Este Anexo integra os Termos de Uso do ElphantCRM e rege o tratamento de dados pessoais realizado pela Elphant em nome do Cliente, na forma da Lei nº 13.709/2018 (LGPD). Os termos com inicial maiúscula têm o significado definido nos Termos de Uso.
1. Objeto
1.1. Este Anexo aplica-se a todos os dados pessoais de Contatos, leads, clientes finais e quaisquer terceiros tratados por meio da Plataforma em razão da contratação.
1.2. Em matéria de dados pessoais, este Anexo prevalece sobre os Termos de Uso.
2. Papéis
2.1. O Cliente atua como controlador (LGPD, art. 5º, inciso VI): é quem toma as decisões sobre as finalidades e os meios essenciais do tratamento.
2.2. A Elphant atua como operadora (LGPD, art. 5º, inciso VII): realiza o tratamento estritamente em nome do Cliente e segundo as instruções por ele fornecidas.
3. Finalidade e instruções
3.1. A Elphant trata os dados pessoais exclusivamente para prestar os serviços contratados. É vedado o uso para finalidades próprias, comercialização, perfilamento ou compartilhamento não autorizado.
3.2. São instruções do Cliente: as configurações que ele faz na Plataforma, a Proposta Comercial, os Termos de Uso, este Anexo e as solicitações formais enviadas por e-mail.
3.3. As instruções devem ser lícitas, formais e compatíveis com a LGPD. Instrução ilícita é recusada pela Elphant, com comunicação ao Cliente.
4. Responsabilidade pela base legal
4.1. É responsabilidade exclusiva e indelegável do Cliente, como controlador: (i) escolher, justificar e documentar a base legal aplicável ao tratamento (LGPD, art. 7º); (ii) obter o consentimento dos titulares quando exigido; (iii) prestar aos titulares informações claras sobre o tratamento (LGPD, art. 9º); (iv) atender, no prazo legal, as requisições dos titulares (LGPD, art. 18); (v) responder perante a ANPD e demais autoridades.
5. Auxílio no atendimento aos titulares
5.1. A Elphant presta, dentro dos limites técnicos e razoáveis, auxílio ao Cliente para o atendimento de requisições de titulares: acesso, correção, anonimização, eliminação, portabilidade e informação sobre compartilhamento.
5.2. A Elphant não assume a obrigação primária de resposta, que é do controlador. Requisição recebida diretamente pela Elphant é encaminhada ao Cliente, e a Elphant pode informar ao titular quem é o controlador dos seus dados.
6. Segurança da informação
6.1. A Elphant emprega medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (LGPD, art. 46), sempre conforme o estado da técnica e sem garantia de inviolabilidade absoluta.
6.2. Essas medidas incluem criptografia em trânsito (TLS) e em repouso, controle de acesso baseado em perfis, registros de auditoria, autenticação multifator disponível aos Usuários, segregação lógica dos dados de cada Cliente e cópias de segurança.
7. Incidentes de segurança
7.1. Verificado incidente de segurança que envolva dados pessoais sob operação da Elphant, ela o comunica ao Cliente em prazo não superior a 24 (vinte e quatro) horas, contadas da confirmação do incidente, informando, com base nos elementos então disponíveis: (i) a descrição do incidente; (ii) a natureza dos dados afetados; (iii) a quantidade estimada de titulares envolvidos; (iv) as medidas de contenção e mitigação adotadas; (v) a causa provável; (vi) o contato do responsável pela apuração.
7.2. As informações ainda não disponíveis na comunicação inicial são complementadas em relatório final, em até 5 (cinco) dias úteis.
7.3. A comunicação à ANPD e aos titulares é responsabilidade exclusiva do Cliente, como controlador (LGPD, art. 48).
8. Sub-operadores
8.1. O Cliente autoriza, de forma específica, a contratação pela Elphant dos sub-operadores relacionados em elphant.com.br/subprocessors, com a finalidade e a localização indicadas para cada um.
8.2. A Elphant celebra com cada sub-operador instrumento com obrigações de proteção de dados não inferiores às previstas neste Anexo.
8.3. A inclusão ou a substituição de sub-operador é publicada como nova versão da lista e comunicada ao Cliente por e-mail com antecedência mínima de 30 (trinta) dias. O Cliente pode apresentar oposição fundamentada; persistindo a divergência, qualquer das partes pode encerrar a contratação sem ônus.
8.4. Os sub-operadores de inteligência artificial só recebem dados quando a funcionalidade correspondente está ativa para o Cliente (Termos de Uso, seção 5).
9. Transferência internacional
9.1. O armazenamento primário dos dados do Cliente ocorre em território brasileiro.
9.2. Os sub-operadores com localização fora do Brasil podem envolver transferência internacional de dados pessoais, inclusive para países que não possuam grau de proteção equivalente ao brasileiro. O Cliente reconhece e autoriza expressamente essa transferência, com fundamento no art. 33 da LGPD.
9.3. Como mecanismo de adequação, a Elphant adota as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto na legislação, em instrumento próprio firmado com cada sub-operador.
10. Retenção, exportação e exclusão após o término
10.1. Encerrada a contratação, observa-se o cronograma abaixo, salvo obrigação legal de retenção:
| Período | O que acontece |
|---|---|
| Dias 1 a 30 | O Cliente pode solicitar, sem custo, a exportação dos seus dados (contatos, conversas e mensagens, negócios e funis, atividades e etiquetas) em formato estruturado e de uso comum (CSV ou JSON). Os arquivos de mídia (áudio, imagem e documento) são entregues em pacote compactado à parte. |
| Dias 31 a 60 | Os dados ficam em exclusão lógica: inacessíveis pela Plataforma, mas tecnicamente recuperáveis mediante solicitação formal. |
| Após o 60º dia | Os dados são excluídos definitivamente dos ambientes produtivos. Podem permanecer em cópias de segurança por até 90 (noventa) dias adicionais, até a sobrescrita natural pelo ciclo de retenção, e nos registros que a Elphant tenha obrigação legal de manter. |
10.2. Assistência à migração. Nos 30 (trinta) dias seguintes ao encerramento, a Elphant disponibiliza ao Cliente, sem custo adicional, 1 (uma) exportação dos dados nos termos do item 10.1 e presta assistência técnica à migração, limitada a 8 (oito) horas de trabalho técnico, condicionada à inexistência de valores em aberto. Exportações adicionais ou em formato específico são orçadas previamente.
11. Dados anonimizados
11.1. A Elphant pode utilizar dados anonimizados e estatísticas agregadas, sem identificação direta ou indireta dos titulares (LGPD, art. 12), para melhoria do serviço, análise de uso e segurança.
12. Encarregado e alterações
12.1. Os contatos relativos à proteção de dados podem ser endereçados ao Encarregado da Elphant pelo e-mail dpo@elphant.com.br.
12.2. A Elphant pode publicar nova versão deste Anexo. Cada versão tem número, data de vigência e endereço permanente, e o histórico fica em elphant.com.br/data-processing. A nova versão é publicada com vigência de, no mínimo, 30 (trinta) dias após a publicação e comunicada por e-mail ao contato cadastrado do Cliente, salvo alteração exigida por lei ou por autoridade competente, que vale no prazo da norma.
Anexo de Tratamento de Dados Pessoais · versão 1.0 · vigente desde 7 de setembro de 2026 · https://elphant.com.br/data-processing/v1.0