Acordo de Processamento de Dados (DPA)

1. Partes

Este Acordo de Processamento de Dados ("DPA") é celebrado entre a DAS7 Sistemas, na qualidade de Operadora, e o Contratante identificado no contrato principal de licenciamento da plataforma DAS7 Print ERP, na qualidade de Controlador dos dados pessoais tratados por meio da plataforma.

2. Objeto e finalidade

O objeto deste DPA é regular o tratamento de dados pessoais realizado pela Operadora em nome do Controlador, exclusivamente para prestação dos serviços contratados (gestão de clientes, orçamentos, produção, financeiro, etc.), em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

3. Categorias de dados e titulares

• Titulares: clientes finais, colaboradores, fornecedores e demais contatos do Controlador.
• Dados: identificação (nome, CPF/CNPJ, e-mail, telefone, endereço), dados comerciais (histórico de compras, orçamentos), dados financeiros (recebíveis, pagamentos) e arquivos anexados.
• Dados sensíveis: a plataforma não é projetada para tratar dados pessoais sensíveis (LGPD art. 5º, II). O Controlador se compromete a não inserir tais dados sem prévio ajuste contratual.

4. Obrigações da Operadora

• Tratar dados apenas conforme instruções documentadas do Controlador.
• Garantir confidencialidade das pessoas autorizadas ao tratamento.
• Adotar medidas técnicas e administrativas de segurança adequadas (criptografia em trânsito, isolamento multi-tenant por Row-Level Security, controle de acesso, registro de auditoria).
• Auxiliar o Controlador no atendimento de solicitações de titulares (art. 18 da LGPD).
• Notificar o Controlador em até 72 horas após tomar conhecimento de qualquer incidente de segurança envolvendo dados pessoais.
• Eliminar ou devolver os dados ao término do contrato, conforme item 8.

5. Obrigações do Controlador

• Garantir que possui base legal adequada para o tratamento dos dados inseridos na plataforma.
• Fornecer aos titulares as informações exigidas pela LGPD (transparência).
• Manter cadastro atualizado dos usuários autorizados e revogar acessos quando necessário.
• Não inserir dados pessoais sensíveis ou de crianças/adolescentes sem base legal específica.

6. Suboperadores autorizados

O Controlador autoriza expressamente os seguintes suboperadores:

• Supabase Inc. — banco de dados, autenticação e storage (regiões AWS).
• Cloudflare, Inc. — hospedagem edge e CDN.
• Gateway de IA (Lovable AI) — processamento assistido por LLM.
• Provedor de e-mail transacional — envio de notificações.

Novos suboperadores serão comunicados com antecedência mínima de 30 dias, garantindo ao Controlador o direito de objeção fundamentada.

7. Transferência internacional

Os dados podem ser processados em servidores localizados fora do Brasil (EUA e Europa). A Operadora garante que os suboperadores possuem cláusulas contratuais de proteção equivalentes às exigidas pela LGPD (art. 33 e seguintes).

8. Devolução e eliminação de dados

Ao término do contrato, o Controlador poderá exportar seus dados por meio das ferramentas nativas da plataforma pelo prazo de 30 dias. Após esse período, os dados serão eliminados dos sistemas produtivos, ressalvadas as obrigações legais de guarda (ex.: fiscais por até 5 anos em backups criptografados).

9. Auditoria

O Controlador poderá, mediante notificação com 30 dias de antecedência e no máximo uma vez ao ano, solicitar relatórios sobre as medidas de segurança adotadas. Auditorias in loco poderão ser realizadas por auditor independente às expensas do Controlador, respeitando sigilo comercial.

10. Responsabilidade

Cada parte responde pelas obrigações que lhe cabem nos termos da LGPD. A responsabilidade contratual da Operadora segue os limites definidos nos Termos de Uso.

11. Encarregado (DPO)

E-mail: das7sistemas@gmail.com

12. Vigência

Este DPA vigora enquanto durar o contrato principal e permanece aplicável às obrigações que, por sua natureza, devam subsistir após o término (confidencialidade, eliminação de dados, guarda legal).