Como o ARC trata os dados da sua organização.

Versão de 1 de setembro de 2026 · pendente de revisão jurídica

1. Quem responde pelo quê

Esta é a distinção que organiza todo o resto, e ela vem da LGPD (Lei 13.709/2018):

• A sua organização é a controladora. Os dados que entram no ARC são dela: os clientes dela, as pessoas da equipe dela, os projetos dela. Quem decide o que coletar, para que usar e por quanto tempo guardar é ela.
• A Atomic Solutions é a operadora. Nós tratamos esses dados em nome da sua organização e conforme as instruções dela, que são dadas pelo contrato e pelo próprio uso do sistema. Não usamos os dados dos nossos clientes para finalidade própria, não os vendemos e não os cruzamos entre organizações.

Há uma exceção, e ela é estreita: os dados de quem administra a conta (nome, e-mail, e os registros de acesso) são tratados por nós também como controladores, porque deles depende a relação contratual e a segurança do serviço.

2. O isolamento entre organizações

O ARC é multi-inquilino: várias organizações usam a mesma instalação. A separação é feita por identificador de organização em cada registro, aplicado nas consultas de todos os produtos, e é o mecanismo que impede uma organização de alcançar o dado de outra.

3. Que dados a plataforma trata

Depende de quais produtos a sua organização contratou. Em linhas gerais:

• Identificação e contato: nome, e-mail, telefone, cargo, e os identificadores fiscais das empresas cadastradas.
• Relacionamento comercial (CRM e Marketing): leads, contatos, histórico de interação, e o registro de consentimento para comunicação.
• Pessoas da equipe (RH, Controle de Horas, Operações): dados cadastrais, vínculo, nível de senioridade, benefícios contratados, remuneração e horas trabalhadas.
• Financeiro: dados de clientes, fornecedores e sócios necessários a faturamento e emissão de nota.
• Conteúdo (Docs): o que a sua equipe escreve, anexa e comenta, que pode conter dado pessoal conforme o uso.
• Registros de uso: quem fez o quê, quando, a partir de qual endereço IP, com o valor anterior e o novo. É a trilha de auditoria, e ela existe para segurança e prestação de contas.

A plataforma não foi desenhada para dados sensíveis na definição do art. 5º, II da LGPD: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético ou biométrico, e dado referente à saúde ou à vida sexual. O RH registra o tipo de benefício contratado, incluindo plano de saúde, e isso é informação contratual, não dado clínico. Se a sua organização precisar tratar dado sensível, fale com a gente antes: exige base legal específica e medidas próprias.

4. Com que base legal

A base legal é escolhida pela controladora, e o sistema registra qual foi usada em cada caso. Para comunicação de marketing, o ARC mantém o registro de consentimento com quatro bases previstas na lei: consentimento (art. 7º, I), obrigação legal (art. 7º, II), execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX).

O registro guarda quando o consentimento foi dado, por qual canal, e todo evento posterior, inclusive a revogação. Quando alguém se opõe ao tratamento, a oposição vale para todos os produtos do ARC de uma vez, e não só para a lista de onde a mensagem saiu.

5. Quem mais toca nos dados

Estes são os nossos subprocessadores. A lista é fechada, e mudanças nela são comunicadas às organizações clientes antes de entrarem em vigor:

• Amazon Web Services— hospedagem da aplicação e do banco de dados, armazenamento de arquivos (S3) e envio de e-mail (SES).
• Provedores de inteligência artificial — Anthropic, OpenAI, Google ou DeepSeek, conforme a escolha da organização. Ver a seção 7.
• Convenia— somente para as organizações que ativam a sincronização de dados de RH.
• Econodata— somente para as organizações que usam o enriquecimento de dados de empresas.
• Prefeituras e órgãos fiscais— para emissão de NFS-e, quando o produto Financeiro é usado com essa finalidade.

6. Onde os dados ficam

A infraestrutura está hoje na região us-east-1 da Amazon Web Services, nos Estados Unidos. Isso caracteriza transferência internacional de dados nos termos do art. 33 da LGPD, e a sua organização precisa saber disso ao decidir o que coloca na plataforma.

Pendente: definir e declarar aqui o mecanismo de transferência (cláusulas-padrão contratuais da ANPD, garantias contratuais específicas, ou migração da infraestrutura para região no Brasil). Esta é a decisão mais material deste documento.

7. Inteligência artificial

O copiloto só processa dado quando alguém o aciona, e o que sai da plataforma é o necessário para responder àquela pergunta: o contexto da tela aberta, o trecho relevante da base de conhecimento, e a instrução.

• A chave é da sua organização. Você contrata o provedor de IA diretamente e cadastra a sua chave, que fica cifrada no banco. A relação com o provedor é sua, e os termos dele valem para o seu uso.
• Nós não treinamos modelo com o seu dado, e não temos acesso ao conteúdo das suas conversas com o copiloto além do necessário para operar o serviço.
• Toda ação que altera dado pede aprovação na tela antes de acontecer. O copiloto propõe; quem decide é a pessoa.
• O consumo fica registrado por agente e por modelo, num painel que a sua organização vê.

8. Segurança

• Segredos cifrados. Chaves de API e credenciais de integração são guardadas com AES-256-GCM, e não em texto puro.
• Senhas com hash. Nenhuma senha é armazenada de forma reversível.
• Segundo fator. Disponível por aplicativo autenticador ou código por e-mail.
• Controle de acesso por produto. Cada pessoa recebe acesso a produtos e a ações específicas; o acesso a um produto não concede acesso aos outros.
• Trilha de auditoria. Ações relevantes ficam registradas com autor, momento, endereço IP e o que mudou.
• Sessões rastreadas, com a possibilidade de encerrar remotamente uma sessão específica.

9. Por quanto tempo guardamos

Enquanto o contrato estiver vigente, os dados ficam disponíveis para a sua organização. Vários registros usam exclusão lógica, o que significa que somem das telas e permanecem no banco até a eliminação definitiva, para permitir recuperação de engano e atender à auditoria.

Pendente de decisão do negócio: o prazo para exportação dos dados após o encerramento do contrato, e o prazo para a eliminação definitiva. Os valores usuais no mercado são 30 dias para exportação e 90 dias para eliminação, e é preciso confirmar que o sistema executa o que for prometido antes de prometer.

10. Os direitos de quem está na base

Os titulares dos dados (o funcionário, o cliente, o lead) exercem os direitos da LGPD perante a sua organização, que é a controladora. A nossa obrigação é dar a ela os meios de atender:

• consulta e exportação dos dados de um titular;
• correção pela própria tela em que o registro vive;
• exclusão, com o registro da operação na auditoria;
• oposição ao recebimento de comunicações, que vale para todos os produtos de uma vez.

Se um titular nos procurar diretamente, encaminhamos à organização controladora e avisamos o titular de que fizemos isso.

11. Incidentes

Se houver incidente de segurança que possa acarretar risco relevante aos titulares, comunicamos a organização controladora sem demora, com o que se sabe até então: o que aconteceu, que dados foram alcançados e que medidas foram tomadas. A comunicação à ANPD e aos titulares cabe à controladora, e nós damos o apoio técnico necessário.

Pendente: fixar o prazo de comunicação. O padrão de mercado é até 48 horas do conhecimento do incidente, e o prazo assumido aqui precisa ser o mesmo do contrato.

12. Encarregado pelo tratamento de dados

Pendente: a LGPD, art. 41, exige que o controlador indique um Encarregado e divulgue publicamente a identidade e o contato dele. Este documento não pode ir ao ar sem esse nome e esse endereço de e-mail.

13. Mudanças neste documento

A data no topo é a da última alteração. Mudanças que afetem materialmente o tratamento — subprocessador novo, região nova, finalidade nova — são comunicadas às organizações clientes antes de entrar em vigor.

14. O que prevalece

Havendo divergência entre esta página e o contrato assinado com a sua organização, o contrato prevalece. Esta página descreve a prática; o contrato é o que a obriga.