DPA — Anexo de Tratamento de Dados

Este DPA complementa os Termos de Uso quando incorporado à relação com uma organização. Para dados inseridos pela organização e processados exclusivamente para prestação do SaaS, a organização atua como controladora e a operação da plataforma atua como operadora, sem prejuízo de situações em que cada parte seja controladora independente de seus próprios dados administrativos, contratuais ou de segurança.

O tratamento fica limitado à hospedagem, organização, consulta, diagnóstico, automação, suporte, segurança, backup e demais operações necessárias às funcionalidades contratadas. Instruções adicionais do controlador devem ser lícitas, documentadas e compatíveis com o produto.

Conforme o uso da organização, o serviço pode tratar dados de usuários da equipe, contatos profissionais, representantes de empresas, oportunidades comerciais e registros de atividade. A organização não deve inserir categorias de dados incompatíveis com a finalidade do produto ou sem base jurídica adequada.

A plataforma aplica controles de autenticação, autorização multi-tenant, RLS, menor privilégio, logs, auditoria, backups, monitoramento e resposta a incidentes. Pessoas com acesso operacional devem observar necessidade de conhecimento e não podem copiar secrets ou dados de outros tenants para suporte ou testes.

A prestação pode envolver provedores de infraestrutura e serviços, como Vercel, Supabase e Stripe quando billing estiver ativo. n8n e provedor de e-mail transacional passam a integrar o ambiente produtivo somente após ativação operacional. A operação deve manter inventário dos suboperadores efetivamente utilizados e impor obrigações compatíveis de proteção de dados.

Quando receber solicitação relacionada a dados tratados em nome da organização, a operação deverá, quando aplicável, direcioná-la ao controlador e fornecer cooperação técnica razoável para localização, exportação, correção, bloqueio ou eliminação conforme instrução válida.

Incidentes confirmados que afetem dados tratados em nome do controlador devem ser investigados, contidos e documentados. A organização será informada sem atraso indevido quando houver informação suficiente para apoiar sua avaliação de risco e cumprimento das obrigações legais de comunicação.

No encerramento, dados operacionais devem ser eliminados ou devolvidos conforme o contrato, finalidade, capacidade técnica e obrigações de retenção. Backups seguem janela própria de expiração e permanecem protegidos até seu descarte regular.

Provedores podem realizar processamento internacional, sujeito às salvaguardas legais e contratuais aplicáveis. Evidências razoáveis de segurança e conformidade podem ser fornecidas sem expor secrets, arquitetura sensível ou dados de outros clientes.

Instrumento comercial ou DPA específico assinado pelas partes pode complementar ou substituir esta versão. Este documento operacional não elimina a necessidade de revisão jurídica adequada ao contexto da organização antes do lançamento comercial contínuo.