DPA — Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados ("DPA") integra o Contrato de Licenciamento entre a CONTRATANTE e a DUO SISTEMAS INTELIGENTES LTDA (CNPJ 53.552.100/0001-97), regulando o tratamento de dados pessoais realizado no contexto da prestação dos serviços da plataforma DuADS, nos termos da Lei nº 13.709/2018 (LGPD).

1. Papéis

A CONTRATADA atua como operadora dos dados pessoais tratados por meio da Plataforma, seguindo instruções documentadas da CONTRATANTE. A CONTRATANTE atua como controladora dos dados pessoais de seus próprios clientes finais e usuários, sendo responsável por assegurar base legal adequada para o tratamento que realizar através da Plataforma.

2. Objeto, natureza e finalidade do tratamento

O tratamento tem por objeto viabilizar as funcionalidades da Plataforma (gestão de mídia paga, conteúdo orgânico, relatórios, faturamento), pela duração da vigência do Contrato de Licenciamento.

3. Categorias de dados e titulares

Dados cadastrais de usuários internos da CONTRATANTE; dados cadastrais de clientes finais da CONTRATANTE (quando ela optar por inseri-los); dados de desempenho de campanhas publicitárias e conteúdo orgânico; dados de pagamento processados pelo gateway de terceiro.

4. Segurança e confidencialidade

4.1. A CONTRATADA mantém medidas técnicas e administrativas de segurança da informação razoáveis e proporcionais ao risco, incluindo controle de acesso, segregação lógica entre agências (multi-tenant), registro de auditoria e criptografia de credenciais/segredos (art. 46 da LGPD).

4.2. Credenciais de plataformas de terceiros. As chaves de acesso das contas que a CONTRATANTE conecta à Plataforma (anúncios, redes sociais e análogas) são guardadas cifradas e nunca exibidas. A conexão é feita por instrução da CONTRATANTE (art. 39 da LGPD) e usada somente para as funções que ela aciona. Quando uma conta é desconectada, a CONTRATADA solicita a revogação do acesso à plataforma de origem, nas plataformas que oferecem esse recurso, e apaga a chave guardada em qualquer caso. Encerrado o contrato, todas as conexões da CONTRATANTE são encerradas do mesmo modo, sem aguardar o prazo de exportação dos dados, de que não fazem parte. O dever de segurança sobre essas chaves subsiste ao término do tratamento (art. 47 da LGPD). A gestão das credenciais e dos acessos dos clientes da CONTRATANTE — quem os concede, a quem e por quanto tempo — é da CONTRATANTE, como controladora; a CONTRATADA não administra esses acessos e responde pela segurança das chaves que guarda.

4.3. Acesso dos usuários. A verificação em duas etapas é obrigatória para todos os usuários da CONTRATANTE e da CONTRATADA; para os usuários do portal do cliente, é recurso que a CONTRATANTE pode exigir quando a CONTRATADA o liberar. Conectar, desconectar e operar contas de terceiros dependem de permissões que a CONTRATANTE concede aos Usuários Autorizados que escolher, e a conexão, a desconexão e cada publicação feita em nome da CONTRATANTE ficam registradas na trilha de auditoria.

5. Suboperadores

A CONTRATADA poderá subcontratar suboperadores para viabilizar o serviço (ex.: provedor de infraestrutura em nuvem, gateway de pagamento, provedor de e-mail transacional, assistente de chat), mantendo lista atualizada disponível no canal de privacidade da plataforma, e permanecendo responsável pelo cumprimento das obrigações de proteção de dados por eles.

6. Transferência internacional

6.1. A transferência internacional de dados pessoais somente ocorrerá amparada em hipótese legal (arts. 7º ou 11 da LGPD) e em mecanismo válido de transferência (art. 33 da LGPD e art. 9º do Regulamento de Transferência Internacional de Dados aprovado pela Resolução CD/ANPD nº 19/2024), limitada ao mínimo necessário para a finalidade.

6.2. Hospedagem. A Plataforma roda em servidores e armazenamento da Contabo GmbH (Alemanha), em data center na União Europeia. A transferência tem base no art. 33, I, da LGPD e na Resolução CD/ANPD nº 32/2026, que reconhece a União Europeia como destino com grau de proteção adequado.

6.3. Serviços de inteligência artificial de terceiros. A CONTRATADA só envia dado pessoal a serviço de IA de terceiro que o processe na União Europeia ou no Brasil (art. 33, I, da LGPD e Resolução CD/ANPD nº 32/2026). Serviço sem região na União Europeia ou no Brasil recebe apenas dado anonimizado. O art. 33, IX, combinado com o art. 7º, V, da LGPD não é usado como base, porque os titulares dos dados carregados pela CONTRATANTE não são parte deste Contrato.

6.4. A lista de suboperadores, com o país e a base de cada transferência, é pública na página de suboperadores da Plataforma.

6.5. As transferências que a própria CONTRATANTE determinar ao conectar suas contas em plataformas de terceiros (por exemplo, Meta, Google, TikTok e LinkedIn) são realizadas por instrução dela, na qualidade de controladora, a quem cabe verificar a hipótese legal e o mecanismo aplicáveis (art. 4º do Regulamento). A CONTRATADA fornecerá as informações de que dispuser para esse fim (art. 4º, § 1º, do Regulamento).

7. Incidentes de segurança

7.1. A CONTRATADA comunicará à CONTRATANTE, em até 1 (um) dia útil contado do conhecimento de que o incidente de segurança afetou dados pessoais tratados em nome dela, qualquer incidente que possa acarretar risco ou dano relevante aos titulares, com as informações de que dispuser entre as exigidas pelo art. 48, § 1º, da LGPD, complementando-as à medida que as obtiver. O prazo existe para que a CONTRATANTE, como controladora, cumpra o seu de 3 (três) dias úteis perante a ANPD e os titulares (arts. 6º e 9º do Regulamento de Comunicação de Incidente de Segurança aprovado pela Resolução CD/ANPD nº 15/2024).

7.2. A CONTRATADA mantém registro de todo incidente de segurança que envolva dados pessoais, inclusive dos não comunicados, pelo prazo mínimo de 5 (cinco) anos (art. 10 do mesmo Regulamento).

8. Auditoria e cooperação

A CONTRATADA cooperará com a CONTRATANTE para o atendimento de solicitações de titulares de dados e de eventuais requisições de autoridades competentes, na medida do necessário e nos limites técnicos da Plataforma.

9. Retenção, exportação e eliminação

9.1. Encerrado o Contrato de Licenciamento, a CONTRATADA disponibilizará a exportação dos dados nos prazos e condições do Contrato, procedendo à eliminação ou anonimização dos dados remanescentes, ressalvada a guarda obrigatória por lei. A eliminação dos dados identificáveis do titular ocorre após o decurso da janela de exportação prevista no Contrato.

9.2. Os registros de auditoria da Plataforma dividem-se em duas classes, com prazos e fundamentos distintos. A classificação de cada tipo de registro está implementada na própria Plataforma e é auditável.

9.3. Classe A — registros operacionais. Compreende registros de acesso (entrada, saída e tentativa recusada), leitura de dados, navegação, sincronização de integrações e alterações de configuração. São conservados por 12 (doze) meses contados da data do próprio registro e, decorrido esse prazo, eliminados automaticamente. Fundamento: o art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet) impõe ao provedor de aplicações de internet constituído como pessoa jurídica com fins econômicos o dever de guardar os registros de acesso a aplicações pelo prazo de 6 (seis) meses, sob sigilo — prazo que a lei fixa como mínimo, e não como máximo. A CONTRATADA adota o dobro desse mínimo, em linha com a prática de mercado para registros de auditoria de segurança.

9.4. Classe B — registros de prova de obrigação. Compreende registros de aceite eletrônico, contratação, alteração de plano, cobrança, aplicação e remoção de desconto, e atendimento de direitos do titular previstos na LGPD. Não são eliminados pela passagem do tempo. São conservados durante toda a vigência do Contrato e, após o seu encerramento, pelo prazo adicional de 10 (dez) anos. Fundamento: o art. 205 do Código Civil fixa em dez anos a prescrição da pretensão quando a lei não lhe haja fixado prazo menor, sendo esse o prazo aplicável à pretensão fundada em inadimplemento contratual; enquanto a pretensão puder ser exercida por qualquer das partes, a prova correspondente precisa subsistir. A conservação desses registros, ainda que haja pedido de eliminação formulado pelo titular, encontra amparo no art. 16, I, da LGPD (conservação para cumprimento de obrigação legal ou regulatória) e na hipótese de exercício regular de direitos em processo judicial, administrativo ou arbitral.

9.5. Registros de aceite eletrônico. Os registros de aceite dos documentos contratuais são imutáveis e não elimináveis, inclusive pela própria CONTRATADA e por seus administradores, em virtude de restrição técnica implementada na camada de banco de dados da Plataforma. Trata-se da prática consolidada entre provedores de assinatura eletrônica, cuja trilha de auditoria não pode ser apagada nem pelo administrador da conta. Sua eliminação somente ocorrerá mediante ordem judicial ou determinação de autoridade competente, com registro do ato.

9.6. O exercício do direito de eliminação pelo titular (art. 18, VI, da LGPD) é atendido mediante anonimização imediata dos dados identificáveis, preservando-se os registros das Classes B e de aceite eletrônico nos termos dos itens 9.4 e 9.5, bem como os registros de guarda fiscal obrigatória.