DPA — Contrato de Processamento de Dados

Versão 1.0 · Vigência a partir de 01/11/2025

1. Partes e Objeto

Este Contrato de Processamento de Dados ("DPA") é celebrado entre:

• Controlador: o Usuário da plataforma WhatsZone, pessoa física ou jurídica responsável por determinar as finalidades e os meios do tratamento de dados pessoais de seus Leads e contatos.
• Operador: Pedro Henrique de Souza Roque (Agência Geral), CNPJ 37.759.478/0001-96, operador da plataforma WhatsZone ("WhatsZone" ou "Operador").

Este DPA é parte integrante dos Termos de Uso da WhatsZone e regula o tratamento de dados pessoais realizado pelo Operador em nome do Controlador, nos termos do art. 39 da Lei nº 13.709/2018 (LGPD). Em caso de conflito, prevalecem as disposições deste DPA para as matérias aqui reguladas.

2. Definições

• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, LGPD).
• Tratamento: toda operação realizada com dados pessoais (art. 5º, X, LGPD).
• Titular: a pessoa natural a quem se referem os dados pessoais tratados.
• Suboperador: terceiro contratado pelo Operador para realizar tratamento em nome do Controlador.
• Incidente de Segurança: acesso não autorizado, destruição, perda, alteração, comunicação ou divulgação indevida de Dados Pessoais.

3. Obrigações do Operador (WhatsZone)

O Operador compromete-se a:

• Tratar os Dados Pessoais exclusivamente de acordo com as instruções documentadas do Controlador, incluindo as estabelecidas nos Termos de Uso e neste DPA;
• Não tratar os Dados Pessoais para finalidades próprias ou diversas das instruído pelo Controlador, salvo obrigação legal;
• Garantir que os colaboradores e suboperadores com acesso aos Dados Pessoais estejam sujeitos a obrigações de confidencialidade;
• Manter registros das atividades de tratamento realizadas em nome do Controlador, conforme art. 37 da LGPD;
• Auxiliar o Controlador no cumprimento das obrigações relativas aos direitos dos titulares e à notificação de incidentes;
• Informar imediatamente o Controlador se uma instrução recebida, na opinião do Operador, violar a LGPD ou outra norma de proteção de dados aplicável.

4. Suboperadores Autorizados

O Controlador autoriza o Operador a contratar os seguintes suboperadores:

O Operador informará o Controlador sobre qualquer alteração prevista na lista de suboperadores com antecedência mínima de 30 dias. O Operador garantirá que os suboperadores estejam sujeitos a obrigações equivalentes às deste DPA.

5. Medidas de Segurança

O Operador implementa e mantém medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais, incluindo:

• Criptografia em trânsito: TLS 1.2+ em todas as comunicações;
• Controle de acesso: autenticação multifator (MFA/2FA) e controle baseado em funções (RBAC);
• Criptografia em repouso: dados sensíveis armazenados com criptografia AES-256;
• Isolamento de dados: dados de cada Controlador isolados logicamente dos demais;
• Backup: cópias de segurança periódicas com retenção mínima de 7 dias;
• Monitoramento: logs de acesso e detecção de anomalias em produção.

6. Direitos dos Titulares

O Operador auxiliará o Controlador no atendimento de solicitações de titulares relativas aos direitos previstos no art. 18 da LGPD (acesso, correção, portabilidade e eliminação de dados).

O Controlador é o primeiro responsável por receber e responder as solicitações dos titulares. O Operador disponibilizará as ferramentas de exportação e exclusão de dados na plataforma e fornecerá suporte técnico para atendimento das solicitações dentro do prazo legal de 15 dias.

7. Notificação de Incidentes

Em caso de Incidente de Segurança que possa acarretar risco ou dano relevante aos titulares, o Operador:

• Notificará o Controlador no prazo máximo de 72 horas após a ciência do incidente, por e-mail ao endereço de contato cadastrado;
• Fornecerá informações sobre: natureza dos dados afetados, número estimado de titulares, consequências prováveis e medidas adotadas;
• Cooperará com o Controlador nas investigações e nas notificações à ANPD e aos titulares.

O Controlador é responsável por notificar a ANPD conforme o art. 48 da LGPD.

8. Auditoria e Compliance

O Operador manterá registros de tratamento e disponibilizará ao Controlador, mediante solicitação, as informações necessárias para demonstrar o cumprimento das obrigações deste DPA.

O Controlador pode solicitar, no máximo uma vez por ano, a realização de auditoria com aviso prévio de 30 dias. O Operador poderá substituir a auditoria pelo fornecimento de relatórios de auditoria independente (SOC 2 ou equivalente).

9. Exclusão e Devolução de Dados

Após o término da prestação dos serviços, o Operador:

• Manterá os Dados Pessoais disponíveis para exportação pelo Controlador por 30 dias após o encerramento da conta;
• Procederá à exclusão definitiva após esse prazo, salvo obrigação legal de retenção;
• Fornecerá certidão de exclusão mediante solicitação do Controlador.

10. Disposições Gerais

10.1 Vigência. Este DPA entra em vigor na data de aceitação dos Termos de Uso e permanece válido enquanto o Controlador utilizar os serviços da WhatsZone.

10.2 Alterações. O Operador pode atualizar este DPA com aviso prévio de 30 dias. O uso continuado após a vigência da nova versão implica aceitação.

10.3 Lei aplicável. Este DPA é regido pela legislação brasileira, especialmente a LGPD (Lei nº 13.709/2018).

10.4 Contato DPO. Para questões relativas a este DPA: privacidade@whatszone.app.br

Última atualização: 01 de novembro de 2025. Versão 1.0.