Anexo de Tratamento de Dados Pessoais

A D22 Systems, na qualidade de operadora de dados pessoais nos termos da Lei nº 13.709/2018 (LGPD), assume o compromisso de tratar os dados pessoais confiados pela Contratante por meio de controles técnicos, organizacionais e contratuais alinhados às melhores práticas do mercado. Este Anexo de Tratamento de Dados Pessoais ("Anexo") detalha os termos sob os quais esse tratamento ocorre quando a Voxli presta seus serviços à Contratante.

1. Objeto e Vinculação

Este Anexo é parte integrante e complementar aos Termos de Uso e à Política de Privacidade da Voxli, aplicando-se especificamente às atividades de tratamento de dados pessoais realizadas pela D22 Systems ("Voxli", "Operadora") em nome e por instrução da organização contratante ("Contratante", "Controladora"), no âmbito da prestação dos serviços de ouvidoria e conformidade contratados.

Em caso de conflito entre este Anexo e os demais documentos, aplica-se a regra de precedência prevista na cláusula 15.

2. Papéis: Controladora e Operadora (Art. 39, LGPD)

Para os fins deste Anexo, a Contratante atua como Controladora dos dados pessoais tratados na plataforma Voxli, sendo responsável por determinar as finalidades e os meios do tratamento, incluindo os dados pessoais de titulares (munícipes, solicitantes, colaboradores, fornecedores ou outros) inseridos na plataforma.

A Voxli atua como Operadora, nos termos do art. 39 da LGPD, tratando os dados pessoais exclusivamente conforme as instruções documentadas da Controladora e as finalidades por ela definidas, sem exercer poder de decisão autônomo sobre o tratamento, exceto quando exigido por lei — hipótese em que a Voxli comunicará essa exigência à Controladora previamente, salvo vedação legal.

As instruções da Controladora consideram-se documentadas por meio da contratação do serviço, das configurações realizadas pela própria Contratante na plataforma e de comunicações formais trocadas entre as partes.

3. Finalidade Restrita e Vedação de Uso Secundário

A Voxli trata os dados pessoais inseridos pela Contratante exclusivamente para a finalidade de prestação do serviço contratado (operação da plataforma de ouvidoria e conformidade), sendo vedado o uso desses dados para qualquer finalidade secundária, incluindo, sem limitação: fins comerciais ou publicitários próprios ou de terceiros, treinamento de modelos de inteligência artificial, elaboração de perfis não relacionados à prestação do serviço, ou compartilhamento com terceiros não autorizados.

Essa vedação já consta dos Termos de Uso (cláusula 7) e é reafirmada aqui como obrigação específica da Voxli enquanto Operadora.

4. Retenção e Descarte de Dados sob Instrução da Controladora

Os dados pessoais são mantidos enquanto o contrato estiver vigente e, após seu encerramento, permanecem disponíveis para exportação pela Controladora pelo prazo de 30 (trinta) dias, conforme cláusula 5 dos Termos de Uso.

A Controladora pode, mediante solicitação por escrito, instruir a Voxli a: (i) eliminar dados pessoais específicos antes do encerramento do contrato, quando não houver conflito com obrigação legal de retenção da Voxli; ou (ii) estender o prazo de retenção pós-encerramento por período adicional determinado, hipótese em que poderá ser aplicada cobrança proporcional pelo armazenamento adicional.

Decorrido o prazo de retenção aplicável, os dados são definitivamente eliminados dos sistemas de produção da Voxli, exceto quando houver obrigação legal de retenção (ex.: registros fiscais).

5. Medidas Técnicas e Organizacionais

A Voxli mantém, entre outras, as seguintes medidas técnicas e organizacionais para proteção dos dados pessoais tratados:

• Isolamento por cliente: cada Contratante opera em ambiente de dados segregado, sem possibilidade de acesso cruzado entre organizações;
• Criptografia em trânsito e em repouso: comunicações protegidas por TLS e dados armazenados de forma criptografada;
• Controle de acesso: autenticação segura, suporte a autenticação em dois fatores (2FA) e permissões por papel;
• Trilha de auditoria: registro de ações críticas realizadas na plataforma;
• Infraestrutura: a plataforma é hospedada em ambiente Google Cloud Platform, região Brasil, que possui certificações SOC 2 Type 2, ISO 27001 e ISO 27017. Essas certificações são da infraestrutura de nuvem utilizada pela Voxli, não constituindo certificações próprias da D22 Systems.

Mais detalhes sobre essas medidas estão disponíveis em nossa página de Segurança.

6. Confidencialidade

Todos os colaboradores, prepostos e suboperadores da Voxli com acesso a dados pessoais tratados no âmbito deste Anexo estão sujeitos a obrigação contratual de confidencialidade, permanecendo essa obrigação em vigor mesmo após o encerramento do vínculo com a Voxli.

7. Suboperadores

A Voxli utiliza suboperadores para a prestação do serviço, cada um restrito à categoria de finalidade abaixo indicada:

A identificação nominal de cada suboperador, com o respectivo país de operação, é disponibilizada à Controladora mediante solicitação por escrito ao Encarregado de Dados, e mantida atualizada. A tabela acima informa a categoria, a finalidade e o local de processamento de cada um, de modo que a Controladora conheça previamente o alcance do tratamento.

A Voxli notificará a Controladora com antecedência mínima de 15 (quinze) dias antes de adicionar ou substituir qualquer suboperador com acesso a dados pessoais, por e-mail cadastrado na conta da Contratante, facultando-se à Controladora manifestar objeção justificada dentro desse prazo. Esse prazo de antecedência não se aplica quando a troca for necessária por motivo de segurança, continuidade do serviço ou cumprimento de obrigação legal, casos em que a notificação ocorrerá tão logo possível.

8. Notificação de Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos dados pessoais tratados em nome da Controladora, a Voxli notificará a Contratante sem atraso injustificado, observado o prazo máximo de 48 (quarenta e oito) horas após a confirmação do incidente.

A notificação incluirá, na medida do possível:

• Descrição da natureza do incidente;
• Categorias e volume aproximado de dados e titulares afetados;
• Possíveis consequências do incidente;
• Medidas adotadas ou propostas para mitigação.

Cabe à Controladora, na qualidade de responsável pelas comunicações a titulares e à ANPD, decidir sobre a necessidade e o conteúdo de eventuais comunicações externas, contando com a cooperação da Voxli conforme cláusula 10.

9. Direito de Auditoria da Controladora

A Controladora poderá, mediante solicitação razoável por escrito e observado prazo mínimo de agendamento de 15 (quinze) dias, requerer da Voxli evidências razoáveis de conformidade com este Anexo, tais como relatórios de segurança, certificações vigentes da infraestrutura utilizada e sumários de testes de penetração (pentest) realizados.

Em razão da natureza multiusuário da plataforma e da necessidade de preservar a segurança e a confidencialidade de dados de outras Contratantes, a auditoria será realizada preferencialmente por meio de documentação, podendo a Voxli condicionar o compartilhamento de informações sensíveis à assinatura de acordo de confidencialidade (NDA) específico.

Auditorias presenciais (on-site) poderão ser avaliadas caso a caso, mediante acordo prévio entre as partes.

10. Cooperação

A Voxli prestará assistência razoável à Controladora para o atendimento de solicitações de titulares de dados relacionadas aos direitos previstos no art. 18 da LGPD (acesso, correção, eliminação, portabilidade, entre outros), inclusive por meio do portal de LGPD disponibilizado a cada Contratante, que já constitui o meio técnico para a Controladora conduzir e responder a essas solicitações.

A Voxli também cooperará razoavelmente com a Controladora em eventuais interações com a Autoridade Nacional de Proteção de Dados (ANPD) relacionadas ao tratamento de dados objeto deste Anexo.

11. Continuidade

A Voxli emprega esforços comercialmente razoáveis para manter a plataforma disponível e operacional, conforme cláusula 9 dos Termos de Uso, sem que isso constitua garantia de percentual específico de disponibilidade (uptime).

O histórico de disponibilidade da plataforma é monitorado de forma contínua e publicado publicamente em status.voxli.com.br.

12. Subprocessadores e Transferência Internacional de Dados (Art. 33, LGPD)

A aplicação e o banco de dados da Voxli são hospedados em servidores localizados em território brasileiro. Os dados das manifestações, dos titulares e dos usuários residem no Brasil.

Conforme indicado na cláusula 7, parte dos suboperadores opera no exterior. As transferências internacionais decorrentes são realizadas com fundamento nos arts. 33 e seguintes da LGPD, mediante cláusulas contratuais específicas de proteção de dados firmadas com cada fornecedor. A identificação nominal desses suboperadores é fornecida à Controladora mediante solicitação ao Encarregado de Dados.

O assistente de IA é o único recurso que submete conteúdo de manifestações a suboperador no exterior, e apenas quando expressamente habilitado pela Controladora nas configurações da conta. Antes de qualquer envio, a plataforma aplica sanitização automática de dados pessoais identificáveis. Desabilitado o recurso, nenhum conteúdo é transmitido.

13. Reversibilidade e Devolução/Eliminação de Dados no Encerramento

Ao término do contrato, por qualquer motivo, a Voxli disponibilizará à Controladora, pelo prazo de 30 (trinta) dias previsto na cláusula 5 dos Termos de Uso, a exportação dos dados pessoais em formato estruturado e de uso comum (CSV/JSON, conforme o tipo de dado), de modo a viabilizar sua portabilidade a outro fornecedor ou ambiente próprio da Controladora.

Mediante solicitação da Controladora dentro desse prazo, a Voxli prestará assistência razoável adicional para a extração de dados em formato específico, podendo ser aplicada cobrança proporcional ao esforço técnico envolvido quando o formato solicitado exigir processamento não padronizado.

Encerrado o prazo de retenção aplicável, os dados são eliminados definitivamente dos sistemas de produção da Voxli, conforme cláusula 4.

14. Contato e Encarregado de Dados (DPO)

Dúvidas relacionadas a este Anexo podem ser encaminhadas ao Encarregado de Proteção de Dados (DPO) da D22 Systems:

• Portal do Encarregado: voxli.voxli.com.br/lgpd
• E-mail: contato@voxli.com.br

15. Precedência Documental

Este Anexo integra o conjunto contratual formado também pelos Termos de Uso e pela Política de Privacidade da Voxli. Em caso de conflito entre as disposições deste Anexo e as dos Termos de Uso ou da Política de Privacidade especificamente quanto a matérias de tratamento de dados pessoais, prevalecerão as disposições deste Anexo.

16. Disposições Finais e Versionamento

Este documento é identificado como VX-DPA-001, Versão 1.0, com última atualização em julho de 2026. Alterações a este Anexo serão comunicadas com a mesma antecedência e pelos mesmos canais previstos na cláusula 12 dos Termos de Uso para alterações contratuais.