Acordo de Tratamento de Dados (DPA) — titulle Requisições

Versão 1.0 · vigente desde 08/07/2026 · Data Protect LTDA · Anexo aos Termos de Uso

Este Acordo disciplina o tratamento de dados pessoais contidos nas requisições de titulares que o Cliente recebe e processa na plataforma titulle Requisições. Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD. Neste produto transitam dados de titulares finais externos — pessoas que exercem seus direitos junto ao Cliente (controlador) —, o que torna especialmente relevantes as medidas de segurança e minimização descritas abaixo.

Todas as comunicações entre as partes sobre este Acordo — inclusive notificação de incidentes (cláusula 7), pedidos de auxílio (cláusula 8), oposição a suboperador (cláusula 5) e demonstração de conformidade (cláusula 10) — devem ser dirigidas ao encarregado (DPO) da Data Protect LTDA (CNPJ 64.650.251/0001-02): dpo@dtprotect.com.br.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas (receber, protocolar, verificar, gerir, responder e comprovar requisições), conforme as instruções documentadas do Cliente — materializadas na configuração e uso da Plataforma — e nunca para fins próprios.

1.2. O Cliente declara possuir base legal para o tratamento das requisições e responder como controlador perante os titulares e a ANPD. A Data Protect informará o Cliente se identificar instrução manifestamente ilegal.

2. Natureza e escopo do tratamento

• Objeto: recebimento, protocolo, verificação de identidade, gestão, resposta e comprovação de requisições de direitos (LGPD art. 18), com trilha probatória e controle de prazo (15 dias, art. 19).
• Categorias de dados: nome, e-mail, telefone (opcional), tipo e descrição do pedido do titular; status, responsável, texto da resposta/justificativa e marcos de prazo. Minimização: sem CPF/documentos na entrada.
• Categorias de titulares: titulares que se dirigem à controladora (clientes, ex-clientes, funcionários etc. dela).

3. Confidencialidade

Acesso interno da Data Protect restrito ao mínimo necessário para suporte e operação, sob dever de sigilo. Não acessamos o conteúdo do Cliente salvo para prestar o serviço, cumprir a lei ou a pedido do próprio Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Isolamento multi-tenant por Row-Level Security verificado por teste;
• Criptografia em trânsito (TLS) e em repouso;
• MFA (TOTP) disponível; senhas armazenadas com hash forte (bcrypt) pelo provedor de autenticação;
• Trilha de auditoria imutável por requisição (banco recusa UPDATE/DELETE);
• Antiabuso com pseudonimização de IP (apenas HMAC irreversível; IP nunca em claro);
• Antienumeração em todos os fluxos públicos; verificação de identidade por protocolo + e-mail;
• Backups diários (retenção 14 gerações), usuário de backup só-leitura;
• Banco de dados, autenticação e funções da aplicação na região de São Paulo (Brasil);
• Menor privilégio (chave administrativa restrita ao servidor).

5. Suboperadores

5.1. O Cliente autoriza:

5.2. Resend / e-mail transacional: hoje não ativado. Ao ser ativado, o envio de e-mail ao titular constitui transferência internacional (cláusula 6). O Cliente será avisado antes da ativação.

5.3. Alterações na lista comunicadas com 30 dias de antecedência; o Cliente pode se opor e, nesse caso, rescindir sem ônus.

6. Transferência internacional

Armazenamento primário e processamento no Brasil. Tráfego residual pela CDN/borda da Vercel e, quando ativado o e-mail transacional (Resend), o envio de mensagens ocorre no exterior — amparados em garantias contratuais e certificações dos provedores (arts. 33 e ss., LGPD).

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis, e fornecerá relatório técnico em até 24h para subsidiar a comunicação da controladora à ANPD e aos titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024). O dever de comunicar a ANPD é primariamente da controladora; a Data Protect apoia como operadora.

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares e a solicitações de autoridades, inclusive pelas funcionalidades de exportação e pela trilha probatória por requisição.

9. Devolução e eliminação

A retenção das requisições é definida pela controladora; na ausência de instrução, o padrão do sistema espelha a conta: enquanto durar o contrato + 90 dias após o término. Encerrada a relação, o Cliente pode exportar por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais e a trilha de auditoria mínima (5 anos, prazo prescricional).

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá descrições de arquitetura, certificações dos suboperadores e registros pertinentes (art. 6º, X, LGPD).