Acordo de Tratamento de Dados (DPA) — Quórum

Versão 1.5 · vigente desde 20/08/2026 · Data Protect LTDA · Anexo aos Termos de Uso *(v1.0 validada em 08/07/2026; v1.1–v1.3 são atualizações de estado — pressupostos implementados, MFA incluído, Sentry ativado em 22/07/2026 na região UE com scrubbing verificado. v1.4 acrescenta o Asaas como suboperador de pagamento, em vigor desde a abertura da loja em 26/07/2026, e atualiza a cláusula 6, que ainda tratava o Sentry como "quando ativado". As posições jurídicas não mudaram. v1.5 (20/08/2026) divulga o GitHub como suboperador das cópias de segurança cifradas e registra a rotina própria de backup, já implementada.)*

Este Acordo disciplina o tratamento dos dados pessoais contidos nas atas de reunião que o Cliente cria e gere na plataforma Quórum (participantes, deliberações, anexos). Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas (criar, padronizar, gerir, versionar e exportar atas), conforme as instruções do Cliente materializadas no uso da Plataforma, e nunca para fins próprios.

1.2. O Cliente declara possuir base legal para os dados dos participantes e das deliberações que registrar, e que suas instruções observam a legislação.

2. Natureza e escopo do tratamento

• Objeto: armazenamento, estruturação, versionamento (Rascunho → Em Revisão → Aprovada), exibição e exportação (.docx/.pdf) de atas, com log de auditoria das operações.
• Categorias de dados: nome e atributos dos participantes das atas (centralizados em entidade própria); corpo/deliberações em texto rico.
• Categorias de titulares: participantes de reuniões/comitês do Cliente — dados pessoais de terceiros que podem não ser usuários do sistema.
• ⚠️ Dados sensíveis: o corpo da ata pode conter, de forma incidental, dados sensíveis (art. 11) conforme o comitê (RH, jurídico, saúde ocupacional). O Cliente é responsável por avaliar e, se necessário, restringir o que registra. Recomenda-se RIPD do Cliente para comitês que tratem dados sensíveis de forma rotineira.

3. Confidencialidade

Acesso interno restrito ao mínimo necessário para suporte e operação, sob dever de sigilo. Não acessamos o conteúdo das atas salvo para prestar o serviço, cumprir a lei ou a pedido do Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Autenticação e autorização por conta, com controle de acesso por papel na organização, e verificação em duas etapas (MFA/TOTP) disponível a todos os usuários;
• Isolamento multi-tenant por Row-Level Security no banco (negação por padrão);
• Dados de participante centralizados em entidade própria (nunca como texto livre disperso) — viabiliza correção e eliminação (direito de titular);
• Log de auditoria imutável das operações sobre atas (criar, editar, mudar status, exportar);
• Criptografia em repouso e em trânsito pelo provedor de banco (Supabase);
• Validação e sanitização de todo input; segredos fora do código (variáveis de ambiente);
• Rotina própria de backup duas vezes ao dia (além dos backups automáticos do provedor), com dumps cifrados (AES-256) guardados em repositório privado (GitHub), usuário de backup só-leitura, restore testado periodicamente.

5. Suboperadores

5.1. O Cliente autoriza:

5.1.1. Asaas — escopo e natureza. Ao Operador cabe transmitir ao Asaas apenas os dados necessários à cobrança: razão social, CNPJ e e-mail do contratante. Nenhum conteúdo de ata, pauta, deliberação ou dado de participante é transmitido. Dados de cartão são coletados diretamente pelo Asaas em ambiente próprio e não transitam pela infraestrutura do Operador. Na medida em que o Asaas trata esses dados para cumprir obrigação legal e regulatória própria de instituição de pagamento, atua como controlador independente, e não como suboperador do Operador, respondendo diretamente por esse tratamento.

5.2. Sentry — condição obrigatória: deve ser configurado para não transmitir dados pessoais das atas (filtragem de PII em mensagens de erro, stack traces e payloads). Sem essa configuração, o Sentry não pode processar dados deste serviço.

5.3. Alterações comunicadas com 30 dias de antecedência; o Cliente pode se opor e rescindir sem ônus.

6. Transferência internacional

Armazenamento primário no Brasil (Supabase São Paulo), inclusive o e-mail transacional (Resend, sa-east-1). Conforme a política de privacidade do próprio Asaas (cl. 6.1), o processamento de pagamento pode ocorrer fora do Brasil. O Sentry, ativado em 22/07/2026, processa dados de telemetria/erro na União Europeia (Frankfurt) — transferência amparada em salvaguardas contratuais do provedor e restrita a dados sem PII por configuração, verificada em produção (arts. 33 e ss., LGPD). Tráfego residual pela CDN da Vercel. As cópias de segurança cifradas da rotina própria da Data Protect são guardadas em repositório privado no GitHub (Estados Unidos) — transferência internacional de dado ininteligível para o provedor (AES-256, chave fora do repositório), amparada em salvaguardas contratuais e certificações (arts. 33 e ss., LGPD).

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis, e cooperará no cumprimento das obrigações perante a ANPD e os titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024).

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares (a centralização dos participantes em entidade própria facilita correção/eliminação) e a solicitações de autoridades.

9. Devolução e eliminação

A retenção das atas é decisão de negócio da controladora (o sistema exibe o prazo; o valor é do DPO do Cliente). Encerrada a relação, o Cliente pode exportar (.docx/.pdf e dados estruturados) por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais e o log de auditoria mínimo.

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá descrições de arquitetura, certificações dos suboperadores e registros pertinentes (art. 6º, X, LGPD).