Acordo de Tratamento de Dados
O compromisso operacional entre cada loja, como controladora, e a Lojumi, como operadora dos dados do varejo.
1. Escopo e papéis
Este DPA integra os Termos e se aplica aos dados pessoais que a Lojumi trata em nome da organização para entregar a plataforma. A organização decide finalidades e meios essenciais e atua como controladora; a Lojumi processa conforme instruções documentadas e atua como operadora. Tratamentos próprios de cobrança, segurança, suporte e obrigações legais seguem a Política de Privacidade.
2. Tratamento autorizado
A duração acompanha o contrato e a retenção acordada. As operações incluem coleta, organização, armazenamento, consulta, alteração, comunicação por provedores escolhidos, exportação, backup e eliminação. Titulares podem incluir consumidores, funcionários, entregadores, fornecedores e contatos da loja. Dados incluem identificação, contato, aniversário, endereço, compras, crédito, pagamento, entrega, consentimento e eventos de acesso. A loja não deve inserir dados sensíveis sem acordo específico.
3. Instruções e conformidade
A Lojumi tratará dados somente para prestar e proteger o serviço, cumprir instruções configuradas e atender a lei. Se uma instrução parecer ilegal ou incompatível com a plataforma, informaremos a controladora antes de executá-la, salvo proibição legal. A controladora responde pela base legal, transparência, qualidade dos dados e conteúdo de suas mensagens.
4. Confidencialidade e segurança
Pessoas autorizadas assumem dever de confidencialidade. Medidas incluem banco por tenant, menor privilégio, segregação de ambientes, credenciais cifradas, TLS, logs redigidos, trilha de auditoria, gestão de vulnerabilidades, backups cifrados e testes periódicos de restauração. A matriz técnica e os prazos de correção podem ser detalhados no anexo comercial.
5. Suboperadores
A controladora autoriza os suboperadores necessários listados na documentação vigente, incluindo infraestrutura, armazenamento, cobrança, monitoramento e mensageria habilitada. Mudanças materiais serão informadas com antecedência razoável. Objeção fundamentada será analisada; se não houver alternativa viável, a parte afetada pode encerrar a função ou o contrato correspondente sem penalidade futura.
6. Direitos dos titulares
A Lojumi oferece meios técnicos e cooperação razoável para localizar, corrigir, exportar ou eliminar dados. Encaminharemos à controladora pedidos que digam respeito aos consumidores da loja e não responderemos em nome dela sem instrução, salvo obrigação legal.
7. Incidentes
Após confirmar incidente que comprometa dados tratados em nome da loja, notificaremos a controladora sem demora indevida com natureza, categorias afetadas, medidas adotadas e contato disponível. As partes cooperarão na avaliação de risco, contenção, evidências e comunicações à ANPD e aos titulares. A notificação não representa admissão automática de culpa.
8. Transferência, retorno e eliminação
Transferências internacionais usam provedores e mecanismos admitidos pela LGPD. No encerramento, a controladora pode exportar dados durante o prazo contratado. Em seguida, a Lojumi elimina ou anonimiza cópias ativas e deixa backups expirarem pela retenção programada, salvo obrigação legal de conservação.
9. Auditoria e evidências
Forneceremos informações razoáveis sobre conformidade e segurança. Auditorias presenciais exigem justificativa, confidencialidade, escopo proporcional e agendamento, evitando acesso a dados de outros tenants. Certificações e relatórios independentes poderão substituir controles já examinados.
10. Vigência
Este DPA vigora enquanto houver tratamento em nome da controladora. Deveres de confidencialidade, eliminação e responsabilidade permanecem pelo período aplicável. Dados completos das partes e assinaturas constam do pedido ou contrato comercial.