Acordo de tratamento de dados (DPA)

1. Partes e papéis

Este Acordo integra os Termos de uso entre a empresa contratante («Controladora») e Publicker Serviços e Comércio LTDA, CNPJ 15.479.964/0001-31 («Prumo») («Operadora»). A Controladora decide as finalidades e os meios do tratamento dos dados dos seus corretores e clientes; a Operadora trata esses dados só por instrução documentada da Controladora, que são os Termos, a Política de privacidade e as configurações feitas no produto.

2. Tratamento por instrução

A Operadora trata os dados exclusivamente para prestar o serviço contratado: ler as conversas dos corretores que autorizaram, classificar, extrair eventos do funil e atualizar o CRM. Não usa os dados para finalidade própria nem para treinar modelos. Instrução que viole a lei é recusada e a Controladora é avisada.

A Operadora garante que as pessoas autorizadas a tratar os dados assumiram compromisso de confidencialidade e têm acesso nominal, com segundo fator e registro de auditoria.

3. Suboperadores

A Controladora autoriza os suboperadores listados na Política de privacidade (seção 3), com as finalidades e os países ali indicados. A inclusão ou troca de suboperador é comunicada com pelo menos 15 dias de antecedência pelo e-mail do gestor; a Controladora pode se opor por escrito nesse prazo, e nesse caso as partes buscam alternativa ou a Controladora pode rescindir sem multa.

Para os suboperadores fora do Brasil, a Operadora mantém contratos escritos com obrigações de proteção de dados compatíveis com a LGPD e responde pelos atos deles como se fossem seus.

4. Medidas de segurança

Cifragem em trânsito e em repouso; mascaramento de telefone, CPF, e-mail e CEP antes do envio aos operadores de IA; isolamento por conta (toda consulta filtra pela empresa); acesso da equipe restrito à rede interna, nominal, com segundo fator e auditoria; backups cifrados; purgas automáticas nos prazos da Política.

5. Dados de cobrança e cartão da empresa

Os dados de cobrança da Controladora (razão social, CNPJ, e-mail de cobrança e valor) vão ao sistema de pagamento para cobrar e emitir a nota fiscal, como na Política (seção 5). Se o gestor cadastrar o cartão da empresa, os dados do cartão (número, validade, código de segurança, nome impresso, CEP e número do endereço) passam pelo servidor da Operadora só em trânsito e vão ao sistema de pagamento junto com o telefone de contato da conta (o do corretor mais antigo em atividade), que o sistema exige do titular do cartão; ele devolve um token, e a Operadora guarda só o token cifrado, a bandeira, os 4 últimos dígitos, o CEP e o número do endereço e o IP de quem cadastrou (cifrado), enquanto o cartão estiver cadastrado. Faturas e registros de aceite ficam guardados por 5 anos, por obrigação fiscal e para a defesa de direitos.

6. Incidentes

Incidente de segurança que afete dados pessoais da Controladora é comunicado ao gestor com alvo de 24 horas e no máximo 48 horas depois de a Operadora tomar ciência, com o que se sabe até ali (dados afetados, titulares, medidas tomadas) e atualizações até a conclusão.

A comunicação à ANPD e aos titulares é da Controladora. A Operadora entrega, em até 3 dias úteis da ciência, as informações necessárias para isso (natureza dos dados, titulares afetados, medidas de segurança e de mitigação) e um modelo de texto, e avisa os titulares pelos canais que ela própria tem com eles quando a Controladora pedir.

7. Apoio aos titulares

Pedidos de titular recebidos pela Operadora que digam respeito a dados da Controladora são encaminhados ao gestor em até 2 dias úteis. A Operadora oferece as ferramentas para localizar, exportar e apagar os dados de um telefone em todas as tabelas, com registro de autor e data.

8. Auditoria e transparência

A Operadora mantém e disponibiliza à Controladora o inventário dos tratamentos que realiza (finalidades, suboperadores e prazos de guarda, como estão na Política de privacidade) e os registros de aceite e de auditoria das ações da equipe sobre a conta, e entrega, mediante pedido, as demais informações necessárias para demonstrar o cumprimento deste Acordo.

9. Devolução e exclusão ao fim do contrato

Ao encerrar a conta, o conteúdo das conversas é apagado na hora; leads, funil e o Prumo CRM ficam só em consulta por 30 dias, para a Controladora exportar o que precisar, e depois são apagados — salvo o que a lei obrigar a guardar (faturas e registros de aceite, por 5 anos). Os dados dos corretores desligados da equipe seguem o prazo da Política (seção 4).