Acordo de Tratamento de Dados Pessoais (DPA)

Este Acordo de Tratamento de Dados Pessoais ("DPA") integra e complementa os Termos de Uso celebrados entre 67.915.416 GIORDANO BRUNO BORGES BRAZ DA SILVA ME, que atua sob o nome fantasia Nolano Software, CNPJ nº 67.915.416/0001-00, com sede em Rua Rio Vermelho, 545, Bairro Novo Horizonte, Marabá/PA, CEP 68503-430 ("Reporta", "Operadora"), e o cliente contratante ("Cliente", "Controlador"), identificado pelos dados do respectivo cadastro no Serviço. Em caso de conflito sobre tratamento de dados pessoais, prevalece este DPA. Este documento é especialmente relevante para clientes Enterprise e órgãos públicos.

1. Objeto

Este DPA define os termos sob os quais a Reporta, na qualidade de operadora, trata dados pessoais em nome do Cliente, na qualidade de controlador, no âmbito da prestação do Serviço, em conformidade com a LGPD (Lei nº 13.709/2018).

2. Definições

Aplicam-se as definições da LGPD e dos Termos de Uso. "Dados Pessoais" refere-se aos dados tratados pela Reporta em nome do Cliente por meio do Serviço.

3. Papéis das partes

3.1. O Cliente é o Controlador: decide sobre as finalidades e os meios essenciais do tratamento dos dados de seu canal (solicitações, solicitantes). 3.2. A Reporta é a Operadora: trata os Dados Pessoais somente conforme as instruções documentadas do Cliente, representadas pelos Termos, por este DPA e pela configuração do Serviço. 3.3. A Reporta informará o Cliente caso, em sua avaliação, uma instrução viole a LGPD.

4. Escopo do tratamento

5. Obrigações da Operadora (art. 39, LGPD)

A Reporta compromete-se a:

a) Tratar os Dados Pessoais apenas conforme instruções do Cliente e para os fins do Serviço; b) Manter confidencialidade e garantir que pessoas autorizadas ao tratamento estejam sob dever de sigilo; c) Implementar e manter medidas de segurança técnicas e administrativas adequadas (Seção 7); d) Auxiliar o Cliente no atendimento às solicitações de titulares (Seção 8); e) Auxiliar o Cliente no cumprimento de obrigações de segurança e comunicação de incidentes (Seção 9); f) Eliminar ou devolver os Dados Pessoais ao término do contrato (Seção 10); g) Disponibilizar informações necessárias para demonstrar conformidade (Seção 11).

6. Suboperadores

6.1. O Cliente autoriza a Reporta a contratar suboperadores para a prestação do Serviço, desde que vinculados a obrigações de proteção de dados compatíveis com este DPA. 6.2. Suboperadores vigentes:

6.3. A Reporta comunicará alterações relevantes na lista de suboperadores, facultando ao Cliente objeção fundamentada por escrito. 6.4. A Reporta permanece responsável perante o Cliente pelas obrigações dos suboperadores.

7. Medidas de segurança (arts. 46–49, LGPD)

A Reporta adota, no mínimo:

• Criptografia em trânsito (TLS) das comunicações;
• Criptografia em repouso dos arquivos de evidência e das cópias de segurança do banco de dados, aplicada pelo provedor de armazenamento (Cloudflare R2, AES-256, sempre ativa e não desativável — ver a documentação da Cloudflare);
• Armazenamento privado por construção: os arquivos de evidência não possuem URL pública; o acesso ocorre apenas por link assinado de validade curta, emitido a usuário autenticado;
• Isolamento lógico por tenant e segregação de dados entre clientes, com validação do prefixo do tenant em cada referência a arquivo;
• Controle de acesso por papéis (ADMIN/AGENTE) e princípio do menor privilégio;
• Autenticação de dois fatores obrigatória por chave de acesso (passkey/WebAuthn) para logins privilegiados, além de sessão e tokens de atualização;
• Trilhas de auditoria imutáveis de ações sensíveis — não podem ser alteradas nem apagadas pela aplicação;
• Minimização de endereços IP: não gravamos IP de quem envia solicitação; IP de ação administrativa é gravado truncado ao bloco de rede. O registro de acesso exigido pelo Marco Civil (art. 15) é mantido em separado, com o endereço completo, por 6 meses, sem qualquer tela ou API do Serviço que o leia, e não registra a qual canal de cliente o acesso se deu — o que impede cruzá-lo com uma solicitação para identificar quem a enviou;
• Segregação de dados de cartão junto ao suboperador de pagamentos (a Reporta não armazena número completo de cartão);
• Práticas de gestão de acessos, registros e revisão periódica.

8. Direitos dos titulares

8.1. A Reporta, na medida do tecnicamente viável, fornece ao Cliente recursos no Serviço para localizar, corrigir, exportar e eliminar dados. 8.2. Recebendo solicitação de titular diretamente, a Reporta a encaminhará ao Cliente e não responderá em nome deste, salvo instrução.

9. Incidentes de segurança

9.1. A Reporta comunicará ao Cliente, sem demora injustificada após tomar conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, com as informações disponíveis para que o Cliente cumpra suas obrigações de notificação à ANPD e aos titulares. 9.2. A Reporta cooperará com as medidas de investigação e mitigação cabíveis.

10. Término, devolução e eliminação

10.1. Encerrado o contrato, o Cliente poderá, dentro de 30 (trinta) dias, solicitar a exportação/devolução dos Dados Pessoais em formato estruturado. 10.2. Decorrido esse prazo, a Reporta eliminará os Dados Pessoais de produção, ressalvadas as hipóteses legais de conservação. As cópias de segurança seguem ciclo de expurgo automático e são retidas por até 7 dias, de modo que os dados eliminados da base de produção desaparecem também dos backups dentro desse prazo.

11. Auditoria e conformidade

11.1. A Reporta disponibilizará, mediante solicitação razoável, informações e documentação necessárias para demonstrar o cumprimento deste DPA. 11.2. Auditorias adicionais, quando aplicáveis a contratos Enterprise/órgãos públicos, observarão escopo, periodicidade e confidencialidade pactuados, sem comprometer a segurança de outros clientes.

12. Transferência internacional

12.1. A aplicação e o banco de dados em produção são hospedados no Brasil (Campinas/SP). O tratamento corrente dos Dados Pessoais, portanto, ocorre em território nacional.

12.2. Há transferência internacional em quatro frentes, e o Cliente a autoriza ao aceitar este DPA: cópias de segurança do banco de dados e arquivos de evidência, armazenados pela Cloudflare na região Leste da América do Norte; triagem por IA, envio de e-mails e analytics de audiência, prestados por empresas nos EUA; e analytics de uso do painel, tratado pela Mixpanel, Inc. na União Europeia. Como o backup abrange o banco inteiro, os dados de solicitação são transferidos ao exterior nessa forma.

12.2.1. O analytics de uso do painel não recebe dados de solicitação nem dados de identificação dos usuários do Cliente: o identificador enviado é derivado por função criptográfica com segredo mantido pela Reporta, acompanhado apenas do plano contratado e do papel do usuário. A medição de audiência do site institucional (Google) opera com base no legítimo interesse da Reporta, restrita ao site institucional: não alcança o portal do cidadão nem o painel, e não trata dados dos usuários do Cliente nem das solicitações.

12.2.2. Nos termos da cláusula 6.3, o Cliente pode objetar ao analytics de uso do painel sem necessidade de justificativa por escrito: o desligamento é imediato e está disponível ao ADMIN em Configurações → Privacidade, valendo para toda a organização.

12.3. Essas transferências observam o art. 33 da LGPD, mediante garantias contratuais adequadas junto a cada suboperador.

13. Responsabilidade

A responsabilidade das partes observa o disposto na LGPD e nos Termos de Uso. Cada parte responde por suas obrigações na respectiva qualidade de controlador ou operador.

14. Vigência

Este DPA vigora enquanto a Reporta tratar Dados Pessoais em nome do Cliente, ainda que após o término do contrato principal, no que for aplicável à devolução e eliminação.

Partes:

• Operadora: 67.915.416 GIORDANO BRUNO BORGES BRAZ DA SILVA ME (nome fantasia Nolano Software), CNPJ 67.915.416/0001-00, Rua Rio Vermelho, 545, Bairro Novo Horizonte, Marabá/PA, CEP 68503-430 — contato@usereporta.com.br
• Controlador: o Cliente contratante, identificado pela razão social, CNPJ/CPF e endereço informados em seu cadastro no Serviço, que integram este DPA para todos os fins.

Este DPA vigora a partir da contratação do Serviço, independentemente de assinatura em separado. Clientes Enterprise e órgãos públicos que necessitem de via assinada podem solicitá-la pelo formulário de contato.