Termos de Uso e Acordo de Processamento de Dados (DPA)

1. Objeto e Definições

Estes Termos de Uso e o Acordo de Processamento de Dados (DPA) regulam a relação entre o Agenda na Bio(doravante denominado “Operador” ou “Plataforma”) e o estabelecimento comercial contratante (doravante denominado “Controlador” ou “Lojista”).

2. Divisão de Papéis sob a LGPD (Art. 39)

Em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018):

• Controlador (Lojista): Determina as finalidades e meios de tratamento dos dados pessoais de seus respectivos clientes e funcionários agendados na plataforma. É de inteira responsabilidade do Controlador garantir a legitimidade e a base legal das operações.
• Operador (Agenda na Bio): Processa os dados pessoais dos clientes finais estritamente em nome do Controlador e seguindo suas instruções, viabilizando o agendamento, envio de lembretes e parametrização do sistema.

3. Obrigações de Segurança (Art. 46)

Ambas as partes comprometem-se a adotar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento:

• O Operador garante que a plataforma utiliza criptografia em trânsito, tokens JWT assinados com chaves robustas e controle estrito de acesso lógico por tenant.
• O Controlador compromete-se a manter as credenciais de acesso seguras e a treinar seus funcionários autorizados quanto ao tratamento seguro de PII.

4. Subprocessadores Autorizados

O Controlador autoriza expressamente o Operador a contratar subprocessadores para a execução de serviços integrados. Os subprocessadores atualmente utilizados incluem:

• Vercel Inc. - Hospedagem e infraestrutura serveless (EUA).
• Cloudflare Inc. - Proteção anti-bot (Turnstile CAPTCHA) e rede de distribuição de conteúdo (EUA).
• Provedores terceiros de envio de e-mails e WhatsApp, conforme contratado ativamente.

*Nota: As transferências internacionais decorrentes do uso de infraestrutura em nuvem de subprocessadores são fundamentadas em Cláusulas Contratuais Padrão (CCPs) ou salvaguardas equivalentes nos termos do Art. 33 da LGPD.

5. Notificação de Incidentes (Art. 48)

Em caso de incidente de segurança que gere risco relevante aos titulares de dados pessoais, o Operador notificará o Controlador em até 3 dias úteis após a confirmação do evento, auxiliando o Controlador na prestação de informações e relatórios completos exigidos pela ANPD.

6. Descarte e Retenção

Ao encerramento da prestação de serviços ou após a solicitação do lojista, os dados pessoais dos clientes sob controle deste serão excluídos ou anonimizados permanentemente dos bancos de dados ativos, exceto se houver obrigação legal ou regulatória de conservação.