Acordo de
Processamento de Dados.

1. Papéis

Este acordo complementa os Termos de Uso e disciplina o tratamento de dados pessoais que a AutoBaze (Operadora, art. 5º VII LGPD) realiza em nome do cliente contratante (Controlador, art. 5º VI LGPD).

Você é Controlador quando cadastra clientes finais, funcionários, fornecedores e transações no sistema. A AutoBaze processa esses dados apenas conforme suas instruções e nunca pra finalidade própria de marketing.

2. Dados tratados

• Identificação: nome, CPF, CNPJ, RG, data de nascimento.
• Contato: e-mail, telefone, endereço, WhatsApp.
• Financeiro: compras, valores, formas de pagamento, tokens de cartão (nunca o número bruto).
• Operacional: IPs, User-Agent, logs de acesso (art. 15 do Marco Civil).
• Fiscal: Inscrição Estadual, regime tributário, notas emitidas.

Dados sensíveis (art. 5º II LGPD) não são tratados por padrão. Se você optar por armazenar informações sensíveis em campos livres (ex: observações clínicas em OS), assume responsabilidade integral.

3. Sub-operadores

Pra prestar o serviço, a AutoBaze usa parceiros técnicos com contrato de sigilo:

• Cloudflare (edge network, Workers, R2, DNS) EUA
• Hostinger (VPS Postgres, Supabase self-hosted) Lituânia, host físico BR/EU
• Brevo (e-mail transacional e campanhas) França
• Stripe (assinatura recorrente, checkout) EUA/BR
• Mercado Pago (assinatura em migração + recebimento online do lojista) Brasil
• AbacatePay (PIX one-time) Brasil
• WhatsApp Business (Meta) Irlanda
• Google (login social OAuth, opcional) EUA
• Anthropic / OpenAI (recursos de IA opcionais) EUA
• SEFAZ estaduais e portais NFS-e (transmissão obrigatória) Brasil

Nova adição, substituição ou remoção relevante é comunicada com 15 dias corridos de antecedência. Você pode objetar por escrito; persistindo divergência, pode rescindir sem multa.

4. Transferência internacional

Alguns sub-operadores processam dados fora do Brasil (Cloudflare, Brevo, Stripe, Anthropic, OpenAI, Meta, Google). Nesses casos aplicamos cláusulas contratuais padrão compatíveis com LGPD e GDPR, garantindo nível adequado de proteção (art. 33 LGPD).

5. Segurança

• Criptografia em trânsito: TLS 1.3 obrigatório.
• Criptografia em repouso: AES-256-GCM em campos sensíveis, Argon2id em senhas, envelope encryption em certificados A1.
• Isolamento por tenant: Row Level Security no Postgres + verificação de tenant em todas as consultas.
• Controle de acesso: RBAC + MFA para administração.
• Auditoria imutável de operações críticas.
• Backups Postgres diários com retenção 30/12/5 (dias/meses/ anos), testes periódicos de restauração.
• Monitoramento contínuo (Prometheus, Grafana, Loki) + alertas.

6. Notificação de incidente

Em caso de incidente de segurança que possa acarretar risco aos titulares (art. 48 LGPD), a AutoBaze notifica você em até 72 horas da constatação, informando natureza dos dados afetados, volume, medidas de contenção e recomendações. A notificação à ANPD e aos titulares, quando exigida, é sua responsabilidade como Controlador, com nosso apoio operacional.

7. Direitos dos titulares

Damos apoio operacional pra você atender solicitações dos titulares nos termos do art. 18 LGPD: confirmação, acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento e informação sobre compartilhamento. Solicitações são encaminhadas via dpo@autobaze.com.br, com prazo interno de resposta de 15 dias corridos.

8. Retenção

• Notas fiscais: 5 anos após o exercício fiscal (art. 173 CTN + LC 214/2025).
• Logs de auditoria: 5 anos.
• Logs de conexão: 6 meses (Marco Civil).
• Cadastros comerciais: enquanto o contrato estiver vigente + 5 anos após rescisão.
• Trial não convertido: 30 dias após expiração.
• Backups: rotação natural 30/12/5.

9. Auditoria

Você pode auditar (por si ou por terceiro sob sigilo) o cumprimento deste acordo, com aviso prévio de 30 dias e limite de 1 auditoria por ano. Sob solicitação disponibilizamos relatório de configuração de segurança, registros de acesso ao seu ambiente e comprovantes de backup.

10. Encarregado (DPO)

Nosso Encarregado atende titulares, ANPD e apoia você em qualquer questão de proteção de dados: dpo@autobaze.com.br.

11. Vigência

Este acordo vale enquanto sua contratação da AutoBaze estiver ativa. Sobrevivem à rescisão: sigilo (5 anos), obrigação de eliminação de dados nos prazos do §8 e notificação de incidentes ocorridos durante a vigência.