Contrato de Tratamento de Dados (DPA)

1. Partes, objeto e relação com os demais documentos

1.1.Este Contrato de Tratamento de Dados (DPA) é celebrado entre a empresa usuária, identificada na contratação e representada por pessoa com poderes para tanto, denominada Controladora, e SOGIMAR P DA SILVA JUNIOR TECNOLOGIA DA INFORMACAO LTDA, CNPJ 53.677.525/0001-22, com sede na AV PAULISTA 1106 SALA 01 ANDA, Bela Vista, CEP 01310-914, São Paulo/SP, denominada Agenin ou Operador.

1.2.O objeto é disciplinar o tratamento de dados pessoais que o Agenin realiza por instrução da Controladora para fornecer agenda, clientes, equipe e recursos operacionais contratados. Este DPA complementa os Termos e prevalece nas questões específicas desse tratamento, sem afastar normas obrigatórias.

1.3.O DPA não abrange como operação por conta da empresa as finalidades próprias do Agenin, como contratação da assinatura, cobrança, defesa de direitos e segurança própria. Essas operações são descritas na Política de Privacidade. Um fornecedor de pagamento também pode atuar como controlador independente; os papéis dependem das decisões efetivas de cada operação.

1.4.Cliente final que agenda um serviço não se torna parte deste DPA nem autoriza a empresa a tratar dados sem base legal. As obrigações aqui previstas não restringem seus direitos perante qualquer parte responsável.

2. Definições, duração e escopo

2.1.Dados pessoais, dados sensíveis, controlador, operador, tratamento e anonimização têm o significado da LGPD. Suboperador é o fornecedor contratado para realizar parte do tratamento por conta do Operador. Incidente é evento confirmado que comprometa a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais, sem prejuízo da apuração preventiva de suspeitas.

2.2.O tratamento ocorre durante a prestação e, após seu término, pelo tempo necessário à devolução, eliminação ou retenção fundamentada. Obrigações de confidencialidade, cooperação e segurança continuam enquanto dados abrangidos permanecerem sob responsabilidade de uma das partes.

2.3.A descrição de titulares, dados, operações e finalidades está no Anexo I deste documento. A relação de serviços e condições de subcontratação está no Anexo II; as medidas e evidências exigíveis estão no Anexo III. Os anexos integram o DPA e não constituem licença para ampliar finalidades sem instrução válida.

3. Instruções documentadas e limites de uso

3.1.São instruções documentadas a contratação dos recursos, as configurações e operações legítimas da Controladora no produto e solicitações escritas verificáveis pelo canal contato@agenin.com.br, desde que compatíveis com a lei e o escopo contratado. O Operador não deve utilizar os dados de clientes finais para publicidade própria, venda de bases ou finalidade incompatível.

3.2.Uma solicitação fora do escopo técnico pode exigir avaliação e acordo específico sobre viabilidade, prazo e custos de serviço adicional. Isso não autoriza cobrar do titular pelo exercício gratuito de direitos nem condicionar uma obrigação legal do Operador à compra de funcionalidade extra.

3.3.Se considerar uma instrução contrária à legislação de proteção de dados, o Operador deve informar a Controladora e buscar esclarecimento ou adequação. Pode suspender proporcionalmente a operação questionada quando necessário à proteção de direitos, sem suspender indiscriminadamente funções não afetadas.

3.4.Tratamento exigido por norma ou ordem válida deve se limitar ao necessário. A Controladora será informada quando legalmente permitido. A obrigação legal não autoriza reutilização posterior para finalidade estranha à que justificou a medida.

4. Deveres da Controladora

4.1.A Controladora determina e documenta finalidade e base legal, fornece informação adequada aos titulares e responde pela licitude da coleta e das instruções. Deve observar necessidade, qualidade dos dados e prazos próprios de conservação, sem presumir que a assinatura substitua consentimentos ou avisos exigíveis na sua atividade.

4.2.A Controladora deve limitar o cadastro a dados adequados ao produto, manter informações corretas e não inserir dados pessoais sensíveis, inclusive em nomes de serviços ou notas. Se atender menores, deve observar a legislação e o melhor interesse, bem como representação e autorização quando necessárias.

4.3.Cabe à Controladora administrar usuários e papéis, revisar acessos e convites, proteger credenciais e instruir sua equipe. Deve comunicar desligamentos e suspeitas de comprometimento, conferir as configurações públicas e proteger links individuais que autorizem acesso a reservas.

4.4.A Controladora mantém canal para seus clientes, decide sobre pedidos de titulares e solicita a cooperação técnica necessária com antecedência compatível com os prazos legais. Essa distribuição não elimina obrigações próprias do Agenin nem impede o titular de dirigir pedido a quem efetivamente detenha responsabilidade.

5. Deveres do Operador e confidencialidade

5.1.O Operador deve tratar dados conforme as instruções legítimas, aplicar medidas proporcionais ao risco e limitar o acesso operacional ao necessário. Não adquire titularidade sobre a base da empresa e não pode divulgá-la para benefício próprio incompatível com este DPA.

5.2.Pessoas autorizadas a acessar dados no suporte e na operação devem estar sujeitas a dever de confidencialidade e receber orientações compatíveis com suas tarefas. A autorização não deve permanecer após cessar a necessidade. Acesso administrativo não equivale a permissão irrestrita para consultar clientes.

5.3.O Operador deve cooperar com a Controladora em pedidos de titulares, avaliação de impacto, incidentes e determinações válidas, considerando a natureza do tratamento e as informações disponíveis. A cooperação deve produzir informação verificável, sem declaração de controles ou certificações inexistentes.

5.4.Falhas confirmadas nas medidas ou no tratamento devem ser avaliadas e corrigidas conforme o risco, com informação pertinente à Controladora. A descrição contratual de um controle não substitui sua implementação, teste e manutenção.

6. Suboperadores e mudanças relevantes

6.1.A Controladora autoriza a utilização dos serviços descritos no Anexo II na medida necessária à execução contratada. O Operador deve avaliar o fornecedor e estabelecer obrigações de proteção de dados compatíveis com a operação, inclusive segurança, confidencialidade, cooperação e destinação após o término.

6.2.A inclusão ou substituição material de suboperador que afete os dados abrangidos deve ser informada à Controladora, preferencialmente antes de produzir efeitos e com informação suficiente para avaliar função e impacto. Em urgência justificada de continuidade ou segurança, a informação deve ocorrer assim que possível, com a justificativa pertinente.

6.3.A Controladora pode apresentar objeção fundamentada em proteção de dados pelo canal de contato. As partes devem avaliar esclarecimentos, salvaguardas ou alternativa tecnicamente viável. Se não houver solução adequada, devem tratar a continuidade ou o encerramento da função afetada, com exportação e direitos de restituição quando devidos. O silêncio não significa renúncia a direitos.

6.4.A subcontratação não afasta deveres do Agenin nem transfere integralmente à empresa o risco do fornecedor. Os papéis independentes de Asaas ou Google nas respectivas operações não os tornam suboperadores universais da base de clientes finais.

7. Tratamento e transferências internacionais

7.1.Infraestrutura e suporte de fornecedores podem envolver acesso ou armazenamento fora do Brasil. Países, regiões e destinatários dependem da operação e da configuração contratada; não há garantia contratual de residência integral dos dados no território brasileiro.

7.2.O Operador deve verificar a necessidade de transferência e o mecanismo válido nos termos da LGPD e da regulamentação da ANPD, inclusive a Resolução CD/ANPD nº 19/2024 quando aplicável. DPA estrangeiro, cláusula europeia ou menção genérica a segurança não comprova por si só o mecanismo brasileiro exigido.

7.3.A Controladora pode solicitar informação sobre transferências pertinentes, países, destinatários e salvaguardas, com proteção de segredos legítimos e dados de terceiros. Este instrumento não substitui as cláusulas-padrão da ANPD quando sua incorporação for o mecanismo adotado nem declara que todos os contratos de fornecedores já foram certificados.

7.4.O Operador deve publicar as informações específicas da transferência exigidas pela regulamentação, inclusive forma, duração, finalidade e países, quando aplicável. A relação efetiva deve ser completada após conferência de contratos e configurações, antes da liberação comercial; a possibilidade de pedir informações não substitui a transparência pública obrigatória.

8. Direitos dos titulares e cooperação regulatória

8.1.Ao receber solicitação relativa a dados sob instrução da empresa, o Operador deve identificar a Controladora, encaminhar o necessário com segurança e cooperar, sem responder em nome dela além de sua autorização ou obrigação legal. Pedidos sobre dados próprios do Agenin devem ser atendidos na qualidade de controlador.

8.2.A cooperação pode envolver localização, exportação, correção, bloqueio, eliminação e informações sobre compartilhamentos disponíveis no produto ou por procedimento assistido. A identidade e os poderes do solicitante devem ser verificados de maneira proporcional, sem divulgar dados para quem apenas conheça nome ou telefone do titular.

8.3.As partes devem considerar os prazos legais desde o recebimento do requerimento. Confirmação e acesso observam o art. 19 da LGPD, inclusive resposta simplificada imediata quando cabível ou declaração completa em até quinze dias. Uma fila de suporte, encaminhamento interno ou complexidade não cria prorrogação ilimitada.

8.4.Quando necessários, o Operador fornecerá elementos sob seu controle para avaliações de impacto, respostas a autoridades e demonstração do atendimento. Pedidos excessivamente amplos podem ser delimitados sem frustrar a obrigação de cooperação ou o acesso a evidências pertinentes.

9. Resposta a incidentes e informação entre as partes

9.1.Identificado incidente que afete dados abrangidos, o Operador deve adotar medidas proporcionais de contenção, preservação de evidências e recuperação, e informar a Controladora sem demora injustificada. A comunicação inicial pode ser complementada; não se deve esperar a conclusão de toda a investigação para alertar sobre risco conhecido.

9.2.A informação deve incluir, conforme disponível, natureza e momento do evento, categorias de dados e titulares afetados, extensão estimada, riscos, medidas adotadas ou propostas e contato para acompanhamento. Estimativas e fatos confirmados devem ser distinguidos; informações novas relevantes devem ser compartilhadas.

9.3.A Controladora avalia e executa as comunicações à ANPD e aos titulares que lhe competirem, com cooperação do Operador. A regra geral da Resolução CD/ANPD nº 15/2024 prevê três dias úteis nas situações sujeitas à comunicação, observados o marco legal de conhecimento e as exceções aplicáveis. Este DPA não afasta obrigação legal própria de qualquer parte.

9.4.As partes devem manter registro e evidências conforme a regulamentação, inclusive a retenção mínima de cinco anos para registros de incidentes quando aplicável. A comunicação de um evento não implica reconhecimento automático de culpa, mas também não condiciona a cooperação à definição prévia de responsabilidade.

10. Informação, verificação e auditoria proporcional

10.1.Mediante solicitação fundamentada, o Operador deve disponibilizar informações e evidências pertinentes de cumprimento deste DPA que estejam sob seu controle, como descrição de acessos, registros relevantes e documentação de medidas. Certificados e testes só podem ser apresentados como concluídos quando efetivamente existentes e válidos.

10.2.As partes podem acordar verificação documental ou auditoria proporcional, com escopo, antecedência, confidencialidade e condições que não exponham outras empresas, credenciais, segredos protegidos ou a estabilidade do serviço. Essa organização não pode impedir fiscalização legal ou apuração urgente de incidente.

10.3.Testes invasivos, exploração de falhas, acesso direto ao banco de produção ou varreduras não estão autorizados por esta cláusula. Quando necessários, exigem autorização específica e ambiente apropriado. A ausência dessa autorização não impede pedir informações nem comunicar vulnerabilidade de boa-fé.

11. Devolução, retenção e eliminação ao término

11.1.Durante o acesso ativo, a Controladora pode obter os conjuntos exportáveis no painel e conferir sua integridade. Antes do término, deve indicar necessidade de assistência. A devolução não implica fornecimento de código-fonte, credenciais de infraestrutura ou dados de outras empresas.

11.2.A rotina operacional prevê eliminação dos dados da empresa cancelada ou expirada após noventa dias do término do acesso pago, ressalvadas retenções com fundamento válido e o processamento da rotina. Pedido legítimo de eliminação ou retenção específica deve ser avaliado separadamente. A janela não prolonga a assinatura nem garante recuperação individual.

11.3.Desativação e bloqueio de login não equivalem à eliminação integral. A verificação de conclusão deve considerar registros, arquivos e autenticação pertinentes. O Operador deve esclarecer eventuais resíduos, impedimentos e providências, sem declarar eliminado um conjunto que permaneça identificável e acessível.

11.4.Quando houver obrigação legal de conservação, os dados devem permanecer restritos à finalidade correspondente e ser eliminados quando ela cessar. Cópias residuais de backup, quando existentes, devem seguir retenção limitada e controle de acesso; uma restauração deve reaplicar eliminações pertinentes. Não há promessa de recuperação testada ou de cópia externa semanal comprovada neste DPA.

12. Responsabilidade, vigência e solução de divergências

12.1.Cada parte responde conforme suas decisões, condutas e obrigações legais. A distribuição de atividades não exclui a responsabilidade atribuída pela LGPD, inclusive a do operador que descumpra obrigações legais ou instruções lícitas. Limitações contratuais dos Termos não podem reduzir direitos obrigatórios de titulares ou terceiros.

12.2.O aceite eletrônico deve identificar a versão, a data e o representante. Atualizações relevantes serão identificadas e comunicadas, com novo aceite quando necessário, sem alteração retroativa dos registros históricos. Obrigações sobre dados remanescentes sobrevivem ao encerramento enquanto pertinentes.

12.3.Aplica-se a legislação brasileira e o foro legalmente competente. A negociação pelo canal contato@agenin.com.br é incentivada, sem condição obrigatória de reclamação administrativa ou restrição ao acesso ao Judiciário. O DPA é instrumento do produto e não substitui assessoria jurídica individualizada.

13. Anexo I — descrição do tratamento contratado

13.1.Titulares: clientes finais cadastrados ou que agendam, profissionais e membros da equipe na medida em que seus dados sejam geridos pela empresa. O contexto de cobrança da própria assinatura é tratado separadamente pela Política de Privacidade.

13.2.Categorias: nome e telefone de clientes; identificação profissional e vínculo com a empresa; serviço, preço, data, horário, duração, situação e histórico de atendimento; notas opcionais não sensíveis de organização do atendimento, limitadas ao necessário. Campos opcionais não autorizam dados sensíveis ou excessivos. O plano não oferece finalidade clínica ou armazenamento de prontuário.

13.3.Operações: coleta a partir de entradas da empresa e do cliente, registro, organização, armazenamento, consulta autorizada, atualização, transmissão necessária aos recursos, exportação e eliminação ou anonimização quando adequada. Finalidades: organizar atendimentos e possibilitar a gestão operacional instruída pela empresa.

13.4.Frequência: conforme uso do painel e do link público, durante a prestação e o período residual fundamentado. Categorias especiais de titulares ou informações que exijam proteção incompatível com o produto não podem ser introduzidas por instrução unilateral.

14. Anexo II — serviços envolvidos e condições de uso

14.1.Supabase: persistência de registros, autenticação e armazenamento de arquivos; pode tratar os dados abrangidos necessários a essas funções. Vercel: hospedagem, processamento das páginas e rotinas; pode processar conteúdo de requisições e dados técnicos. Região efetiva e acessos de suporte devem ser verificados na contratação, sem presumir residência brasileira.

14.2.Resend: envio de e-mails transacionais com destinatário e conteúdo estritamente necessário. Sentry: diagnóstico de falhas, com dever de reduzir ou remover dados pessoais desnecessários. Upstash, quando configurado: contadores e identificadores técnicos necessários à proteção contra abuso. A presença no código não comprova que todos estão ativos em produção.

14.3.Infraestrutura push do navegador, quando autorizada: entrega de notificações com identificadores técnicos e conteúdo limitado. Não se deve enviar dados sensíveis ou conteúdo excessivo em notificações que possam aparecer em tela bloqueada.

14.4.Asaas, Google e Microsoft Clarity têm contextos próprios descritos na Política de Privacidade; não recebem autorização genérica para explorar a base de clientes finais por este anexo. Métricas opcionais dependem da configuração, minimização e consentimento pertinente. Fornecedores e finalidades efetivamente utilizados devem ser informados e mantidos atualizados.

14.5.Este anexo identifica funções e não certifica contratos, localizações ou transferências. A Controladora pode pedir a relação efetiva aplicável à sua operação e os elementos necessários à avaliação de salvaguardas pelo canal de contato.

15. Anexo III — medidas e evidências de proteção

15.1.Acesso: autenticação individual, escopo por empresa e papel, proteção de credenciais administrativas e revisão de permissões. Verificação: testes de acesso cruzado e evidências de que usuários sem autorização não conseguem consultar ou modificar dados de outra empresa, inclusive por fluxos públicos.

15.2.Aplicação e integrações: validação de entradas, proteção de sessões e segredos, redução de dados em logs, limitação de abuso e revisão de fornecedores. Verificação: testes pertinentes, configuração efetiva e inspeção de eventos sem exposição de dados de clientes.

15.3.Continuidade: procedimentos de cópia, retenção e restauração compatíveis com o risco, com acesso restrito. Verificação: restauração em ambiente isolado que contemple registros, autenticação e arquivos necessários. Um comando de cópia ou documento operacional não comprova, isoladamente, recuperação de dados.

15.4.Governança: canal de titulares, registro de aceites, triagem de incidentes, rastreabilidade de eliminações e responsáveis operacionais definidos. Verificação: protocolos e exercícios executados, sem se atribuir conformidade automática pela existência destes documentos. As medidas devem evoluir conforme riscos e falhas identificadas.