Acordo de Tratamento de Dados (DPA)
1. Definições
- Controladora: o Cliente, que determina as finalidades e os meios do tratamento.
- Operadora: a Única Soluções (Tribo Hub), que trata dados conforme as instruções da Controladora.
- Dados Pessoais: informação relativa a pessoa natural identificada ou identificável.
- Tratamento: coleta, armazenamento, consulta, uso, transmissão, modificação e exclusão.
- Incidente de Segurança: acesso não autorizado, destruição, perda, alteração ou divulgação indevida.
- Suboperador: terceiro contratado para tratar dados em nome da Controladora.
2. Objeto e escopo do tratamento
2.1 Objeto: a Operadora trata dados exclusivamente para viabilizar os serviços de hospedagem de cursos e área de membros.
2.2 Natureza: armazenamento, consulta, uso em funcionalidades (matrículas, progresso, certificados, relatórios), transmissão a suboperadores autorizados e exclusão pós-contrato.
2.3 Finalidade: prestação exclusiva do serviço. Os dados não são usados para fins próprios, publicitários ou de desenvolvimento, exceto de forma completamente anonimizada e agregada.
2.4 Duração: durante a vigência do contrato, acrescida dos prazos de retenção da seção 9.
2.5 Tipos de dados: nome, e-mail, telefone, CPF, e histórico de matrículas, progresso e transações de compra dos Alunos.
2.6 Categorias de titulares: Alunos e estudantes matriculados pela Controladora e colaboradores/Usuários da plataforma.
3. Obrigações da Operadora
- Tratar dados apenas conforme instruções documentadas da Controladora;
- Garantir a confidencialidade de toda a equipe autorizada;
- Implementar as medidas de segurança da seção 6;
- Não tratar dados além do necessário à prestação do serviço;
- Notificar incidentes de segurança conforme a seção 7;
- Apoiar o atendimento aos direitos dos titulares (seção 8);
- Disponibilizar informações para demonstrar o cumprimento (seção 10);
- Excluir ou devolver os dados ao final do contrato;
- Utilizar suboperadores apenas conforme autorizado (seção 5).
4. Obrigações da Controladora
- Garantir base legal adequada para o tratamento dos dados dos Alunos inseridos na plataforma;
- Garantir que os titulares foram informados sobre o tratamento e o uso de um provedor de plataforma;
- Inserir apenas dados precisos, necessários e proporcionais;
- Ser a responsável primária pelo atendimento aos direitos dos titulares;
- Notificar prontamente uso indevido ou suspeita de incidente;
- Garantir que seus Usuários compreendam suas responsabilidades no tratamento.
5. Suboperadores
5.1 Autorização geral: a Controladora autoriza expressamente o uso dos suboperadores listados no Anexo II mediante a aceitação dos Termos.
5.2 Notificação: a Operadora notificará sobre novos suboperadores com 30 dias de antecedência. A Controladora pode se opor com justificativa razoável.
5.3 Responsabilidade: a Operadora mantém contratos equivalentes com os suboperadores e permanece responsável pelo cumprimento.
6. Medidas de segurança
Técnicas:
- Criptografia em trânsito (TLS) em todas as conexões;
- Criptografia em repouso para tokens e dados sensíveis;
- Hash de senhas com bcrypt e salt único por usuário;
- Isolamento de dados por tenant (conta), impedindo cruzamento entre Clientes;
- Controle de acesso com JWT com expiração e bloqueio por tentativas;
- Proteção contra ataques: rate limiting e sanitização de entradas;
- Monitoramento de erros e logs de acesso;
- Backups automáticos e periódicos.
Organizacionais:
- Acesso restrito pelo princípio do menor privilégio;
- Registro de auditoria de ações sensíveis;
- Revisão periódica das práticas de segurança;
- Plano de resposta a incidentes documentado.
7. Incidentes de segurança
7.1 Detecção e contenção: ao identificar um incidente, a Operadora toma medidas imediatas de contenção e investigação.
7.2 Notificação à Controladora: em até 72 horas após a confirmação, informando a natureza do incidente, as categorias e o volume aproximado de dados afetados, as possíveis consequências e as medidas tomadas.
7.3 Notificação à ANPD: a Operadora apoiará a Controladora na notificação quando exigida pela LGPD.
7.4 Investigação: a Operadora conduz investigação e implementa melhorias para prevenir recorrências.
8. Direitos dos titulares
8.1 A Controladora é a responsável primária pelo atendimento aos direitos dos titulares.
8.2 A Operadora fornecerá acesso aos dados em até 10 dias úteis mediante solicitação por e-mail.
8.3 Se um titular contactar diretamente a Operadora, a solicitação é redirecionada à Controladora responsável.
9. Exclusão e devolução de dados
9.1 Ao encerrar, a Controladora pode solicitar a exportação dos dados antes do encerramento.
9.2 Após o encerramento:
- D+0 a D+90: dados preservados em retenção pós-encerramento;
- D+90: dados de Alunos e Usuários excluídos permanentemente;
- 5 anos: dados financeiros e fiscais retidos por obrigação legal;
- 6 meses: logs de segurança e acesso excluídos.
9.3 Exclusão antecipada: solicitável por e-mail; a Operadora confirma em até 15 dias úteis, exceto dados com retenção obrigatória por lei.
10. Auditorias e comprovações
10.1 A Operadora disponibilizará informações com antecedência mínima de 30 dias.
10.2 A Controladora pode realizar auditoria no máximo 1 vez por ano, com aviso prévio de 30 dias, às suas expensas e sem perturbar as operações.
10.3 A Operadora pode atender às solicitações fornecendo relatórios de terceiros (ex.: ISO, SOC 2), quando disponíveis.
11. Transferência internacional
11.1 Parte dos suboperadores está localizada nos EUA (ver Anexo II).
11.2 As transferências utilizam cláusulas contratuais padrão e/ou certificações internacionais reconhecidas.
11.3 A Tribo Hub não é destinada a armazenar dados sensíveis; a Controladora é responsável por não inserir tais dados sem base legal adequada.
12. Responsabilidade
12.1 A Operadora responde por danos decorrentes do descumprimento de suas obrigações específicas.
12.2 A Controladora responde por danos decorrentes do tratamento que realiza.
12.3 Quando ambas contribuírem para o dano, respondem solidariamente conforme o art. 42 da LGPD.
13. Vigência e rescisão
Este DPA entra em vigor com a aceitação dos Termos de Uso e permanece durante o contrato de prestação de serviços, rescindindo-se automaticamente com o encerramento, mantidas as obrigações de confidencialidade e de exclusão de dados.
14. Disposições gerais
- Lei aplicável: LGPD (Lei 13.709/18) e demais normas brasileiras;
- Prevalência: este DPA prevalece sobre os Termos de Uso em matéria de dados pessoais;
- Alterações: a Operadora pode alterá-lo mediante notificação com 30 dias de antecedência;
- Contato do DPO: contato@tribodevendas.com.br.
Anexo I — Descrição das atividades de tratamento
| Elemento | Descrição |
|---|---|
| Finalidade | Hospedagem de cursos e área de membros: armazenamento, organização, gestão de matrículas, progresso, certificados e relatórios |
| Natureza | Armazenamento, consulta, uso em funcionalidades, transmissão a suboperadores, exclusão |
| Categorias de dados | Nome, e-mail, telefone, CPF, histórico de matrículas, progresso e transações |
| Categorias especiais | Não tratadas intencionalmente — Controladora responsável por não inserir dados sensíveis |
| Categorias de titulares | Alunos matriculados pela Controladora; colaboradores como Usuários |
| Duração | Vigência do contrato + prazos da seção 9 |
| Local | Brasil (Supabase, São Paulo) e EUA (demais suboperadores) |
Anexo II — Lista de suboperadores
| Suboperador | Finalidade | País |
|---|---|---|
| Supabase, Inc. | Banco de dados e armazenamento de arquivos | Brasil / EUA |
| Railway Corp. | Hospedagem do backend | EUA |
| Cloudflare, Inc. | Hospedagem do site/app e CDN | EUA / global |
| Banco Efi (Efí) | Processamento de pagamentos (Pix, boleto, cartão) | Brasil |
| Resend, Inc. | Envio de e-mails transacionais | EUA |
| Sentry, Inc. | Monitoramento de erros (dados técnicos) | EUA |
A lista pode ser atualizada com notificação prévia de 30 dias, conforme a seção 5.2.