Contrato de Operador de Dados (DPA)

1. Objeto, natureza e duração

1.1.Objeto: hospedagem, armazenamento, organização, exibição, transmissão e processamento de dados pessoais inseridos ou conectados pela Agência para gerir as redes sociais e o atendimento dela e de seus clientes.

1.2.Natureza e finalidade: executar as funções contratadas (publicação, agendamento, caixa de entrada, WhatsApp, métricas, arquivos, automações, IA com aprovação humana, marca própria), e nada além disso.

1.3.Duração: enquanto durar o contrato, mais o período de devolução e exclusão da cláusula 11.

1.4.Titulares: clientes da Agência e seus representantes; equipe e colaboradores da Agência e dos clientes; seguidores, usuários das redes, leads e interlocutores que comentam, escrevem mensagens ou aparecem em contatos; contatos importados.

1.5.Dados: identificação e contato (nome, usuário, telefone, e-mail, foto, identificadores das redes), conteúdo de mensagens e comentários, mídia, métricas de audiência, tokens de acesso às redes, registros de uso. Dados sensíveis e de crianças e adolescentes não são buscados pela Plataforma, mas podem constar de conteúdos (cláusula 3.4).

2. Papéis

2.1.A Agência é a controladora dos dados que insere ou conecta e decide as finalidades e os meios. A Operadora é a operadora e trata os dados conforme instruções lícitas e documentadas da Agência (art. 39 da LGPD).

2.2.Quando a Agência presta serviços a clientes que a contrataram como operadora deles, a Agência pode ser operadora e a Operadora, suboperadora; a Agência declara ter instruções e autorização para contratar a Operadora nessa condição.

2.3.Para os dados de conta e de cobrança da própria Agência, a Operadora é controladora, conforme a Política de Privacidade.

3. Instruções e obrigações da Controladora

3.1.As instruções da Agência são este Anexo, os Termos de Uso e o uso e a configuração da Plataforma por ela. A Operadora avisa a Agência se considerar ilegal uma instrução e pode suspender a execução dela.

3.2.A Agência declara que (a) tem base legal para tratar os dados e para disponibilizá-los à Operadora; (b) informou os titulares como a lei exige; (c) obteve dos clientes a autorização para conectar suas contas; (d) responde pelo conteúdo e pela legalidade de suas instruções.

3.3.Cabe à Agência, perante os titulares, cumprir os deveres de controladora (transparência, bases legais e comunicação de incidentes à ANPD e aos titulares, art. 48), com a ajuda da Operadora.

3.4.A Agência deve evitar inserir dados sensíveis ou de crianças e adolescentes sem necessidade e, se o fizer, garantir a base legal específica (arts. 11 e 14).

3.5.O uso do WhatsApp (principalmente a conexão não oficial por QR Code) e de qualquer envio de mensagens deve respeitar a lei, as regras antispam e a base legal de cada contato, nos termos dos Termos de Uso, cláusula 8.4. A Agência é responsável pelas regras automáticas que ligar (Termos, cláusula 8.6).

4. Obrigações da Operadora

A Operadora se compromete a:

• tratar os dados somente para as finalidades deste Anexo e conforme as instruções da Agência;
• não vender, alugar nem usar os dados para fins próprios (publicidade ou treinamento de modelos), salvo dados agregados e anonimizados de forma irreversível para estatísticas do serviço, ou se a lei exigir;
• manter registro das operações de tratamento (art. 37);
• limitar o acesso aos dados a quem precisa deles para prestar o serviço;
• cumprir a LGPD e as normas da ANPD aplicáveis à operadora.

5. Confidencialidade

5.1.A Operadora garante que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade, por contrato ou por lei, que continua depois do fim da relação.

5.2.O dever não impede divulgações exigidas por lei ou por autoridade; nesse caso, salvo vedação, a Operadora avisa a Agência com a máxima brevidade.

6. Suboperadores

6.1.A Agência autoriza, de forma geral, a contratação dos suboperadores abaixo, necessários à prestação do serviço:

6.2.Os dois provedores de IA tratam os dados como operadores, sob os termos de tratamento de dados que aceitam para clientes empresariais de API (o Data Processing Addendum da OpenAI e o da Google para produtos em que ela é operadora), sem usar o que recebem pela API para treinar ou melhorar seus modelos e guardando pedidos e respostas só pelo período limitado de monitoramento de abuso. A Operadora usa somente o plano pago do Gemini. Qual dos dois atende cada pedido é escolha técnica da Operadora; trocar entre eles não é inclusão de suboperador, e a Agência não precisa fazer nada.

6.3.As redes e serviços que a Agência conecta (Meta, Google, TikTok, LinkedIn, Pinterest, X e outros) atuam por decisão e autorização da Agência, que os contratou diretamente, e seguem seus próprios termos; são citados por transparência.

6.4.Antes de incluir ou trocar suboperador, a Operadora avisa a Agência, por e-mail ou pela Plataforma, com pelo menos 15 dias de antecedência. Nesse prazo a Agência pode se opor, por escrito e por motivo razoável de proteção de dados. Sem solução razoável, a Agência pode rescindir o contrato sem multa e com reembolso proporcional do período pago e não usufruído.

6.5.A Operadora impõe a cada suboperador obrigações de proteção de dados no mínimo equivalentes às deste Anexo e responde perante a Agência pelos atos deles, nos termos da lei.

7. Medidas de segurança

7.1.A Operadora adota medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46), entre elas:

• tráfego criptografado (TLS), HSTS e política de segurança de conteúdo;
• cifra (AES-256-GCM) dos tokens das redes, segredos de 2FA e credenciais guardadas; senhas somente em hash (bcrypt);
• controle de acesso por papéis e permissões, 2FA (obrigatório para dono e gestor) e sessões revogáveis;
• limites de tentativas contra força bruta;
• isolamento lógico entre agências em toda consulta ao banco;
• arquivos em armazenamento privado, com acesso por sessão ou por link temporário assinado;
• trilha de auditoria; acesso do suporte a uma conta só com motivo, por tempo limitado e registrado;
• cópias de segurança e plano de resposta a incidentes.

7.2.A Agência é responsável pela segurança de suas credenciais, pela gestão de usuários e permissões, pelos links que envia a clientes e pela segurança dos dispositivos que usa.

8. Incidentes de segurança

8.1.A Operadora avisa a Agência, sem demora injustificada e em até 48 horas depois de ter conhecimento de incidente de segurança que afete dados pessoais tratados em nome dela.

8.2.O aviso traz, na medida do conhecido: a natureza do incidente; as categorias e a quantidade aproximada de titulares e de dados afetados; as consequências prováveis; as medidas adotadas e recomendadas; e um contato. As demais informações vêm conforme apuradas.

8.3.A Operadora contém e remedeia o incidente e ajuda a Agência a cumprir o dever de comunicar a ANPD (em até 3 dias úteis do conhecimento de risco relevante, Resolução CD/ANPD nº 15/2024) e os titulares (art. 48 da LGPD). A decisão e a comunicação cabem à Agência, como controladora, salvo acordo diferente.

9. Direitos dos titulares

9.1.A Operadora ajuda a Agência, por meios técnicos e organizacionais adequados, a responder a pedidos de titulares (art. 18). A Plataforma oferece à Agência as ferramentas de exportar os dados da agência ou de um cliente, anonimizar um cliente, apagar contas e conversas, e pedir a exclusão da agência (Ajustes › Privacidade).

9.2.Se a Operadora receber pedido de titular sobre dados tratados em nome da Agência, encaminha-o à Agência em até 5 dias úteis, sem respondê-lo diretamente, salvo instrução ou exigência legal.

9.3.A Operadora também ajuda, na medida razoável e considerando a natureza do tratamento, em relatórios de impacto (RIPD), consultas à ANPD e na demonstração de conformidade.

10. Auditoria e conformidade

10.1.A Operadora fornece, a pedido razoável, as informações necessárias para demonstrar o cumprimento deste Anexo (descrição das medidas de segurança, lista atualizada de suboperadores, resumos de relatórios ou certificações disponíveis).

10.2.Auditoria adicional, presencial ou remota, pode ser feita uma vez a cada 12 meses, salvo incidente ou exigência de autoridade, com aviso de 30 dias, em horário comercial, sob acordo de confidencialidade e às custas da Agência, sem acesso a dados de outros clientes nem a informação que exponha a segurança da Operadora.

11. Devolução e exclusão

11.1.Encerrado o contrato, a Agência pode exportar seus dados pelas ferramentas da Plataforma, em formato estruturado, durante 90 dias; se já não alcançar a tela de exportação, pede a exportação por e-mail e a Operadora a entrega em até 15 dias úteis.

11.2.Terminado esse prazo, a Operadora exclui os dados pessoais tratados em nome da Agência, inclusive tokens e arquivos. Cópias em backup expiram em até 30 dias depois.

11.3.A exclusão não alcança os dados que a Operadora deva manter por obrigação legal ou para o exercício regular de direitos (como registros fiscais, de cobrança e de acesso), tratados nesses casos como controladora e limitados ao necessário.

11.4.Quando a Agência pede a exclusão antecipada pela Plataforma, aplica-se a carência de 30 dias, em que ela pode desistir. A pedido, a Operadora confirma a exclusão por escrito.

12. Transferência internacional

12.1.A Agência autoriza as transferências internacionais necessárias à prestação do serviço, em especial aos suboperadores da cláusula 6 que tratam dados total ou parcialmente fora do Brasil (como nos Estados Unidos).

12.2.A Operadora cuida para que essas transferências cumpram o art. 33 da LGPD e o Regulamento de Transferência Internacional da ANPD (Resolução CD/ANPD nº 19/2024), com apoio nos acordos de tratamento de dados dos próprios suboperadores, nas cláusulas-padrão da ANPD quando o suboperador as adota ou aceita, ou em outra hipótese legal aplicável (como a execução do contrato, art. 33, IX), além de criptografia e minimização de dados.

12.3.A Agência informa seus titulares sobre a transferência internacional, quando a lei exigir.

13. Responsabilidade

13.1.A responsabilidade das partes por tratamento de dados segue a LGPD (arts. 42 a 45). A Operadora responde por danos quando descumprir a lei ou as instruções lícitas da Agência; a Agência, quando suas instruções ou o tratamento sob sua responsabilidade forem ilícitos.

13.2.Respeitada a lei e ressalvados dolo e culpa grave, aplica-se à responsabilidade da Operadora a limitação da cláusula 14 dos Termos de Uso.

14. Vigência e foro

14.1.Este Anexo vigora enquanto a Operadora tratar dados em nome da Agência e continua no que for necessário (confidencialidade, devolução e responsabilidade). Pode ser atualizado pelo procedimento da cláusula 16 dos Termos, ou para refletir mudança legal ou da ANPD.

14.2.Foro: o mesmo dos Termos de Uso, comarca de Recife/PE.

Contato para proteção de dados: Encarregado, contato@clikaocubo.com.br.