Acordo de Tratamento de Dados (DPA) — titulle Requisições

Versão 1.2 · vigente desde 20/08/2026 · Data Protect LTDA · Anexo aos Termos de Uso *(v1.2: divulga o GitHub como suboperador das cópias de segurança cifradas — rotina comum às linhas titulle desde 13/08/2026.)*

Este Acordo disciplina o tratamento de dados pessoais contidos nas requisições de titulares que o Cliente recebe e processa na plataforma titulle Requisições. Para esses dados, o Cliente é o controlador e a Data Protect LTDA é a operadora, nos termos do art. 39 da LGPD. Neste produto transitam dados de titulares finais externos — pessoas que exercem seus direitos junto ao Cliente (controlador) —, o que torna especialmente relevantes as medidas de segurança e minimização descritas abaixo.

Todas as comunicações entre as partes sobre este Acordo — inclusive notificação de incidentes (cláusula 7), pedidos de auxílio (cláusula 8), oposição a suboperador (cláusula 5) e demonstração de conformidade (cláusula 10) — devem ser dirigidas ao encarregado (DPO) da Data Protect LTDA (CNPJ 64.650.251/0001-02): dpo@dtprotect.com.br.

1. Papéis e instruções

1.1. A Data Protect tratará os dados do Cliente exclusivamente para prestar as funcionalidades contratadas (receber, protocolar, verificar, gerir, responder e comprovar requisições), conforme as instruções documentadas do Cliente — materializadas na configuração e uso da Plataforma — e nunca para fins próprios.

1.2. O Cliente declara possuir base legal para o tratamento das requisições e responder como controlador perante os titulares e a ANPD. A Data Protect informará o Cliente se identificar instrução manifestamente ilegal.

2. Natureza e escopo do tratamento

• Objeto: recebimento, protocolo, verificação de identidade, gestão, resposta e comprovação de requisições de direitos (LGPD art. 18), com trilha probatória e controle de prazo (15 dias, art. 19).
• Categorias de dados: nome, e-mail, telefone (opcional), tipo e descrição do pedido do titular; status, responsável, texto da resposta/justificativa e marcos de prazo. Minimização: sem CPF/documentos na entrada.
• Categorias de titulares: titulares que se dirigem à controladora (clientes, ex-clientes, funcionários etc. dela).

3. Confidencialidade

Acesso interno da Data Protect restrito ao mínimo necessário para suporte e operação, sob dever de sigilo. Não acessamos o conteúdo do Cliente salvo para prestar o serviço, cumprir a lei ou a pedido do próprio Cliente.

4. Medidas de segurança (art. 46, LGPD)

• Isolamento multi-tenant por Row-Level Security verificado por teste;
• Criptografia em trânsito (TLS) e em repouso;
• MFA (TOTP) disponível; senhas armazenadas com hash forte (bcrypt) pelo provedor de autenticação;
• Trilha de auditoria imutável por requisição (banco recusa UPDATE/DELETE);
• Antiabuso com pseudonimização de IP (apenas HMAC irreversível; IP nunca em claro);
• Antienumeração em todos os fluxos públicos; verificação de identidade por protocolo + e-mail;
• Backups diários (retenção 14 gerações), usuário de backup só-leitura; rotina própria adicional duas vezes ao dia com dumps cifrados (AES-256) guardados em repositório privado (GitHub), restore testado periodicamente;
• Banco de dados, autenticação e funções da aplicação na região de São Paulo (Brasil);
• Menor privilégio (chave administrativa restrita ao servidor).

5. Suboperadores

5.1. O Cliente autoriza:

5.2. Resend / e-mail transacional: ativo desde 20/07/2026, com processamento na região de São Paulo (sa-east-1) — não constitui transferência internacional. O remetente é nao-responda@dtprotect.com.br.

5.3. Asaas — escopo e natureza. Ao Operador cabe transmitir ao Asaas apenas os dados necessários à cobrança: razão social, CNPJ e e-mail do contratante. Nenhum dado de titular tratado no serviço (requisições, protocolos, identificação de titulares) é transmitido. Dados de cartão são coletados diretamente pelo Asaas em ambiente próprio e não transitam pela infraestrutura do Operador. Na medida em que o Asaas trata esses dados para cumprir obrigação legal e regulatória própria de instituição de pagamento, atua como controlador independente, e não como suboperador do Operador, respondendo diretamente por esse tratamento.

5.4. Alterações na lista comunicadas com 30 dias de antecedência; o Cliente pode se opor e, nesse caso, rescindir sem ônus.

6. Transferência internacional

Armazenamento primário e processamento no Brasil, inclusive o e-mail transacional (Resend, sa-east-1). Há saída do país no tráfego residual pela CDN/borda da Vercel e, conforme a política de privacidade do próprio Asaas (cl. 6.1), no processamento de pagamento — transferências amparadas em garantias contratuais e certificações dos provedores (arts. 33 e ss., LGPD). A relação vigente de suboperadores e respectivas regiões é a da tabela acima. As cópias de segurança cifradas da rotina própria da Data Protect são guardadas em repositório privado no GitHub (Estados Unidos) — transferência internacional de dado ininteligível para o provedor (AES-256, chave fora do repositório), amparada em salvaguardas contratuais e certificações (arts. 33 e ss., LGPD).

7. Incidentes de segurança

Ocorrendo incidente com risco/dano relevante aos dados do Cliente, a Data Protect notificará o Cliente sem demora injustificada após tomar ciência, com as informações disponíveis, e fornecerá relatório técnico em até 24h para subsidiar a comunicação da controladora à ANPD e aos titulares (art. 48, LGPD; Res. CD/ANPD nº 15/2024). O dever de comunicar a ANPD é primariamente da controladora; a Data Protect apoia como operadora.

8. Auxílio ao controlador

A Data Protect auxiliará o Cliente, em prazo razoável, no atendimento a direitos de titulares e a solicitações de autoridades, inclusive pelas funcionalidades de exportação e pela trilha probatória por requisição.

9. Devolução e eliminação

A retenção das requisições é definida pela controladora; na ausência de instrução, o padrão do sistema espelha a conta: enquanto durar o contrato + 90 dias após o término. Encerrada a relação, o Cliente pode exportar por 30 dias; em seguida os dados são eliminados/anonimizados em até 60 dias, ressalvadas obrigações legais e a trilha de auditoria mínima (5 anos, prazo prescricional).

10. Demonstração de conformidade

Mediante solicitação razoável (até uma vez por ano, salvo incidente), a Data Protect fornecerá descrições de arquitetura, certificações dos suboperadores e registros pertinentes (art. 6º, X, LGPD).