Acordo de Processamento de Dados (DPA)

Versão 1.0 — vigência a partir de

Este Acordo de Processamento de Dados ("DPA") é celebrado entre o Cliente (controlador dos dados, "Controlador") e a StyleOS Tecnologia Ltda. ("Operador"), em complemento ao Contrato de Prestação de Serviços principal, e rege o tratamento de dados pessoais nos termos da Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais ("LGPD").

1. Definições

Os termos "dados pessoais", "titular", "controlador", "operador", "tratamento", "incidente de segurança" e "transferência internacional" têm o significado que lhes é atribuído pela LGPD.

2. Objeto

O Operador tratará dados pessoais exclusivamente em nome do Controlador, para cumprir as finalidades definidas no Contrato principal — notadamente: gestão de agendamentos, cadastro de clientes finais, processamento de pagamentos, emissão de documentos fiscais, comunicação transacional, analytics operacional, atendimento ao cliente via WhatsApp/email/SMS e inteligência artificial aplicada à operação.

3. Categorias de dados e titulares

• Clientes finais do Controlador: nome, telefone, email, endereço, data de nascimento, histórico de atendimentos, anamnese (quando aplicável), preferências, fotos enviadas (portfólio).
• Usuários operacionais: nome, email, telefone, cargo, comissão, escala, documentos.
• Dados financeiros: transações, formas de pagamento, chaves PIX; dados de cartão NÃO trafegam pela StyleOS — são tokenizados pelos processadores certificados PCI DSS (Asaas, Mercado Pago).

4. Obrigações do Operador

1. Tratar os dados pessoais apenas mediante instrução documentada do Controlador.
2. Manter sigilo profissional e impor dever de confidencialidade a toda equipe.
3. Adotar medidas técnicas e organizacionais adequadas, incluindo: criptografia em trânsito (TLS 1.3) e em repouso (AES-256), isolamento multi-tenant via Row Level Security, MFA obrigatório para contas administrativas, audit log imutável, backup automático com retenção mínima de 30 dias.
4. Auxiliar o Controlador no atendimento a solicitações de titulares (acesso, correção, anonimização, portabilidade, eliminação — arts. 18 a 22 da LGPD).
5. Comunicar incidentes de segurança em até 72 horas após o conhecimento do fato, com detalhes previstos no art. 48 da LGPD.
6. Ao término da prestação, devolver ou eliminar os dados pessoais em até 90 dias, salvo obrigação legal de retenção.
7. Manter registros das operações de tratamento nos termos do art. 37 da LGPD.

5. Subprocessadores

O Controlador autoriza o Operador a contratar subprocessadores conforme lista pública em /trust/. Alterações na lista serão comunicadas com 30 dias de antecedência; o Controlador poderá objetar dentro deste prazo, hipótese em que ambos negociarão em boa-fé.

6. Transferência internacional

Os dados são hospedados primariamente em GCP southamerica-east1 (São Paulo, Brasil). Determinados subprocessadores (Gemini, WhatsApp Cloud API, Sentry) podem processar dados fora do Brasil; nesses casos, aplicam-se as hipóteses do art. 33 da LGPD, incluindo cláusulas contratuais padrão e adoção de medidas adicionais.

7. Auditoria

O Controlador poderá solicitar, uma vez por ano, questionário de segurança (SIG, VSA ou equivalente) e, mediante aviso prévio de 30 dias e acordo quanto ao escopo, auditoria remota dos controles pertinentes. Resultados de auditorias próprias do Operador (SOC 2, penetration test) serão disponibilizados sob NDA sempre que disponíveis.

8. Encarregado (DPO)

O Operador designa DPO para os fins do art. 41 da LGPD, acessível em dpo@styleos.com.br.

9. Vigência e foro

Este DPA vigora enquanto perdurar a relação contratual principal e sobrevive a qualquer extinção quanto às obrigações de sigilo, comunicação de incidentes e eliminação de dados. Foro da comarca de São Paulo/SP.

Este é um modelo público. Para assinatura formal, entre em contato com legal@styleos.com.br.