Adendo de Tratamento de Dados (DPA)
Este Adendo integra os Termos de Uso celebrados entre Denilson Carvalho Rocha, pessoa física estabelecida em Belém/PA ("Orbbyx" ou "Operador"; dados completos de identificação fornecidos ao Cliente na contratação ou mediante solicitação), e a empresa contratante ("Cliente" ou "Controlador"), e rege o tratamento de dados pessoais de titulares que o Cliente insere na plataforma.
1. Papéis das partes
- Controlador: o Cliente, que decide as finalidades e meios do tratamento dos dados de seus clientes finais e possui a base legal para tratá-los.
- Operador: o Orbbyx, que trata esses dados exclusivamente em nome e conforme as instruções documentadas do Controlador, para prestar o Serviço.
O Orbbyx não utiliza os dados dos clientes finais para finalidades próprias.
2. Objeto e duração
O tratamento ocorre pelo prazo de vigência do contrato principal e pela janela de retenção pós-término prevista nos Termos, após o que os dados são eliminados ou devolvidos (seção 8).
3. Descrição do tratamento
- Natureza e finalidade: hospedagem, armazenamento, organização e disponibilização dos dados no CRM, para o Controlador gerir seu relacionamento comercial.
- Categorias de titulares: clientes finais, contatos e leads do Controlador.
- Tipos de dados: dados cadastrais e de contato (ex.: nome, CPF/CNPJ, cidade, e-mail, telefone), histórico de relacionamento, anotações e status comerciais. O Controlador não deve inserir dados pessoais sensíveis salvo se estritamente necessário e com base legal própria.
4. Obrigações do Operador (Orbbyx)
O Operador compromete-se a:
- tratar os dados apenas conforme as instruções do Controlador e a legislação;
- manter confidencialidade, obrigando seus colaboradores/prestadores ao mesmo dever;
- adotar medidas de segurança técnicas e organizacionais adequadas (LGPD art. 46) — isolamento multi-tenant, regras de acesso no banco, criptografia em trânsito (TLS), autenticação gerenciada, menor privilégio e trilha de auditoria imutável;
- auxiliar o Controlador a responder às solicitações de titulares (art. 18) e a cumprir seus deveres de segurança e relatórios de impacto, na medida do serviço;
- notificar o Controlador sobre incidentes de segurança relevantes em prazo razoável após ciência, para que o Controlador cumpra seus deveres perante a ANPD e titulares;
- eliminar ou devolver os dados ao término (seção 8);
- disponibilizar informações necessárias para demonstrar conformidade e permitir auditorias razoáveis, mediante aviso prévio e confidencialidade.
5. Sub-operadores (sub-processadores)
O Controlador autoriza o uso dos sub-operadores necessários à prestação do Serviço:
| Sub-operador | Finalidade |
|---|---|
| Google Firebase / Google Cloud | Hospedagem do site e da aplicação, banco de dados (Firestore, São Paulo), autenticação, funções |
| Asaas | Processamento de pagamentos |
| Brevo (Sendinblue) | E-mails transacionais |
O Operador mantém contratos com esses sub-operadores impondo deveres de proteção equivalentes, e comunicará previamente alterações relevantes na lista, facultando ao Controlador opor-se por motivo legítimo.
6. Transferência internacional
Alguns sub-operadores podem tratar dados fora do Brasil. O Operador adota salvaguardas compatíveis com a LGPD (art. 33) para tais transferências.
7. Direitos dos titulares
Quando o Operador receber diretamente uma solicitação de titular referente a dados do Controlador, encaminhará a solicitação ao Controlador e o auxiliará no atendimento, não respondendo diretamente ao titular salvo instrução do Controlador ou exigência legal.
8. Término: eliminação ou devolução
Ao término do contrato e após a janela de retenção prevista nos Termos, o Operador elimina os dados do Controlador de forma definitiva (ou os devolve, se solicitado antes do fim da janela), ressalvados os registros cuja manutenção a lei exija. Os logs de auditoria são imutáveis por design.
9. Responsabilidade
Cada parte responde por suas obrigações na forma da lei e do contrato principal. O Controlador é o responsável pela licitude e pela base legal do tratamento que determina; o Operador responde pelo descumprimento de seus deveres específicos de Operador.
10. Vigência
Este Adendo vigora enquanto durar o contrato principal e o tratamento de dados dele decorrente, e prevalece, quanto ao tratamento de dados pessoais, em caso de conflito com os Termos de Uso.