Adendo de Tratamento de Dados (DPA)

📄 Este Adendo é celebrado entre o StaFlow e o cliente como complemento ao Contrato SaaS ou Contrato de Parceria. Para solicitar a versão assinável personalizada, entre em contato: contato@staflow.app.br

Partes

Cláusula 1 — Definições

Para os fins deste Adendo, adotam-se as definições da Lei n.º 13.709/2018 (LGPD):

• "Dado pessoal": informação relacionada a pessoa natural identificada ou identificável.
• "Dado pessoal sensível": dado sobre saúde, origem racial ou étnica, convicção religiosa, dado genético ou biométrico, entre outros (Art. 5º, II, LGPD).
• "Tratamento": toda operação realizada com dados pessoais (coleta, armazenamento, uso, transmissão, eliminação etc.).
• "Controlador": quem toma as decisões sobre o tratamento.
• "Operador": quem realiza o tratamento em nome do Controlador.
• "Encarregado (DPO)": canal de comunicação entre as partes e a ANPD.
• "Incidente de segurança": acesso não autorizado ou situação acidental de destruição, perda, alteração ou difusão indevida de dados.
• "Suboperador": terceiro contratado pelo Operador para parte do tratamento.
• "ANPD": Autoridade Nacional de Proteção de Dados.

Cláusula 2 — Objeto e Finalidade do Tratamento

2.1 O Operador realizará o tratamento de dados pessoais exclusivamente para:

1. Operação do sistema de controle de ponto digital (registro, armazenamento e exibição de registros de jornada);
2. Geração de relatórios de espelho de ponto, BI financeiro e alertas de conformidade trabalhista;
3. Armazenamento e controle de acesso a documentos de saúde (atestados médicos);
4. Verificação de autenticidade dos registros via GPS antifraude;
5. Manutenção da integridade dos dados via hash SHA-256.

2.2 O Operador não tratará os dados para finalidades próprias, não os compartilhará com terceiros para fins comerciais e não os utilizará para perfilamento ou publicidade.

2.3 Qualquer tratamento para finalidade diversa somente poderá ocorrer mediante instrução escrita prévia do Controlador ou por obrigação legal.

Cláusula 3 — Categorias de Dados e Titulares

3.1 O tratamento abrange:

3.2 Titulares: funcionários dos condomínios gerenciados pelo Controlador e síndicos/gestores responsáveis pelas contas.

Cláusula 4 — Obrigações do Operador (StaFlow)

4.1 O Operador obriga-se a:

1. Tratar os dados exclusivamente conforme instruções documentadas do Controlador;
2. Garantir que pessoas autorizadas ao tratamento se comprometam com a confidencialidade;
3. Implementar e manter as medidas de segurança descritas na Cláusula 5;
4. Respeitar as condições para envolvimento de suboperadores (Cláusula 6);
5. Auxiliar o Controlador no cumprimento de obrigações de direitos dos titulares;
6. Notificar incidentes de segurança em até 72 horas (Cláusula 8);
7. Eliminar ou devolver todos os dados após o encerramento do Contrato Principal;
8. Disponibilizar informações para auditorias com aviso prévio de 15 dias úteis;
9. Informar imediatamente o Controlador caso alguma instrução viole a LGPD.

Cláusula 5 — Medidas de Segurança

O Operador implementa e mantém as seguintes medidas:

Controle de acesso

• Autenticação individual por usuário gestor
• Row Level Security (RLS) no banco de dados — isolamento total entre condomínios
• Acesso a dados de saúde apenas via Signed URL com expiração de 1 hora
• Princípio do mínimo privilégio

Integridade e rastreabilidade

• Hash SHA-256 em cada registro de ponto
• Logs de acesso e modificação de dados críticos

Segurança em trânsito e repouso

• HTTPS/TLS 1.2+ para toda transmissão de dados
• Criptografia em nível de disco (infraestrutura Supabase)
• Documentos de saúde em bucket privado, não indexável

Resiliência

• Backups automáticos diários (Supabase)
• Funcionamento offline com sincronização segura (IndexedDB)

Cláusula 6 — Suboperadores

6.1 O Controlador autoriza o uso dos seguintes suboperadores:

6.2 O Operador informará o Controlador com antecedência mínima de 15 dias sobre qualquer adição ou substituição de suboperadores.

6.3 O Operador permanece integralmente responsável perante o Controlador pelo cumprimento das obrigações pelos suboperadores.

Cláusula 7 — Transferência Internacional de Dados

7.1 Dados pessoais podem ser transferidos e armazenados nos EUA em razão da infraestrutura de Supabase e Vercel.

7.2 As transferências ocorrem com base em salvaguardas: padrões SOC 2 Type II / ISO 27001 dos suboperadores e cláusulas contratuais de proteção de dados compatíveis com a LGPD (Art. 33).

7.3 O Controlador, ao assinar este Adendo, consente expressamente com as transferências internacionais descritas.

Cláusula 8 — Notificação de Incidentes de Segurança

8.1 O Operador notificará o Controlador em até 72 horas após tomar conhecimento de qualquer incidente que possa afetar dados pessoais tratados em seu nome.

8.2 A notificação conterá: natureza do incidente, categorias e número de titulares afetados, contato do Encarregado, impacto provável e medidas de remediação adotadas.

8.3 O Operador cooperará com o Controlador na avaliação da necessidade de comunicação à ANPD e aos titulares afetados (Art. 48, LGPD).

8.4 A notificação não implica reconhecimento de responsabilidade.

Cláusula 9 — Direitos dos Titulares

9.1 O Controlador é o responsável primário pelo atendimento às solicitações de direitos dos titulares (Arts. 17–22, LGPD).

9.2 O Operador auxiliará o Controlador dentro de prazo razoável compatível com o prazo legal de resposta ao titular (15 dias úteis).

9.3 Se o Operador receber diretamente uma solicitação de titular, encaminhará ao Controlador em até 2 dias úteis.

Cláusula 10 — Obrigações do Controlador

10.1 O Controlador obriga-se a:

1. Garantir base legal adequada para cada categoria de dados inserida na plataforma, inclusive dados sensíveis;
2. Obter consentimento expresso dos titulares para dados sensíveis quando esse for o fundamento legal;
3. Informar os funcionários sobre o uso da plataforma e a coleta de GPS no momento do registro;
4. Não inserir dados cujo tratamento não seja necessário para as finalidades do serviço;
5. Notificar o Operador sobre qualquer uso indevido que possa afetar a segurança de dados de terceiros.

Cláusula 11 — Eliminação de Dados ao Término do Contrato

11.1 Após o encerramento do Contrato Principal, o Operador reterá os dados pelos prazos legais mínimos (ponto: 5 anos; saúde: conforme legislação trabalhista; demais: 90 dias após encerramento).

11.2 Findo o prazo de retenção, o Operador procederá à eliminação segura dos dados.

11.3 O Controlador pode solicitar exportação dos seus dados a qualquer tempo durante a vigência contratual. Prazo de disponibilização: 15 dias úteis.

11.4 O Operador emitirá declaração de eliminação dos dados mediante solicitação.

Cláusula 12 — Encarregados de Dados

Cláusula 13 — Vigência e Lei Aplicável

13.1 Este Adendo entra em vigor na data de assinatura do Contrato Principal e permanece em vigor enquanto o Operador realizar qualquer tratamento de dados em nome do Controlador.

13.2 Em caso de conflito entre este Adendo e o Contrato Principal, prevalece este Adendo no que se refere a obrigações de proteção de dados.

13.3 Este Adendo é regido pelas leis da República Federativa do Brasil, em especial a LGPD, e pelo mesmo foro eleito no Contrato Principal.