Contrato de Tratamento de Dados Pessoais (DPA) | SUPER Esquadrias

CONTROLADORA: a empresa identificada no pedido (CONTRATANTE), CNPJ conforme informado no pedido (Lei 13.709/2018, art. 5º, VI). OPERADOR: AVS Sistemas, CNPJ 68.486.683/0001-72 (art. 5º, VII).

1. Objeto e natureza do tratamento

1.1. O OPERADOR hospeda e mantém a plataforma SUPER Esquadrias em https://super.avssistemas.com.br e trata dados pessoais exclusivamente em nome e sob instruções da CONTROLADORA (art. 39).

1.2. Operações: cadastro de clientes e obras, elaboração e envio de orçamentos, aprovação e assinatura digital pelo cliente final, envio de mensagens pelo WhatsApp, fotos de obra pelo aplicativo, registros financeiros, backups, exportação e eliminação.

2. Categorias

| Titulares | Dados | |---|---| | Clientes e prospects da CONTROLADORA | nome, CPF/CNPJ, telefone, e-mail, endereço da obra, orçamentos e valores, aprovações e assinaturas, mensagens de WhatsApp enviadas pela Plataforma | | Fornecedores e parceiros | nome, CNPJ, contato, condições comerciais | | Usuários da CONTROLADORA (equipe) | nome, e-mail, perfil de acesso, logs de acesso e de atividade, fotos de obra que tirarem |

Não se espera tratamento de dados sensíveis (art. 11). Se a CONTROLADORA inserir dados dessa natureza em campos livres ou anexos, assegura a base legal correspondente.

3. Instruções da CONTROLADORA

O OPERADOR só trata dados conforme este DPA, os Termos e instruções escritas adicionais. Instrução que viole a LGPD será recusada por escrito (art. 39).

4. Medidas de segurança (art. 46)

• Dados de cada empresa separados por identificador próprio em todas as consultas, com testes automáticos que impedem que uma empresa veja dados de outra.
• Campos pessoais cifrados em repouso; chave de cifra separada da chave da aplicação.
• Autenticação por usuário, perfis de acesso (administrador, projetista, vendedor, cliente externo), bloqueio de usuários e limite de tentativas.
• TLS obrigatório (HSTS), cabeçalhos de segurança, proteção contra falsificação de requisição.
• Registro de auditoria das operações relevantes, inclusive dos pedidos de titulares, preservado após eliminação do titular.
• Backups diários cifrados; testes de restauração periódicos.
• Separação de ambientes; segredos fora do repositório.

5. Suboperadores (art. 39 c/c art. 33)

| Suboperador | Finalidade | Dados enviados | Localização | |---|---|---|---| | Provedor de nuvem | hospedagem e backups | todos (cifrados em repouso) | Brasil (região São Paulo da Oracle Cloud) | | Asaas | cobrança da assinatura da CONTROLADORA junto ao OPERADOR | razão social, CNPJ/CPF, e-mail e telefone do responsável pelo contrato | Brasil | | Provedor de e-mail transacional | convites, aprovações e avisos | nome e e-mail dos destinatários | Brasil/EUA | | Meta / WhatsApp Business (API oficial), quando ativado pela CONTROLADORA | mensageria | mensagens e números de telefone | EUA/UE (termos da Meta) | | Provedor de assinatura digital (DocuSeal, hospedado pelo OPERADOR), quando ativado | assinatura de orçamentos e contratos | documento, nome e e-mail do signatário | Brasil | | Sentry (opcional) | monitoramento de erros | mensagens de erro com dados pessoais removidos | EUA |

5.1. A CONTROLADORA será informada com 15 dias de antecedência sobre inclusão ou troca de suboperador.

5.2. Transferência internacional (art. 33): realizada com base em cláusulas contratuais dos provedores e na execução do contrato com a CONTROLADORA.

6. Direitos dos titulares (art. 18)

A Plataforma oferece à CONTROLADORA, na área LGPD, as ferramentas para exportar os dados de um titular, retificar, anonimizar e eliminar, todas auditadas, além de um canal público para o titular pedir diretamente. O OPERADOR auxilia em até 5 dias úteis quando a solicitação exigir intervenção técnica.

7. Incidentes (art. 48)

O OPERADOR comunica à CONTROLADORA qualquer incidente de segurança com dados pessoais em até 48 horas após ciência, com descrição, dados afetados, medidas adotadas e recomendações. A comunicação à ANPD e aos titulares é da CONTROLADORA; o OPERADOR fornece os subsídios.

8. Retenção e eliminação

• Dados operacionais: durante a vigência.
• Titulares anonimizados a pedido: eliminação definitiva conforme a política de retenção da Plataforma.
• Logs de acesso: 12 meses.
• Ao término do contrato: exportação em 30 dias e eliminação segura em 60 dias, inclusive backups (por expiração), salvo guarda legal.

9. Auditoria

A CONTROLADORA pode solicitar, uma vez ao ano, relatório das medidas de segurança e evidências (configurações, logs agregados) e, mediante aviso de 15 dias, auditoria presencial ou remota às suas custas.

10. Responsabilidade (art. 42)

O OPERADOR responde pelos danos que causar por descumprimento da LGPD ou das instruções da CONTROLADORA. A CONTROLADORA responde pela licitude das bases legais e pelo conteúdo que insere ou envia.

11. Encarregado (art. 41)

CONTROLADORA: contato@avssistemas.com.br. OPERADOR: contato@avssistemas.com.br.

Aceite eletrônico

Este documento é aceito eletronicamente no checkout do site da AVS Sistemas, com registro de data, hora, endereço IP e versão (2026-10). O aceite tem o mesmo valor da assinatura das partes. Uma cópia é enviada ao e-mail informado no pedido.