Acordo de Tratamento de Dados (DPA) — titulle Adequação

Versão 1.2 · vigente desde 20/08/2026 · Data Protect LTDA · Anexo aos Termos de Uso *(v1.2: divulga o GitHub como suboperador das cópias de segurança cifradas — rotina comum às linhas titulle desde 13/08/2026.)*

Este Acordo disciplina o tratamento de dados pessoais eventualmente contidos nas informações que o Cliente insere na plataforma titulle Adequação (respostas de diagnóstico, plano de ação, registro de operações — ROPA — e demais conteúdos). Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD.

Todas as comunicações entre as partes sobre este Acordo — inclusive notificação de incidentes (cláusula 7), pedidos de auxílio (cláusula 8), oposição a suboperador (cláusula 5) e demonstração de conformidade (cláusula 10) — devem ser dirigidas ao encarregado (DPO) da Data Protect LTDA (CNPJ 64.650.251/0001-02): dpo@dtprotect.com.br.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas, conforme as instruções documentadas do Cliente — materializadas na própria configuração e uso da Plataforma — e nunca para fins próprios.

1.2. O Cliente declara que possui base legal para os dados pessoais que inserir e que suas instruções observam a legislação. A Data Protect informará o Cliente se identificar instrução manifestamente ilegal.

2. Natureza e escopo do tratamento

Armazenamento, organização, estruturação e exibição de informações de governança de privacidade da empresa Cliente. A Plataforma não se destina ao armazenamento de bases de dados de titulares finais (ex.: cadastro de clientes do Cliente); o ROPA descreve operações, não contém as bases em si. Exposição de dados pessoais de terceiros é baixa e incidental.

3. Confidencialidade

Acesso interno restrito ao mínimo necessário para suporte e operação, sob dever de sigilo. Não acessamos o conteúdo do Cliente salvo para prestar o serviço, cumprir a lei ou a pedido do próprio Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Isolamento lógico por empresa imposto no banco (Row-Level Security);
• Criptografia em trânsito (TLS) e em repouso;
• Autenticação com opção de segundo fator (MFA TOTP);
• Trilha de auditoria imutável (somente acréscimo);
• Backups diários com retenção de 14 dias, além do backup do provedor; rotina própria adicional duas vezes ao dia com dumps cifrados (AES-256) guardados em repositório privado (GitHub), restore testado periodicamente;
• Banco e autenticação na região de São Paulo; funções de aplicação fixadas em São Paulo;
• Gestão de acessos com papéis (dono/colaborador) e revogação imediata.

5. Suboperadores

5.1. O Cliente autoriza:

Este produto não utiliza suboperador de monitoramento de erros.

5.2. Asaas — escopo e natureza. Ao Operador cabe transmitir ao Asaas apenas os dados necessários à cobrança: razão social, CNPJ e e-mail do contratante. Dados do Tratamento realizado no serviço (diagnóstico, ROPA, tarefas, respostas) não são transmitidos. Dados de cartão são coletados diretamente pelo Asaas em ambiente próprio e não transitam pela infraestrutura do Operador. Na medida em que o Asaas trata esses dados para cumprir obrigação legal e regulatória própria de instituição de pagamento, atua como controlador independente, e não como suboperador do Operador, respondendo diretamente por esse tratamento.

5.3. Alterações comunicadas com 30 dias de antecedência; o Cliente pode se opor e rescindir sem ônus.

6. Transferência internacional

Armazenamento primário e processamento no Brasil, inclusive o e-mail transacional (Resend, sa-east-1). Há saída do país no tráfego residual pela CDN/borda da Vercel e, conforme a política de privacidade do próprio Asaas (cl. 6.1), no processamento de pagamento — transferências amparadas nas garantias contratuais e certificações dos provedores (arts. 33 e ss., LGPD). A relação vigente de suboperadores e respectivas regiões é a da tabela acima. As cópias de segurança cifradas da rotina própria da Data Protect são guardadas em repositório privado no GitHub (Estados Unidos) — transferência internacional de dado ininteligível para o provedor (AES-256, chave fora do repositório), amparada em salvaguardas contratuais e certificações (arts. 33 e ss., LGPD).

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis (natureza, dados afetados, medidas), e cooperará no cumprimento das obrigações perante a ANPD e os titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024).

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares e a solicitações de autoridades, inclusive pelas funcionalidades de exportação.

9. Devolução e eliminação

Encerrada a relação, o Cliente pode exportar por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais de guarda e a trilha de auditoria mínima.

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá informações e evidências das medidas deste Acordo — arquitetura, certificações dos suboperadores e registros pertinentes — suficientes para a prestação de contas do Cliente (art. 6º, X, LGPD).