Acordo de Tratamento de Dados (DPA) — titulle GRC

Versão 1.0 · vigente desde 20/08/2026 · Data Protect LTDA · Anexo aos Termos de Uso *(v1.0 validada pelo encarregado/DPO em 20/08/2026, a partir do estado real do produto em produção.)*

Este Acordo disciplina o tratamento dos dados pessoais contidos nos registros que o Cliente cria e mantém na plataforma titulle GRC — riscos, controles e testes, processos, documentos controlados, obrigações e verificações de conformidade, ativos e suas movimentações, fornecedores e questionários, incidentes e planos de continuidade, auditorias, não conformidades, mudanças e indicadores. Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD. No plano Completo, cada organização-cliente cadastrada pela gestora é controladora dos próprios registros; a gestora os opera por instrução dela, e este Acordo vale para cada organização-cliente como se Cliente fosse.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas (registrar, relacionar, derivar indicadores, exibir, exportar e manter a trilha dos registros de governança, riscos e conformidade), conforme as instruções do Cliente materializadas no uso da Plataforma, e nunca para fins próprios.

1.2. O Cliente declara possuir base legal para os dados pessoais que registrar — em especial para nomes de colaboradores citados como responsáveis e para contatos de terceiros (fornecedores, respondentes de questionários) — e que suas instruções observam a legislação. No plano Completo, a gestora declara ter autorização da organização-cliente para operar seus dados e responde por isso perante a Data Protect.

2. Natureza e escopo do tratamento

• Objeto: armazenamento, estruturação, vinculação entre registros, derivação de situações e indicadores (ex.: status de obrigação, criticidade, vigência), exibição, exportação em planilha (XLSX) e manutenção de trilhas somente-acréscimo.
• Categorias de dados: nomes de pessoas responsáveis por registros (dono, aprovador, auditor, testador, signatário, custodiante, solicitante, executor); contatos de fornecedores (nome, e-mail, telefone) e respondentes de questionários; membros de equipes de resposta e participantes de exercícios; partes interessadas; titulares/procuradores de registros de propriedade intelectual; conteúdo de campos de texto livre (descrições, causas raiz, achados, logs de incidente, atas de análise crítica).
• Categorias de titulares: colaboradores e gestores do Cliente; contatos de fornecedores e outros terceiros externos; partes interessadas nomeadas.
• ⚠️ Dados sensíveis: a Plataforma não pede dados sensíveis, mas campos de texto livre (incidentes, não conformidades, achados de auditoria, deficiências de controle, mudanças) podem contê-los de forma incidental (art. 11). O Cliente é responsável por avaliar e restringir o que registra; recomenda-se que registros sobre conduta de pessoas sejam feitos de forma mínima e despersonalizada.

3. Confidencialidade

Acesso interno restrito ao mínimo necessário para suporte e operação, sob dever de sigilo, por equipe nominalmente autorizada e com verificação em duas etapas obrigatória. Não acessamos os registros do Cliente salvo para prestar o serviço, cumprir a lei ou a pedido do Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Autenticação e autorização por conta, com papéis na organização (dono, administrador, membro) e verificação em duas etapas (MFA/TOTP) disponível a todos os usuários e obrigatória para o painel administrativo da operadora, cujas ações ficam em trilha própria somente-acréscimo;
• Isolamento multi-organização por Row-Level Security no banco (negação por padrão), inclusive entre a gestora e cada organização-cliente e entre organizações-cliente;
• Trilhas somente-acréscimo por gatilho no banco (não há UPDATE/DELETE sobre trilhas), com a justificativa que a Plataforma exige para alterações e exclusões sensíveis; registros de prova (verificações, movimentações, testes, versões, logs de incidente) imutáveis por desenho; exclusão bloqueada quando o registro é evidência de outro;
• Segregação por funções de banco: exclusões e renumerações só por administradores da organização, via funções que a política de acesso controla; o tenant não escreve colunas comerciais;
• Criptografia em repouso e em trânsito pelo provedor de banco (Supabase); segredos fora do código; validação de todo input;
• Cópias de segurança diárias do provedor e rotina própria, duas vezes ao dia, com dumps cifrados (AES-256) guardados em repositório privado (GitHub), restore testado periodicamente; usuário de backup só-leitura; o texto em claro nunca sai do ambiente da Data Protect;
• Sem monitoramento de erros de terceiros, sem analytics, sem rastreadores.

5. Suboperadores

5.1. O Cliente autoriza:

5.1.1. Asaas — escopo e natureza. Ao Operador cabe transmitir ao Asaas apenas os dados necessários à cobrança: razão social, CNPJ e e-mail do contratante. Nenhum registro dos módulos é transmitido. Dados de cartão são coletados diretamente pelo Asaas em ambiente próprio. Na medida em que o Asaas trata esses dados para cumprir obrigação legal própria de instituição de pagamento, atua como controlador independente.

5.1.2. GitHub — escopo e natureza. Recebe apenas arquivos cifrados (AES-256, chave sob custódia exclusiva da Data Protect, fora do repositório). O provedor não tem acesso ao conteúdo; a transferência é de dado ininteligível para ele.

5.2. Alterações comunicadas com 30 dias de antecedência; o Cliente pode se opor e rescindir sem ônus.

6. Transferência internacional

Armazenamento primário e processamento no Brasil (Supabase São Paulo; funções da aplicação em São Paulo; e-mail transacional em sa-east-1). Há duas hipóteses de saída do país: (a) cópias de segurança cifradas guardadas nos Estados Unidos (GitHub) — dado ininteligível para o provedor, amparado em salvaguardas contratuais e certificações (arts. 33 e ss., LGPD); (b) quando a loja abrir, o processamento de pagamento pelo Asaas pode ocorrer fora do Brasil, conforme a política do próprio Asaas. Tráfego residual pela CDN da Vercel.

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis, e cooperará no cumprimento das obrigações perante a ANPD e os titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024). No plano Completo, a notificação é feita à gestora, que a repassa às organizações-cliente afetadas.

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares (as exportações por módulo e as trilhas permitem localizar onde uma pessoa é citada; a correção de nomes é feita pelo próprio Cliente na Plataforma) e a solicitações de autoridades.

9. Devolução e eliminação

Enquanto a conta estiver ativa, a retenção dos registros é decisão do Cliente, observado que trilhas e registros de prova são imutáveis por desenho. Encerrada a relação, o Cliente pode exportar (XLSX por módulo) por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais e a trilha mínima de auditoria. No plano Completo, a gestora responde por exportar ou devolver os dados de cada organização-cliente nesse prazo; a organização-cliente pode pedir diretamente à Data Protect a exportação dos próprios registros.

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá descrições de arquitetura, certificações dos suboperadores e registros pertinentes (art. 6º, X, LGPD).