Acordo de Tratamento de Dados (DPA)

1. Objeto e papéis

Este acordo regula o tratamento, por Vexa Tech Softwarehouse ("Operadora"), dos dados pessoais dos clientes finais da loja contratante ("Controladora"), nos termos dos arts. 5º, VI e VII, e 39 da LGPD.

2. Instruções de tratamento

A Operadora trata os dados exclusivamente para prestar o serviço contratado, conforme as funcionalidades usadas pela Controladora (cadastro de clientes, pedidos, cobranças, frete, notificações). Qualquer tratamento fora dessas instruções depende de instrução escrita da Controladora ou de obrigação legal, caso em que a Operadora informará a Controladora, salvo proibição legal.

3. Natureza dos dados e titulares

Titulares: compradores e contatos comerciais da Controladora. Dados: identificação (nome, documento), contato (telefone, e-mail), endereço, histórico de pedidos e pagamentos, artes e observações fornecidas. A Operadora não trata dados sensíveis (art. 5º, II) por instrução padrão; a Controladora não deve inseri-los em campos livres.

4. Confidencialidade

A Operadora garante que apenas pessoas autorizadas e sujeitas a dever de sigilo acessam os dados, e somente quando necessário (suporte com motivo registrado, prazo máximo de 30 minutos, aviso à Controladora e registro de auditoria).

5. Medidas de segurança (art. 46)

A Operadora mantém, no mínimo:

• isolamento lógico por loja no banco de dados (row-level security);
• criptografia em trânsito e de credenciais em repouso, com rotação de chaves;
• controle de acesso por papel, segundo fator obrigatório para a equipe da Operadora;
• registro de auditoria imutável de ações administrativas;
• backups diários criptografados em provedor externo, com teste de restauração semanal;
• monitoramento de erros com remoção de dados pessoais;
• limitação de tentativas de acesso e proteção contra abuso.

6. Subcontratação (suboperadores)

A Controladora autoriza os suboperadores listados na Política de Privacidade (hospedagem, pagamentos, frete, e-mail, backup, monitoramento). A Operadora informará por e-mail, com 15 dias de antecedência, a inclusão de novo suboperador; a Controladora pode se opor encerrando a conta sem ônus.

7. Auxílio à Controladora

A Operadora fornece, dentro da plataforma, meios para a Controladora atender pedidos de titulares (exportação dos dados de um cliente em formato estruturado, correção, anonimização) e colabora, quando solicitado, com relatórios de impacto e resposta a autoridades.

8. Incidentes

A Operadora comunica à Controladora qualquer incidente de segurança que possa afetar dados dos seus clientes em até 24 horas após a constatação, com a informação disponível (natureza, dados e titulares afetados, medidas tomadas), de modo a permitir que a Controladora cumpra o prazo do art. 48 e da Resolução CD/ANPD nº 15/2024.

9. Devolução e eliminação ao fim do contrato

Encerrado o contrato, a Controladora tem 30 dias para exportar os dados. Em seguida os dados saem de uso (até 60 dias) e são eliminados definitivamente aos 90 dias, exceto o que a lei obrigue a manter. Cópias de segurança são eliminadas pela rotação normal.

10. Responsabilidade

Cada parte responde pelos danos que causar por descumprimento da LGPD ou deste acordo (arts. 42 a 44). A Operadora responde quando descumprir as obrigações de operação ou as instruções lícitas da Controladora.