Acordo de Tratamento de Dados (DPA)

Este acordo é celebrado entre o Cliente (controlador) e [RAZÃO SOCIAL], CNPJ [CNPJ] (operador, "Motrizen") e se aplica a todos os dados pessoais que o Cliente insere, coleta ou gera na plataforma.

Em caso de conflito entre este acordo e os Termos de Uso, prevalece este acordo no que diz respeito ao tratamento de dados pessoais.

Os termos "dado pessoal", "titular", "controlador", "operador", "tratamento", "anonimização" e "incidente de segurança" têm o significado da LGPD. "Suboperador" é o terceiro contratado pelo Motrizen para tratar dados pessoais em nome do Cliente.

• Finalidade: prestação do serviço de CRM, marketing, prospecção e atendimento descrito nos Termos de Uso.
• Categorias de titulares: contatos, leads, clientes e prospects do Cliente; usuários do Cliente; signatários de propostas; visitantes de landing pages.
• Categorias de dados: identificação e contato (nome, e-mail, telefone, cargo, empresa, redes sociais), dados comerciais (negócios, propostas, valores), comunicações (e-mails, mensagens de WhatsApp, notas), dados técnicos (IP, user agent, eventos de navegação), consentimentos e dados que o Cliente decidir inserir em campos personalizados.
• Dados sensíveis: a plataforma não foi projetada para dados sensíveis (art. 5º, II); o Cliente deve evitar inseri-los e, se o fizer, responde pela base legal adequada.
• Duração: enquanto vigorar o contrato, acrescida do período de carência de exclusão.

O Motrizen trata os dados pessoais somente conforme as instruções documentadas do Cliente, que são: os Termos de Uso, este acordo, as configurações realizadas no workspace e o uso das funcionalidades pela equipe do Cliente. Instruções adicionais devem ser enviadas por escrito ao e-mail [E-MAIL DO ENCARREGADO (DPO)].

Se uma instrução, no entendimento do Motrizen, violar a LGPD, o Cliente será informado antes da execução.

• Tratar os dados apenas para as finalidades contratadas e conforme as instruções do Cliente.
• Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade.
• Implementar e manter as medidas de segurança da cláusula 8.
• Contratar suboperadores apenas nas condições da cláusula 6.
• Auxiliar o Cliente no atendimento aos direitos dos titulares, com as ferramentas da cláusula 9.
• Comunicar incidentes de segurança conforme a cláusula 10.
• Eliminar ou devolver os dados ao fim do contrato conforme a cláusula 12.
• Disponibilizar as informações necessárias para demonstrar o cumprimento deste acordo e permitir auditorias conforme a cláusula 11.
• Manter registro das operações de tratamento realizadas em nome do Cliente (trilha de auditoria e registros de consentimento).

O Cliente autoriza, de forma geral, a contratação dos suboperadores listados na Política de Privacidade (Cloudflare, Hostinger, Resend, Anthropic, Apollo.io, Meta, Google, Microsoft e Asaas), cada um limitado à função ali descrita.

O Motrizen informará o Cliente, por e-mail ao proprietário do workspace ou aviso na plataforma, com pelo menos 15 dias de antecedência, sobre a inclusão ou substituição de suboperadores. O Cliente pode se opor por motivo justificado; não havendo solução, poderá encerrar o contrato sem multa.

O Motrizen celebra com cada suboperador obrigações de proteção de dados equivalentes às deste acordo e permanece responsável perante o Cliente pelo desempenho deles.

Serviços conectados pelo Cliente com credenciais próprias no marketplace não são suboperadores do Motrizen; o Cliente os contrata diretamente.

Os suboperadores localizados fora do Brasil recebem dados com base no art. 33 da LGPD, mediante cláusulas contratuais padrão ou instrumento equivalente, e apenas na medida necessária para a função contratada. O Motrizen mantém a relação de países de destino atualizada na Política de Privacidade.

• Criptografia em trânsito (TLS 1.2 ou superior) em todas as conexões, inclusive com suboperadores.
• Credenciais e segredos de integrações armazenados com criptografia AES; senhas armazenadas somente como hash.
• Isolamento lógico dos dados por workspace e controle de acesso por papéis.
• Sessões assinadas, revogáveis e com proteção contra CSRF; limitação de tentativas de login; cabeçalhos de segurança; validação de uploads.
• Trilha de auditoria imutável (encadeamento de hashes) das ações sensíveis, disponível ao Cliente em Configurações > Auditoria e exportável em CSV.
• Backups diários criptografados com procedimento de restauração testado e monitorado.
• Retenção automática de eventos e logs conforme o plano; anonimização e purga irreversíveis.
• Acesso administrativo restrito, registrado e limitado à operação do serviço e ao suporte.

O Cliente atende diretamente os pedidos dos titulares usando a plataforma: exportação dos dados de um contato (JSON ou CSV, incluindo conversas e eventos de marketing), anonimização com preservação das métricas agregadas, revogação de consentimento, registro de consentimento com base legal e origem, e exportação completa do workspace.

Se um titular contatar o Motrizen diretamente, o pedido será encaminhado ao Cliente em até 5 dias úteis, sem resposta de mérito ao titular, salvo obrigação legal.

O Motrizen comunicará o Cliente sobre incidentes de segurança que afetem dados pessoais tratados em seu nome em até 48 horas após tomar conhecimento, informando a natureza do incidente, os dados e titulares afetados (quando conhecidos), as medidas adotadas e as recomendadas. O Cliente decide sobre a comunicação à ANPD e aos titulares, com o apoio do Motrizen.

O Motrizen disponibiliza ao Cliente a trilha de auditoria do workspace, os registros de consentimento, o histórico de execuções da retenção e a documentação de segurança. Mediante solicitação escrita, com antecedência mínima de 30 dias e no máximo uma vez ao ano (ou após incidente), o Cliente poderá realizar auditoria, por si ou por terceiro independente sujeito a confidencialidade, limitada ao objeto deste acordo e sem prejudicar a segurança de outros clientes.

Durante o contrato, o Cliente pode exportar todos os dados a qualquer momento (Configurações > Privacidade). Ao término, o Cliente solicita a exclusão do workspace; após a carência de 30 dias, o Motrizen elimina os dados pessoais dos sistemas ativos e, ao fim do ciclo de backups (até 30 dias adicionais), dos backups. Permanece apenas o registro mínimo da exclusão na trilha de auditoria e os dados cuja retenção seja exigida por lei.

Cada parte responde pelos danos que causar em decorrência do descumprimento da LGPD ou deste acordo, observados os arts. 42 a 45 da LGPD e a limitação de responsabilidade dos Termos de Uso, que não se aplica a danos causados por dolo ou por violação deliberada deste acordo.

Este acordo vigora enquanto o Motrizen tratar dados pessoais em nome do Cliente e sobrevive ao término dos Termos de Uso até a conclusão da eliminação prevista na cláusula 12.