Acordo de tratamento de dados (DPA)

1. Objeto e papéis

Este Acordo (“DPA”) integra os Termos de uso e disciplina o tratamento de dados pessoais dos Participantes das campanhas, nos termos da Lei nº 13.709/2018 (LGPD).

• Controlador: o Lojista assinante, que decide as finalidades e os meios do tratamento dos dados dos participantes de suas campanhas.
• Operadora: «PREENCHER: razão social completa», CNPJ «PREENCHER: CNPJ», «PREENCHER: logradouro e número» · «PREENCHER: bairro» · «PREENCHER: cidade»/«PREENCHER: UF» · CEP «PREENCHER: CEP», que trata esses dados em nome e por conta do Controlador.

Para os dados cadastrais do próprio Lojista e de sua equipe, a Roleta Lead é controladora — isso está na Política de Privacidade e não é objeto deste DPA.

2. Escopo do tratamento

3. Instruções do controlador

A Operadora trata os dados exclusivamente conforme as instruções documentadas do Controlador, que são: (i) estes Termos e este DPA; (ii) a configuração que o Controlador faz no painel (campanhas, benefícios, textos de consentimento, prazos); e (iii) as operações que ele executa, como exportação e exclusão.

A Operadora não trata os dados dos Participantes para finalidade própria, não os utiliza para treinar modelos, não os cruza entre lojistas e não os comercializa. Se entender que uma instrução viola a LGPD, a Operadora informará o Controlador e poderá se recusar a executá-la.

4. Obrigações da operadora

1. Tratar os dados apenas conforme a cláusula 3 e a legislação aplicável.
2. Garantir o isolamento entre lojistas no próprio banco de dados, de modo que uma loja jamais acesse dados de outra.
3. Coletar o consentimento de cada Participante de forma granular por canal, nunca pré-marcada, e armazenar a prova (texto exibido, versão do regulamento, data, hora e IP).
4. Respeitar a revogação de consentimento em tempo real, inclusive em exportações posteriores.
5. Manter confidencialidade, inclusive de pessoal próprio, com compromisso formal.
6. Manter as medidas de segurança da cláusula 9 e registro de auditoria das operações sensíveis.
7. Auxiliar o Controlador no atendimento aos titulares e às autoridades.
8. Comunicar incidentes conforme a cláusula 8.
9. Eliminar ou devolver os dados ao fim do contrato, conforme a cláusula 10.

5. Obrigações do controlador

1. Definir finalidades lícitas e informá-las com clareza na campanha.
2. Usar os contatos exclusivamente dentro dos consentimentos registrados — não disparar marketing para quem autorizou apenas a execução da campanha.
3. Responder como controlador pelo uso que fizer dos dados fora da plataforma, inclusive em ferramenta de disparo, CRM ou plataforma de anúncio onde subir a base exportada.
4. Atender pedidos de titulares que dependam de decisão sua, encaminhados pela Operadora.
5. Manter atualizados os contatos do seu responsável por privacidade.
6. Não inserir na plataforma dado pessoal não previsto na cláusula 2.

6. Subprocessadores

O Controlador autoriza a Operadora a contratar subprocessadores para funções específicas, mantidas as obrigações deste DPA por contrato equivalente. Categorias em uso:

A lista nominal e atualizada dos subprocessadores é fornecida mediante solicitação a «PREENCHER: e-mail do encarregado (DPO)». Alterações relevantes são comunicadas com 30 dias de antecedência; se o Controlador se opuser com fundamento, pode encerrar a assinatura sem ônus.

7. Direitos dos titulares

A Operadora disponibiliza autoatendimento ao Participante na página meus dados, com acesso validado pelo mesmo telefone verificado na campanha. Por ali, o titular consulta seus dados, revoga consentimentos e solicita exclusão, sem depender de pedido manual ao Controlador.

Pedido que chegar à Operadora e exigir decisão do Controlador é encaminhado em até 2 dias úteis, com as informações necessárias para resposta dentro do prazo legal.

8. Incidentes de segurança

Verificado incidente que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará o Controlador sem demora injustificada, e em todo caso em até 48 horas da ciência, informando: natureza dos dados afetados, titulares envolvidos, medidas técnicas adotadas, riscos e providências de mitigação.

As partes cooperarão na comunicação à ANPD e aos titulares, quando devida. A Operadora manterá registro interno dos incidentes, com cronologia e medidas.

9. Medidas de segurança

• Cifragem em trânsito (TLS) em toda a plataforma.
• Isolamento multi-inquilino imposto pelo banco de dados, inclusive para o dono das tabelas.
• Senhas apenas como hash com salt; sessão em cookie HttpOnly assinado, com expiração curta.
• Verificação de telefone por código de uso único, com expiração e limite de tentativas.
• Limite de taxa nos endpoints públicos.
• Códigos de resgate de uso único, com invalidação na validação.
• Registro de auditoria com autor, ação, data e hora.
• Acesso administrativo individual, mínimo necessário e registrado.
• Purga automática por prazo de retenção, sem depender de ação manual.

10. Retenção e devolução

Durante a assinatura, o Controlador exporta sua base a qualquer momento em CSV. Encerrada a assinatura, tem 30 dias para exportar.

Decorrido esse prazo, a Operadora elimina ou anonimiza os dados pessoais dos Participantes, preservando: (i) registros de participação e resgate sem identificação, como prova estatística de entrega; (ii) o regulamento e a configuração da campanha, em registro imutável; (iii) o que a lei exigir conservar.

11. Auditoria

A Operadora fornecerá, mediante solicitação fundamentada e com 15 dias de antecedência, as informações necessárias para demonstrar o cumprimento deste DPA — descrição das medidas técnicas, política de retenção, relação de subprocessadores e extrato do registro de auditoria da conta do Controlador.

Auditoria presencial ou por terceiro independente é admitida, no máximo uma vez por ano, em horário comercial, mediante acordo de confidencialidade e sem acesso a dados de outros lojistas.

12. Responsabilidade

Cada parte responde pelas obrigações que lhe cabem. A Operadora responde solidariamente apenas nas hipóteses do art. 42, §1º, da LGPD. O Controlador responde pelo tratamento que realizar fora da plataforma, pela licitude das finalidades e pelo conteúdo que configurar.

13. Vigência

Este DPA vigora enquanto durar a assinatura e, quanto às obrigações de confidencialidade, segurança e eliminação, pelo prazo necessário ao seu cumprimento. Alterações seguem o procedimento dos Termos de uso.

Contato do encarregado: «PREENCHER: nome do encarregado (DPO)» — «PREENCHER: e-mail do encarregado (DPO)».