Acordo de Tratamento de Dados

1. Partes e papéis

Este Acordo de Tratamento de Dados ("DPA") faz parte do contrato entre o cliente ("Cliente"), a organização em nome da qual os membros dela e os assistentes de IA deles usam a Arroway, e a Arroway, operada por Alexandre Viola ("Arroway"), nos termos dos Termos de Uso da Arroway.

Para o conteúdo que as pessoas e os assistentes de IA do Cliente escrevem nos projetos da Arroway, o Cliente é o controlador e a Arroway é a operadora. "Conteúdo" quer dizer memórias, regras, decisões, entradas do registro diário e passagens de bastão, com o nome de quem as escreveu.

Para dados de conta e de entrada, e-mails do serviço e medição de audiência das páginas públicas, a Arroway é a controladora, nos termos da Política de Privacidade. Este DPA não rege esses dados.

2. Escopo do tratamento

A Arroway trata o Conteúdo só para prestar o serviço que o Cliente usa, enquanto a conta do Cliente existir e até a exclusão descrita na Seção 9 terminar.

• Natureza do tratamento: guardar o Conteúdo; mostrá-lo às pessoas do Cliente no painel; devolvê-lo aos assistentes de IA que essas pessoas conectam, que leem só os projetos de que a pessoa deles faz parte; comparar com o Conteúdo um texto que um desses assistentes está prestes a publicar, para devolver o que ele toca, sem guardar esse texto; enviar por e-mail resumos de projeto e avisos a essas pessoas; e, quando uma delas pede ao cockpit uma sugestão de configuração, enviar a tarefa que ela escreveu, com o nome e o escopo do projeto, a um modelo de linguagem que devolve a sugestão.
• Categorias de dados: o texto do Conteúdo; o nome e o e-mail de cada autor, junto do que escreveu; qual ferramenta de IA cada pessoa conectou e quando ela esteve ativa pela última vez num projeto; e o registro do que cada leitura entregou a uma IA, que é apagado automaticamente depois de 90 dias.
• Titulares dos dados: os membros do Cliente, as pessoas que o Cliente convida e qualquer pessoa citada no Conteúdo.
• Dados sensíveis: a Arroway não foi feita para eles, e o Cliente não deve escrevê-los no Conteúdo. A instrução entregue a toda IA conectada proíbe escrever credenciais, tokens e chaves de API num projeto, sem exceção.

A Arroway nunca guarda senhas (ela não tem nenhuma), a conversa entre uma pessoa e a IA dela, os arquivos dela, nem a memória própria do assistente: ela não alcança nada disso.

3. Instruções e confidencialidade

A Arroway trata o Conteúdo só sob as instruções documentadas do Cliente: este DPA, os Termos de Uso e o que as pessoas do Cliente fazem com as funcionalidades do produto. A Arroway não vende, não aluga e não compartilha o Conteúdo com terceiros, e não o usa para treinar nenhum modelo de IA.

Se a Arroway entender que uma instrução viola a lei, ela avisa o Cliente antes de cumpri-la. Todos na Arroway que podem alcançar o Conteúdo estão obrigados a confidencialidade.

O seu assistente de IA (Claude, ChatGPT ou outro) recebe o que lê na Arroway, porque é ele quem lê. O que esse fornecedor faz com isso é regido pela política dele, não por este DPA.

4. Medidas de segurança

A Arroway aplica as medidas abaixo, descritas como o sistema funciona na data deste DPA. Uma mudança que enfraqueça qualquer uma delas é avisada ao Cliente por e-mail antes de valer.

• Em trânsito: o painel, as páginas públicas e o endereço ao qual uma IA se conecta respondem só por HTTPS, e a conexão entre a aplicação e o banco de dados é criptografada.
• Em repouso: o fornecedor do banco de dados criptografa os dados guardados com AES-256, com chaves gerenciadas no AWS Key Management Service.
• Segredos: o endereço privado de cada conexão de IA, cada convite e cada credencial OAuth são guardados só como resumos SHA-256, que reconhecem o valor certo e não conseguem reconstruí-lo.
• Autenticação: a Arroway não tem senhas. As pessoas entram com o Google ou com um link enviado ao e-mail delas.
• Acesso: uma IA alcança só os projetos de que a pessoa dela faz parte, e esse acesso sempre deriva da identidade da pessoa, nunca do que a IA diz. Revogar uma conexão encerra o acesso dela na hora.
• Monitoramento: o monitoramento de erros do servidor é configurado para não enviar dados pessoais e para mascarar endereços de conexão.
• E-mail: as mensagens são enviadas com TLS oportunista, então vão criptografadas sempre que o servidor de e-mail que as recebe aceita.
• Limites de retenção: o registro do que cada leitura entregou e as medições de primeiro uso são apagados automaticamente depois de 90 dias. Entradas do registro diário com mais de 14 dias deixam de ser enviadas às IAs.

5. Subprocessadores

O Cliente dá à Arroway autorização geral para usar os subprocessadores do Anexo A no tratamento do Conteúdo.

A Arroway avisa o Cliente por e-mail com pelo menos 30 dias de antecedência antes de incluir ou trocar um subprocessador que trate Conteúdo. Nesse prazo o Cliente pode se opor por motivo razoável de proteção de dados. Se a objeção não se resolver, o Cliente pode deixar de usar o serviço afetado e pedir a exclusão do Conteúdo dele, nos termos da Seção 9.

A Arroway obriga cada subprocessador a termos de proteção de dados que protegem o Conteúdo num nível, em substância, não inferior ao deste DPA, e continua responsável pelo que um subprocessador faz com o Conteúdo.

O Anexo A, no fim desta página, é a lista vigente. A página de confiança aponta para ele, então uma mudança aparece aqui no dia em que passa a valer.

6. Transferência internacional

O Conteúdo fica guardado em servidores nos Estados Unidos (banco de dados na Amazon Web Services, US East; hospedagem da aplicação na Vercel). Se o Cliente ou os membros dele estão fora dos Estados Unidos, o Conteúdo deles é transferido para lá. As partes do Conteúdo que viajam em e-mails (Anexo A) são enviadas pela região de São Paulo do Resend.

Quando essa transferência está sujeita ao GDPR, as partes incorporam as Cláusulas Contratuais Padrão da União Europeia (Módulo Dois, de controlador para operador), e o Adendo do Reino Unido quando se aplica o UK GDPR. Quando está sujeita à LGPD, as partes usam as cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD). As Seções 2 e 4 e o Anexo A completam os anexos dessas cláusulas.

7. Pedidos de titulares

A Arroway ajuda o Cliente a responder pedidos de pessoas que exercem os direitos delas pela LGPD ou pelo GDPR (acesso, correção, exclusão, restrição, portabilidade e oposição).

Um pedido que chega primeiro à Arroway é repassado ao Cliente sem demora e não é respondido em nome do Cliente, a menos que o Cliente peça. Um pedido do Cliente à Arroway em hello@arroway.app é respondido em até 15 dias.

Dentro do produto, as pessoas já conseguem revogar uma conexão de IA, corrigir ou arquivar uma memória, encerrar um projeto e excluir a própria conta. Não existe botão de exportar: uma cópia dos dados é algo que a Arroway envia a pedido.

A Arroway também ajuda, dentro do razoável, em relatórios de impacto à proteção de dados e consultas prévias que envolvam o Conteúdo.

8. Incidentes com dados pessoais

A Arroway avisa o Cliente sem demora injustificada, e em até 72 horas, depois de tomar conhecimento de um incidente que afete o Conteúdo. O aviso diz o que aconteceu, quais dados e mais ou menos quantas pessoas foram afetadas, as consequências prováveis e o que a Arroway fez e vai fazer a respeito.

A Arroway mantém o Cliente informado conforme descobre mais, e ajuda o Cliente a cumprir o dever próprio de comunicar a autoridade competente e as pessoas afetadas, como a lei aplicável exigir.

9. Devolução e exclusão

O Conteúdo fica enquanto a conta do Cliente existir. Encerrar um projeto ou arquivar uma memória a tira das leituras das IAs e preserva o histórico, porque saber que algo foi decidido e depois revertido faz parte do registro.

Quando uma pessoa exclui a conta, são removidos o acesso dela, as conexões de IA, o e-mail, a foto e o projeto pessoal. O que ela escreveu num projeto de time fica, com o nome dela, porque é o registro daquele time. O Cliente, como controlador daquele projeto de time, pode em vez disso pedir por escrito a exclusão do projeto e do Conteúdo dele, e a Arroway a faz em até 30 dias.

No fim do contrato, a Arroway devolve uma cópia do Conteúdo a pedido e depois o apaga, a menos que a lei exija guardá-lo. O Conteúdo apagado permanece no histórico de restauração pontual do fornecedor do banco de dados por até um dia, e a Arroway não guarda snapshots.

10. Auditoria e registros

A Arroway mantém registro do tratamento que faz para o Cliente e dá ao Cliente as informações necessárias para mostrar que este DPA está sendo cumprido: a página de confiança, o Anexo A e respostas por escrito a um questionário de segurança, uma vez por ano.

O Cliente pode auditar a Arroway presencialmente, ou por um auditor independente obrigado a confidencialidade, só quando a lei exigir ou depois de um incidente que tenha afetado o Conteúdo. A Arroway recebe aviso com 30 dias de antecedência, a auditoria corre por conta do Cliente e nunca alcança dados de outros clientes.

11. Disposições gerais

Se este DPA e os Termos de Uso divergirem sobre o tratamento de dados pessoais, prevalece este DPA. A responsabilidade sob este DPA está sujeita aos limites dos Termos de Uso.

Este DPA é regido pela lei brasileira, como os Termos de Uso. Quando o Cliente é consumidor, ele mantém o direito de propor a ação onde mora. Fora disso, as disputas vão para o foro do domicílio do operador no Brasil.

Este DPA é publicado em inglês, português e espanhol. A versão em inglês é a original e, se as versões divergirem, prevalece a versão em inglês.

Última atualização: 2026-10-14. Uma mudança relevante neste DPA é avisada por e-mail antes de valer, e a data aqui sempre diz quando esta versão passou a valer. Para o que esta página não responde, escreva para hello@arroway.app.