Acordo de Tratamento de Dados Pessoais (DPA)

Este Acordo de Tratamento de Dados Pessoais ("Acordo") integra os Termos de Uso da plataforma Play Ads CRM e regula o tratamento de dados pessoais realizado pela Play Ads CRM Software ("Operadora" ou "Play Ads"), em nome do Cliente ("Controlador"), nos termos da Lei nº 13.709/2018 (LGPD).

Em caso de conflito entre este Acordo e os Termos de Uso no que se refere à proteção de dados pessoais, prevalece este Acordo.

---

#1. Objeto e papéis

1.1. O Cliente é o Controlador dos dados pessoais de Contatos Finais (leads, consumidores, alunos e pacientes) e de seus Usuários Autorizados inseridos ou recebidos em seu Workspace. A Play Ads é a Operadora, e trata esses dados exclusivamente para prestar os serviços contratados.

1.2. As características do tratamento estão descritas no Anexo I.

#2. Instruções do Controlador

2.1. A Operadora tratará os dados pessoais somente conforme as instruções documentadas do Controlador. São consideradas instruções: (a) estes Termos e este Acordo; (b) as configurações e ações realizadas pelo Cliente e seus Usuários Autorizados na Plataforma, inclusive a ativação de integrações, automações, disparos e Recursos de IA; e (c) instruções adicionais por escrito, acordadas entre as partes.

2.2. A Operadora informará o Controlador se, em sua avaliação, uma instrução violar a LGPD, podendo suspender seu cumprimento até que seja esclarecida.

2.3. A Operadora não utilizará os dados para finalidades próprias, salvo para gerar dados agregados e anonimizados, conforme os Termos de Uso, e para cumprir obrigações legais.

#3. Obrigações do Controlador

O Controlador declara e garante que:

1. possui base legal válida para todos os tratamentos que instrui, inclusive para o envio de eventos de conversão a plataformas de anúncios e para o processamento por Recursos de IA;
2. para dados pessoais sensíveis de saúde, possui uma das hipóteses do art. 11 da LGPD e, quando a base for o consentimento, o obteve de forma específica e destacada;
3. para dados de crianças e adolescentes, observa o art. 14 da LGPD;
4. forneceu aos titulares as informações exigidas pelo art. 9º da LGPD, incluindo o uso da Plataforma e de seus suboperadores;
5. respeita pedidos de oposição e de descadastro (opt-out);
6. é o responsável por atender às solicitações de titulares e às comunicações com a ANPD relativas aos dados que controla.

#4. Confidencialidade

A Operadora garante que as pessoas autorizadas a tratar os dados pessoais estão sujeitas a dever de confidencialidade e acessam os dados apenas na medida necessária à prestação do serviço, ao suporte solicitado pelo Cliente ou à investigação de incidentes.

#5. Medidas de segurança

5.1. A Operadora adota as medidas técnicas e administrativas descritas no Anexo II, apropriadas à natureza dos dados, inclusive dados sensíveis.

5.2. As medidas podem ser atualizadas ao longo do tempo, desde que não reduzam o nível geral de proteção.

#6. Suboperadores

6.1. O Controlador autoriza, de forma geral, a contratação dos suboperadores listados em Suboperadores.

6.2. A Operadora comunicará o Controlador sobre a inclusão ou substituição de suboperadores com antecedência mínima de 15 (quinze) dias, por e-mail ou aviso na Plataforma. O Controlador pode se opor por motivo razoável relacionado à proteção de dados; não havendo solução, poderá encerrar a contratação sem multa, quanto aos serviços afetados.

6.3. A Operadora impõe aos suboperadores obrigações de proteção de dados compatíveis com este Acordo e permanece responsável perante o Controlador pelo cumprimento delas.

6.4. Destinatários indicados pelo Controlador — como Meta, Google e o provedor de API de WhatsApp escolhido para o Workspace — não são suboperadores da Play Ads quando o envio é instruído pelo Controlador e a relação com esses terceiros é do próprio Controlador. Nesses casos, o tratamento por esses terceiros é regido pelos contratos e políticas entre eles e o Controlador.

#7. Transferência internacional

O Controlador autoriza a transferência internacional de dados aos suboperadores indicados na lista, que ocorrerá com fundamento no art. 33 da LGPD, mediante cláusulas contratuais, inclusive as cláusulas-padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), ou outro mecanismo válido.

#8. Direitos dos titulares

8.1. Considerando a natureza do tratamento, a Operadora auxiliará o Controlador a atender às solicitações de titulares (art. 18 da LGPD), principalmente por meio das funcionalidades da Plataforma que permitem consultar, corrigir, exportar e excluir dados, e registrar opt-out e consentimentos.

8.2. Se a Operadora receber diretamente uma solicitação de titular relativa a dados do Controlador, ela a encaminhará ao Controlador em até 5 (cinco) dias úteis e não responderá ao titular no mérito, salvo instrução do Controlador.

#9. Incidentes de segurança

9.1. A Operadora notificará o Controlador, sem demora injustificada e em até 48 (quarenta e oito) horas após tomar conhecimento de incidente de segurança que afete dados pessoais do Controlador, informando, na medida do disponível:

• a natureza do incidente e as categorias e a quantidade aproximada de titulares e de registros afetados;
• as consequências prováveis;
• as medidas adotadas ou propostas para conter e mitigar os efeitos;
• um ponto de contato para mais informações.

9.2. A Operadora fornecerá as informações complementares necessárias para que o Controlador cumpra suas obrigações de comunicação à ANPD e aos titulares, nos termos da Resolução CD/ANPD nº 15/2024.

#10. Recursos de Inteligência Artificial

10.1. Os Recursos de IA somente processam dados do Workspace após ativação expressa pelo Controlador, que pode desativá-los a qualquer momento.

10.2. Quando ativados: (a) somente o texto das conversas é enviado para análise e, para transcrição, o arquivo de áudio; (b) as chamadas ao provedor são feitas sem armazenamento de conteúdo e sem histórico; (c) os registros de auditoria guardam no máximo trecho resumido de até 2 KB da entrada; (d) a IA não envia mensagens, não registra conversões e não move contatos para etapas de compra.

#11. Auditoria e informações

11.1. A Operadora disponibilizará ao Controlador, mediante solicitação razoável e por escrito, as informações necessárias para demonstrar o cumprimento deste Acordo, como descrições das medidas de segurança e respostas a questionários.

11.2. Auditorias presenciais ou por terceiros dependerão de acordo prévio quanto a escopo, data, duração, confidencialidade e custos, e não poderão comprometer a segurança ou a confidencialidade dos dados de outros clientes.

#12. Devolução e eliminação

12.1. Ao término da contratação, o Controlador terá 30 (trinta) dias para solicitar a exportação de seus dados em formato estruturado.

12.2. Após esse prazo, a Operadora eliminará os dados pessoais do Controlador em até 90 (noventa) dias, inclusive de cópias de segurança, salvo quando a guarda for exigida por lei (art. 16 da LGPD).

12.3. Prontuários e registros de saúde: cabe ao Controlador exportar e manter, pelo prazo exigido por seu conselho profissional, as informações cuja guarda seja obrigatória, antes da eliminação.

#13. Responsabilidade

A responsabilidade das partes segue o disposto na LGPD (arts. 42 a 45) e nos Termos de Uso, inclusive quanto aos limites ali previstos, na medida permitida por lei.

#14. Vigência

Este Acordo vigora enquanto a Operadora tratar dados pessoais em nome do Controlador, inclusive após o término dos Termos, até a eliminação ou devolução dos dados.

---

#Anexo I — Descrição do tratamento

#Anexo II — Medidas de segurança

1. Criptografia em trânsito: HTTPS/TLS em todas as comunicações com a Plataforma e com os suboperadores.
2. Criptografia de credenciais: tokens de integração (WhatsApp, Meta, Google) cifrados em repouso com AES-256-GCM; chaves mantidas fora do banco de dados.
3. Isolamento multi-tenant: todas as consultas são escopadas pelo Workspace.
4. Controle de acesso: papéis e permissões por usuário (ex.: ver todas as conversas, enviar mensagens, registrar vendas, acessar dados de saúde); restrições por plano e tipo de negócio aplicadas no servidor.
5. Autenticação: provedor de autenticação gerenciado, com senhas armazenadas por hash; limitação de tentativas de login por e-mail e por IP.
6. Registro de acesso a dados de saúde: cada abertura de ficha, avaliação, evolução ou exportação de prontuário é registrada com usuário, data e recurso.
7. Mídias privadas: armazenamento privado com URLs assinadas e temporárias.
8. Proteção contra exportação de dados sensíveis: etiquetas e notas sensíveis bloqueadas para envio a plataformas de anúncios, com verificação automatizada no código.
9. Pseudonimização: telefone e identificadores enviados às plataformas de anúncios com hash SHA-256; telefone mascarado em exportações de relatório.
10. Integridade de tarefas e webhooks: tarefas agendadas exigem assinatura criptográfica válida; webhook do WhatsApp autenticado por token derivado de chave secreta.
11. Minimização de logs: os logs da aplicação não registram corpo de mensagens nem telefones.
12. IA: envio apenas de texto (e áudio para transcrição), sem armazenamento no provedor; trilha de auditoria com reversão.
13. Backups e disponibilidade: backups gerenciados pelo provedor de banco de dados; infraestrutura em nuvem com redundância.