Acordo de tratamento de dados de Torque

Minuta técnica. Precisa de revisão de advogado antes de uso comercial. Integra os Termos de uso e vincula a oficina controladora e o Fornecedor operador.

1. Partes, papéis e objeto

A oficina contratante ("Controladora") determina finalidades e meios essenciais do tratamento de dados pessoais de seus clientes finais e usuários sob sua gestão. PABLO CESAR DE AZEREDO COUTINHO (MEI), CNPJ 51.419.230/0001-20 ("Operador"), trata esses dados para fornecer Torque, conforme instruções documentadas da Controladora, os Termos de uso e configurações realizadas por seus administradores. O Fornecedor atua separadamente como controlador de dados necessários à própria contratação, cobrança e administração de sua operação.

2. Escopo, categorias e duração

Titulares: clientes finais, responsáveis por veículos, representantes e usuários autorizados da oficina. Dados: identificação, contatos, veículos, placa, histórico de manutenção, OS, checklist, fotografias, assinaturas, agenda, estoque, financeiro, documentos fiscais, mensagens, consentimentos e registros de acesso. Operações: coleta por inserção, organização, consulta, armazenamento, transmissão, exportação, anonimização e exclusão. Finalidade: disponibilizar os módulos contratados e prestar suporte autorizado. Duração: vigência contratual, retenção pós-cancelamento e obrigações de guarda aplicáveis.

3. Instruções e deveres da Controladora

A Controladora define bases legais, fornece avisos de privacidade, obtém autorizações exigíveis, configura perfis, controla sua equipe e responde aos titulares e autoridades nas matérias sob sua competência. Deve inserir apenas dados necessários e lícitos. Instruções adicionais serão documentadas pelos canais oficiais e não poderão exigir conduta ilegal ou tecnicamente incompatível com o serviço. O Operador informará à Controladora quando identificar instrução aparentemente contrária à LGPD, ressalvadas restrições legais.

4. Obrigações do Operador

O Operador limitará o tratamento às instruções lícitas, manterá deveres de confidencialidade, aplicará controles de acesso, adotará medidas técnicas e administrativas proporcionais aos riscos, registrará acessos e alterações conforme funcionalidade disponível e auxiliará, de forma razoável, na resposta a titulares, avaliações de segurança e cumprimento de obrigações legais da Controladora. Não utilizará dados da oficina para publicidade própria ou venda de bases sem base legal e autorização cabível.

5. Suboperadores e terceiros

O Operador utiliza, conforme módulos e fluxos, os fornecedores abaixo. O papel jurídico de cada terceiro será determinado por fluxo e contrato, sem presumir que todos sejam suboperadores. A lista atualizada deverá estar acessível à Controladora.

- Hospedagem: HostGator (servidor VPS no Brasil) — Execução do sistema e banco de dados. - Armazenamento S3 e backup: Cloudflare R2 (infraestrutura global) — Arquivos e cópias de segurança. - WhatsApp: Meta/WhatsApp (infraestrutura internacional) — Mensagens autorizadas pela oficina. - Pagamentos: Asaas — Cobranças e assinaturas. - Emissão fiscal: Focus NFe — Processamento de documentos fiscais. - E-mail transacional: Brevo (operações na União Europeia) — Avisos operacionais e recuperação de acesso.

Alterações materiais de suboperadores que tratem dados em nome da oficina serão comunicadas com antecedência pretendida de 30 dias, salvo urgência técnica, segurança ou exigência legal, assegurando canal para objeções fundamentadas e avaliação de alternativas razoáveis.

6. Transferência internacional

Quando houver transferência internacional de dados pessoais, o Operador documentará o fluxo, destinatários, finalidade e mecanismo válido aplicável segundo a LGPD e regulamentação da ANPD. Quando exigidas, deverão ser formalizadas cláusulas-padrão contratuais ou outras salvaguardas adequadas. A mera localização de um provedor no exterior não substitui essa avaliação.

7. Incidentes de segurança

Ao tomar conhecimento de incidente que possa comprometer dados da Controladora, o Operador realizará triagem imediata e comunicará a Controladora sem demora indevida, com meta contratual de comunicação inicial em até 24 horas após a confirmação do incidente, ainda que as informações estejam incompletas. Complementará progressivamente natureza do evento, dados e titulares potencialmente afetados, medidas de contenção e contato responsável. A Controladora decide, com apoio do Operador, sobre comunicação à ANPD e aos titulares conforme regras e prazos legais. O prazo interno de 24 horas não substitui prazos regulatórios.

8. Direitos dos titulares, auditoria e cooperação

O Operador encaminhará à Controladora pedidos recebidos diretamente relativos a seus clientes finais, salvo obrigação legal diversa, e fornecerá recursos disponíveis de exportação em JSON/PDF e anonimização de cadastro. Mediante solicitação razoável, disponibilizará informações sobre controles e conformidade, protegendo segredos comerciais, segurança da infraestrutura e dados de outras oficinas. Auditorias extraordinárias e custos devem ser acordados previamente, sem impedir deveres legais de cooperação.

9. Retenção, devolução e eliminação

A Controladora poderá exportar dados durante a contratação e por 90 dias após o cancelamento. Após o prazo, o Operador excluirá ou anonimizará dados operacionais nos sistemas ativos, salvo guarda legal ou preservação justificada. Backups cifrados seguirão expiração automática em até 30 dias, conforme política técnica verificada, com controles para impedir restauração indevida de dados já excluídos. Documentos fiscais e registros vinculados serão preservados somente pelo prazo legal aplicável. A anonimização cadastral não altera notas fiscais emitidas.

10. Responsabilidades e disposições finais

Cada parte responde por seus próprios deveres legais e contratuais e cooperará para apurar eventos e reduzir danos. O presente acordo prevalece em matéria de tratamento de dados realizado pelo Operador em nome da Controladora, sem afastar obrigações legais. Alterações relevantes serão versionadas e sujeitas ao procedimento de aceite contratual. Aplica-se a legislação brasileira e a cláusula de foro dos Termos de uso, ressalvadas competências obrigatórias.