Adendo de Tratamento de Dados (DPA)

1. Objeto e enquadramento

Este Adendo de Tratamento de Dados (o "Adendo" ou "DPA") integra e complementa o Contrato Principal (Termos de Uso e contrato de assinatura) celebrado entre você, empresa ou profissional que contrata o SpotFlow (o "Cliente"), e Hugo Dalmasio de Sousa, inscrito no CNPJ sob o nº 67.302.775/0001-92, com sede em Domingos Martins/ES, operador do SpotFlow (o "Serviço", disponível em spotflow.site). O Adendo regula o tratamento de dados pessoais realizado no âmbito do Serviço, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD).

O ponto central deste Adendo é distinguir dois papéis distintos que o SpotFlow assume conforme a natureza do dado tratado:

• SpotFlow como controlador. Em relação aos dados da conta do Cliente (cadastro, cobrança, dados de uso e de segurança), o SpotFlow decide sobre as finalidades e os meios do tratamento e, portanto, é controlador, nos termos do Art. 5, VI da LGPD. Esse tratamento é regido pela Política de Privacidade do Serviço, não por este Adendo.
• SpotFlow como operador. Quando o Cliente utiliza o Serviço para tratar dados pessoais de terceiros (contatos, leads e o público que interage com os links e mensagens que o Cliente publica), quem decide sobre esse tratamento é o Cliente. Nessa hipótese, o SpotFlow atua como operador (Art. 5, VII, e Art. 37 da LGPD), tratando os dados exclusivamente em nome e sob as instruções do Cliente, que é o controlador.

Este Adendo disciplina especificamente a segunda hipótese (SpotFlow operador). Ele é especialmente relevante para os planos Team e Agência, em que o Cliente opera o Serviço de forma profissional e pode tratar dados de terceiros, mas aplica-se a qualquer plano sempre que o Cliente estiver na posição de controlador de dados tratados por meio do Serviço.

Este é um modelo padrão, oferecido em condições uniformes a todos os Clientes. Um contrato de tratamento de dados corporativo, com condições negociadas, pode ser tratado pelo email dalmasio.dev@gmail.com.

2. Definições

Os termos abaixo têm o significado que a LGPD lhes atribui. Para leitura deste Adendo:

• Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável (Art. 5, I).
• Dados Pessoais Sensíveis: as categorias do Art. 5, II (origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, entre outros). O Serviço não foi projetado para tratar dados sensíveis, e o Cliente não deve inseri-los na plataforma.
• Titular: a pessoa natural a quem se referem os dados pessoais (Art. 5, V).
• Tratamento: toda operação realizada com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação (Art. 5, X).
• Controlador: a quem competem as decisões sobre o tratamento (Art. 5, VI).
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador (Art. 5, VII).
• Sub-operador: terceiro contratado pelo SpotFlow para tratar dados pessoais em nome do Cliente, como parte da prestação do Serviço.
• Encarregado (DPO): Hugo Dalmasio de Sousa, canal de comunicação entre controlador, titulares e a ANPD (Art. 5, VIII), contatável em dalmasio.dev@gmail.com.
• Incidente de Segurança: evento adverso, confirmado ou sob suspeita fundada, relacionado a violação de segurança que possa acarretar risco ou dano relevante aos titulares (base no Art. 48).
• ANPD: Autoridade Nacional de Proteção de Dados.
• Contrato Principal: os Termos de Uso e o contrato de assinatura do Serviço firmados entre as partes.
• Dados do Cliente: dados pessoais do próprio Cliente ou de seus usuários, tratados pelo SpotFlow na condição de controlador.
• Dados Tratados em Nome do Cliente: dados pessoais de terceiros que o Cliente insere ou gera no Serviço e sobre os quais é o controlador. É o objeto deste Adendo.

3. Papel das partes

A tabela abaixo resume o enquadramento de cada parte segundo a natureza do dado tratado:

Como operador, o SpotFlow trata os Dados Tratados em Nome do Cliente somente conforme as instruções documentadas do Cliente. Consideram-se instruções documentadas: (i) este Adendo e o Contrato Principal; (ii) as configurações e funcionalidades que o Cliente utiliza no próprio Serviço; e (iii) pedidos escritos adicionais enviados pelos canais oficiais. O SpotFlow não trata esses dados para finalidades próprias.

Como controlador, cabe ao Cliente garantir que possui base legal adequada (Art. 7 e, quando aplicável, Art. 11 da LGPD) para o tratamento que realiza por meio do Serviço, prestar as informações e obter os consentimentos eventualmente necessários aos titulares, e assegurar que os dados inseridos são lícitos, pertinentes e não excessivos.

Se o SpotFlow receber uma instrução que, a seu ver, viole a LGPD ou outra norma de proteção de dados, informará o Cliente sem demora injustificada e poderá suspender a execução da instrução até esclarecimento, sem prejuízo do Contrato Principal.

4. Obrigações do operador

Na condição de operador, e nos termos dos Arts. 39, 46 e 47 da LGPD, o SpotFlow compromete-se a:

• Tratar apenas conforme instruções: tratar os Dados Tratados em Nome do Cliente exclusivamente conforme as instruções documentadas do Cliente, salvo obrigação legal ou regulatória que exija tratamento diverso, hipótese em que informará o Cliente previamente, quando permitido.
• Confidencialidade: manter os dados em sigilo e assegurar que as pessoas autorizadas a tratá-los estejam submetidas a dever de confidencialidade e acessem os dados apenas na medida necessária às suas funções.
• Segurança (Art. 46): adotar medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, descritas abaixo.
• Registro das operações: manter, no que lhe couber como operador, registro das operações de tratamento que realiza (Art. 37).
• Não desviar de finalidade: não usar os dados para finalidades próprias, não comercializá-los e não os compartilhar fora das hipóteses previstas neste Adendo.
• Encarregado: manter um Encarregado (DPO) indicado e acessível para questões de proteção de dados.

Medidas de segurança aplicadas

As medidas abaixo são reais e verificáveis na operação do Serviço. Uma descrição pública em linguagem acessível está na página de segurança.

• Criptografia em trânsito: toda comunicação por HTTPS.
• Criptografia em repouso: os dados ficam guardados com criptografia, e as credenciais da conta de afiliado Shopee (Open API) ficam cifradas.
• Cópias de segurança: as cópias são cifradas, e quem guarda o arquivo não consegue lê-lo.
• Senhas: guardadas só de forma protegida (hash seguro), nunca em texto claro, com mínimo de 8 caracteres.
• Sessões: o identificador da sessão não fica guardado em texto claro, e a sessão expira sozinha.
• Endereço IP de cliques: nos links rastreáveis, o IP de quem clica é guardado só de forma protegida; o IP cru não é armazenado.
• Autenticação forte: 2FA opcional por aplicativo autenticador (Google Authenticator, 1Password, Authy) com 8 códigos de backup de uso único.
• Acesso programático segmentado: chaves de acesso com permissões limitadas.
• Rastreabilidade: registro de auditoria filtrável, com exportação em CSV, do que foi feito, por quem e quando.
• Grupos de terceiros: o Serviço não lê nem espelha grupos de terceiros.

5. Sub-operadores

O Cliente concede ao SpotFlow autorização geral para contratar sub-operadores necessários à prestação do Serviço. Cada sub-operador é submetido a obrigações de proteção de dados compatíveis com as deste Adendo, e o SpotFlow permanece responsável perante o Cliente pelos atos dos sub-operadores que contrata.

Os sub-operadores atuais são:

A lista autoritativa e atualizada de sub-operadores, com suas localizações, é mantida em versão pública e versionada na página Sub-processadores. O SpotFlow não guarda número de cartão: os dados de pagamento são tratados diretamente pelo Mercado Pago.

Aviso de mudança: antes de incluir ou substituir um sub-operador que trate os Dados Tratados em Nome do Cliente, o SpotFlow atualizará a lista pública. O Cliente poderá opor-se de forma fundamentada a um novo sub-operador. Não sendo possível acomodar a objeção sem prejuízo relevante à prestação do Serviço, o Cliente poderá rescindir a parte afetada do Contrato Principal, nos termos deste e do Contrato Principal.

6. Assistência ao controlador

Considerando a natureza do tratamento e as informações disponíveis, o SpotFlow auxilia o Cliente a cumprir suas obrigações de controlador, em especial:

• Direitos dos titulares (Art. 18): por meio das ferramentas já disponíveis na interface, o Cliente pode exportar dados pessoais em JSON ou CSV (portabilidade, Art. 18, V), eliminar o workspace inteiro no portal (eliminação, Art. 18, VI) e é avisado no email antigo quando o email da conta é alterado (proteção contra sequestro de conta). O SpotFlow apoia o Cliente a responder pedidos de acesso, correção, anonimização, portabilidade e eliminação recebidos de titulares.
• Segurança: fornecer as informações e o apoio razoáveis para que o Cliente avalie e demonstre a adequação das medidas de segurança aplicadas ao tratamento.
• Relatório de impacto (Art. 38): fornecer, mediante solicitação, as informações razoavelmente necessárias para que o Cliente elabore relatório de impacto à proteção de dados pessoais relativo ao uso do Serviço.
• Comunicação com a ANPD: cooperar com o Cliente em eventuais interações com a ANPD relacionadas ao tratamento objeto deste Adendo.

Prazo de atendimento a pedidos: em regra, 15 dias úteis a partir do recebimento por um canal oficial, ressalvados prazos legais próprios e a complexidade do pedido.

7. Notificação de incidente de segurança

Ao tomar conhecimento de um Incidente de Segurança que afete os Dados Tratados em Nome do Cliente, o SpotFlow, na condição de operador, comunicará o Cliente sem demora injustificada, para que o Cliente, como controlador, avalie a necessidade de comunicar a ANPD e os titulares, nos termos do Art. 48 da LGPD.

A comunicação conterá as informações disponíveis no momento e será complementada à medida que novos elementos forem apurados, incluindo, quando aplicável:

• a natureza dos dados pessoais afetados;
• as categorias e, quando possível, o número aproximado de titulares afetados;
• as prováveis consequências do incidente;
• as medidas técnicas e de segurança já adotadas ou propostas para conter o incidente e mitigar seus efeitos;
• o ponto de contato para obtenção de mais informações.

O SpotFlow cooperará com o Cliente na investigação e na resposta. A comunicação de um incidente não constitui, por si, reconhecimento de culpa ou responsabilidade. O canal para tratativas de incidentes é o Encarregado, em dalmasio.dev@gmail.com.

8. Transferência internacional

A prestação do Serviço envolve transferência internacional de dados (Art. 33 da LGPD): os dados ficam nos Estados Unidos e na Finlândia. O banco de dados principal (Neon), a hospedagem do app (Vercel), o envio de emails (Resend), a geração de texto por IA (Groq) e a cópia de segurança cifrada (Cloudflare) tratam dados nos Estados Unidos. O envio de mensagens no WhatsApp (Hetzner) trata dados na Finlândia. Só o Mercado Pago, que processa o pagamento das assinaturas, trata dados no Brasil.

As transferências internacionais apoiam-se em garantias contratuais de proteção de dados firmadas com cada sub-operador (Art. 33, II), que asseguram grau de proteção compatível com o exigido pela LGPD. Os sub-operadores adotam suas próprias medidas de segurança na proteção dos dados que tratam.

A lista atualizada de sub-operadores e suas localizações está na página Sub-processadores. O Cliente reconhece e autoriza essas transferências como parte da execução do Serviço.

9. Retorno e eliminação dos dados

Encerrado o Contrato Principal, e ressalvadas as hipóteses de guarda obrigatória abaixo, o SpotFlow procederá, conforme a escolha do Cliente e as funcionalidades disponíveis, à devolução ou à eliminação dos Dados Tratados em Nome do Cliente.

O Cliente pode, a qualquer tempo enquanto a conta estiver ativa, exportar seus dados em JSON ou CSV e eliminar o workspace inteiro pelo portal. Os prazos de retenção após o fim da relação são:

A guarda de faturas e dados fiscais por 5 anos, bem como a retenção de logs para fins de segurança, decorre de obrigação legal e do exercício regular de direitos, hipóteses expressamente ressalvadas pelo Art. 16 da LGPD. Após esses prazos, os dados são eliminados de forma segura.

10. Auditoria

O SpotFlow disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações deste Adendo, priorizando meios que não exponham dados de outros Clientes nem comprometam a segurança da plataforma:

• a página de segurança, com a descrição das medidas técnicas aplicadas;
• a lista pública de sub-operadores, versionada;
• as ferramentas de registro de auditoria filtrável com exportação em CSV, disponíveis na própria conta;
• informações complementares sobre as medidas de segurança, mediante solicitação fundamentada ao Encarregado.

Quando a documentação disponibilizada não for suficiente para demonstrar a conformidade, e mediante justificativa, o Cliente poderá solicitar auditoria adicional, observadas condições razoáveis: aviso prévio, periodicidade limitada, escopo definido, dever de confidencialidade e execução sem interrupção da operação do Serviço ou risco à segurança de dados de terceiros. Custos de auditorias extraordinárias podem ser ajustados no Contrato Principal.

11. Responsabilidade

A responsabilidade de cada parte observa os Arts. 42 a 45 da LGPD e o papel efetivamente exercido em cada tratamento. Como regra geral, o Cliente responde pelas decisões que toma como controlador, inclusive quanto à base legal, à qualidade dos dados que insere e às instruções que fornece.

O SpotFlow, como operador, responde de forma solidária apenas nas hipóteses do Art. 42, § 1º, II, ou seja, quando descumprir as obrigações legais de operador ou quando não tiver seguido as instruções lícitas do controlador. Fica excluída a responsabilidade do SpotFlow por prejuízos decorrentes de instruções ilícitas, de dados inseridos indevidamente pelo Cliente (incluindo dados sensíveis, cujo tratamento não é suportado pelo Serviço) ou de uso do Serviço em desacordo com o Contrato Principal.

Os limites de responsabilidade previstos no Contrato Principal aplicam-se a este Adendo, na medida permitida pela lei aplicável.

12. Vigência e disposições finais

Este Adendo entra em vigor na data de aceite do Contrato Principal ou na data de vigência indicada, o que ocorrer por último, e permanece válido enquanto durar o Contrato Principal e houver tratamento de Dados Tratados em Nome do Cliente pelo SpotFlow.

Sobrevivem ao término deste Adendo, pelo tempo necessário ao seu cumprimento, as obrigações de confidencialidade, de devolução e eliminação de dados (Seção 9) e de responsabilidade (Seção 11).

Em caso de conflito entre este Adendo e o Contrato Principal quanto ao tratamento de dados pessoais, prevalece este Adendo. Aplica-se a legislação brasileira, em especial a LGPD (Lei nº 13.709/2018), e fica eleito o foro do domicílio do SpotFlow, ressalvado o foro do consumidor quando aplicável.

Vigência: 7 de outubro de 2026. Dúvidas sobre este Adendo, exercício de direitos ou negociação de um contrato de tratamento corporativo: Encarregado (DPO) Hugo Dalmasio de Sousa, dalmasio.dev@gmail.com.