoriza, de forma geral, que a Viterb subcontrate outras empresas (subprocessadores) para ajudar a prestar partes do serviço — para hospedagem de infraestrutura e backup, para proteção de acesso e rede, e, nos casos em que é a própria Viterb quem processa a chamada de inteligência artificial (Plano Completo, crédito de cortesia da primeira semana, Consolidação Noturna), para geração de resposta por inteligência artificial — o que alcança tanto o provedor de infraestrutura que executa o modelo quanto o fornecedor do modelo, ambos listados.

8.2 Lista pública e datada. A Viterb mantém uma lista pública, com data, de cada subprocessador, o que ele faz, em que país processa, e o mecanismo que autoriza aquele processamento. Essa lista é a Lista de Fornecedores — página própria, reproduzida na Política de Privacidade — e pode ser consultada, a qualquer momento, pelo canal de privacidade descrito no fim deste documento.

8.3 Aviso prévio de novo subprocessador. Antes de incluir um novo subprocessador na lista, a Viterb avisa o Cliente com, no mínimo, 15 (quinze) dias de antecedência.

8.4 Direito de oposição. Dentro desse prazo de 15 dias, o Cliente pode se opor à inclusão de um novo subprocessador, por escrito, apresentando motivo relacionado à proteção do dado pessoal tratado (por exemplo, o novo subprocessador processar em país sem base legal reconhecida para transferência internacional).

8.5 Efeito da oposição não resolvida. Recebida a oposição, a Viterb responde por escrito e busca, quando viável, alternativa que evite o subprocessador questionado para aquele Cliente. Se a Viterb não puder, ou não quiser, atendê-la, o Cliente pode rescindir, sem multa nem penalidade, a parte do serviço afetada por aquele subprocessador — ou o contrato, quando o subprocessador for essencial ao serviço como um todo — comunicando a Viterb em até 30 (trinta) dias corridos contados da resposta, com devolução proporcional dos valores pagos por período não usufruído.

Em português claro: contamos com poucas empresas para nos ajudar a operar o serviço — está tudo listado, com país e data, dentro da política de privacidade. Se um dia precisarmos trocar ou adicionar uma, avisamos com 15 dias de antecedência, e a sua empresa pode discordar por um motivo ligado à proteção do dado. Se a discordância não tiver solução, a sua empresa sai da parte afetada do contrato sem multa, com devolução do que pagou e não usou.

9. Transferência internacional — a fronteira exata entre o que a Viterb decide e o que o Cliente decide

Cláusula:

9.1 A lei brasileira de proteção de dados não proíbe o envio de dado pessoal para fora do país. Ela exige que, por trás desse envio, exista uma base legal reconhecida. Existe uma única decisão de adequação editada pela autoridade brasileira de proteção de dados, na forma do art. 33, I, da LGPD, reconhecendo um destino fora do Brasil como equivalente em proteção de dado: a União Europeia/Espaço Econômico Europeu. Cláusula contratual padrão muito usada pelo mercado internacional de tecnologia não foi reconhecida pela autoridade brasileira, e certificação de segurança de outro país também não substitui essa base legal aqui. É essa decisão de adequação que delimita a Zona Homologada (seção 0; Anexo I, seção 2.1).

9.2 Quando é a Viterb quem decide para onde a chamada de inteligência artificial vai — no Plano Completo, no crédito de cortesia da primeira semana e na Consolidação Noturna — a Viterb processa exclusivamente dentro da Zona Homologada: no Brasil ou na União Europeia, e nunca usando a camada gratuita de qualquer fornecedor (a camada gratuita treina modelo com o conteúdo processado e admite revisão humana da conversa, o que é incompatível com o compromisso deste Adendo). A rota operada pela Viterb tem a região de origem fixada em configuração e verificada por teste automatizado a cada alteração do software, e o destino restrito, por construção, a um conjunto fechado de regiões integralmente contido nessas jurisdições (o registro correspondente está na seção 12.4). Na indisponibilidade de rota conforme, a Viterb interrompe o serviço afetado — jamais degrada para rota fora da Zona Homologada (seção 14.4). São exceções expressas a este compromisso, e somente elas: a seleção ativa, pelo Cliente, de modelo com retenção obrigatória (seção 14.3) e o modelo próprio do Cliente (seções 9.6 a 9.8).

Uma exceção de trânsito declarada, e não escondida: a camada de proteção de rede. O tráfego entre o Usuário e a plataforma passa por uma camada de proteção de acesso (a Cloudflare — seção 8) com pontos de presença em vários países. Nesse papel de proteção de rede, essa camada não armazena o Conteúdo do Cliente e não o utiliza para nenhuma finalidade própria (a mesma empresa guarda, em outro serviço, o backup cifrado pela Viterb antes do envio, na jurisdição União Europeia, com a chave só com a Viterb — ver a Lista de Fornecedores) — mas o tráfego cifrado pode ser processado, em trânsito, no ponto de rede mais próximo do Usuário, que pode estar fora do Brasil e da União Europeia. Este Adendo declara essa exceção em vez de prometer "nunca em outro país" e omitir o único ponto em que isso não é rigorosamente verdade.

9.3 A Viterb continua sendo operadora do Conteúdo do Cliente também na modalidade de chave própria — inclusive na transmissão da pergunta e dos trechos recuperados ao fornecedor escolhido pelo Cliente (seção 1). O que muda não é se a Viterb trata o dado; é quem escolheu o destino dele. Quando o Cliente conecta a própria chave de inteligência artificial (chave própria) e o fornecedor escolhido por ele processa fora do Brasil e da União Europeia, a transferência internacional correspondente é feita pelo Cliente, na condição de controlador da escolha daquele fornecedor — cabe a ele adotar o mecanismo que a lei brasileira reconhece para autorizar aquele envio. A Viterb transmite a chamada usando a credencial fornecida pelo Cliente, mas não é parte na relação contratual entre o Cliente e aquele fornecedor, e não decide, no lugar do Cliente, qual fornecedor usar nem qual mecanismo legal ampara o envio.

9.4 O dever da Viterb, nesse ponto, é informar com clareza — o que este item, o contrato principal e a Política de Privacidade fazem. Não informar não tornaria a Viterb responsável pela transferência em si, mas a tornaria responsável pela falha de informação — o que é mais grave, porque impediria o Cliente de cumprir a própria obrigação legal. Por isso este aviso consta, com o mesmo texto e sem divergência, em todos os documentos onde esse tema aparece.

9.5 As duas exceções que continuam sob responsabilidade da Viterb mesmo com chave própria conectada: o crédito de cortesia da primeira semana e a Consolidação Noturna sempre rodam com a chave da própria Viterb, sob a rota do item 9.2 — não sob a responsabilidade do Cliente descrita no item 9.3.

Em português claro: a maior parte do mercado brasileiro de inteligência artificial se apoia num mecanismo jurídico que a autoridade nunca reconheceu. A Viterb amarrou o próprio processamento só a Brasil e União Europeia — os únicos lugares com respaldo reconhecido. Mas se a sua empresa conecta a própria conta de inteligência artificial e escolhe um fornecedor que processa nos Estados Unidos (é o caso dos principais fornecedores do mercado), quem está mandando o dado para lá, legalmente, é a sua empresa — porque foi ela quem escolheu aquele fornecedor. A Viterb avisa isso com clareza; a escolha e o respaldo legal daquele envio específico são da sua empresa. As duas exceções (crédito de cortesia e a rotina noturna de memória) continuam sendo processadas pela Viterb mesmo assim.

9.6 Modelo próprio do Cliente (contratação Grandes Contas). O Cliente pode conectar à plataforma modelo de inteligência artificial próprio — por ele contratado ou hospedado em infraestrutura sua, no Brasil, nos Estados Unidos, na União Europeia ou no território que escolher — e disponibilizá-lo a times determinados, a Usuários individuais ou à totalidade da sua conta, pelo mesmo mecanismo de liberação e seleção das seções 5.1(d) e 14.3.

9.7 O que a Viterb garante quanto ao modelo próprio do Cliente: (a) o transporte — a transmissão da requisição da plataforma até o ponto de acesso indicado pelo Cliente, cifrada em trânsito; (b) o controle de acesso — somente Usuários liberados pelo Cliente, time a time e Usuário a Usuário, alcançam o modelo; (c) a segregação — o modelo próprio serve exclusivamente a conta do Cliente: nenhum outro cliente da plataforma o alcança, e o Conteúdo do Cliente não se mistura com o de terceiros; (d) o rótulo — o modelo aparece na interface identificado como modelo do Cliente, sob responsabilidade do Cliente, com o território de processamento por ele informado.

9.8 O que é do Cliente, com todas as letras. O que ocorre no interior da infraestrutura do Cliente — retenção, registro, segurança, acesso de terceiros e uso posterior do dado, inclusive para treinamento — é regido exclusivamente pelo Cliente e pelos contratos que ele mantém com os fornecedores dele, não constituindo objeto de garantia, supervisão ou responsabilidade da Viterb. A conformidade do uso do modelo próprio com a legislação de proteção de dados — inclusive a escolha do território de processamento — é decisão e responsabilidade do Cliente, que declara ciência dessas condições no ato da conexão do modelo, na própria tela, com registro pela Viterb. Quando a infraestrutura indicada pelo Cliente situa-se fora do território brasileiro, o encaminhamento do dado pelo canal da plataforma ocorre por instrução do Cliente, controlador, com destino a infraestrutura do próprio Cliente — hipótese que não configura entrega de dado a terceiro. Cabe ao Cliente, na condição de controlador, avaliar e adotar, quando exigível, o mecanismo de transferência internacional aplicável à operação dele; a Viterb cumpre, quanto a essa escolha, o dever de informação, e mantém, quanto ao trajeto sob seu controle, as garantias da seção 9.7. O modelo próprio do Cliente constitui exceção expressa, limitada às requisições a ele dirigidas por liberação e seleção do Cliente, ao compromisso de residência da seção 9.2.

Em português claro: se a sua empresa tem modelo próprio — no seu servidor, no país que você escolheu — nós garantimos a entrega da mensagem cifrada, o controle de quem da sua empresa pode usar, a separação total do seu ambiente e a etiqueta dizendo que o modelo é seu. O que acontece dentro do seu servidor é seu, e a responsabilidade legal pela escolha do país também — você declara ciência disso na hora de conectar, e fica registrado. Quem tem estrutura para operar servidor próprio de inferência tem estrutura para saber onde ele fica.

10. Apoio ao Cliente no atendimento aos direitos do titular

Cláusula:

10.1 A Viterb apoia o Cliente a responder pedidos que os Usuários (titulares do dado) façam sobre o próprio dado — confirmação de tratamento, acesso, correção, eliminação, portabilidade e oposição — fornecendo, dentro dos seus sistemas, os meios técnicos razoáveis para que o Cliente atenda esse pedido dentro do prazo legal.

10.2 Quando um Usuário dirigir o pedido diretamente à Viterb, em vez de à empresa cliente dele, a Viterb encaminha o pedido ao Cliente e o notifica, sem executar a ação sozinha sobre o Conteúdo do Cliente, salvo instrução em contrário do próprio Cliente — porque é o Cliente, como controlador, quem decide como atender aquele pedido (seção 1).

10.3 Quando o próprio Cliente solicitar apoio da Viterb para atender um pedido de titular, a Viterb responde em até 5 (cinco) dias úteis contados do recebimento do pedido — prazo mais curto do que o de resposta direta ao titular, para que o Cliente, depois da resposta da Viterb, ainda tenha margem real de formular a própria resposta ao titular dentro do prazo legal dele. Pedido de complexidade técnica excepcional pode exigir prazo maior; nesse caso, a Viterb informa, dentro dos mesmos 5 dias úteis, o prazo estimado e o motivo.

Em português claro: se um funcionário da sua empresa pedir para ver, corrigir ou apagar o próprio dado, o pedido é encaminhado para a sua empresa responder — porque é ela quem decide como tratar aquele dado. Se for a sua empresa quem precisa da nossa ajuda técnica para atender esse pedido, respondemos em até 5 dias úteis — rápido o suficiente para você ainda ter tempo de responder ao seu funcionário dentro do prazo da lei.

11. Notificação de incidente de segurança

Cláusula:

11.1 Ocorrendo um incidente de segurança que afete o Conteúdo do Cliente, a Viterb notifica o Cliente em até 48 (quarenta e oito) horas a partir da confirmação do incidente pela Viterb — mesmo antes de conhecer a extensão total do que aconteceu.

11.2 A notificação descreve, no que for possível informar naquele momento: o que aconteceu, quais categorias de dado foram afetadas, os riscos envolvidos, e as medidas já adotadas ou em curso.

11.3 A Viterb também comunica a autoridade competente dentro dos prazos que a lei exigir dela, independentemente da notificação ao Cliente.

11.4 O canal usado para essa notificação é o mesmo canal de contato de privacidade descrito no fim deste documento.

Em português claro: se algo der errado do nosso lado, você fica sabendo em até 48 horas depois de confirmarmos o que aconteceu — mesmo sem saber ainda o tamanho total do problema. Preferimos avisar rápido e com informação parcial do que esperar ter a resposta completa.

12. Auditoria — o que a Viterb aceita fornecer, e o que não aceita

Cláusula:

12.1 O que a Viterb aceita fornecer, mediante pedido razoável do Cliente e com antecedência combinada: (a) resposta a questionário de segurança e privacidade; (b) evidência documental específica sobre uma medida de segurança descrita neste Adendo (por exemplo, confirmação de que a cifragem em repouso está ativa, ou a versão vigente da lista de subprocessadores); (c) este próprio documento e o contrato principal, como evidência da relação de tratamento; (d) relatório de auditoria ou certificação que um subprocessador específico eventualmente publique, na medida em que a Viterb tiver acesso a ele.

12.2 O que a Viterb não aceita fornecer: acesso irrestrito ao ambiente de produção (infraestrutura viva, onde roda o dado de todos os Clientes ao mesmo tempo); execução de teste de invasão pelo próprio Cliente ou por terceiro contratado por ele, sem acordo prévio de escopo e sem supervisão da Viterb; código-fonte da plataforma.

12.3 Posição da Viterb sobre o item 12.2: o acesso irrestrito a um ambiente que atende vários Clientes ao mesmo tempo colocaria em risco o isolamento entre eles (seção 7) — a auditoria de um Cliente não pode, na prática, expor o dado de outro. A Viterb está aberta a negociar, caso a caso, um escopo de verificação mais amplo do que o item 12.1 para Clientes de grande porte, desde que definido por escrito e sem comprometer o isolamento entre Clientes.

12.4 Compromisso de auditoria de rota, aprovado pelo dono da Viterb: a Viterb se compromete a poder demonstrar, quando solicitado pelo Cliente, para cada requisição de inteligência artificial que opera em nome próprio: (a) a região de origem da chamada, fixada em configuração e conferida por teste automatizado a cada alteração do software; e (b) o conjunto fechado de regiões onde aquela chamada pode ter sido processada — integralmente contido nas jurisdições da seção 9: Brasil, ou Estados-membros da União Europeia amparados pela decisão de adequação da autoridade brasileira. Quando o fornecedor de infraestrutura não informa qual região específica, dentro desse conjunto, atendeu a requisição individual, o registro declara essa indeterminação expressamente — a Viterb não preenche esse campo por dedução ou estimativa. Chamada cuja rota esteja fora do conjunto é recusada antes de qualquer contato com o fornecedor, e a recusa também fica registrada. O registro de cada requisição — data e hora, componente de origem, identificador do modelo, região de origem e conjunto de destinos admitidos, sem qualquer conteúdo do Cliente ou de titular — é conservado por no mínimo 90 (noventa) dias e disponibilizado ao Cliente mediante solicitação.

Em português claro: respondemos questionário de segurança, mostramos documento e evidência pontual, e explicamos por escrito o que fazemos — isso cobre a maior parte do que um comprador corporativo pede numa avaliação de fornecedor. O que não damos é acesso livre à infraestrutura viva que atende todos os nossos clientes ao mesmo tempo, porque isso colocaria em risco justamente o isolamento que protege o dado de todo mundo, inclusive o seu. E você pode conferir, para cada pergunta sua, de onde a chamada saiu e a lista fechada de países onde ela pode ter sido processada — todos com proteção reconhecida pela autoridade brasileira, com o registro guardado por 90 dias. Quando o fornecedor não diz qual país da lista respondeu àquela pergunta específica, o registro diz isso com todas as letras, em vez de chutar — registro que inventa deixa de ser registro.

13. Eliminação ou devolução do dado ao final do tratamento

Cláusula:

13.1 Ao término do contrato entre o Cliente e a Viterb — por encerramento, decisão de não renovar, ou outro motivo — o Cliente tem 30 (trinta) dias corridos para exportar o Conteúdo do Cliente. Para o cliente parceiro, ver Termos de Uso 18.2(b): enquanto a exportação não estiver disponível, os prazos deste artigo não começam a correr.

13.2 Decorrido esse prazo, a Viterb apaga os dados operacionais em até mais 30 (trinta) dias, mantendo apenas o que a lei obrigar a manter (tipicamente, documento fiscal, pelo prazo legal próprio dele).

13.3 Ressalva do backup. Cópias em backup cifrado giram em ciclo próprio de até 35 (trinta e cinco) dias. Isto significa que, mesmo depois do apagamento descrito no item 13.2, uma cópia dentro de um backup cifrado pode continuar existindo por até 35 dias adicionais, até esse backup também girar. A Viterb não promete apagamento instantâneo do backup, porque essa promessa seria falsa.

13.4 Conta cancelada antes do fim do contrato principal (por exemplo, ao término de uma avaliação sem pagamento cadastrado) segue prazo próprio, descrito nas Condições Comerciais e na Política de Privacidade: 30 dias de janela de recuperação, depois apagamento definitivo com verificação de que foi feito. Ressalva única: o teste abandonado das Condições Comerciais §5.4 (crédito de cortesia esgotado, ou bloqueado pela janela de reuso do CPF, sem chave própria conectada) não tem janela de recuperação nem de exportação — a conta é apagada ao completar 31 dias corridos sem acesso, pela regra própria de lá, com a ressalva do backup do item 13.3.

13.5 Processo de exportação: a exportação do Conteúdo do Cliente — durante o contrato ou ao final dele — é solicitada pelo canal de suporte ou privacidade, e a Viterb a entrega em formato estruturado e de uso corrente em até 10 (dez) dias úteis contados do pedido.

Em português claro: quando o contrato termina, você tem 30 dias para tirar o seu conteúdo, e depois disso apagamos em até mais 30 dias. Uma cópia de segurança cifrada pode continuar existindo por até 35 dias além disso, até ela também ser renovada — não prometemos apagar essa cópia instantaneamente, porque seria uma promessa que não conseguimos cumprir de verdade. Para tirar o seu conteúdo, é pedir: entregamos tudo em formato estruturado em até 10 dias úteis.

14. Quatro avisos que quase nenhum contrato brasileiro de inteligência artificial faz

Estes quatro avisos aparecem, com o mesmo texto e sem divergência, na Política de Privacidade e no contrato principal. Aqui eles ganham força de cláusula deste Adendo — é o que faz este documento valer mais do que o equivalente de um concorrente.

14.1 A segurança do fornecedor de inteligência artificial pode reter dado por muito mais tempo do que o prazo combinado.

Os fornecedores de inteligência artificial rodam sistema automático próprio para detectar uso abusivo. Se um conteúdo processado for sinalizado por esse sistema, ele pode ficar retido bem além dos prazos normais de guarda — em alguns casos, até 2 (dois) anos o conteúdo e 7 (sete) anos o registro da sinalização. Isso vale mesmo havendo acordo de retenção mínima com aquele fornecedor, e não está sob controle da Viterb.

Em português claro: se o sistema antifraude do fornecedor de inteligência artificial marcar algo que você escreveu como suspeito, ele pode guardar aquilo por muito mais tempo do que o normal — isso não depende de nós, é decisão de segurança do próprio fornecedor.

14.2 Funções que exigem que o fornecedor de inteligência artificial guarde algum estado nascem desligadas.

Upload de arquivo para reuso pelo fornecedor, execução de código pelo fornecedor, e conectores desse tipo saem do regime de retenção mínima por natureza — porque, para funcionar, precisam guardar algo do outro lado. Por isso essas funções vêm desligadas por padrão, e só são ligadas mediante pedido expresso e registrado do Cliente, que passa a saber que o prazo de retenção daquele trecho específico é diferente do padrão.

Em português claro: algumas funções mais avançadas precisam que o fornecedor de inteligência artificial guarde algo entre uma conversa e outra — essas funções vêm desligadas até você pedir para ligar, sabendo que, a partir daí, aquele prazo específico de guarda é diferente do resto.

14.3 Modelos com retenção obrigatória do fornecedor — quais são, o que retêm, e o que acontece se o Cliente escolher um deles. *(A tabela publicada, modelo a modelo, é a do Anexo I, seção 3, que é a fonte da verdade em característica de modelo; esta cláusula aloca a responsabilidade correspondente e é lida em conjunto com ela.)*

Determinados modelos, identificados nominalmente, sujeitam-se a retenção imposta pelo próprio fornecedor, nas condições publicadas pelo provedor de infraestrutura e aqui reproduzidas sem atenuação: (i) Claude Fable 5 (Anthropic) — a integralidade das entradas e saídas é retida por até 30 (trinta) dias dentro da infraestrutura AWS, para detecção de abuso. O uso do modelo é condicionado, pelo próprio fornecedor, a aceite de que o conteúdo retido pode ser revisado por pessoas da AWS para conformidade com as políticas de segurança — requisito da Anthropic. Segundo o provedor de infraestrutura, os dados permanecem retidos na AWS, sem compartilhamento com a Anthropic (declaração do provedor — Anexo I, seção 2.5); (ii) Claude Mythos 5 (Anthropic) — o mesmo regime de retenção e revisão descrito no item (i) é exigido como condição de uso, e o prazo de retenção não é publicado pelo provedor de infraestrutura — a Viterb declara essa lacuna em vez de estimar um prazo; (iii) GPT-5.6 Luna, GPT-5.6 Terra, GPT-5.6 Sol e GPT-6 Astra (OpenAI), pela mesma infraestrutura — é retido, por até 30 (trinta) dias, apenas o tráfego sinalizado por classificador automático de abuso, dentro da infraestrutura do provedor, na região de destino da requisição; segundo o provedor de infraestrutura, o conteúdo retido não é compartilhado com o fornecedor do modelo; o provedor não publica revisão humana para esses modelos, e a Viterb não a afirma nem nega. Os demais modelos da Plataforma não são objeto de retenção pelo provedor de infraestrutura, que opera para eles em regime de retenção zero por padrão.

O conteúdo retido fica armazenado na região onde a requisição foi processada — e, para os modelos (i), (ii) e (iii), não existe, na data deste instrumento, rota restrita ao Brasil ou à União Europeia: para (i) e (ii) o roteamento é global e o conteúdo retido pode ficar em qualquer país; para (iii) o roteamento é regional americano e o conteúdo retido fica nos Estados Unidos ou no Canadá. Escolher um desses modelos constitui, por isso, exceção pontual e expressa, limitada às requisições a ele dirigidas, ao compromisso de residência da seção 9 deste Adendo.

Nota de correção (21/09/2026): até a versão 5, o item (iii) dizia "família GPT-5.x" e a frase de ausência de rota alcançava só os itens (i) e (ii) — o que deixava os modelos OpenAI implícitos como processados dentro da Zona Homologada, afirmação que o Anexo I fazia expressamente. Era falso (model cards do provedor lidos em 21/09/2026: só perfil regional americano). Corrigido no corpo por ser fato, não decisão.

A alocação: a Viterb não utiliza os modelos (i), (ii) e (iii) em nenhum fluxo operado por decisão própria, e os mantém fora de qualquer roteamento automático, padrão ou de contingência. Eles somente processam Conteúdo do Cliente mediante dupla decisão do Cliente: liberação prévia pelo Administrador — para a conta, para time determinado ou para Usuário individual, revogável a qualquer tempo com efeito imediato sobre as requisições seguintes (a revogação não desfaz a retenção já em curso sobre requisições anteriores, que permanece pelo prazo do inciso (i) acima) — e seleção ativa, na interface, pelo Usuário autorizado. A liberação e a seleção constituem, somadas, instrução documentada específica do Cliente (seção 5.1(d); Anexo I, seção 5) e implicam assunção, pelo Cliente, das características de retenção e roteamento acima — as quais lhe são exibidas na própria tela, tanto na liberação quanto na seleção, no momento da escolha e antes da primeira requisição, e cuja exibição e aceitação a Viterb registra, com identificação de quem liberou, de quem selecionou, do modelo, do momento e da versão do texto exibido.

O que permanece com a Viterb, indelegável e insuscetível de afastamento pela seleção do Cliente: (a) o dever de exibir essas informações de forma destacada, na tela, no momento da liberação e no da seleção — não apenas em documento contratual ou anexo; (b) o dever de registrar a liberação, a seleção e as requisições correspondentes, com identificação do modelo; (c) o dever de manter esses modelos fora de qualquer roteamento que não seja a seleção ativa, de modo que nenhuma requisição os alcance sem escolha do Cliente; e (d) o dever de atualizar estas informações quando o fornecedor as alterar, na forma do Anexo I, seção 7. A alocação não se aplica a requisição que alcance modelo com retenção por erro, configuração padrão ou roteamento da Viterb, sem a liberação e a seleção ativa aqui previstas.

Em português claro: o cardápio inclui o Fable 5, o modelo mais capaz que oferecemos — e a etiqueta dele é honesta: por regra do próprio fornecedor, ele guarda tudo o que processa por até 30 dias dentro da AWS, não tem rota que fique só no Brasil ou na Europa, e o tráfego sinalizado pode passar por revisão humana de pessoas da AWS, para conformidade com as políticas de segurança dela — e, segundo a própria Amazon, nada é compartilhado com a Anthropic (é declaração dela; por isso a Anthropic está na nossa lista de fornecedores, em vez de prometermos por ela). O Mythos 5 exige o mesmo regime, e o prazo o fornecedor não publica — nós dizemos isso em vez de inventar um número. Os quatro modelos OpenAI de fronteira (GPT-5.6 Luna, Terra e Sol, e GPT-6 Astra) rodam nos Estados Unidos ou no Canadá, fora do Brasil e da Europa, e guardam por até 30 dias só o que o sistema antiabuso sinalizar. Nós não usamos nenhum deles em nada que rode por nossa conta. Quem decide se a sua empresa usa é você: liberação por equipe e por pessoa, com todos esses fatos escritos na própria tela da escolha, e a escolha fica registrada. Enviado é enviado: revogar a liberação ou desligar o modelo impede as próximas requisições, mas não desfaz a retenção do que já foi enviado. Todos os outros modelos, incluindo os do nosso dia a dia, não guardam nada depois de responder.

14.4 A Viterb prefere interromper o serviço a desviar o processamento para uma rota fora do combinado.

Se a rota de processamento prometida neste Adendo (seção 9) ficar indisponível, a Viterb interrompe o atendimento afetado, em vez de processar o dado, silenciosamente, em outro lugar. Requisição cuja rota não pertença ao conjunto admitido é recusada antes de qualquer contato com o fornecedor, e a recusa fica registrada (seção 12.4).

Em português claro: se a rota de processamento combinada falhar, o serviço afetado para de responder — preferimos parar a mandar o seu dado, sem avisar, para um lugar fora do que prometemos. E a chamada barrada é barrada antes de sair, não depois. É o compromisso mais forte deste documento.

15. Responsabilidade entre as partes

Cláusula:

15.1 Cada parte responde pelas obrigações que a lei de proteção de dados atribui ao papel que efetivamente exerce em cada fluxo de tratamento (seção 1); a qualificação dos papéis decorre da realidade de cada fluxo, e nenhuma disposição deste Adendo a altera ou a inverte. O Cliente, como controlador, responde por definir as finalidades do tratamento realizado por seu intermédio na plataforma; por ter base legal para o tratamento que instrui a Viterb a realizar, pela veracidade das instruções que dá, e por qualquer dado sensível ou de terceiro que decida inserir na plataforma sem base legal própria para isso (seção 3.3); por orientar os seus Usuários quanto ao uso da plataforma em conformidade com as normas aplicáveis à atividade dele; e por decidir — na forma das seções 5.1(d), 9.6 a 9.8 e 14.3 — quais modelos libera, para qual time e para qual Usuário, respondendo pelas escolhas assim registradas. A Viterb, como operadora, responde por tratar o Conteúdo do Cliente estritamente conforme as instruções documentadas (seção 5), por manter as medidas de segurança descritas na seção 7, e por cumprir os deveres de informação deste Adendo — deveres que são próprios do papel dela, não se transferem ao Cliente nem se eliminam por ajuste entre as partes, e cujo descumprimento não é sanado pela conduta ou pela expertise do Cliente.

15.2 Quando o Cliente conecta chave própria de inteligência artificial, a divisão de responsabilidade sobre a transferência internacional segue exatamente o descrito na seção 9 — a Viterb responde pelo dever de informar; o Cliente responde pela escolha do fornecedor e pelo mecanismo legal que autoriza o envio a ele.

15.3 O valor máximo pelo qual a Viterb pode ser responsabilizada por falha própria relacionada a este Adendo segue o teto de responsabilidade definido no contrato principal — este Adendo não cria um teto adicional nem afasta as exceções (dolo, culpa grave, ou violação de confidencialidade do Conteúdo do Cliente atribuível à Viterb) já previstas ali.

15.4 Nada neste Adendo limita a responsabilidade de qualquer das partes perante o titular do dado ou perante a Autoridade Nacional de Proteção de Dados, na medida em que a lei não permitir esse tipo de limitação entre controlador e operador.

15.5 Minimização — recomendação, não condição. A Viterb recomenda ao Cliente evitar submeter à Plataforma dado pessoal desnecessário à finalidade do uso, bem como informação confidencial cuja exposição a fornecedor de inteligência artificial o Cliente não admitiria. Esta recomendação é dever de orientação da Viterb e boa prática do Cliente; não é condição de uso da Plataforma, não é pressuposto das obrigações da Viterb sobre o dado efetivamente submetido, e não exime a Viterb de tratá-lo conforme este Adendo. Ressalva-se apenas a hipótese específica da seção 3.3 — dado pessoal sensível inserido por decisão do Cliente sem base legal própria —, na qual a responsabilidade pela base legal é integralmente do Cliente. Como instrumento dessa divisão, a Viterb disponibiliza ao Cliente, mediante solicitação, o registro de requisições da seção 12.4 (modelo, região de origem e conjunto de destinos admitidos de cada chamada), para que o Cliente demonstre, perante titulares e autoridades, por onde e por qual modelo o dado sob responsabilidade dele foi processado.

Em português claro: um conselho que é conselho, não condição — evite colocar na plataforma dado pessoal ou segredo que não precise estar lá; quanto menos entra, menos risco os dois lados carregam. E, para a parte que é sua responsabilidade legal, a Viterb te entrega o rastro de qual modelo e qual região processou cada chamada, para você provar isso a quem te fiscalizar.

Em português claro: cada lado responde pela parte que decide. A sua empresa responde por ter razão legal para o que pede que a gente faça com o dado; a Viterb responde por fazer certinho o que foi pedido e por manter a segurança prometida. Se a sua empresa conecta a própria conta de inteligência artificial e escolhe um fornecedor fora do combinado, a responsabilidade daquela escolha específica é dela — desde que a Viterb tenha avisado com clareza, o que este documento está fazendo. O valor que a Viterb pode ser obrigada a pagar em caso de falha segue o mesmo teto do contrato principal — este documento não cria um teto separado.

16. Vigência e relação com os demais documentos

16.1 Este Adendo acompanha o contrato principal entre o Cliente e a Viterb — vigora enquanto ele vigorar, e as cláusulas que, pela própria natureza, sobrevivem ao fim do contrato (confidencialidade, seção 6; responsabilidade, seção 15, no que já tiver se consolidado) continuam valendo depois de encerrado.

16.2 Este Adendo não substitui, e não é substituído por, a Política de Privacidade nem pelo contrato principal — os três tratam do mesmo tema sob ângulos diferentes: o contrato principal rege a relação comercial entre a Viterb e o Cliente; a Política de Privacidade explica, ao Usuário, o que acontece com o dado dele; este Adendo formaliza, entre a Viterb e o Cliente, a relação específica de tratamento de dado como operadora e controladora. O Anexo I — Modelos de Inteligência Artificial e Tratamento de Dados integra este Adendo por referência: em característica de modelo, ele é a fonte da verdade publicada, e a atualização dele segue a regra da seção 7 do próprio Anexo — com aviso prévio, suspensão das liberações afetadas em mudança adversa até reconfirmação, e saída sem ônus. Em caso de conflito entre os documentos, vale a ordem de prevalência por assunto da seção 25.2 dos Termos de Uso: característica de modelo de inteligência artificial — Anexo I; tratamento de dado pessoal — este Adendo e a Política de Privacidade; preço e prazo comercial — Condições Comerciais; todo o restante — Termos de Uso. Cláusula negociada e assinada especificamente com o Cliente prevalece sobre o padrão publicado quando lhe for mais favorável, e a lei prevalece sobre todos.

16.3 Quadro de correspondência normativa. O corpo deste Adendo é redigido por conceito, sob a lei brasileira; para contratação sujeita a outra jurisdição, troca-se o quadro citado — não o corpo do texto. Para contratação que envolva titular europeu, os deveres deste Adendo correspondem, conceito a conceito, ao contrato de tratamento entre controlador e operador exigido pelo direito europeu, e a transferência da União Europeia para o Brasil está amparada pela decisão de adequação editada pela Comissão Europeia, sem necessidade de mecanismo adicional.

Em português claro: o contrato fala em conceitos — quem decide, quem executa, quem informa, quem escolheu — e esta tabela diz onde cada conceito mora em cada lei. Mudar de país troca a tabela, não o contrato.

17. Contato

Privacidade e tratamento de dados: ver Política de Privacidade. Comercial e suporte: contato@viterb.com.br

18. Decisões sobre pessoas

Cláusula:

18.1 A Viterb não é um sistema de decisão automatizada e não foi desenhada, testada ou validada para avaliar pessoas. O Cliente não deve usar as respostas da plataforma como base única ou determinante para decisão que afete direitos ou interesses de uma pessoa — contratação, demissão, promoção, avaliação de desempenho, concessão de crédito ou benefício, entre outras.

18.2 Se o Cliente decidir usar a plataforma como apoio a esse tipo de decisão, ele assume integralmente o papel de responsável por aquela decisão, inclusive pelo dever de explicá-la e de revê-la quando a pessoa afetada pedir (LGPD, art. 20), e responde perante essa pessoa e perante a autoridade por ela — este item espelha, sem divergir, a cláusula equivalente do contrato principal.

Em português claro: não use a ferramenta para decidir sobre a vida de alguém. Se usar mesmo assim, a decisão é sua inteira, e é você quem explica para a pessoa e para o governo.

Fim do Adendo.