Acordo de Processamento de Dados (DPA)

Este DPA complementa os Termos de Uso quando o SeaSign atua como operador de dados pessoais em nome da sua empresa (controlador). Ele descreve finalidades, obrigações mútuas, subprocessadores, medidas de segurança e retenção de evidências de assinatura. Recomendado para clientes corporativos e operações com volume elevado de documentos.

1. Partes e definições

Este Acordo de Processamento de Dados (“DPA”) complementa os Termos de Uso entre o Cliente (“Controlador”) e o SeaSign (“Operador”). Aplicam-se as definições da Lei nº 13.709/2018 (LGPD).

2. Objeto e duração

O Operador tratará dados pessoais exclusivamente para prestar a plataforma SeaSign — incluindo criação de envelopes, coleta de assinaturas, armazenamento documental (GED), trilha de auditoria, integrações via API, notificações, validação pública de documentos e funcionalidades contratadas — pelo prazo da relação contratual e conforme instruções documentadas do Controlador.

3. Natureza e finalidade do tratamento

• hospedar documentos e metadados enviados pelo Controlador;
• identificar signatários e registrar evidências de assinatura (OTP, certificado A1, hash, carimbo de tempo, lacre PAdES-B, trilha técnica);
• enviar comunicações operacionais relacionadas a envelopes;
• gerar PDFs assinados, trilhas de auditoria e importação para GED quando habilitado;
• disponibilizar validador público de documentos e consulta por código de validação;
• disponibilizar API, webhooks e logs conforme o plano;
• prestar suporte, segurança, backup e continuidade do serviço.

4. Obrigações do Controlador

• garantir base legal para o tratamento e informar titulares quando necessário, incluindo a participação do Operador;
• obter consentimentos ou autorizações exigidos para assinatura eletrônica e métodos de autenticação configurados;
• coletar apenas dados adequados e necessários para cada envelope ou cadastro;
• configurar corretamente papéis, permissões e integrações (e-mail, WhatsApp, certificados);
• garantir licitude do conteúdo dos documentos e dos dados inseridos na Plataforma;
• atender solicitações de titulares na medida de sua responsabilidade como controlador;
• não instruir tratamento que viole a LGPD ou direitos de terceiros.

5. Obrigações do Operador

• tratar dados somente conforme instruções lícitas do Controlador e este DPA;
• garantir confidencialidade de pessoas autorizadas a tratar dados;
• implementar medidas de segurança compatíveis com o risco (controle de acesso, criptografia em trânsito, segregação multi-tenant, auditoria);
• auxiliar o Controlador no atendimento a direitos dos titulares, na medida do possível;
• notificar o Controlador sobre incidentes de segurança relevantes em até 48 (quarenta e oito) horas úteis após tomar conhecimento;
• eliminar ou devolver dados ao término do contrato, salvo retenção legal, evidências de assinatura ou backup temporário;
• disponibilizar informações necessárias para demonstrar conformidade.

6. Evidências de assinatura e retenção

O Operador poderá conservar evidências técnicas de assinatura eletrônica (logs, hash, OTP, certificados, geolocalização autorizada, lacre PAdES-B) além do encerramento da relação contratual quando necessário para validade jurídica, cumprimento de obrigação legal ou exercício de direitos, conforme a Política de Privacidade e instruções documentadas do Controlador.

7. Subprocessadores

O Controlador autoriza o uso de subprocessadores necessários à operação da Plataforma. O Operador exigirá de cada subprocessador obrigações de proteção de dados equivalentes às previstas neste DPA.

O Operador notificará o Controlador com antecedência mínima de 30 (trinta) dias sobre a contratação ou substituição de subprocessador que trate Dados Pessoais do Controlador, informando a identidade do prestador, localização, finalidade e natureza do tratamento. O Controlador poderá opor-se, por motivo fundamentado relacionado à proteção de dados, em até 15 (quinze) dias a contar da notificação. As partes buscarão solução razoável; persistindo a oposição fundada, o Controlador poderá rescindir a funcionalidade afetada ou o contrato, na medida aplicável, sem penalidade por rescisão motivada exclusivamente por essa oposição.

7.1 Lista de subprocessadores da plataforma

Subprocessadores utilizados pelo Operador na prestação do serviço, conforme funcionalidades habilitadas. A lista poderá ser atualizada conforme a seção anterior.

• Amazon Web Services (AWS) — armazenamento de arquivos (S3), filas de mensageria (SQS) e e-mail transacional da plataforma (SES). Localização: Estados Unidos (regiões us-west-1 e equivalentes).
• Neon — banco de dados PostgreSQL gerenciado. Localização: infraestrutura em nuvem nos Estados Unidos.
• Asaas Gestão Financeira — processamento de pagamentos e assinaturas de planos pagos. Localização: Brasil.
• Zoho Mail (SMTP) — envio de e-mails transacionais da plataforma (convites, OTP, suporte). Localização: conforme infraestrutura Zoho.
• Meta Platforms (WhatsApp Cloud API) — envio de mensagens WhatsApp quando configurado pelo Controlador. Localização: conforme infraestrutura Meta.
• MongoDB Atlas — armazenamento auxiliar de dados operacionais, quando habilitado. Localização: conforme região configurada.

Integrações opcionais configuradas pelo Controlador (SMTP próprio, WhatsApp via Baileys, Google Drive, Microsoft OneDrive, certificados ICP-Brasil, Gov.br etc.) podem envolver prestadores adicionais sob responsabilidade de configuração do Controlador. Para versão atualizada desta lista ou detalhes contratuais, contate contato@seasign.com.br com assunto “DPA SeaSign — subprocessadores”.

8. Transferências internacionais

Quando subprocessadores estiverem fora do Brasil, o Operador adotará mecanismos de transferência previstos na LGPD (arts. 33 a 36), incluindo cláusulas contratuais específicas, cláusulas-padrão ou outras garantias aplicáveis, informando o Controlador quando solicitado.

9. Segurança e auditoria

O Operador mantém registros de auditoria de ações relevantes na plataforma. Auditorias presenciais ou questionários de segurança podem ser tratados comercialmente para clientes Enterprise, mediante acordo específico.

10. Incidentes

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares cujos dados são tratados em nome do Controlador, o Operador notificará o Controlador em até 48 (quarenta e oito) horas úteis após tomar conhecimento do incidente, com as informações então disponíveis, incluindo, na medida do possível:

• natureza do incidente e categorias de dados afetados;
• número aproximado de titulares envolvidos;
• medidas adotadas ou propostas para mitigar efeitos e evitar recorrência;
• contato para obtenção de informações complementares.

O Operador cooperará com o Controlador para cumprimento das obrigações legais de comunicação à ANPD e aos titulares, cabendo ao Controlador, na qualidade de controlador, conduzir tais comunicações salvo acordo em contrário.

11. Término

Ao encerrar a conta, o Operador eliminará ou anonimizará dados pessoais conforme política de retenção, ressalvadas obrigações legais, evidências de assinatura indispensáveis e cópias de backup com ciclo de vida limitado.

12. Contato e solicitação formal

Para celebrar este DPA formalmente ou solicitar anexos específicos (medidas técnicas, atualização de subprocessadores), envie e-mail para contato@seasign.com.br com assunto “DPA SeaSign”.