Última atualização: 12 de outubro de 2026

Este anexo integra o Contrato de Assinatura da Bases e prevalece sobre ele no que for dado pessoal.

A lei de referência é a Lei nº 13.709/2018 (LGPD) e a regulação da Autoridade Nacional de Proteção de Dados (ANPD). Regras europeias, britânicas ou da Califórnia só entram se o dado tratado estiver de fato sujeito a elas, na cláusula 9.

1. Papéis e objeto

1.1. No que a Bases tratar dado pessoal por conta do Cliente para prestar os Serviços (“Dado pessoal do Cliente”), o Cliente é o controlador e a Bases é a operadora, nos arts. 5º, VI e VII, da LGPD. A Bases é controladora apenas dos dados de cadastro, cobrança, suporte e segurança da conta, e esse tratamento não é objeto deste anexo.

1.2. Se o Cliente for operadora de outro controlador, por exemplo uma agência diante do seu cliente, o Cliente é o único ponto de contato da Bases, obtém as autorizações necessárias e passa as instruções em nome desse controlador.

1.3. A descrição do tratamento está no Apêndice I. As medidas de segurança estão no Apêndice II. Os suboperadores iniciais estão no Apêndice III.

2. Instruções

A Bases trata o Dado pessoal do Cliente só conforme instrução documentada do Cliente: este anexo, o contrato, o Pedido, o uso feito pelos Usuários dentro do Serviço e instrução posterior por escrito que caiba no contrato. Se uma instrução violar a LGPD de modo manifesto, a Bases avisa o Cliente e pode suspender só o tratamento afetado até a instrução ser corrigida.

3. Pessoas

Quem, na Bases, acessa Dado pessoal do Cliente está obrigado a sigilo contratual ou legal.

4. Limites

A Bases não trata Dado pessoal do Cliente para finalidade diversa da prestação, da segurança e do cumprimento da lei. Não o combina com dado pessoal de outro cliente para reidentificar pessoa. Não o vende, não o usa para publicidade de terceiro e não o usa para treinar modelo de terceiro. Telemetria só deixa de ser dado pessoal quando a anonimização for razoavelmente irreversível (art. 12 da LGPD). Agregado entre clientes segue a cláusula 4.4 do Contrato de Assinatura.

5. Segurança e incidente

5.1. A Bases adota medidas técnicas e administrativas aptas a proteger o dado contra acesso não autorizado e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos do art. 46 da LGPD e do Apêndice II. Certificação de terceiro, quando existir, será indicada no Apêndice II.

5.2. A Bases faz varredura de vulnerabilidade da plataforma em periodicidade compatível com o risco e cifra o dado em trânsito. Dado em repouso é cifrado quando o meio de armazenamento permitir.

5.3. Confirmado incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Bases comunica o Cliente sem demora injustificada e em até 3 dias úteis, prazo alinhado ao que o controlador precisa para falar com a ANPD na Resolução CD/ANPD nº 15/2024. A comunicação traz o que a Bases já souber: natureza dos dados, titulares afetados, medidas já tomadas e contato. Atraso vem acompanhado do motivo. O Cliente, como controlador, faz a comunicação à ANPD e aos titulares quando a lei o exigir. A Bases colabora.

5.4. Se o incidente envolver dado sujeito ao Regulamento europeu e o Cliente for o controlador europeu, a Bases também entrega a informação a tempo de o Cliente observar o prazo de 72 horas desse regulamento, quando ele se aplicar.

6. Suboperadores

6.1. O Cliente autoriza os suboperadores do Apêndice III. Cada um fica obrigado, por escrito, a proteção equivalente à deste anexo no que lhe couber. A Bases responde pela prestação deles.

6.2. Inclusão ou troca relevante é avisada com pelo menos 30 dias. O Cliente pode se opor, nesse prazo, por motivo fundado de violação da LGPD. As Partes tentam solução de boa-fé. Se a Bases mantiver o suboperador, o Cliente pode desligar a parte do Serviço que dependa dele, ou resolver essa parte, em 30 dias, com devolução do preço não usufruído.

6.3. Transferência internacional obedece à cláusula 9 e aos arts. 33 a 36 da LGPD.

7. Ajuda ao controlador

Na medida do tratamento e da informação que tiver, a Bases ajuda o Cliente, de modo razoável, a atender direito de titular (arts. 18 e 19 da LGPD), a responder à ANPD e a elaborar relatório de impacto quando a lei o exigir do controlador. Pedido de titular que chegue direto à Bases é encaminhado ao Cliente, salvo dever legal de responder.

8. Auditoria

Uma vez a cada 12 meses, o Cliente pode auditar os controles deste anexo, com aviso prévio de 30 dias, em horário razoável, por pessoa obrigada a sigilo, e com escopo combinado. O Cliente paga o próprio auditor. A Bases não cobra cooperação ordinária. Auditoria da ANPD ou de autoridade competente não depende desse intervalo nem desse aviso. O resultado serve para verificar este anexo e cumprir dever regulatório, e é confidencial.

9. Transferência internacional

9.1. Dado pessoal do Cliente pode ser tratado fora do Brasil pelos suboperadores do Apêndice III. A transferência usa mecanismo do art. 33 da LGPD, em especial as cláusulas-padrão da Resolução CD/ANPD nº 19/2024, ou outro mecanismo vigente que a ANPD reconheça. País com decisão de adequação da ANPD dispensa cláusula adicional.

9.2. Cláusulas-padrão europeias, aditivo do Reino Unido ou regra da Califórnia só são preenchidas se o Pedido ou um termo próprio disser que há dado sujeito a esse regime. Nesse caso as Partes assinam o instrumento exigido pela autoridade daquele país. A lei do contrato continua sendo a brasileira, e o foro o do contrato, sem prejuízo de direito de titular que a lei estrangeira torne irrenunciável.

10. Devolução e eliminação

No fim do contrato, a Bases elimina ou devolve o Dado pessoal do Cliente em até 30 dias. Pode conservar o que a lei mandar guardar, o que for necessário para defender direito dentro do prazo prescricional e a cópia de backup no ciclo usual, sempre sob este anexo. Não se guarda dado pessoal além do necessário (art. 15 da LGPD).

Apêndice I. Descrição do tratamento

Controlador: o Cliente. Operadora: a Bases.

Titulares: Usuários da conta; pessoas de contato do Cliente; visitantes do sítio do Cliente, quando a função de log estiver ligada; pessoas mencionadas em pergunta, marca ou página que o Cliente inserir, quando esse conteúdo for dado pessoal.

Dados: nome e e-mail de Usuário; conteúdo de pergunta e de configuração de marca e de sítio; credencial de integração; registro técnico de uso; e, na função de log, endereço IP, data, hora e identificador de acesso que o Serviço de Log enviar. Dado sensível não é necessário ao Serviço. O Cliente não deve inserir dado sensível. Se inserir, o tratamento segue a base legal que ele indicar e as salvaguardas do Apêndice II.

Frequência: contínua, durante a vigência.

Finalidade: prestar a medição e as funções do Pedido, manter a segurança e cumprir a lei.

Prazo: o da cláusula 10.

Autoridade: a ANPD, sem prejuízo de outra autoridade quando o dado estiver sujeito a lei estrangeira nos termos da cláusula 9.2.

Apêndice II. Medidas de segurança

Controle de acesso por credencial individual; menor privilégio; segredo e chave fora do código; cifragem em trânsito; registro de acesso administrativo; separação lógica entre clientes; cópia de segurança; eliminação ao fim do prazo; processo de incidente da cláusula 5. Certificações formais: nenhuma até o momento.

Apêndice III. Suboperadores

O local indicado é o da infraestrutura conhecida hoje, e não uma promessa de que o dado nunca saia desse país quando o provedor operar rede global.

O Google Analytics e o Google Search Console, quando o Cliente os conecta, são Plataformas de Terceiros sob a conta do Cliente, e não suboperadores desta lista.