This document is available in English and in Portuguese. If the two versions differ, the Portuguese version prevails.

Documento legal

Acordo de Tratamento de Dados do PRODMUS Build

Versão de 13 de outubro de 2026 · 2026-10-13

Este Acordo faz parte dos Termos de Uso e vale entre a empresa cliente ("Cliente", controladora) e a [RAZÃO SOCIAL DA PRODMUS], CNPJ [CNPJ] ("PRODMUS", operadora). Ele cumpre o art. 39 da Lei Geral de Proteção de Dados (LGPD) e, quando aplicável, o art. 28 do Regulamento Geral de Proteção de Dados europeu (GDPR). É aceito junto com os Termos de Uso; em assuntos de proteção de dados, prevalece sobre eles.

1. Objeto e papéis

O Cliente cadastra no PRODMUS Build dados pessoais de terceiros. Sobre esses dados, o Cliente decide o que é tratado e para quê (controlador), e a PRODMUS trata só para prestar o serviço contratado (operadora). Os dados da conta do próprio Cliente e dos seus usuários — cadastro, cobrança, acesso — são tratados pela PRODMUS como controladora, conforme a Política de Privacidade, e não fazem parte deste Acordo.

2. O que é tratado

Titulares: clientes finais do Cliente, interessados do funil comercial, colaboradores e terceirizados, fornecedores, usuários do portal do cliente, pessoas que aparecem nas fotos da obra e quem conversa com o assistente no WhatsApp.
Dados: nome, e-mail, telefone, cargo, documentos de identificação e endereço informados pelo Cliente, dados de contratos e pagamentos, fotos, registros do diário de obra, mensagens ao assistente de IA e conversas do WhatsApp.
Dados sensíveis: o sistema não pede. Se o Cliente cadastrar algum (por exemplo, um atestado de saúde de um colaborador), responde pela base legal dele.
Operações: guardar, organizar, mostrar às pessoas que o Cliente autorizou, enviar por e-mail e WhatsApp, analisar com a IA quando o Cliente pede, copiar nas cópias de segurança, exportar, anonimizar e apagar.
Duração: enquanto durar a assinatura, mais os prazos de exclusão do item 10.

Dados de uso do serviço. Para cobrar, dar suporte e melhorar o sistema, a PRODMUS recebe do sistema do Cliente, de hora em hora, só números e sim/não: quantas obras ativas, pessoas com acesso, pessoas que entraram nos últimos dias, alterações feitas por área, pedidos à IA, mensagens do WhatsApp, módulos ligados, espaço das fotos e quais passos da implantação foram dados. Não vai nenhum nome, e-mail, telefone, valor, texto, mensagem ou foto. Esses números não identificam ninguém e não são dados pessoais tratados em nome do Cliente.

3. Instruções do Cliente

A PRODMUS trata esses dados só conforme as instruções do Cliente. São instruções: estes documentos, as configurações que o Cliente escolhe no sistema e os pedidos que ele e seus usuários fazem dentro do sistema (inclusive ao assistente de IA). Se uma instrução parecer contrária à lei, a PRODMUS avisa o Cliente e pode deixar de cumpri-la. A PRODMUS não usa esses dados para fins próprios, não os vende e não os usa para treinar modelos de IA.

4. Confidencialidade

Só as pessoas da PRODMUS que precisam, para suporte ou manutenção, acessam os dados do Cliente, e todas estão obrigadas a manter sigilo.

5. Segurança

A PRODMUS mantém, no mínimo: conexão criptografada (HTTPS); senhas guardadas só como resumo criptográfico; verificação em duas etapas; permissões por pessoa e por obra; sessões que expiram; bloqueio de tentativas repetidas de senha; registro de auditoria de tudo o que é criado, alterado ou apagado; banco de dados separado para cada empresa cliente; cópias de segurança diárias em rodízio; e um portal do cliente final que nunca mostra valores, custos nem medidas internas. Essas medidas podem mudar, desde que o nível de proteção não diminua.

6. Suboperadores

O Cliente autoriza a PRODMUS a usar os fornecedores abaixo, cada um sob contrato com obrigações de proteção de dados compatíveis com este Acordo:

Hospedagem — [PROVEDOR DE HOSPEDAGEM]: servidores, bancos de dados, fotos e cópias de segurança.
Anthropic (Estados Unidos): processa os pedidos ao assistente de IA e as fotos enviadas para análise. Não usa os dados para treinar modelos.
Meta / WhatsApp Business (Estados Unidos): entrega as mensagens do assistente no WhatsApp, só se o Cliente ligar esse módulo.
Google (Estados Unidos): sincroniza a agenda com o Google Agenda, só se o Cliente conectar a conta dele.
Envio de e-mail: entrega os e-mails de acesso, senha e avisos.

A PRODMUS avisa o administrador do Cliente com pelo menos 30 dias de antecedência antes de incluir ou trocar um suboperador. Se o Cliente tiver motivo razoável ligado à proteção de dados para não aceitar, pode cancelar sem multa antes da mudança, com reembolso proporcional do período pago e não usado. A PRODMUS responde pelos suboperadores que contratar.

7. Transferência internacional

Alguns suboperadores ficam fora do Brasil. Essas transferências seguem o art. 33 da LGPD e, quando aplicável, o capítulo V do GDPR, com cláusulas contratuais de proteção de dados.

8. Direitos dos titulares

O sistema tem ferramentas para o Cliente atender os titulares sozinho: procurar tudo o que existe sobre uma pessoa e entregar num arquivo, corrigir, e anonimizar mantendo os registros fiscais e contábeis. Se um titular pedir algo diretamente à PRODMUS sobre dados do Cliente, a PRODMUS encaminha o pedido ao Cliente em até 5 dias úteis e não responde no lugar dele, salvo instrução. A PRODMUS ajuda o Cliente, dentro do razoável, em relatórios de impacto e em pedidos da ANPD.

9. Incidentes de segurança

Se a PRODMUS confirmar um incidente que atinja dados do Cliente, avisa o administrador do Cliente por e-mail em até 48 horas depois de confirmar, com o que se souber até então: o que aconteceu, quais dados e titulares podem ter sido atingidos, os riscos, o que já foi feito e o contato de quem cuida do caso. As informações que faltarem vêm assim que apuradas. Cabe ao Cliente, como controlador, decidir sobre a comunicação à ANPD e aos titulares (art. 48 da LGPD, prazo de 3 dias úteis), e a PRODMUS fornece o que ele precisar para isso.

10. Fim do contrato

Depois do cancelamento, os dados ficam guardados para o Cliente exportar, até ele pedir a exclusão definitiva. A exclusão é feita em até 30 dias do pedido; os dados saem das cópias de segurança no ciclo de rodízio delas (hoje, 14 dias). Ficam só os dados que a lei obrigar a guardar, pelo prazo que ela exigir. A PRODMUS confirma a exclusão por escrito se o Cliente pedir.

11. Prestação de contas

A PRODMUS fornece ao Cliente, quando ele pedir, as informações necessárias para mostrar que este Acordo é cumprido (descrição das medidas de segurança, lista de suboperadores, registro das solicitações de titulares). Uma vez por ano, ou depois de um incidente, o Cliente pode fazer uma verificação, com aviso de 30 dias, por questionário ou por auditor sujeito a sigilo, sem acesso a dados de outras empresas clientes; os custos dela ficam com o Cliente.

12. Responsabilidade

Cada parte responde pelo que fizer em desacordo com a LGPD ou com este Acordo, nos termos dos arts. 42 a 45 da LGPD. Os limites dos Termos de Uso se aplicam até onde a lei permitir.

13. Contato

Encarregado pelo tratamento de dados (DPO) da PRODMUS: [NOME DO ENCARREGADO] — [E-MAIL DE PRIVACIDADE].

Anexo — Modelo de aviso para os clientes da construtora

Como controlador, o Cliente precisa informar as pessoas cujos dados cadastra. O texto abaixo é um ponto de partida que ele pode adaptar e colocar no contrato com o cliente final, no e-mail de boas-vindas ao portal ou no próprio site. Troque o que está entre colchetes.

Como tratamos os seus dados

A [NOME DA CONSTRUTORA], CNPJ [CNPJ], usa o sistema PRODMUS Build para gerir a sua obra. Nele guardamos o seu nome, e-mail, telefone, os dados do seu contrato e dos pagamentos, as fotos e o andamento da obra. Usamos esses dados para executar o contrato, manter você informado e cumprir obrigações legais.

Pelo portal do cliente, você acompanha o andamento, as fotos e os documentos da obra. Se você falar conosco pelo WhatsApp, a conversa pode ser lida por um assistente de inteligência artificial que registra pedidos no sistema.

Os dados ficam em servidores da PRODMUS, que trata esses dados só sob nossas instruções, e em fornecedores dela, alguns fora do Brasil, sempre com as garantias da LGPD. Não vendemos seus dados.

Guardamos os dados enquanto durar o contrato e pelos prazos que a lei exigir depois dele. Você pode pedir acesso, correção, anonimização ou cópia dos seus dados pelo e-mail [E-MAIL DA CONSTRUTORA].

Legal

PRODMUS Build Data Processing Agreement

Version of October 13, 2026 · 2026-10-13

This Agreement is part of the Terms of Use and applies between the customer company (the "Customer", controller) and [PRODMUS LEGAL NAME], CNPJ [CNPJ] ("PRODMUS", processor). It meets article 39 of Brazil's General Data Protection Law (LGPD) and, where applicable, article 28 of the EU General Data Protection Regulation (GDPR). It is accepted together with the Terms of Use; on data protection matters, it prevails over them.

1. Subject and roles

The Customer enters personal data of third parties in PRODMUS Build. For that data, the Customer decides what is processed and why (controller), and PRODMUS processes it only to provide the contracted service (processor). Data about the Customer's own account and users — sign-up, billing, access — is processed by PRODMUS as controller, under the Privacy Policy, and is not covered by this Agreement.

2. What is processed

Data subjects: the Customer's clients, sales prospects, employees and contractors, suppliers, client portal users, people who appear in site photos and people who talk to the assistant on WhatsApp.
Data: name, e-mail, phone, job title, identification documents and address entered by the Customer, contract and payment data, photos, site log entries, requests to the AI assistant and WhatsApp conversations.
Sensitive data: the system does not ask for it. If the Customer enters any (for example, an employee's medical certificate), it is responsible for the legal basis.
Operations: storing, organizing, showing to the people the Customer authorized, sending by e-mail and WhatsApp, analyzing with AI when the Customer asks, copying into backups, exporting, anonymizing and deleting.
Duration: for as long as the subscription lasts, plus the deletion periods in section 10.

Service usage data. To bill, support and improve the system, PRODMUS receives from the Customer's system, every hour, only numbers and yes/no answers: how many active projects, people with access, people who logged in recently, changes made per area, AI requests, WhatsApp messages, modules turned on, photo storage and which setup steps were completed. No name, e-mail, phone number, amount, text, message or photo is sent. These numbers do not identify anyone and are not personal data processed on the Customer's behalf.

3. The Customer's instructions

PRODMUS processes this data only on the Customer's instructions. Instructions are: these documents, the settings the Customer chooses in the system, and the requests the Customer and its users make in the system (including to the AI assistant). If an instruction seems unlawful, PRODMUS tells the Customer and may decline to follow it. PRODMUS does not use this data for its own purposes, does not sell it and does not use it to train AI models.

4. Confidentiality

Only the PRODMUS staff who need to, for support or maintenance, access the Customer's data, and all of them are bound by confidentiality.

5. Security

PRODMUS maintains at least: encrypted connections (HTTPS); passwords stored only as cryptographic hashes; two-step verification; per-person and per-project permissions; expiring sessions; blocking of repeated password attempts; an audit trail of everything created, changed or deleted; a separate database for each customer company; rotating daily backups; and a client portal that never shows amounts, costs or internal measurements. These measures may change as long as the level of protection does not decrease.

6. Sub-processors

The Customer authorizes PRODMUS to use the providers below, each under a contract with data protection obligations consistent with this Agreement:

Hosting — [HOSTING PROVIDER]: servers, databases, photos and backups.
Anthropic (United States): processes requests to the AI assistant and photos sent for analysis. It does not use the data to train models.
Meta / WhatsApp Business (United States): delivers the assistant's WhatsApp messages, only if the Customer turns that module on.
Google (United States): syncs the calendar with Google Calendar, only if the Customer connects its account.
E-mail delivery: delivers access, password and notice e-mails.

PRODMUS notifies the Customer's administrator at least 30 days before adding or replacing a sub-processor. If the Customer has a reasonable data-protection ground to object, it may cancel without penalty before the change, with a pro rata refund of the paid, unused period. PRODMUS is responsible for the sub-processors it engages.

7. International transfers

Some sub-processors are outside Brazil. These transfers follow article 33 of the LGPD and, where applicable, chapter V of the GDPR, with data protection contractual clauses.

8. Data subject rights

The system has tools for the Customer to handle data subjects on its own: find everything held about a person and deliver it in one file, correct it, and anonymize it while keeping tax and accounting records. If a data subject asks PRODMUS directly about the Customer's data, PRODMUS forwards the request to the Customer within 5 business days and does not answer on its behalf unless instructed. PRODMUS reasonably assists the Customer with impact assessments and requests from the authorities.

9. Security incidents

If PRODMUS confirms an incident affecting the Customer's data, it notifies the Customer's administrator by e-mail within 48 hours of confirming it, with what is known so far: what happened, which data and data subjects may be affected, the risks, what has been done and a contact person. Missing information follows as soon as it is established. As controller, the Customer decides on notifying the authority and the data subjects (LGPD art. 48, 3 business days; GDPR art. 33, 72 hours), and PRODMUS provides what it needs to do so.

10. End of the contract

After cancellation, the data stays stored for the Customer to export until it requests permanent deletion. Deletion is done within 30 days of the request; the data leaves the backups within their rotation cycle (currently 14 days). Only data the law requires to be kept remains, for the period it requires. PRODMUS confirms the deletion in writing on request.

11. Accountability

On request, PRODMUS gives the Customer the information needed to show this Agreement is complied with (description of security measures, list of sub-processors, log of data subject requests). Once a year, or after an incident, the Customer may carry out a review, with 30 days' notice, by questionnaire or by an auditor bound by confidentiality, without access to other customer companies' data; its costs are borne by the Customer.

12. Liability

Each party is liable for what it does in breach of the LGPD or of this Agreement, under articles 42 to 45 of the LGPD. The limits in the Terms of Use apply to the extent the law allows.

13. Contact

PRODMUS data protection officer (DPO): [DPO NAME] — [PRIVACY E-MAIL].

Annex — Notice template for the builder's clients

As controller, the Customer must inform the people whose data it enters. The text below is a starting point it can adapt and place in the contract with its client, in the client portal welcome e-mail or on its website. Replace what is in brackets.

How we handle your data

[BUILDER NAME], registration [NUMBER], uses the PRODMUS Build system to manage your project. In it we keep your name, e-mail, phone, your contract and payment details, and the photos and progress of the project. We use this data to perform the contract, keep you informed and meet legal obligations.

Through the client portal you follow the progress, photos and documents of the project. If you talk to us on WhatsApp, the conversation may be read by an artificial intelligence assistant that records requests in the system.

The data is kept on servers of PRODMUS, which processes it only on our instructions, and of its providers, some outside your country, always with the safeguards the law requires. We do not sell your data.

We keep the data while the contract lasts and for the periods the law requires afterwards. You may ask for access, correction, anonymization or a copy of your data at [BUILDER E-MAIL].