Acordo de Tratamento de Dados Pessoais (DPA)

CONTROLADORA: [razão social do cliente], inscrita no CNPJ sob o nº [CNPJ], com sede em [endereço].

OPERADORA: History Makers Tecnologia Ltda., inscrita no CNPJ sob o nº 05.032.212/0001-74, com sede em Ave Anita Garibaldi 850, Cabral, Curitiba/PR.

Em caso de divergência entre este Acordo e o Contrato Principal quanto a proteção de dados pessoais, prevalece este Acordo.

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado", "eliminação", "anonimização" e "incidente de segurança" têm o significado que lhes atribui o artigo 5º da LGPD.

"Suboperador" é o terceiro contratado pela Operadora para realizar parte do tratamento por conta da Controladora.

3.1. A Controladora é a única responsável por determinar as finalidades e os meios do tratamento dos dados pessoais que insere, direta ou indiretamente, na plataforma ("Dados da Controladora"), bem como por dispor de base legal adequada para cada finalidade.

3.2. A Operadora tratará os Dados da Controladora exclusivamente para executar o Contrato Principal e conforme instruções documentadas da Controladora. O uso da plataforma conforme sua documentação constitui instrução documentada.

3.3. A Operadora não utilizará os Dados da Controladora para finalidades próprias, não os venderá, não os cederá e não os utilizará para treinar modelos de inteligência artificial.

3.4. A Operadora informará a Controladora caso, no seu entender, uma instrução recebida viole a LGPD, podendo suspender a execução da instrução até que a questão seja esclarecida.

3.5. As partes reconhecem que, quanto aos dados cadastrais e de faturamento da própria Controladora e de seus usuários, a Operadora atua como controladora, regendo-se pela sua Política de Privacidade.

Objeto: prestação de serviço de software para gestão de locação, venda e relacionamento com clientes.

Duração: enquanto vigente o Contrato Principal, acrescida dos prazos de retenção da cláusula 11.

Natureza e finalidade: coleta, armazenamento, organização, consulta, processamento, transmissão e eliminação, para viabilizar as funcionalidades contratadas.

Categorias de titulares: usuários da Controladora; clientes finais, locatários, compradores, proprietários e interessados cadastrados pela Controladora.

Categorias de dados: conforme o Anexo I.

A Operadora obriga-se a:

1. tratar os dados apenas conforme instruções documentadas da Controladora;
2. manter as medidas técnicas e administrativas do Anexo III, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD);
3. garantir que toda pessoa autorizada a tratar os dados esteja sujeita a obrigação de confidencialidade;
4. auxiliar a Controladora, na medida do razoável, no atendimento às solicitações de titulares e no cumprimento das obrigações dos artigos 46 a 49 da LGPD;
5. comunicar incidentes de segurança nos termos da cláusula 9;
6. manter registro das operações de tratamento realizadas por conta da Controladora e disponibilizá-lo mediante solicitação fundamentada;
7. eliminar ou devolver os dados ao término do tratamento, nos termos da cláusula 11.

A Controladora obriga-se a:

1. dispor de base legal para cada finalidade de tratamento e prestar aos titulares as informações exigidas pelo artigo 9º da LGPD;
2. não inserir na plataforma dados pessoais sensíveis ou dados de crianças e adolescentes sem base legal específica e sem avaliar previamente a adequação;
3. administrar os acessos concedidos a seus usuários, revogando-os quando cessada a necessidade;
4. responder, como controladora, pelas requisições de titulares relativas aos Dados da Controladora.

7.1. A Controladora autoriza expressamente a contratação dos suboperadores listados no Anexo II, necessários à prestação do serviço.

7.2. A Operadora comunicará a inclusão ou substituição de suboperador com antecedência mínima de 30 dias. A Controladora poderá opor-se de forma fundamentada dentro desse prazo; não havendo solução, poderá rescindir o Contrato Principal sem ônus quanto à parcela do serviço afetada.

7.3. A Operadora impõe a cada suboperador obrigações de proteção de dados não menos protetivas que as deste Acordo e responde perante a Controladora pelos atos e omissões dos suboperadores que contrata.

8.1. O banco de dados principal está hospedado em território brasileiro (região AWS sa-east-1, São Paulo).

8.2. Determinados suboperadores identificados no Anexo II realizam tratamento fora do Brasil. Tais transferências observam o artigo 33 da LGPD, mediante cláusulas contratuais específicas de proteção de dados firmadas com cada provedor, que asseguram grau de proteção compatível com a legislação brasileira.

9.1. A Operadora comunicará a Controladora em até 48 (quarenta e oito) horas contadas da confirmação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

9.2. A comunicação conterá, na medida do disponível: a descrição da natureza dos dados afetados; as categorias e o número aproximado de titulares envolvidos; as prováveis consequências; as medidas adotadas ou propostas; e o contato para obtenção de mais informações. Informações ainda não apuradas serão prestadas de forma progressiva, sem que a apuração retarde a comunicação inicial.

9.3. Cabe à Controladora a comunicação à ANPD e aos titulares quando for ela a controladora dos dados afetados; a Operadora prestará o auxílio necessário.

9.4. A Operadora não divulgará publicamente incidente que afete exclusivamente a Controladora sem prévia comunicação a esta, ressalvado dever legal.

10.1. Recebendo requisição de titular relativa a Dados da Controladora, a Operadora não responderá diretamente, salvo instrução em contrário, e encaminhará a requisição à Controladora em até 5 (cinco) dias úteis.

10.2. A Operadora disponibilizará à Controladora os recursos técnicos necessários para atender às requisições de acesso, correção, portabilidade, anonimização e eliminação.

11.1. A extração completa dos Dados da Controladora, em formato aberto e interoperável (JSON e planilha), acompanhada da relação dos arquivos anexados, está disponível por autoatendimento na plataforma a qualquer momento durante a vigência do Contrato Principal e por até 30 (trinta) dias após o seu encerramento. Se a Controladora preferir, poderá solicitá-la à Operadora nesse mesmo prazo, e a Operadora a entregará em até 15 (quinze) dias da solicitação.

11.2. Decorrido o prazo do item 11.1 ou atendida a solicitação, a Operadora eliminará os Dados da Controladora em até 30 (trinta) dias, ressalvada a conservação exigida por obrigação legal ou regulatória, hipótese em que os dados permanecerão bloqueados para qualquer outra finalidade.

11.3. Cópias de segurança seguem o ciclo de retenção do provedor de infraestrutura e são sobrescritas ao término dele.

11.4. Mediante solicitação, a Operadora emitirá declaração de eliminação.

12.1. A Operadora disponibilizará à Controladora, mediante solicitação anual, documentação sobre suas medidas de segurança e respostas a questionário de avaliação de fornecedor.

12.2. Auditoria presencial ou por terceiro independente poderá ser realizada mediante aviso prévio de 30 dias, no máximo uma vez por ano, em horário comercial, custeada pela Controladora e mediante confidencialidade, sem acesso a dados de outros clientes da Operadora.

13.1. A responsabilidade das partes observa os artigos 42 a 45 da LGPD e os limites do Contrato Principal, ressalvado que limitações de responsabilidade não se aplicam a dolo.

13.2. Cada parte responde pelos danos decorrentes do descumprimento das obrigações que lhe são próprias neste Acordo.

14.1. Este Acordo vigora enquanto durar o tratamento e permanece eficaz, quanto às obrigações de confidencialidade, eliminação e responsabilidade, após o término do Contrato Principal.

14.2. Fica eleito o foro de [comarca] para dirimir controvérsias.

Dados pessoais sensíveis não são objeto de coleta estruturada pela plataforma. Caso a Controladora os insira em campos livres, assume integralmente a responsabilidade por essa decisão.

A lista abaixo é a mesma publicada na seção 7 da Política de Privacidade e é mantida a partir de uma única fonte.

Suboperadores base — tratam dados de toda empresa assinante

Implementadas:

1. Criptografia em trânsito — HTTPS/TLS obrigatório em toda a aplicação e na conexão com o banco de dados; HSTS ativo.
2. Criptografia em repouso — armazenamento de banco e de arquivos criptografado em disco pelo provedor de infraestrutura.
3. Senhas — armazenadas exclusivamente como hash bcrypt.
4. Credenciais de integrações de terceiros — criptografadas na camada da aplicação, com chave distinta da base de dados.
5. Isolamento multiempresa — toda consulta é escopada pela organização, cuja identidade é derivada da sessão autenticada e nunca de parâmetro do cliente.
6. Controle de acesso — perfis de administrador e membro, permissões por módulo e restrições específicas para operações destrutivas.
7. Autenticação — sessão em cookie HttpOnly, limitação de tentativas com bloqueio progressivo e política de senha mínima.
8. Superfícies externas — webhooks de pagamento e mensageria e endpoints de rotina exigem segredo compartilhado, com comparação em tempo constante e comportamento de falha fechada.
9. Conteúdo enviado por usuários — verificação do tipo real do arquivo, limite de tamanho, lista de tipos permitidos, sanitização de HTML contra XSS e bloqueio de requisições a endereços de rede internos.
10. Cabeçalhos de segurança globais.
11. Backups contínuos com recuperação a ponto no tempo.
12. Registro de operações de criação, alteração e exclusão de registros de negócio.

Limitações declaradas — este Anexo declara o que ainda não há, porque um anexo de segurança que só lista virtudes não serve para avaliar risco:

• Não há criptografia campo a campo sobre CPF e endereço; a proteção desses campos decorre da criptografia de disco e dos controles de acesso.
• Não há trilha de auditoria de leitura de dados pessoais — apenas de escrita.
• A limitação de taxa de requisições é aplicada por instância de execução, e não de forma global.
• A política de segurança de conteúdo (CSP) é restritiva quanto a enquadramento e objetos, mas não impõe ainda script-src com nonce.

Estes pontos constam do plano de evolução da Operadora e serão atualizados neste Anexo quando alterados.