Data Processing Agreement (DPA)

Versão: v1.4

1. Definições

• LGPD: Lei nº 13.709/2018.
• Controlador: agente que determina as finalidades e os elementos essenciais do tratamento.
• Operadora: Idiligo Brasil Ltda, quando tratar dados pessoais em nome do Lojista.
• Dados Pessoais: conforme definição da LGPD.
• Cliente Final: pessoa que envia arquivo ou utiliza o fluxo de impressão disponibilizado pelo Lojista.
• Canal de Privacidade: lgpd@despachi.com.

2. Escopo

O tratamento poderá incluir upload via QR Code, gerenciamento de fila, processamento de pedidos de impressão, liberação de impressão, cobrança e exclusão automática.

No curso normal da operação, a Idiligo não acessa nem inspeciona o conteúdo dos arquivos. O acesso poderá ocorrer excepcionalmente quando estritamente necessário para manutenção técnica, segurança, suporte, investigação de incidentes ou cumprimento de obrigação legal.

3. Duração

O DPA entra em vigor com a contratação do Serviço e permanece válido durante o período em que houver tratamento de dados pessoais em nome do Lojista.

Após o encerramento, os dados serão excluídos, anonimizados ou mantidos somente quando houver fundamento legal para retenção.

4. Tipos de Dados

O conteúdo dos arquivos é tratado apenas na medida necessária para execução do serviço de impressão e conforme as instruções do Controlador.

5. Obrigações do Controlador

• Determinar as finalidades e os meios essenciais do tratamento.
• Assegurar base legal adequada.
• Fornecer aos titulares as informações exigidas.
• Responder às solicitações dos titulares sob sua responsabilidade.
• Fornecer instruções lícitas e documentadas à Operadora.
• Comunicar à Operadora, sem atraso indevido, informações relevantes sobre incidentes de segurança.

6. Obrigações da Operadora

• Tratar dados de acordo com instruções lícitas e documentadas.
• Manter confidencialidade.
• Adotar medidas técnicas e organizacionais razoáveis e compatíveis com os riscos.
• Informar o Controlador sem atraso indevido após tomar conhecimento de incidente relevante.
• Prestar assistência razoável relacionada à LGPD.
• Excluir, anonimizar ou devolver dados quando determinado, ressalvadas obrigações legais.
• Cooperar razoavelmente em auditorias, observados segredo comercial, segurança e proporcionalidade.

7. Suboperadores

A Operadora poderá utilizar fornecedores e suboperadores necessários à prestação do Serviço. Quando aplicável, estarão sujeitos a obrigações de proteção de dados compatíveis com os serviços prestados.

O Controlador poderá solicitar informações atualizadas sobre os suboperadores utilizados pelo canal de privacidade.

Quando exigido pelo contrato ou pela legislação, o Controlador será informado previamente sobre alterações relevantes.

8. Transferências Internacionais

Quando houver transferência internacional, a operação será realizada somente quando houver fundamento legal e mecanismo válido previsto na LGPD e na regulamentação da ANPD.

Conforme o caso, poderão ser utilizados mecanismos reconhecidos pela ANPD, incluindo decisão de adequação, cláusulas-padrão contratuais, cláusulas específicas aprovadas ou normas corporativas globais, quando aplicáveis.

A transferência será limitada ao mínimo necessário e observará transparência e segurança.

9. Medidas de Segurança

• Proteção dos dados durante a transmissão por mecanismos apropriados.
• Controles de acesso compatíveis com as funções exercidas.
• Medidas contra acesso não autorizado.
• Registro e monitoramento de eventos técnicos relevantes, quando aplicável.
• Procedimentos de retenção e exclusão conforme as finalidades.

10. Violação de Dados

• A Operadora notificará o Controlador sem atraso indevido após tomar conhecimento de incidente relevante.
• A notificação conterá, conforme disponível, descrição do incidente, categorias de dados afetados, medidas de contenção e informações necessárias para avaliação dos riscos.
• O Controlador permanecerá responsável pelas comunicações que lhe competirem perante titulares e ANPD, com assistência razoável da Operadora.
• As partes cooperarão na investigação, contenção e remediação.

11. Direitos dos Titulares

• O Controlador é, em regra, o primeiro ponto de contato.
• A Operadora prestará assistência técnica razoável.
• Solicitações encaminhadas diretamente à Operadora poderão ser encaminhadas ao Controlador ou tratadas conforme as circunstâncias.
• Para dados sob responsabilidade direta da Idiligo, serão observados os prazos e procedimentos da LGPD e regulamentação aplicável.

12. Exclusão de Dados

• Arquivos destinados à impressão são programados para exclusão após a impressão processada pelo sistema ou após 2 horas do upload, o que ocorrer primeiro.
• Após o encerramento, dados tratados em nome do Controlador serão excluídos ou anonimizados quando não houver fundamento legal para retenção.
• Dados necessários ao cumprimento de obrigações legais, exercício regular de direitos ou prevenção a fraude poderão ser mantidos pelo período necessário.

13. Responsabilidade

Cada parte responde pelas obrigações que lhe forem atribuídas por este DPA e pela legislação aplicável. Quando juridicamente aplicável, a responsabilidade contratual seguirá os Termos de Uso. Nenhuma limitação será aplicada quando sua aplicação for proibida pela legislação.

14. Vigência

Este DPA permanece válido enquanto houver tratamento de dados pessoais pela Operadora em nome do Controlador. Obrigações que por sua natureza devam sobreviver ao término permanecerão aplicáveis pelo período necessário.

15. Disposições Gerais

• Este DPA complementa os Termos de Uso.
• Alterações relevantes serão comunicadas conforme os Termos e a legislação.
• Cessão sujeita aos Termos e à legislação aplicável.
• Eventual invalidade de uma disposição não afetará as demais.
• A versão em português brasileiro prevalece.

16. Foro

Este DPA é regido pelas leis brasileiras, especialmente pela LGPD. Nas relações de consumo, prevalecem as disposições aplicáveis do CDC. Para relações empresariais em que a eleição de foro seja juridicamente válida, aplica-se o foro previsto nos Termos de Uso.