DPA — Adendo de Processamento de Dados

1. Papéis das Partes (LGPD)

Os Titulares dos dados são os clientes finais do Contratante cujos dados (nome, telefone, informações de cobrança) são processados pela plataforma para envio de mensagens via WhatsApp.

2. Dados Processados

O Operador processa, em nome do Controlador, as seguintes categorias de dados pessoais:

• Nome completo ou razão social do cliente final
• Número de telefone celular (WhatsApp)
• Informações de cobrança: valor, vencimento, status do título (não inclui dados bancários)
• Status de entrega e leitura das mensagens enviadas

Nenhum dado sensível (saúde, biometria, opinião política, etc.) é coletado ou processado.

3. Finalidade do Tratamento

O tratamento realizado pelo Operador tem finalidade única e restrita: envio automatizado de mensagens de cobrança via WhatsApp conforme as réguas configuradas pelo Controlador. Os dados não são utilizados para qualquer outra finalidade pelo Operador.

4. Obrigações do Operador

O Operador se compromete a:

• Processar os dados pessoais somente conforme as instruções documentadas do Controlador e os presentes termos
• Implementar medidas técnicas e organizacionais adequadas para proteger os dados contra acesso não autorizado, perda, destruição ou divulgação acidental
• Armazenar credenciais de integração com criptografia AES-256-GCM
• Garantir que os colaboradores com acesso aos dados estejam sujeitos a obrigações de confidencialidade
• Notificar o Controlador em até 72 horas após tomar conhecimento de incidente de segurança que envolva os dados processados, fornecendo descrição da natureza do incidente, dados afetados e medidas adotadas (LGPD Art. 48, §1)
• Excluir ou devolver todos os dados pessoais ao final da relação contratual, conforme solicitado pelo Controlador
• Disponibilizar todas as informações necessárias para demonstrar conformidade com as obrigações previstas neste DPA

5. Obrigações do Controlador

O Controlador declara e garante que:

• Possui base legal adequada para tratar os dados pessoais dos clientes finais, nos termos da LGPD (art. 7º)
• Obteve as autorizações necessárias para envio de mensagens comerciais via WhatsApp para seus clientes finais, conforme as Políticas de Negócios do WhatsApp
• Fornecerá instruções claras e lícitas ao Operador sobre o tratamento de dados
• Atenderá às solicitações de direitos dos Titulares (acesso, correção, exclusão, etc.) que envolvam dados tratados pela plataforma, no prazo de 15 dias úteis (LGPD Art. 18, §5)
• Notificará a ANPD sobre incidentes de segurança que possam causar risco ou dano relevante aos titulares, em prazo razoável (LGPD Art. 48)

6. Sub-operadores

O Operador utiliza os seguintes sub-operadores para prestação do serviço. O Controlador consente com seu uso ao aceitar estes termos:

O Operador notificará o Controlador sobre qualquer alteração planejada nos sub-operadores com antecedência mínima de 15 dias.

7. Transferência Internacional de Dados

Alguns sub-operadores listados acima operam nos Estados Unidos. A transferência internacional de dados pessoais ocorre com fundamento no Art. 33, V da LGPD (necessidade de transferência para execução de contrato do qual seja parte o titular), combinado com as seguintes salvaguardas contratuais e técnicas:

• Contratos com os sub-operadores que incluem obrigações equivalentes às da LGPD no que tange à proteção, confidencialidade e segurança dos dados
• Certificações de segurança reconhecidas internacionalmente dos provedores (SOC 2 Type II, ISO 27001)
• Dados armazenados no banco de dados primário em servidor localizado no Brasil (Neon — região sa-east-1 / São Paulo)

Nota: A ANPD ainda não emitiu resolução aprovando modelos de cláusulas contratuais padrão para transferência internacional. Este DPA será atualizado assim que a ANPD publicar os instrumentos oficiais previstos no Art. 33, II da LGPD.

8. Retenção e Exclusão

Os dados pessoais dos clientes finais processados na plataforma são retidos pelo período ativo do contrato. Após o encerramento:

• O Controlador tem 30 dias para exportar seus dados
• Após esse prazo, todos os dados são permanentemente excluídos
• Logs operacionais anonimizados podem ser mantidos por até 90 dias adicionais para fins de auditoria interna

9. Auditoria

O Controlador pode solicitar, com antecedência mínima de 30 dias e mediante justificativa, informações sobre as práticas de segurança e conformidade do Operador. O Operador fornecerá documentação adequada em resposta à solicitação.

10. Vigência

Este DPA entra em vigor na data de aceitação dos Termos de Uso e permanece válido pelo prazo do contrato de prestação de serviço. Em caso de conflito entre este DPA e os Termos de Uso, prevalecem as disposições deste DPA no que se refere ao tratamento de dados pessoais.