Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados Pessoais (“DPA”) é celebrado entre você, cliente da Zapdeck (“Controlador”), e a LOS Desenvolvimento de Software LTDA, CNPJ 49.561.309/0001-40, com sede na Alameda Rio Negro, 503, Sala 2020, Alphaville Centro Industrial e Empresarial, Barueri/SP, CEP 06454-000, titular da marca Zapdeck (“Operadora”, “Zapdeck” ou “nós”).

Este DPA é um anexo dos Termos de Uso e se aplica automaticamente a todo cliente que os aceita, sem necessidade de assinatura separada. Em caso de conflito sobre o tratamento de dados pessoais de compradores e contatos, este DPA prevalece sobre os Termos.

1. Objeto e duração

1.1. Este DPA regula o tratamento de dados pessoais de compradores e contatos que você leva para a Zapdeck ao usar o serviço, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, “LGPD”).

1.2. Ele vale enquanto sua conta estiver ativa e durante o período de devolução e exclusão previsto na cláusula 11, até a eliminação completa dos dados.

1.3. Os dados da sua própria conta (nome, e-mail, cobrança, logs de acesso) são tratados por nós como controladora e não são objeto deste DPA. Eles estão descritos na Política de Privacidade.

2. Definições

2.1. Os termos “dado pessoal”, “titular”, “tratamento”, “controlador”, “operador” e “ANPD” têm o significado da LGPD (art. 5º).

2.2. Neste DPA:

• Dados do Controlador: dados pessoais de compradores e contatos que você traz para a Zapdeck, descritos no Anexo I.
• Suboperador: terceiro contratado pela Zapdeck que trata Dados do Controlador em nome dela, listado no Anexo III.
• Incidente de segurança: acesso não autorizado, perda, destruição, alteração ou divulgação indevida de Dados do Controlador.

3. Papéis e instruções

3.1. Em relação aos Dados do Controlador, você é o controlador e a Zapdeck é a operadora (LGPD, art. 5º, VII).

3.2. A Zapdeck trata os Dados do Controlador somente conforme as suas instruções documentadas. São instruções documentadas: os Termos de Uso, este DPA, as configurações que você faz no painel e as ações que você executa pelo painel ou pela API.

3.3. A Zapdeck nunca trata os Dados do Controlador para fins próprios e nunca os usa para treinar modelos de inteligência artificial, nossos ou de terceiros.

3.4. Se acharmos que uma instrução viola a LGPD, avisaremos você e poderemos suspender o seguimento dessa instrução até que seja esclarecida.

3.5. Você é responsável por ter base legal para tratar os dados e contatar os compradores (art. 7º), por respeitar o opt-out, por informar os compradores sobre o uso de WhatsApp e IA no seu próprio aviso de privacidade e por não usar a Zapdeck para coletar dados pessoais sensíveis (art. 5º, II).

4. Natureza e finalidade do tratamento; categorias de dados e titulares

4.1. A natureza do tratamento é a hospedagem e o processamento automatizado de dados em uma plataforma de software (SaaS).

4.2. A finalidade é prestar o serviço contratado: conectar seu WhatsApp Business pela API oficial da Meta, receber eventos de checkout, executar playbooks de recuperação, operar o agente de IA que você configura, oferecer caixa de entrada, contatos, disparos, agenda e API para desenvolvedores.

4.3. As categorias de dados e de titulares estão no Anexo I.

5. Obrigações da operadora

5.1. A Zapdeck mantém registro das operações de tratamento que realiza, como exige o art. 37 da LGPD, e mantém trilha de auditoria somente inserção das ações feitas na conta.

5.2. A Zapdeck trata os Dados do Controlador em conformidade com o art. 39 da LGPD, isto é, segundo as instruções do controlador.

5.3. Apenas pessoas autorizadas, que precisam dos dados para prestar o serviço, têm acesso a eles. Essas pessoas se comprometem com a confidencialidade, por contrato ou por dever legal, mesmo após o fim do vínculo.

5.4. A Zapdeck aplica as medidas de segurança do Anexo II (LGPD, art. 46) e exige dos suboperadores obrigações de proteção compatíveis com as deste DPA.

5.5. A Zapdeck não vende Dados do Controlador e não os repassa a terceiros, exceto aos suboperadores do Anexo III ou quando a lei exigir.

5.6. Se recebermos uma ordem de autoridade para fornecer Dados do Controlador, avisaremos você antes, salvo se a lei nos proibir.

5.7. Parceiros de implantação autorizados pela Zapdeck que configurem a conta a pedido do controlador atuam como pessoas autorizadas nos termos da cláusula 5.3: só acessam o workspace com a autorização do controlador, sob as mesmas instruções e obrigações de confidencialidade deste DPA, e o controlador pode revogar esse acesso a qualquer momento em Configurações › Equipe. Esses parceiros não são suboperadores e não recebem cópia dos Dados do Controlador fora da plataforma.

6. Medidas de segurança

6.1. A Zapdeck adota as medidas técnicas e administrativas do Anexo II para proteger os Dados do Controlador contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação.

6.2. Podemos atualizar essas medidas ao longo do tempo, sem reduzir o nível geral de proteção.

7. Suboperadores

7.1. Você autoriza, de forma geral, a contratação dos suboperadores do Anexo III.

7.2. A Zapdeck publica as mudanças na lista na Política de Privacidade e envia e-mail aos clientes com pelo menos 15 dias de antecedência antes de incluir um suboperador que tratará dados de compradores.

7.3. Nesse prazo, você pode se opor por escrito, em privacidade@zapdeck.com.br. Se não for possível chegar a uma solução razoável, você pode encerrar o contrato sem multa, e aplica-se a cláusula 11.

7.4. A Zapdeck responde perante você pelos atos dos suboperadores no tratamento dos Dados do Controlador, nos limites da cláusula 14.

7.5. Você também mantém relação direta com a Meta, pois conecta sua própria conta Meta Business e sua WABA. Esse vínculo é regido pelos termos da Meta.

8. Transferências internacionais

8.1. Alguns suboperadores armazenam ou processam dados fora do Brasil. Essas transferências se baseiam no art. 33, II, da LGPD, por meio de cláusulas contratuais padrão ou do DPA do próprio fornecedor, conforme indicado no Anexo III.

8.2. Os dados do banco de dados, da autenticação e da mídia ficam em região de São Paulo (Brasil).

8.3. Para a IA, enviamos apenas o texto da conversa, o contexto do pedido (produto, valor, status e prazos) e a base de conhecimento que você escreveu. Não enviamos CPF, endereço completo, dados de pagamento nem dados de cartão.

9. Assistência ao controlador

9.1. Direitos dos titulares

Se um titular (por exemplo, um comprador) nos procurar diretamente para exercer direitos do art. 18 da LGPD, encaminharemos o pedido a você em até 5 dias úteis e orientaremos o titular a falar com o negócio onde comprou. Ajudamos você a atender o pedido, por exemplo com exportação, correção ou exclusão de dados no painel.

Quando a pessoa responde SAIR, PARAR ou STOP no WhatsApp, interrompemos imediatamente as mensagens automáticas para ela.

9.2. ANPD e demais obrigações

A Zapdeck presta as informações razoavelmente necessárias para você responder à ANPD, elaborar relatório de impacto quando aplicável e cumprir suas obrigações como controlador.

10. Incidentes de segurança

10.1. Se houver um incidente de segurança com risco relevante aos Dados do Controlador, a Zapdeck avisa você em até 72 horas após a confirmação do incidente.

10.2. O aviso traz as informações exigidas pelo art. 48 da LGPD, na medida em que as tenhamos:

• a descrição da natureza dos dados pessoais afetados;
• as informações sobre os titulares envolvidos;
• as medidas técnicas e de segurança usadas para proteger os dados;
• os riscos relacionados ao incidente;
• os motivos da demora, se a comunicação não for imediata;
• as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos.

10.3. Como controlador, cabe a você comunicar a ANPD e os titulares quando a lei exigir. A Zapdeck ajuda com as informações e com a investigação. A Zapdeck comunica a ANPD quando a lei exigir isso dela.

11. Devolução e exclusão ao término

11.1. Ao fim do contrato, por cancelamento ou por qualquer outro motivo, sua conta fica por 30 dias em modo somente leitura, com exportação em CSV e JSON.

11.2. Passado esse prazo, os Dados do Controlador são excluídos definitivamente. Eles desaparecem dos backups em até 7 dias após a exclusão.

11.3. A Zapdeck só mantém dados quando a lei obrigar. Registros fiscais, como notas e faturas, ficam por 5 anos por obrigação legal. Eles dizem respeito ao seu cadastro e à cobrança, não às conversas dos seus compradores.

11.4. Você também pode pedir a exclusão a qualquer momento pelo painel (Configurações › Workspace › Excluir workspace) ou por e-mail. Veja a página Exclusão de dados.

12. Auditorias

12.1. Uma vez por ano, a pedido seu, a Zapdeck fornece um relatório ou responde a um questionário sobre o cumprimento deste DPA.

12.2. Se isso não bastar, você pode fazer uma auditoria presencial no máximo 1 vez por ano, com 30 dias de aviso prévio, durante o horário comercial, sem atrapalhar a operação e sem acesso a dados de outros clientes. Os custos da auditoria são por sua conta.

12.3. O auditor deve assinar compromisso de confidencialidade.

13. Direitos dos titulares e ANPD: contato

13.1. O Encarregado (DPO) da Zapdeck é Lucas de Oliveira Souza, pelo e-mail privacidade@zapdeck.com.br.

13.2. Pedidos de titulares que chegarem a esse endereço seguem a cláusula 9.1. Respondemos ao titular ou a você nos prazos da LGPD, sempre após verificar a identidade de quem pede.

14. Responsabilidade

14.1. A responsabilidade de cada parte segue o que está nos Termos de Uso, inclusive o limite de valor ali previsto, ressalvados os casos em que a lei não permite limitação.

14.2. Nada neste DPA afasta a responsabilidade solidária prevista na LGPD (art. 42) perante os titulares nem o direito de regresso entre as partes.

15. Vigência e alterações

15.1. Este DPA entra em vigor quando você aceita os Termos de Uso e permanece enquanto a Zapdeck tratar Dados do Controlador.

15.2. Podemos alterar este DPA para refletir mudanças na lei ou no serviço. Avisamos com 30 dias de antecedência, por e-mail e no painel, como nos Termos. Você pode cancelar sem multa antes de a mudança valer.

16. Lei aplicável e foro

16.1. Este DPA é regido pela lei brasileira, em especial a LGPD (Lei 13.709/2018) e o Marco Civil da Internet (Lei 12.965/2014). Quando você for consumidor, aplica-se também o Código de Defesa do Consumidor (Lei 8.078/1990).

16.2. Fica eleito o foro da Comarca de Barueri/SP, ressalvado o foro do consumidor, quando a lei o garantir.

Anexo I. Objeto do tratamento, dados e titulares

Anexo II. Medidas de segurança

• Isolamento por cliente no banco de dados (row-level security), com testes automatizados.
• Criptografia em trânsito (TLS) e em repouso. Tokens de acesso à Meta e segredos de integração são criptografados com AES-256-GCM, com rotação de chave.
• Segredos nunca ficam no navegador; ficam apenas no servidor.
• Verificação de assinatura em todos os webhooks, proteção contra replay e limite de tamanho.
• Autenticação por link mágico ou Google. Ações destrutivas exigem reconfirmação. Papéis de acesso: owner, admin e agent.
• Trilha de auditoria somente inserção.
• Backups diários criptografados. Infraestrutura em provedores com certificações SOC 2 e ISO 27001.
• Notificação de incidentes: aviso ao cliente afetado em até 72 horas após a confirmação de incidente com risco relevante, com as informações do art. 48 da LGPD, e comunicação à ANPD quando a lei exigir.

Anexo III. Suboperadores

Mudanças nesta lista seguem a cláusula 7. Dúvidas sobre este acordo: privacidade@zapdeck.com.br. Veja também os Termos de Uso, a Política de Privacidade e a página Exclusão de dados.