Acordo de Processamento de Dados (DPA)

1. Objeto

Este Acordo de Processamento de Dados ("DPA") complementa os Termos de Uso da Plataforma Agenda AI Assistente e estabelece as obrigações das partes quanto ao tratamento de dados pessoais conforme a Lei Geral de Proteção de Dados (LGPD - Lei 13.709/2018).

2. Definições

Controlador: Você (usuário da Plataforma) que determina as finalidades e os meios de tratamento dos dados pessoais de seus clientes.

Operador: Agenda AI Assistente, que realiza o tratamento de dados pessoais em nome do Controlador.

Dados Pessoais: Qualquer informação relacionada a pessoa natural identificada ou identificavel, incluindo nomes, telefones e dados de agendamento.

3. Obrigações do Operador

O Operador se compromete a:

• Tratar dados pessoais apenas conforme instruções documentadas do Controlador
• Garantir que pessoas autorizadas a tratar dados se comprometam com confidencialidade
• Implementar medidas técnicas e organizacionais adequadas de segurança
• Não contratar sub-operador sem autorização prévia e por escrito do Controlador
• Auxiliar o Controlador no cumprimento de obrigações perante a ANPD
• Disponibilizar informações necessarias para demonstrar conformidade
• Excluir ou devolver dados pessoais ao término da prestação de serviços

4. Dados Tratados

Categorias de dados pessoais tratados pela Plataforma:

• Dados de identificação: nome, telefone, email
• Dados de agendamento: datas, horários, serviços solicitados
• Dados de comunicação: mensagens WhatsApp trocadas com o bot
• Dados de uso: logs de acesso, preferências de configuração

5. Sub-operadores

Os seguintes sub-operadores são utilizados:

• Supabase Inc. - Armazenamento e autenticação (AWS, região us-east-1)
• Vercel Inc. - Hospedagem da aplicação
• Stripe Inc. - Processamento de pagamentos
• Evolution API - Integração WhatsApp

6. Medidas de Segurança

Medidas implementadas incluem:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
• Controle de acesso baseado em funções (RLS Supabase)
• Isolamento multi-tenant no banco de dados
• Monitoramento de erros (Sentry)
• Backups automáticos diários
• Sanitização de inputs contra XSS

7. Notificação de Incidentes

Em caso de incidente de segurança envolvendo dados pessoais, o Operador notificará o Controlador em até 48 horas após tomar conhecimento, fornecendo descrição do incidente, dados afetados, medidas adotadas e recomendações.

8. Direitos dos Titulares

O Operador auxiliará o Controlador a responder solicitações de titulares de dados conforme Art. 18 da LGPD, incluindo acesso, correção, exclusão, portabilidade e revogação de consentimento. A Plataforma oferece endpoints de API para exportação e exclusão de dados.

9. Vigência

Este DPA permanece em vigor enquanto o Operador tratar dados pessoais em nome do Controlador. As obrigações de confidencialidade e segurança sobrevivem ao término deste acordo.

10. Contato