Acordo de Tratamento de Dados

Nos dados pessoais dos contatos, a organização é a controladora: decide quem registra, o que registra e por quê. O UserKit é o operador: trata esses dados exclusivamente para prestar o serviço contratado e conforme as instruções da controladora, nos termos da LGPD (Lei nº 13.709/2018).

Ficam fora do objeto deste acordo os dados das contas da equipe da organização no painel — nesses o UserKit é controladora, e o tratamento é descrito na política de privacidade.

Os dados tratados são os que a controladora envia ou coleta pelo serviço: identificadores dos contatos (e-mail, identidade externa, identificadores anônimos), atributos, credenciais (armazenadas apenas como hash), sessões e o registro de eventos de autenticação de cada conta. Conforme a controladora usa os demais módulos, entram também no objeto: os eventos de produto que ela envia e as propriedades que escolhe pôr neles, o conteúdo das conversas de suporte com os contatos dela (inclusive e-mails recebidos), as respostas de pesquisa e feedback, e a associação de cada contato aos segmentos que ela define.

As instruções da controladora são as chamadas que ela faz — a API, o painel, os SDKs e as configurações de cada ambiente constituem a instrução documentada de tratamento. O operador não trata os dados dos contatos para nenhum fim próprio: não há publicidade, enriquecimento, criação de perfis para terceiros nem venda de dados.

O operador mantém medidas técnicas compatíveis com a natureza dos dados: credenciais armazenadas apenas como hash e segredos criptografados em repouso; isolamento por organização e por ambiente verificado em toda requisição; verificação de senhas contra corpus público de vazamentos sem que nada derivado da senha toque disco ou log; e uma trilha de auditoria das ações administrativas que o próprio banco de dados se recusa a alterar. O acesso da equipe do operador aos dados é restrito ao necessário para operar o serviço.

A controladora autoriza o operador a empregar os subprocessadores nomeados na política de privacidade: Fly.io (infraestrutura, região GRU/São Paulo), Vercel (hospedagem dos front-ends), Resend (e-mail transacional, de saída e de entrada) e Sentry (monitoramento de erros) sempre; Stripe, Anthropic e OpenAI apenas quando a própria controladora conecta o gateway dela ou liga o atendimento automático do suporte — enquanto esses interruptores estiverem desligados, nenhum dado de contato chega a eles.

a definir se o captcha dos formulários públicos, o armazenamento de arquivos e a fila de trabalhos em segundo plano estão ligados nesta implantação — são opcionais no código, e a política de privacidade os descreve sem afirmar que estão em uso. Ligado, cada um é um subprocessador a nomear aqui antes de entrar em operação.

a definir os instrumentos de proteção de dados firmados com cada subprocessador. Este acordo não pode afirmar por eles antes que a revisão jurídica confirme o que existe assinado.

Mudanças na lista serão comunicadas à controladora com antecedência razoável, com direito de objeção — cuja consequência prática, dada a natureza do serviço, pode ser o encerramento do contrato.

Os pedidos dos titulares (art. 18 da LGPD) são dirigidos à controladora e exercidos através dela — é ela quem conhece a base legal e decide sobre os dados. Pedidos de titulares que chegarem diretamente ao operador serão encaminhados à controladora sem resposta de mérito.

O operador dá à controladora acesso ao que trata por conta dela: os contatos, suas identidades e seu histórico são legíveis pelo painel e pela API. O que essas superfícies ainda não permitem que a controladora faça sozinha — a eliminação de um contato específico, por exemplo — o operador atende mediante solicitação dela. Um limite deste papel vale registrar: quando a controladora conecta um gateway de pagamento, o operador espelha os identificadores do gateway e não age sobre eles — atender um pedido de eliminação junto ao gateway é ato da controladora, e esses identificadores ficam legíveis nas mesmas superfícies para permitir isso.

Um segundo limite, pelo mesmo motivo de dizer o que é em vez do que soa bem: os eventos de produto não pendem da ficha do contato, então eliminar um contato não elimina os eventos que o nomeiam. a definir como um pedido de eliminação alcança os eventos de produto — se pela anonimização do identificador em cada evento, se pelo descarte do período inteiro, e em que prazo.

O operador comunicará à controladora o incidente de segurança que possa acarretar risco ou dano relevante aos titulares, com o que souber sobre a natureza, os dados afetados e as medidas tomadas. O prazo dessa comunicação, contado da ciência, é um compromisso de operação e não uma propriedade do código: a definir em quantas horas o operador comunica. A comunicação à ANPD e aos titulares, quando cabível, é decisão da controladora quanto aos dados de que é controladora — o operador dá o suporte necessário.

Durante a vigência, aplicam-se os prazos publicados na política de privacidade: visitantes anônimos expiram em 30 dias, a fila interna de eventos elimina registros 48 horas após a publicação, entregas de webhook concluídas em 30 dias, e sessões, códigos e tokens expirados são varridos continuamente. Os eventos de produto não têm prazo de descarte praticado hoje — a definir por quantos meses eles ficam, o mesmo item aberto na política de privacidade. Encerrado o contrato, a eliminação não espera esses prazos: encerrar a organização remove em cascata os dados dos contatos que pendem dela, ressalvado o que obrigação legal mandar manter — registros de faturamento, por exemplo, são mantidos pelo prazo fiscal com o mínimo de dados pessoais necessário.

A API e o banco de dados residem no Brasil (região GRU). Os subprocessadores nomeados podem processar dados fora do Brasil, nas funções indicadas. a definir a hipótese do art. 33 da LGPD e o instrumento que ampara cada uma dessas transferências, fornecedor por fornecedor.

O operador fornecerá, mediante pedido razoável, informações que demonstrem o cumprimento deste acordo. Este acordo vige enquanto o operador tratar dados pessoais dos contatos por conta da controladora, e sobrevive ao término do contrato no que for necessário à eliminação prevista na seção 7. a definir as cláusulas de auditoria presencial, responsabilidade entre as partes e foro.