Acordo de Tratamento de Dados (DPA) — Quórum

Versão 1.1 · 21/07/2026 · Data Protect LTDA · Anexo aos Termos de Uso *(v1.0 validada em 08/07/2026; v1.1 é atualização de estado — os pressupostos forward-looking foram implementados; as posições jurídicas não mudaram.)*

Este Acordo disciplina o tratamento dos dados pessoais contidos nas atas de reunião que o Cliente cria e gere na plataforma Quórum (participantes, deliberações, anexos). Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas (criar, padronizar, gerir, versionar e exportar atas), conforme as instruções do Cliente materializadas no uso da Plataforma, e nunca para fins próprios.

1.2. O Cliente declara possuir base legal para os dados dos participantes e das deliberações que registrar, e que suas instruções observam a legislação.

2. Natureza e escopo do tratamento

• Objeto: armazenamento, estruturação, versionamento (Rascunho → Em Revisão → Aprovada), exibição e exportação (.docx/.pdf) de atas, com log de auditoria das operações.
• Categorias de dados: nome e atributos dos participantes das atas (centralizados em entidade própria); corpo/deliberações em texto rico.
• Categorias de titulares: participantes de reuniões/comitês do Cliente — dados pessoais de terceiros que podem não ser usuários do sistema.
• ⚠️ Dados sensíveis: o corpo da ata pode conter, de forma incidental, dados sensíveis (art. 11) conforme o comitê (RH, jurídico, saúde ocupacional). O Cliente é responsável por avaliar e, se necessário, restringir o que registra. Recomenda-se RIPD do Cliente para comitês que tratem dados sensíveis de forma rotineira.

3. Confidencialidade

Acesso interno restrito ao mínimo necessário para suporte e operação, sob dever de sigilo. Não acessamos o conteúdo das atas salvo para prestar o serviço, cumprir a lei ou a pedido do Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Autenticação e autorização por conta, com controle de acesso por papel na organização;
• Isolamento multi-tenant por Row-Level Security no banco (negação por padrão);
• Dados de participante centralizados em entidade própria (nunca como texto livre disperso) — viabiliza correção e eliminação (direito de titular);
• Log de auditoria imutável das operações sobre atas (criar, editar, mudar status, exportar);
• Criptografia em repouso e em trânsito pelo provedor de banco (Supabase);
• Validação e sanitização de todo input; segredos fora do código (variáveis de ambiente);
• Em implementação: autenticação multifator (MFA) e rotina de backup gerenciada em região BR.

5. Suboperadores

5.1. O Cliente autoriza:

5.2. Sentry — condição obrigatória: deve ser configurado para não transmitir dados pessoais das atas (filtragem de PII em mensagens de erro, stack traces e payloads). Sem essa configuração, o Sentry não pode processar dados deste serviço.

5.3. Alterações comunicadas com 30 dias de antecedência; o Cliente pode se opor e rescindir sem ônus.

6. Transferência internacional

Armazenamento primário no Brasil (Supabase São Paulo). O Sentry, quando ativado, processa dados de telemetria/erro no exterior — transferência amparada em salvaguardas contratuais do provedor e restrita a dados sem PII por configuração (arts. 33 e ss., LGPD). Tráfego residual pela CDN da Vercel.

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis, e cooperará no cumprimento das obrigações perante a ANPD e os titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024).

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares (a centralização dos participantes em entidade própria facilita correção/eliminação) e a solicitações de autoridades.

9. Devolução e eliminação

A retenção das atas é decisão de negócio da controladora (o sistema exibe o prazo; o valor é do DPO do Cliente). Encerrada a relação, o Cliente pode exportar (.docx/.pdf e dados estruturados) por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais e o log de auditoria mínimo.

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá descrições de arquitetura, certificações dos suboperadores e registros pertinentes (art. 6º, X, LGPD).