Anexo de tratamento de dados para organizações

Última atualização: 20 de outubro de 2026 · Versão 2026-10-20.1.

1. Quando este anexo se aplica

Este anexo integra os Termos de Uso nos serviços atuais e futuros em que a Nextep, CNPJ 59.820.905/0001-50, trata dados pessoais em nome de uma organização cliente. As condições específicas de cada contratação complementam este documento.

A organização é controladora quando define finalidades e bases legais dos dados de clientes, colaboradores, fornecedores e outras pessoas. A Nextep atua como operadora nas atividades realizadas por instrução da organização. Em conta, cobrança própria, segurança e outras finalidades próprias, pode atuar como controladora, conforme a Política de Privacidade. Os papéis seguem a atividade real e a legislação.

2. Dados e instruções

O tratamento abrange as operações necessárias aos recursos contratados, como armazenamento, organização, consulta, atualização e transmissão de registros. As categorias de pessoas e dados dependem do uso, das configurações autorizadas e das instruções documentadas.

As instruções constam do contrato, das configurações do serviço e dos pedidos de representantes habilitados. Novas finalidades, dados sensíveis e operações de alto risco exigem avaliação e condições adequadas. Instruções possivelmente ilícitas devem ser comunicadas, com restrição da operação quando cabível.

A duração acompanha a prestação e os períodos legítimos de conservação. Os dados não podem ser usados para finalidade própria incompatível com as instruções.

3. Responsabilidades

A organização deve definir finalidade e base legal, informar titulares, limitar a coleta, manter dados adequados, controlar os acessos de sua equipe e documentar as autorizações necessárias. Deve comunicar solicitações e incidentes que dependam de auxílio técnico.

A Nextep deve seguir instruções lícitas, limitar acessos, exigir confidencialidade das pessoas autorizadas, adotar segurança proporcional e auxiliar a organização no atendimento a titulares e no tratamento de riscos e incidentes.

Evidências pertinentes podem ser solicitadas, preservados segurança, sigilo e direitos de terceiros. Auditorias seguem escopo e procedimento acordados, sem restringir fiscalização ou deveres legais.

4. Fornecedores e transferências

A Nextep pode utilizar fornecedores necessários à prestação, sujeitos a obrigações de proteção compatíveis. As informações aplicáveis à contratação devem identificar serviços, destinatários e locais de tratamento. Mudanças relevantes devem ser comunicadas, permitindo tratar objeções justificadas da organização.

Transferências internacionais exigem mecanismo válido previsto na LGPD e na regulamentação da ANPD. Este anexo não substitui as cláusulas-padrão quando elas forem o mecanismo aplicável. Informações e condições específicas podem ser solicitadas pelo atendimento.

5. Incidentes e pedidos de titulares

Ao conhecer incidente envolvendo dados tratados em nome da organização, a Nextep deve comunicá-la sem demora injustificada, com as informações disponíveis sobre natureza, dados, titulares, riscos e medidas. As informações serão complementadas conforme a apuração.

A organização realiza as comunicações que lhe caibam à ANPD e aos titulares, com cooperação da Nextep e observância dos prazos legais. Isso não afasta as obrigações próprias da Nextep.

Pedidos de titulares recebidos pela operadora devem ser encaminhados à controladora, com auxílio técnico, verificação proporcional de identidade e proteção dos dados de outras pessoas. As partes devem manter contatos atualizados para essas comunicações.

6. Encerramento e responsabilidade

O encerramento deve prever devolução ou disponibilização de cópia, eliminação e identificação dos dados conservados por fundamento válido. Formato, abrangência, prazos e eventuais serviços adicionais seguem a contratação e a lei. A disponibilização de cópia não pressupõe exportação automática em todos os recursos.

Dados conservados permanecem restritos à finalidade de guarda. Os fornecedores devem receber as instruções de descarte aplicáveis. O fim da assinatura não autoriza conservação indefinida ou uso comercial dos dados.

Cada parte responde conforme sua atuação e a legislação, inclusive a LGPD e as regras de consumo quando aplicáveis. As responsabilidades próprias de uma parte não são transferidas à outra por este anexo.