Acordo de Tratamento de Dados (DPA)

1. Partes e papéis

Controlador: o Cliente (construtora, imobiliária ou corretor) que define as finalidades e os meios do tratamento dos dados de leads, contatos e creators inseridos ou gerados na plataforma.

Operadora: a Instituto Innvicton Ltda, CNPJ 23.285.285/0001-50, que trata esses dados em nome do Controlador, seguindo suas instruções e os termos deste DPA.

2. Objeto e instruções

A Operadora tratará dados pessoais exclusivamente para prestar os serviços da plataforma de marketing imobiliário, conforme os Termos de Uso e as instruções documentadas do Controlador.

A Operadora não utilizará os dados do Controlador para finalidades próprias e comunicará o Controlador caso uma instrução, a seu ver, viole a LGPD.

3. Natureza, finalidade e categorias de dados

O tratamento abrange a captação, o armazenamento, a organização e a distribuição de leads e contatos comerciais, além da gestão de campanhas e da participação de creators.

• Categorias de titulares: leads, contatos comerciais, creators e usuários do Cliente.
• Categorias de dados: nome, telefone, e-mail, perfis sociais, registros de consentimento (incluindo consentimento de WhatsApp e escopo do creator) e dados de campanha.

4. Obrigações da Operadora

• Tratar dados apenas conforme as instruções do Controlador e a legislação aplicável.
• Garantir confidencialidade e que apenas pessoal autorizado acesse os dados.
• Adotar medidas de segurança compatíveis com o art. 46 da LGPD.
• Apoiar o Controlador no atendimento aos direitos dos titulares e nas obrigações legais.
• Manter registros das operações de tratamento sob sua responsabilidade.

5. Obrigações do Controlador

• Definir base legal válida e fornecer instruções lícitas para o tratamento.
• Garantir que os dados inseridos foram coletados de forma legítima, com consentimentos válidos quando exigido.
• Responder, como controlador, perante titulares e a autoridade nacional.

6. Sub-operadores

O Controlador autoriza a Operadora a contratar sub-operadores necessários à prestação do serviço, mediante contrato com obrigações de proteção equivalentes às deste DPA. Sub-operadores atuais:

• Meta Platforms: veiculação de campanhas e captação de leads em anúncios e formulários.
• Supabase: hospedagem de banco de dados e autenticação, em schema dedicado (arenaimob).
• Provedores de infraestrutura e comunicação vinculados à operação da plataforma.

7. Segurança da informação

A Operadora adota controle de acesso por perfil, criptografia em trânsito, isolamento por schema, registro de logs e políticas internas, em linha com o art. 46 da LGPD e as boas práticas de segurança.

8. Direitos dos titulares

A Operadora auxiliará o Controlador a responder solicitações de titulares previstas no art. 18 da LGPD. A plataforma oferece recursos de consentimento granular, anonimização de leads (anonymize_lead_lgpd) e suporte ao direito ao esquecimento.

9. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará o Controlador sem demora indevida, com as informações disponíveis, para que o Controlador cumpra os deveres de comunicação do art. 48 da LGPD à autoridade nacional e aos titulares.

10. Transferência internacional

Quando sub-operadores tratarem dados fora do Brasil, a Operadora adotará salvaguardas compatíveis com o Capítulo V da LGPD, como cláusulas contratuais e garantias de nível adequado de proteção.

11. Eliminação e devolução de dados

Encerrada a prestação dos serviços, a Operadora eliminará ou anonimizará os dados pessoais tratados por conta do Controlador, salvo obrigação legal de retenção. A pedido e dentro das possibilidades técnicas, a Operadora apoiará a devolução dos dados ao Controlador antes da eliminação.

12. Vigência

Este DPA vigora enquanto durar a relação contratual entre as partes e enquanto a Operadora tratar dados pessoais por conta do Controlador, prevalecendo, no que couber, as obrigações de segurança e sigilo após o término.