Acordo Mestre de Proteção de Dados (MDA)

Master Data Agreement — Plataforma Pulso

Versão: 1.5 — FINAL (18/08/2026)

> Este MDA é parte integrante dos Termos de Uso + Contrato de Assinatura SaaS (`terms-conditions.md`, §3.1) — aceitar os Termos no cadastro já vincula o Cliente a este Acordo, sem exigir upload de PDF assinado em separado. Fica sempre disponível para consulta. Cliente Enterprise que precisar de instrumento bilateral formal pode solicitar assinatura via Clicksign à parte.

Partes

PULSO

Pulso Gestora e Consultoria Ltda.

CNPJ: 37.064.962/0001-14

Endereço: Rua Maria da Glória Serpa Martins, 351, CEP 12.244-883, São José dos Campos — SP

Representante legal: Sandro Giovanni Valeri

Encarregado pelo Tratamento de Dados (DPO): Sandro Giovanni Valeri — sandro.valeri@pulsogestora.com.br

("Pulso")

CLIENTE

Pessoa jurídica que aceita este Acordo no cadastro da plataforma ou por assinatura eletrônica

[Razão social, CNPJ, endereço, representante legal — preenchidos no aceite]

("Cliente")

Pulso e Cliente, em conjunto, "Partes"; individualmente, "Parte".

Considerandos

CONSIDERANDO que a Pulso opera plataforma SaaS de agentes autônomos de inteligência artificial para a execução de processos estruturados de investimento e inovação — Corporate Venture Capital (CVC), Venture Capital (VC), Fusões e Aquisições (M&A), Inovação Aberta, Mapa do Futuro e Corporate Venture Building (CVB);

CONSIDERANDO que, em 21/05/2026, em webinar público, a Pulso assumiu o compromisso expresso de que os dados de seus Clientes são protegidos por design e de que o aprendizado da plataforma não circula entre Clientes;

CONSIDERANDO que a Pulso Gestora e Consultoria Ltda. atua, no Brasil, como prestadora de serviços de software (SaaS), consultoria e treinamento, sujeita à Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) e a estritos deveres contratuais de confidencialidade perante seus Clientes;

CONSIDERANDO que, ao usar a plataforma, o Cliente trafega informação altamente sensível — tese de investimento, valuations, decisões de comitê, due diligence, dados de fundadores e de fundos sob gestão;

CONSIDERANDO que a confiança do Cliente na plataforma depende de garantias verificáveis, e não de meras promessas;

As Partes acordam o que segue.

Cláusula 1 — Definições

Para os fins deste Acordo:

1.1. "Dados do Cliente" — toda informação carregada, inserida, gerada ou produzida pelo Cliente, por seus usuários ou pelos agentes de IA a pedido do Cliente na plataforma, incluindo documentos, formulários, valuations, atas, decisões, comentários, redlines e artefatos (DOCX, XLSX, PPTX, PDF, JSON).

1.2. "Conteúdo" — a parte substantiva dos Dados do Cliente: o teor dos deals, dos documentos e dos relatórios — aquilo que descreve o negócio, a estratégia, os números e as decisões do Cliente.

1.3. "Telemetria" — dados sobre _como_ a plataforma é usada, e não sobre _o que_ o Cliente trafega: cliques, sequência de navegação, tempos de permanência e de resposta, padrões de interação com os agentes ("memórias" de uso), logs de erro e métricas de performance.

1.4. "Aprendizado" — qualquer padrão, inferência, estatística, ajuste de modelo, peso, embedding, regra ou conhecimento derivado, direta ou indiretamente, do Conteúdo ou da Telemetria do Cliente.

1.5. "Dado Anonimizado" — dado que, por meios técnicos razoáveis e disponíveis na ocasião do tratamento, perdeu a possibilidade de associação a um titular, a uma empresa-alvo ou ao próprio Cliente (LGPD art. 5º, XI), de modo irreversível.

1.6. "Inferência" — o processamento, em tempo real, de uma instrução pela API de um Modelo de IA para produzir uma resposta. Inferência não é treinamento.

1.7. "Modelo de IA" — modelo de linguagem ou similar usado pela plataforma, próprio ou de terceiro (notadamente os modelos Claude, da Anthropic, PBC).

1.8. "Sub-operador" — terceiro contratado pela Pulso para apoiar a entrega dos serviços, listado no DPA, Cláusula 4.2, e disponível mediante solicitação ao DPO.

1.9. "Programa de Teste" — o programa gratuito e por tempo limitado regido pelo _Termo de Adesão ao Programa de Teste Pulso_, com vigência de 26/05/2026 a 28/06/2026.

Cláusula 2 — Princípio Reitor: Proteção por Design e por Padrão

2.1. A Pulso adota a proteção de dados por design e por padrão (privacy by design and by default — LGPD art. 46, §2º) como princípio reitor da arquitetura da plataforma. As garantias deste Acordo não dependem de configuração, de solicitação ou de plano contratado: são o estado padrão da plataforma.

2.2. Em concreto, a proteção por design se materializa em:

a) Isolamento por tenant — todo registro no banco de dados carrega o identificador da organização Cliente (`orgId`), com verificação obrigatória em todas as consultas. Um Cliente jamais alcança, por desenho do sistema, os dados de outro.

b) Minimização — a Pulso coleta e trata apenas os dados necessários à finalidade contratada.

c) Acesso administrativo restrito — a equipe Pulso só acessa Conteúdo do Cliente para suporte, mediante consentimento explícito do Cliente e com registro em audit log imutável.

d) Trilha de auditoria — registro append-only de quem acessou o quê, quando e por quê.

2.3. Qualquer alteração que reduza o nível de proteção aqui assegurado exige comunicação prévia ao Cliente, com 60 (sessenta) dias de antecedência, e confere ao Cliente o direito de rescindir sem ônus.

Cláusula 3 — Titularidade e Propriedade dos Dados e dos Outputs

3.1. Os Dados do Cliente — inclusive os relatórios, análises e artefatos gerados pelos agentes de IA a partir de insumos do Cliente — são de propriedade exclusiva do Cliente.

3.2. A Pulso renuncia a qualquer reivindicação de propriedade sobre os Dados do Cliente e sobre os outputs gerados. A Pulso não os vende, não os cede e não os licencia a terceiros.

3.3. O Cliente concede à Pulso licença não-exclusiva, limitada e gratuita para tratar os Dados do Cliente exclusivamente para a entrega dos serviços contratados e para o suporte ao próprio Cliente. Essa licença não abrange treinamento de modelos compartilhados, conforme a Cláusula 4.

3.4. Permanecem de propriedade da Pulso a plataforma, o código-fonte, o design, a marca, os prompts dos agentes, os schemas de validação, a arquitetura e os templates e formatos que produzem os outputs — mas nunca o Conteúdo específico inserido ou gerado pelo Cliente.

Cláusula 4 — Não-Compartilhamento de Aprendizado _(cláusula essencial)_

4.1. A Pulso não usa o Conteúdo do Cliente para treinar, ajustar ou aprimorar Modelos de IA que sejam acessíveis a outros Clientes.

4.2. A Pulso não transfere, expõe, vende ou disponibiliza a outros Clientes — nem direta, nem indiretamente, nem sob forma de Aprendizado — o Conteúdo do Cliente, suas decisões, suas notas ou o contexto de seus deals.

4.3. A Pulso não se apropria do Aprendizado derivado do Conteúdo do Cliente como ativo próprio transferível. O Aprendizado que envolva Conteúdo do Cliente não é incorporado a uma base de conhecimento comercializável da Pulso.

4.4. A única hipótese em que padrões derivados de Conteúdo de múltiplos Clientes podem circular é a Camada 2 (Cláusula 6), e ainda assim apenas: (i) mediante opt-in expresso do Cliente (padrão DESLIGADO); (ii) sob k-anonimato ≥ 10 (o padrão só existe quando ao menos 10 Clientes distintos contribuíram com casos similares); e (iii) sob privacidade diferencial (ε ≤ 1,0), sem qualquer identificador de Cliente, deal, fundo ou empresa.

4.5. As obrigações desta Cláusula 4 sobrevivem indefinidamente — valem durante a relação contratual e após o seu término, sem prazo, ressalvada apenas a exceção temporária e expressamente consentida da Cláusula 7.

Cláusula 5 — Anthropic e Demais Sub-operadores

5.1. Para produzir respostas, a plataforma envia instruções a Modelos de IA operados pela Anthropic, PBC (EUA). Esse envio é uma Inferência em tempo real — necessária e indissociável da entrega do serviço.

5.2. As Partes registram expressamente que:

a) A Anthropic atua como Sub-operador de inferência, vinculada ao DPA da Anthropic (https://www.anthropic.com/legal/dpa);

b) O Conteúdo enviado para Inferência não é usado pela Anthropic para treinar seus modelos — o uso comercial da API da Anthropic não alimenta o treinamento dos modelos Claude;

c) A Pulso não autoriza, não solicita e não contribui o Conteúdo do Cliente para qualquer programa de treinamento de modelos da Anthropic ou de qualquer outro provedor.

5.3. Em síntese: o Conteúdo do Cliente passa pela Anthropic para que a resposta seja gerada, mas não fica com a Anthropic e não treina a Anthropic.

5.4. A relação com os demais Sub-operadores (hospedagem, banco de dados, storage, e-mail, assinatura, pagamentos) é regida pelo DPA, Cláusula 4. Novos Sub-operadores são comunicados com 30 (trinta) dias de antecedência, com direito de rescisão sem ônus.

Cláusula 6 — Arquitetura de Quatro Camadas

6.1. A plataforma organiza os dados em quatro camadas, com regras de visibilidade distintas:

6.2. O detalhamento técnico das camadas, das garantias matemáticas (k-anonimato, privacidade diferencial) e da exceção de scouting pré-aprovação consta do documento `privacy-architecture.md`, que integra este Acordo por referência.

6.3. Exceção de scouting. Durante o Stage 1 (Scouting) dos processos, a plataforma busca startups em fontes públicas e indexa esses dados públicos na Camada 1. A decisão do Cliente sobre cada startup (aprovar/rejeitar/watchlist) e qualquer nota do Cliente não vão para a Camada 1 — ficam trancadas na Camada 3. Nenhum Cliente aprende quem viu, quem aprovou ou quem rejeitou uma startup.

6.4. Filtros e critérios de busca. Os filtros, palavras-chave e critérios de busca que o Cliente utiliza para consultar a Camada 1 são de uso exclusivo do Cliente e ficam trancados na Camada 3. A Pulso não compartilha, agrega nem expõe a outros Clientes quais filtros ou termos de busca um Cliente utilizou.

Cláusula 7 — Exceção Temporária: Programa de Teste

7.1. Exclusivamente durante o Programa de Teste (26/05/2026 a 28/06/2026), e mediante autorização expressa e informada do Cliente formalizada no _NDA do Programa de Teste_, a Pulso poderá usar, para a única finalidade de melhoria do sistema:

a) Telemetria — integralmente; e

b) Conteúdo em forma anonimizada e agregada — Conteúdo do Cliente do qual se removeram, de forma irreversível, todos os identificadores capazes de vinculá-lo ao Cliente, a pessoas ou a empresas-alvo.

7.2. Esta exceção não afasta as garantias permanentes do MDA. Mesmo durante o Programa de Teste, permanecem integralmente vedados:

a) o compartilhamento de Conteúdo identificável com outros Clientes;

b) o uso de qualquer Conteúdo do Cliente para treinar modelos da Anthropic ou de qualquer outro provedor;

c) a apropriação de Conteúdo identificável do Cliente como ativo da Pulso;

d) a comercialização ou cessão a terceiros de Conteúdo do Cliente, anonimizado ou não.

7.3. A exceção é temporária: expira automaticamente em 28/06/2026, às 23h59 (horário de Brasília). A partir dessa data, aplica-se integralmente a regra geral das Cláusulas 4 e 5, sem necessidade de aviso.

7.4. Não há conflito entre esta Cláusula e a Cláusula 4: a Cláusula 4 estabelece a regra geral; esta Cláusula 7 estabelece uma exceção limitada em escopo, prazo e finalidade, expressamente consentida pelo Cliente. Tudo o que não estiver expressamente autorizado no _NDA do Programa de Teste_ permanece protegido pela regra geral.

Cláusula 8 — Direitos do Cliente e do Titular

8.1. O Cliente pode, a qualquer tempo:

a) listar todos os dados pessoais armazenados (LGPD art. 18, IV);

b) solicitar correção, anonimização, bloqueio ou eliminação (art. 18, III e VI);

c) obter portabilidade — exportação em formato estruturado (art. 18, V);

d) revogar consentimentos, inclusive o do Programa de Teste e o de opt-in da Camada 2 (art. 18, IX);

e) obter informação sobre compartilhamento com Sub-operadores (art. 18, VII).

8.2. A revogação do consentimento do Programa de Teste tem efeito prospectivo: cessa o uso futuro de Telemetria e de Conteúdo anonimizado para melhoria; não desfaz tratamentos já legitimamente realizados sobre Dados Anonimizados que, por definição, não são mais reversíveis a um titular.

8.3. Auditoria: o Cliente em tier Enterprise pode auditar o cumprimento deste Acordo 1 (uma) vez por ano, nos termos do DPA, Cláusula 9. Os demais Clientes recebem relatório anual de cumprimento.

Cláusula 9 — Segurança e Incidentes

9.1. A Pulso mantém, no mínimo, as medidas técnicas e organizacionais descritas no DPA, Cláusula 6 (criptografia em trânsito e em repouso, isolamento por tenant, audit log, backup diário, controle de acesso).

9.2. A Pulso notifica o Cliente sobre incidente de segurança que envolva Dados do Cliente em até 24 (vinte e quatro) horas após a detecção, conforme o DPA, Cláusula 8, e a LGPD art. 48.

Cláusula 10 — Vigência e Sobrevivência

10.1. Este Acordo vigora a partir do aceite pelo Cliente e perdura enquanto durar a relação contratual entre as Partes.

10.2. Sobrevivem ao término, sem prazo: as obrigações de não-compartilhamento de Aprendizado (Cláusula 4), de não-uso para treino da Anthropic (Cláusula 5) e de titularidade do Cliente (Cláusula 3).

Cláusula 11 — Relação com Outros Instrumentos

11.1. Este Acordo integra o conjunto de documentos legais da plataforma, ao lado do _Termo de Adesão ao Programa de Teste_, do _NDA do Programa de Teste_, da Política de Privacidade, dos Termos de Uso + Contrato SaaS e do DPA.

11.2. Ordem de prevalência, em caso de conflito quanto a proteção de dados e a uso de Aprendizado:

1. _NDA do Programa de Teste_ — quanto ao detalhamento da exceção temporária da Cláusula 7;

2. Este MDA — quanto ao princípio e à regra geral de proteção;

3. DPA — quanto à mecânica LGPD da relação Controlador–Operador;

4. Termos de Uso + Contrato SaaS e demais documentos.

11.3. Nas matérias não-cobertas por este MDA, aplicam-se o DPA e os Termos de Uso.

Cláusula 12 — Foro e Lei Aplicável

12.1. Aplica-se a lei brasileira.

12.2. Fica eleito o foro da Comarca de São Paulo — SP, com renúncia expressa a qualquer outro, por mais privilegiado que seja. A Pulso não opera fora do Brasil — não há hipótese de Cliente domiciliado no exterior que justifique foro distinto.

Vigência

Este Acordo passa a vigorar entre Pulso e Cliente automaticamente, no momento em que o Cliente aceita os Termos de Uso + Contrato de Assinatura SaaS no cadastro (`terms-conditions.md`, §3.1) — não exige assinatura em separado. Cliente Enterprise que precisar de instrumento bilateral formal pode solicitar assinatura via Clicksign, à parte.

Histórico de Versões