Adendo de Tratamento de Dados

1. Definições

Os termos “Dados Pessoais”, “Titular”, “Tratamento”, “Controlador”, “Operador”, “Encarregado” e “ANPD” têm o significado atribuído pela LGPD. “Suboperador” designa terceiro contratado pela Operadora para auxiliar no Tratamento.

2. Objeto e papéis

2.1. O Lojista atua como Controlador e a IDCLIP como Operadora dos Dados Pessoais dos Consumidores tratados por meio do Aplicativo.

2.2. A Operadora tratará os Dados Pessoais exclusivamente para prestar as funcionalidades do Aplicativo e conforme as instruções documentadas do Controlador, das quais estes Termos e a Política de Privacidade constituem parte.

2.3. Os detalhes do Tratamento (categorias de dados, titulares, finalidades e duração) constam do Anexo I.

3. Obrigações da Operadora

A Operadora compromete-se a:

1. tratar os Dados Pessoais apenas conforme as instruções lícitas do Controlador e a legislação, informando-o caso considere que uma instrução viole a LGPD;
2. garantir a confidencialidade dos Dados Pessoais, assegurando que pessoas autorizadas a tratá-los estejam sujeitas a dever de sigilo;
3. adotar as medidas técnicas e organizacionais de segurança descritas no Anexo III;
4. auxiliar o Controlador no atendimento a requisições de Titulares e no cumprimento de suas obrigações legais (segurança, incidentes e relatórios de impacto), na medida do razoável;
5. não utilizar os Dados Pessoais para finalidades próprias distintas da prestação do serviço, ressalvado o uso de dados agregados e anonimizados;
6. manter registro das operações de Tratamento realizadas.

4. Suboperadores

4.1. O Controlador autoriza, de forma geral, a contratação dos Suboperadores listados no Anexo II, notadamente a Cloudflare (ingestão de dados) e a Supabase (persistência de dados).

4.2. A Operadora imporá a cada Suboperador, por contrato, obrigações de proteção de dados equivalentes às deste DPA, e responderá perante o Controlador pelo cumprimento dessas obrigações.

4.3. A Operadora informará o Controlador sobre a inclusão ou substituição de Suboperadores por meios razoáveis, facultando ao Controlador opor-se por motivo legítimo relacionado à proteção de dados.

5. Transferência internacional

5.1. Havendo transferência internacional de Dados Pessoais (por exemplo, hospedagem em servidores fora do Brasil), a Operadora adotará mecanismos compatíveis com o art. 33 da LGPD, incluindo cláusulas contratuais e garantias de nível adequado de proteção.

6. Atendimento a titulares

6.1. Recebendo requisição de Titular diretamente, a Operadora, salvo obrigação legal, encaminhará ou orientará o Titular ao Controlador, e prestará, na medida do razoável, assistência técnica para que o Controlador atenda tempestivamente a requisição.

7. Incidentes de segurança

7.1. A Operadora comunicará o Controlador sem demora indevida após tomar conhecimento de incidente de segurança que envolva Dados Pessoais tratados sob este DPA, fornecendo as informações razoavelmente disponíveis para que o Controlador cumpra seus deveres de comunicação à ANPD e aos Titulares.

7.2. A Operadora adotará medidas razoáveis para mitigar os efeitos e prevenir a recorrência do incidente.

8. Eliminação e devolução

8.1. Encerrado o Tratamento (por término da contratação ou desinstalação do Aplicativo), a Operadora, à escolha do Controlador e conforme tecnicamente viável, eliminará ou devolverá os Dados Pessoais, salvo obrigação legal de guarda, hipótese em que manterá a confidencialidade.

8.2. Os prazos de retenção de histórico observam o plano contratado, conforme a Política de Privacidade.

9. Auditoria e comprovação

9.1. A Operadora disponibilizará ao Controlador, mediante solicitação razoável e sob confidencialidade, informações necessárias para demonstrar o cumprimento deste DPA, podendo atender por meio de relatórios, certificações ou respostas a questionários, de modo a preservar a segurança e a confidencialidade de terceiros.

10. Responsabilidade

10.1. Cada parte responde pelas obrigações que lhe são atribuídas pela LGPD conforme seu papel (Controlador ou Operadora). As limitações de responsabilidade previstas nos Termos de Uso aplicam-se também a este DPA, na máxima extensão permitida em lei.

11. Vigência e disposições finais

11.1. Este DPA vigora enquanto houver Tratamento de Dados Pessoais no âmbito do Aplicativo e é regido pelas leis brasileiras, elegendo-se o foro da Comarca de Vila Velha, Estado do Espírito Santo.

ANEXO I — Descrição do Tratamento

ANEXO II — Suboperadores

*Observação: mantenha esta lista atualizada conforme a stack efetivamente utilizada. Remova provedores não contratados.

ANEXO III — Medidas de Segurança

• Criptografia de Dados Pessoais em trânsito (TLS) e em repouso;
• Controle de acesso por menor privilégio, autenticação e revisão periódica de permissões;
• Segregação de ambientes (desenvolvimento, homologação e produção);
• Registro de logs, monitoramento e alertas de segurança;
• Backups e procedimentos de recuperação;
• Gestão de vulnerabilidades e avaliação de fornecedores/suboperadores;
• Políticas internas de segurança da informação e confidencialidade.