Anexo de Processamento de Dados (DPA)

Este Anexo de Processamento de Dados (DPA) integra o Contrato de Adesão de Software celebrado entre a BRYCKS (MATHEUS GOBETTI SILVA DESENVOLVIMENTO DE SOFTWARES LTDA, CNPJ 64.691.700/0001-52) e o Tenant. Regula o tratamento de dados pessoais realizado pela BRYCKS na qualidade de Operadora, em nome do Tenant (Controlador), em conformidade com a Lei nº 13.709/2018 (LGPD), a Resolução CD/ANPD nº 18/2024 (Encarregado) e a Resolução CD/ANPD nº 19/2024 (Transferência Internacional).

1. Objeto, natureza e finalidade do tratamento

A Operadora tratará os dados pessoais fornecidos pelo Controlador exclusivamente para prestar os serviços da plataforma Moovyi, conforme o Contrato de Adesão, incluindo: hospedagem, indexação, envio e recebimento de e-mail transacional, atendimento por mensageria (WhatsApp Business e Instagram Direct), cálculo de simulações de financiamento, registro de vendas e emissão de contratos, assinatura eletrônica, importação e conciliação de extratos bancários, publicação em portais de anúncio, registro de transferência de veículos junto ao RENAVE, mensuração de campanhas publicitárias do Controlador, geração de relatórios e atendimento a direitos do titular.

2. Duração

O tratamento perdura durante a vigência do Contrato de Adesão. Ao término, aplicam-se as regras da cláusula 11 deste DPA.

3. Categorias de titulares e de dados

• Titulares: (i) sócios, funcionários e colaboradores do Tenant com acesso ao painel, bem como vendedores cadastrados para fins de comissionamento; (ii) leads e clientes finais capturados pelo Tenant via site, formulários e canais de mensageria da plataforma; (iii) contrapartes identificáveis em extratos bancários importados pelo Tenant.
• Categorias de dados: nome, e-mail, telefone, CPF (criptografado em repouso com AES-256-GCM), endereço, data de nascimento, renda declarada, dados financeiros de simulação, dados de interesse em veículos, IP e user-agent, logs de acesso.
• Dados de mensageria (quando o Controlador ativa as integrações da Meta): número de WhatsApp, nome de perfil e identificador público de Instagram, conteúdo das mensagens trocadas e identificadores de campanha de anúncio (por exemplo, CTWA).
• Dados de venda, contrato e assinatura eletrônica:dados do comprador, valores, formas de pagamento, conteúdo do contrato e evidências de assinatura (data, hora, IP e e-mail do signatário).
• Dados financeiros do Controlador: agência e conta bancária e descrição de transações — que pode conter nome de contraparte pessoa física —, cifrados em repouso, com localização de conta por índice cego (HMAC).

4. Obrigações da Operadora

• Tratar os dados pessoais apenas conforme instruções lícitas e documentadas do Controlador.
• Adotar medidas técnicas e administrativas compatíveis com o art. 46 da LGPD (cifragem em repouso de CPF, de dados bancários e da descrição de transações, índice cego para busca, TLS em trânsito, RBAC, isolamento por tenant na camada de dados, audit log, backups segregados).
• Garantir o dever de sigilo a todos os colaboradores e sub-operadores.
• Auxiliar o Controlador no atendimento de solicitações de titulares (art. 18 da LGPD), disponibilizando no painel funções de exportação, anonimização, exclusão e políticas de retenção.

5. Declarações e garantias do Controlador

O Controlador declara e garante que dispõe de base legal adequada e cumpre os deveres de transparência perante os titulares em relação a todos os dados pessoais que submeta à plataforma ou cujo tratamento instrua, respondendo perante a Operadora e terceiros por instruções que violem a LGPD. Isso alcança expressamente:

• O contato de titulares pelos canais de mensageria integrados, inclusive campanhas ativas e reengajamento de contatos antigos.
• Os dados de terceiros contidos em extratos bancários que o Controlador importe no módulo Caixa, cujo tratamento se ampara nas obrigações fiscais, contábeis e de conciliação da própria atividade do Controlador.
• Os dados de compradores e signatários utilizados na emissão de contratos e na assinatura eletrônica.

O Controlador se obriga a não inserir dados pessoais sensíveis (art. 5º, II, da LGPD) em campos de texto livre da plataforma nem solicitá-los por meio dos canais de mensageria, uma vez que a plataforma não foi desenhada para tratá-los.

6. Notificação de incidentes

A Operadora comunicará o Controlador sobre qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares em até 48 (quarenta e oito) horas contadas da ciência do incidente, por meio do canal de suporte, informando a natureza dos dados afetados, titulares envolvidos, medidas técnicas adotadas e providências para mitigação. O Controlador é responsável pela comunicação formal à ANPD e aos titulares, quando cabível.

7. Sub-operadores

O Controlador autoriza a Operadora a contratar os sub-operadores listados a seguir, responsáveis por funções específicas indispensáveis à prestação do serviço. Os itens marcados como opcionais só tratam dados quando o próprio Controlador ativa a respectiva integração.

A Operadora permanece responsável perante o Controlador pelo cumprimento das obrigações dos sub-operadores. Alterações materiais na lista serão comunicadas ao Controlador com 30 (trinta) dias de antecedência, podendo o Controlador objetar por escrito dentro desse prazo.

8. Transferência internacional

Parte dos sub-operadores está fora do Brasil. As transferências internacionais de dados pessoais ocorrem com base nas Cláusulas-Padrão Contratuais (CPCs) aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) firmadas com cada sub-operador, ou, quando aplicável, em normas corporativas globais aprovadas pela Autoridade. Em caso de conflito entre este DPA e as CPCs da ANPD, prevalecerão estas últimas.

9. Mensuração de campanhas (Conversions API da Meta)

A ativação da Conversions API é instrução expressa do Controlador. Ativada, a Operadora envia à Meta eventos de conversão do próprio Controlador (por exemplo, lead recebido e venda concluída) contendo identificadores do titular transmitidos exclusivamente na forma de hash criptográfico, com a finalidade única de medir o resultado dos anúncios do Controlador.

Nessa operação a Meta trata os dados conforme seus próprios termos, podendo qualificar-se como controladora independente. Cabe ao Controlador dispor de base legal e de transparência adequada perante os titulares quanto a esse compartilhamento, podendo desativar a integração a qualquer momento no painel administrativo.

10. Auditoria

O Controlador poderá, mediante aviso prévio de 15 (quinze) dias, requerer documentação razoável sobre as medidas de segurança implementadas pela Operadora. Auditorias presenciais exigem acordo prévio entre as partes e poderão ser substituídas por relatórios de certificações reconhecidas (ex.: SOC 2, ISO 27001) quando disponíveis.

11. Destino dos dados ao término

Encerrada a vigência do Contrato, o Tenant poderá solicitar, no prazo de até 30 (trinta) dias, a exportação dos seus dados em formato estruturado e de uso comum. Decorrido esse prazo, os dados serão eliminados ou anonimizados, observados eventuais prazos legais de retenção obrigatória. A Operadora não reterá dados como forma de coação por inadimplência.

12. Encarregado (DPO) da Operadora

Matheus Gobetti Silva — e-mail dpo@moovyi.com, telefone +55 (16) 99635-4165.

13. Disposições finais

• Este DPA prevalece sobre o Contrato de Adesão nas matérias de proteção de dados pessoais.
• Alterações a este DPA serão comunicadas ao Controlador com 30 dias de antecedência e exigirão novo aceite eletrônico quando materialmente relevantes.
• Foro da Comarca de São Paulo/SP, nos termos da cláusula 19 do Contrato de Adesão.