Acordo de Processamento de Dados (DPA)

1. Definições e Identificação dos Agentes

Dupla função: A DOMION também atua como Controladora em relação aos dados cadastrais dos próprios clientes (CONTRATANTES) e usuários criados para acesso à plataforma, conforme descrito na Política de Privacidade.

2. Escopo e Finalidade do Tratamento

A DOMION tratará dados pessoais exclusivamente para:

• Operar e disponibilizar as funcionalidades do GoRush ao CONTRATANTE;
• Manutenção, suporte técnico e melhoria do serviço;
• Segurança, prevenção de fraude e cumprimento legal;
• Processamento de integrações configuradas pelo CONTRATANTE (WhatsApp, loja virtual, Google);
• Análises de IA habilitadas pelo CONTRATANTE.

A DOMION não utilizará os Dados do Cliente para quaisquer fins além dos expressamente autorizados, incluindo publicidade, criação de perfis para terceiros ou venda de dados.

3. Obrigações da DOMION como Operadora

Conforme o Art. 39 da LGPD, a DOMION compromete-se a:

4. Subprocessadores Autorizados

O CONTRATANTE autoriza a DOMION a utilizar os seguintes subprocessadores para operação do GoRush:

A DOMION notificará o CONTRATANTE sobre alterações na lista de subprocessadores com antecedência mínima de 30 dias, durante os quais o CONTRATANTE pode apresentar objeções fundamentadas.

5. Transferência Internacional de Dados

A operação do GoRush envolve transferências internacionais de dados para os EUA (Supabase, Vercel, Google, Groq, Anthropic), conforme o Art. 33 da LGPD.

As transferências são realizadas com base nas Cláusulas-Padrão Contratuais (CPCs) aprovadas pela ANPD (Art. 33, II, “b” da LGPD), assegurando nível adequado de proteção aos dados transferidos.

A DOMION se compromete a formalizar os instrumentos necessários com cada subprocessador conforme as regulamentações da ANPD vigentes, mantendo o CONTRATANTE informado sobre eventuais alterações.

6. Segurança dos Dados Pessoais

A DOMION implementa medidas de segurança conforme o Art. 46 da LGPD, incluindo:

7. Direitos dos Titulares

Quando titulares exercerem seus direitos (Art. 18 da LGPD) perante o CONTRATANTE (controlador), a DOMION compromete-se a:

• Fornecer exportação dos dados do titular em formato estruturado, em prazo compatível com o Art. 19 (15 dias);
• Executar bloqueio, anonimização ou eliminação de dados conforme solicitado pelo CONTRATANTE;
• Informar sobre quais dados são processados e por quais subprocessadores;
• Auxiliar na portabilidade dos dados para outro provedor de serviço.

O CONTRATANTE é responsável por atender diretamente aos titulares, sendo a DOMION responsável por fornecer as ferramentas e informações necessárias para tanto.

8. Notificação de Incidentes de Segurança

Conforme o Art. 48 da LGPD, em caso de incidente de segurança que possa acarretar risco relevante aos titulares, a DOMION:

9. RIPD — Relatório de Impacto à Proteção de Dados

O GoRush recomenda a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) conforme o Art. 38 da LGPD, especialmente considerando:

• Processamento de dados de leads em larga escala (multi-tenant);
• Integração com WhatsApp (dados de comunicação pessoal);
• Análise de sentimentos e comportamento por IA;
• Transferência internacional de dados a múltiplos subprocessadores.

A DOMION fornecerá ao CONTRATANTE as informações técnicas necessárias para elaboração do RIPD quando solicitado, incluindo descrição dos tratamentos, metodologias e medidas de mitigação adotadas (Art. 38, parágrafo único).

10. ROPA — Registro de Operações de Tratamento

Conforme o Art. 37 da LGPD, a DOMION mantém Registro de Operações de Tratamento (ROPA) documentando:

• Cada atividade de tratamento e sua finalidade;
• Categorias de dados pessoais tratados;
• Base legal aplicável;
• Período de retenção;
• Terceiros e subprocessadores envolvidos;
• Medidas de segurança implementadas;
• Transferências internacionais e salvaguardas adotadas.

O ROPA é mantido atualizado e disponibilizado à ANPD quando solicitado.

11. Encarregado de Proteção de Dados (DPO)

Nos termos do Art. 41 da LGPD e da Resolução CD/ANPD n.° 18/2024, a DOMION indica formalmente um Encarregado de Proteção de Dados (DPO), cuja identidade e dados de contato são divulgados publicamente.

O DPO atua como canal de comunicação entre titulares, DOMION e ANPD, orientando sobre práticas de proteção de dados e executando as atribuições do Art. 41, §2° da LGPD.

12. Auditoria e Conformidade

O CONTRATANTE pode, mediante solicitação por escrito com antecedência mínima de 30 dias e mediante custos razoáveis, solicitar evidências de conformidade da DOMION com este DPA, incluindo:

• Relatórios de auditoria de segurança (SOC 2, ISO 27001 quando disponíveis);
• Certificações de subprocessadores;
• Documentação de políticas de segurança;
• Evidências de treinamentos de equipe.

Auditorias in loco dependem de acordo específico e podem ser realizadas por terceiro independente indicado pelo CONTRATANTE, às expensas deste.

13. Devolução e Eliminação de Dados

Após o término do contrato, seja por qual motivo for:

14. Vigência e Rescisão

Este DPA entra em vigor na data de celebração do contrato principal entre as partes e permanece vigente enquanto a DOMION processar dados pessoais em nome do CONTRATANTE.

As obrigações de confidencialidade, segurança e eliminação de dados sobrevivem à rescisão deste DPA e do contrato principal.

Este DPA é regido pela legislação brasileira, com foro na Comarca de São Paulo - SP, prevalecendo sobre qualquer disposição contrária em documentos relacionados.