Adendo de Tratamento de Dados Pessoais do Trama

Versão: 2026-10-28 · Vigência: a partir de 28 de outubro de 2026

Este Adendo integra os Termos de Uso do Trama para todo Cliente pessoa jurídica e regula o tratamento de dados pessoais entre:

• Hallen Consultoria Tecnológica Ltda., CNPJ 45.106.125/0001-39, com sede na Rua Juscelino Kubitscheck de Oliveira, 890, Jardim Boa Vista, Barra Mansa (RJ), CEP 27350-130 ("Hallen Tech"); e
• o Cliente que contratou o Trama.

O Adendo vale a partir do aceite dos Termos de Uso. O Cliente pode pedir uma via assinada pelo contato contato@trama.sh. Em caso de conflito sobre proteção de dados, este Adendo prevalece sobre os Termos de Uso; nos demais assuntos, prevalecem os Termos.

1. Definições

Valem as definições da LGPD (Lei 13.709/2018, art. 5º) e dos Termos de Uso. Além delas:

• Dados do Cliente: os dados pessoais que a Hallen Tech trata como operadora, em nome do Cliente, descritos no Anexo II.
• Suboperador: o terceiro contratado pela Hallen Tech que trata Dados do Cliente (Anexo III).
• Incidente: o incidente de segurança com dados pessoais, nos termos da Res. CD/ANPD nº 15/2024.

2. Objeto

O Adendo define o papel de cada parte, as instruções do Cliente, as obrigações de segurança, de confidencialidade e de comunicação de incidentes, os suboperadores, a transferência internacional e o que acontece com os dados no fim do contrato (LGPD, art. 39).

3. Papéis

3.1. A Hallen Tech é operadora dos Dados do Cliente: a configuração e os dados de trabalho que a Organização põe na Plataforma, a retransmissão do trabalho do Core para a tela e os webhooks de entrada e de saída (Anexo II).

3.2. A Hallen Tech é controladora, e não operadora, dos dados de conta, autenticação, segurança, registros de acesso, auditoria, cobrança e fiscal, do site e dos pedidos de titular, tratados para as finalidades próprias descritas na Política de Privacidade. Este Adendo não se aplica a esses dados, salvo a cláusula 10.4.

3.3. O Core não é tratamento da Hallen Tech. O Core roda na infraestrutura do Cliente, sob o controle dele. A Hallen Tech fornece o software, mas não tem acesso ao que o Core guarda (cards, código, transcrições, conversas, anexos, credenciais) e não trata esses dados. O Cliente é o controlador deles, e o envio desse conteúdo ao Provedor de IA, ao Tracker e ao Repositório é tratamento do Cliente, sob os contratos dele com esses fornecedores.

4. Instruções do Cliente

4.1. As instruções documentadas do Cliente são os Termos de Uso, este Adendo e as configurações que a Organização faz na Plataforma (Membros, papéis, projetos, orçamentos, webhooks, SSO).

4.2. A Hallen Tech trata os Dados do Cliente só para prestar o Trama e segundo essas instruções. Se achar que uma instrução viola a LGPD, avisa o Cliente e pode deixar de cumpri-la até o assunto ser resolvido.

4.3. A Hallen Tech não usa os Dados do Cliente para finalidades próprias: não os vende, não os usa para publicidade e não os usa para treinar modelos de IA. Pode usar estatísticas anonimizadas (LGPD, art. 12) para operar e melhorar o serviço.

5. Obrigações da Hallen Tech como operadora

A Hallen Tech se obriga a:

• (a) tratar os Dados do Cliente com as medidas de segurança do Anexo I (LGPD, art. 46);
• (b) restringir o acesso aos Dados do Cliente às pessoas que precisam dele para operar o serviço, sob dever de sigilo;
• (c) manter registro das operações de tratamento que realiza (LGPD, art. 37);
• (d) ajudar o Cliente, com as informações que tiver, a atender os titulares (cláusula 11), a elaborar um relatório de impacto (LGPD, art. 38) e a responder à ANPD;
• (e) comunicar os Incidentes conforme a cláusula 10;
• (f) só contratar Suboperadores conforme a cláusula 7.

6. Obrigações do Cliente

O Cliente se obriga a:

• (a) ter base legal (LGPD, art. 7º) para os dados pessoais que põe no Trama, inclusive os de seus próprios clientes, empregados e Membros, e informar os titulares sobre esse tratamento (art. 9º);
• (b) não pôr na Plataforma dados desnecessários, como o nome de uma pessoa física no nome de um projeto ou de um cliente, quando isso puder ser evitado;
• (c) manter a segurança da máquina do Core, das credenciais e dos acessos dos Membros (Termos de Uso, cláusula 10.1);
• (d) escolher e contratar o Provedor de IA, o Tracker e o Repositório e responder pelo tratamento que eles fazem, inclusive pela transferência internacional para esses fornecedores;
• (e) responder aos pedidos de titulares que a Hallen Tech encaminhar sobre dados do Core ou sobre Dados do Cliente, no prazo legal, e informar a Hallen Tech de que respondeu;
• (f) comunicar à ANPD e aos titulares os incidentes que ocorrerem no Core ou nos seus sistemas, quando a lei exigir.

7. Suboperadores

7.1. O Cliente autoriza a Hallen Tech a usar os Suboperadores do Anexo III.

7.2. A Hallen Tech impõe a cada Suboperador obrigações de proteção de dados compatíveis com este Adendo e responde perante o Cliente pelo Suboperador, nos termos da LGPD.

7.3. Novo Suboperador. A Hallen Tech avisa o Cliente com 30 dias de antecedência, por e-mail ao dono da Organização e na Política de Privacidade. Se o Cliente tiver motivo razoável ligado à proteção de dados, pode se opor nesse prazo. Se as partes não chegarem a uma solução, o Cliente pode encerrar o contrato sem custo e recebe o valor proporcional ao período pago e não usado.

8. Transferência internacional

8.1. Os Dados do Cliente são guardados no Brasil, em servidores da Hallen Tech em São Paulo (SP).

8.2. Parte deles é tratada pelos Suboperadores fora do Brasil (Anexo III). Essas transferências se apoiam nas cláusulas-padrão contratuais da ANPD (LGPD, art. 33, II, "b"; Res. CD/ANPD nº 19/2024), incorporadas aos contratos com os Suboperadores. As cópias de segurança guardadas fora do Brasil são cifradas antes de sair, e a chave fica com a Hallen Tech.

8.3. O Cliente reconhece que a transferência do conteúdo do Core ao Provedor de IA, ao Tracker e ao Repositório é feita por ele, como controlador, e cabe a ele escolher o mecanismo de transferência.

9. Segurança

A Hallen Tech mantém as medidas do Anexo I e pode trocá-las por outras de eficácia igual ou maior. Cada parte é responsável pela segurança do que está sob o seu controle: a Hallen Tech pela Plataforma, o Cliente pela máquina do Core e pelas credenciais.

10. Incidentes

10.1. A Hallen Tech avisa o Cliente sem demora indevida e em até 48 (quarenta e oito) horas depois de confirmar um Incidente que atinja Dados do Cliente, por e-mail ao dono da Organização.

10.2. O aviso informa, na medida do que se souber: a natureza do Incidente; os dados e os titulares afetados; as medidas tomadas e as recomendadas; e um contato. As informações que faltarem são enviadas assim que forem conhecidas.

10.3. O Cliente, como controlador, decide sobre a comunicação à ANPD e aos titulares dos Dados do Cliente (LGPD, art. 48; Res. 15/2024). A Hallen Tech coopera com o que tiver.

10.4. Nos Incidentes com dados de que a Hallen Tech é controladora, ela própria comunica a ANPD e os titulares, e avisa o Cliente quando o Incidente puder afetá-lo.

10.5. A Hallen Tech mantém o registro dos Incidentes, inclusive dos que não forem comunicados, pelo prazo exigido pela Res. 15/2024.

11. Direitos dos titulares

11.1. Se a Hallen Tech receber o pedido de um titular sobre Dados do Cliente ou sobre dados do Core, ela encaminha o pedido ao Cliente em até 5 (cinco) dias úteis, informa o titular do encaminhamento e não responde no mérito em nome do Cliente, salvo instrução dele.

11.2. A Hallen Tech dá ao Cliente as ferramentas e as informações de que dispõe para que ele atenda os titulares (a exportação e a exclusão no painel, e os dados guardados na Plataforma, a pedido).

12. Informações e auditoria

12.1. A Hallen Tech fornece ao Cliente, a pedido e no máximo uma vez por ano (ou depois de um Incidente), as informações necessárias para demonstrar o cumprimento deste Adendo: respostas a questionários de segurança, a descrição das medidas do Anexo I e a lista atualizada de Suboperadores.

12.2. Uma auditoria além disso, inclusive por terceiro independente sob dever de sigilo, depende de acordo prévio sobre o escopo, a data e o custo, que fica a cargo do Cliente. A ANPD pode auditar sempre, nos termos da lei.

13. Fim do contrato: devolução e eliminação

13.1. Durante o contrato e até 30 dias depois do fim dele, o Cliente pode pedir uma cópia dos Dados do Cliente guardados na Plataforma, em formato estruturado, que a Hallen Tech envia em até 30 dias.

13.2. Encerrada a Organização a pedido do Cliente, a Hallen Tech elimina os Dados do Cliente nos prazos da Política de Privacidade. As cópias de segurança cifradas expiram em até 30 dias.

13.3. A Hallen Tech pode guardar o que a lei mandar (LGPD, art. 16), como os registros fiscais e os registros de acesso, e os registros anonimizados.

13.4. Os dados do Core ficam com o Cliente, na máquina dele. Eliminá-los é decisão do Cliente.

14. Responsabilidade

14.1. Cada parte responde pelos danos que causar por descumprir a LGPD ou este Adendo, nos termos dos arts. 42 a 45 da LGPD. A Hallen Tech, como operadora, responde solidariamente quando descumprir a lei ou as instruções lícitas do Cliente (art. 42, § 1º, I).

14.2. Entre as partes, aplicam-se a limitação e as ressalvas da seção 18 dos Termos de Uso. A limitação não vale perante os titulares, nem para os danos causados por dolo ou culpa grave.

15. Vigência e foro

15.1. Este Adendo vale enquanto a Hallen Tech tratar Dados do Cliente, inclusive depois do fim do contrato, até a eliminação desses dados.

15.2. Este Adendo é regido pelas leis brasileiras. Fica eleito o foro da Comarca de Barra Mansa (RJ).

---

Anexo I — Medidas de segurança

• Local: a Plataforma roda em servidores próprios da Hallen Tech em São Paulo (SP).
• Acesso: restrito às pessoas da Hallen Tech que precisam dele, com credenciais individuais.
• Segredos: senhas com hash scrypt; tokens de convite, de link de acesso, de redefinição e as credenciais de conexão dos Cores guardados só como hash.
• Cifra em repouso: dados do pagador do boleto e dados bancários de devolução (AES-256-GCM), semente do segundo fator, segredos de SSO e de webhooks.
• Credenciais do Cliente: cifradas no navegador para a chave do Core; a Plataforma não consegue abri-las.
• Sem conteúdo do Core na Plataforma: uma verificação automática recusa o esquema do banco se ele ganhar uma coluna para o conteúdo de cards, prompts, transcrições, código ou credenciais. A retransmissão para a tela é feita em memória, sem gravar.
• Decisões assinadas na máquina do Core: cada assinatura vale uma vez, por cinco minutos; a Hallen Tech não consegue aprovar nada em nome do Cliente.
• Autenticação: segundo fator disponível, SSO (OIDC ou SAML) por Organização, sessões com prazo e encerráveis, limite de tentativas.
• Registros: trilha de auditoria imutável no banco (só a anonimização é permitida); registros sem texto livre e sem dados de pagamento.
• Cópias de segurança: cifradas com age antes de sair do servidor, guardadas 30 dias na Cloudflare R2; a chave que as abre fica fora do servidor e fora da conta do armazenamento. Cópias de produção não são restauradas em ambiente de teste, salvo nos ensaios de restauração, em ambiente isolado e apagado em seguida.
• Navegador: cabeçalhos de segurança; o painel não usa ferramenta de análise de terceiros.
• Retenção: cada tabela tem prazo declarado no esquema, e as rotinas diárias o aplicam.

Anexo II — Descrição do tratamento como operadora

Anexo III — Suboperadores

O PostHog, o Google e o GitLab não são Suboperadores de Dados do Cliente: o PostHog só mede visitas ao site, e o Google e o GitLab atuam como provedores de login escolhidos pelo usuário.