Acordo de Processamento de Dados (DPA)
Última atualização:: 12 de Agosto de 2026
📋 Conformidade GDPR Art. 28 e LGPD Art. 39: Este Acordo de Processamento de Dados (DPA) rege o tratamento de dados pessoais pelo XDatus em seu nome, conforme exigido pelo GDPR Art. 28 (União Europeia) e LGPD Art. 39 (Brasil). Ao usar a Plataforma, você concorda com os termos deste DPA.
Este DPA faz parte dos Termos de Serviço do XDatus e aplica-se sempre que dados pessoais são processados pela Plataforma em seu nome.
1. Partes
O presente DPA é celebrado entre: (a) o Cliente ("Controlador"), pessoa física ou jurídica que utiliza o XDatus; e (b) a XDatus ("Operador"), responsável por processar dados pessoais em nome do Controlador conforme as finalidades definidas.
2. Objeto
O presente DPA estabelece os termos sob os quais o Operador processará dados pessoais em nome do Controlador, incluindo: tipos de dados coletados, finalidades de uso, obrigações de segurança, sub-processadores, transferências internacionais e direitos do titular.
3. Tipos de Dados Processados
O Operador processa as seguintes categorias de dados pessoais: dados cadastrais (nome, email, região), dados de uso (consultas, habilidades executadas, modelos utilizados), dados de faturamento (processados pelo Stripe) e dados de dataset (enviados pelo Controlador para análise). O Operador NÃO processa dados sensíveis sem classificação explícita (LGPD Art. 11, GDPR Art. 9).
4. Finalidades de Tratamento
O Operador trata os dados pessoais exclusivamente para: (a) prestação do serviço XDatus; (b) faturamento; (c) suporte ao cliente; (d) segurança da plataforma; (e) cumprimento de obrigações legais. Qualquer outra finalidade requer consentimento específico do titular.
5. Obrigações do Operador
O Operador se compromete a: (a) tratar os dados apenas conforme instruções documentadas do Controlador; (b) garantir confidencialidade dos dados por meio de controles técnicos e organizacionais; (c) implementar medidas de segurança apropriadas (criptografia AES-256, controle de acesso baseado em papéis, logs de auditoria); (d) notificar o Controlador sobre incidentes de segurança em até 72h (GDPR Art. 33, LGPD Art. 48); (e) auxiliar o Controlador no cumprimento dos direitos do titular.
6. Sub-processadores
O Operador utiliza os seguintes sub-processadores: Stripe (pagamentos — global), Google Cloud (infraestrutura — global com regiões em US/EU/South America), Google Analytics (analytics — opt-in/opt-out por jurisdição). Lista completa atualizada em xdatus.com/sub-processors. O Operador notificará o Controlador com 30 dias de antecedência sobre novas adições.
7. Transferências Internacionais
Dados podem ser transferidos entre jurisdições conforme: (a) 🇪🇺 UE → 🇺🇸 EUA: SCCs (Standard Contractual Clauses) + Data Privacy Framework; (b) 🇧🇷 BR → 🇺🇸 EUA: cláusulas contratuais + Cláusula-Padrão Contratual ANPD; (c) 🇷🇺 RU → servidor em RU obrigatório (152-FZ Art. 18); (d) 🇨🇳 CN: cross-border requer CAC security assessment (PIPL Art. 38-39); (e) 🇮🇳 IN: subject to DPDPA Rules Mar/2025.
8. Direitos do Titular
O Operador auxilia o Controlador no cumprimento dos direitos do titular, conforme LGPD Art. 18, GDPR Arts. 15-22, CCPA §1798.100-140, PIPL Arts. 44-50, DPDPA §8(7-12) e 152-FZ Arts. 14-22. O Controlador deve notificar o Operador em até 5 dias úteis ao receber uma solicitação direta de titular.
9. Notificação de Violação
Em caso de violação de dados pessoais, o Operador notificará: (a) 🇪🇺 autoridades europeias em até 72h (GDPR Art. 33); (b) 🇺🇸 residentes CA em até 72h (CCPA §1798.82); (c) 🇮🇳 Data Protection Board em até 72h (DPDPA §8(6)); (d) 🇨🇳 autoridades chinesas imediatamente (PIPL Art. 57); (e) 🇷🇺 autoridades russas em até 24h (152-FZ Art. 22); (f) 🇧🇷 ANPD em prazo razoável (LGPD Art. 48).
10. Auditoria
O Controlador tem o direito de auditar as medidas de segurança e procedimentos do Operador uma vez ao ano, mediante notificação prévia de 30 dias. Custos da auditoria são de responsabilidade do Controlador, exceto se a auditoria revelar não-conformidade material, caso em que o Operador arcará com os custos.
11. Rescisão e Devolução de Dados
Ao término deste DPA (por qualquer motivo), o Operador: (a) cessará imediatamente o tratamento de dados pessoais; (b) devolverá ao Controlador todos os dados pessoais em formato estruturado (JSON) em até 30 dias; (c) apagará definitivamente todos os dados pessoais em até 90 dias, exceto quando a retenção for exigida por lei (ex.: obrigações fiscais).
12. Responsabilidade
O Operador é responsável por danos diretos causados por descumprimento deste DPA ou das leis de proteção de dados aplicáveis, limitado ao valor pago pelo Controlador nos últimos 12 meses. Nada nesta cláusula limita responsabilidade por dolo, fraude ou violação de direitos fundamentais.
13. Lei Aplicável e Foro
Este DPA é regido pela lei aplicável conforme a jurisdição do Controlador: LGPD (Brasil), GDPR (UE), CCPA (Califórnia), PIPL (China), DPDPA (Índia) ou 152-FZ (Rússia). Disputas serão resolvidas preferencialmente por mediação; caso não resolva, pelo foro da jurisdição aplicável.
Para questões sobre este DPA: [email protected]