Acordo de Tratamento de Dados Pessoais (DPA)

Acordo de Tratamento de Dados Pessoais

Este documento e um rascunho operacional, pendente de revisao juridica, e integra os Termos de Uso. Ele disciplina o tratamento de dados pessoais que a ARPI-IMOB realiza em nome do assinante, na condicao de operadora, nos termos da Lei nº 13.709/2018 (LGPD).

Para este acordo, Rafael Silva Marinheiro de Souza, pessoa natural inscrita no CPF sob o numero 086.568.954-78, com endereco profissional em Rua Maestro Luis, nº 207, Bairro Radir Pereira, Currais Novos/RN, CEP 59380-000, e o Prestador responsavel pela plataforma ARPI-IMOB e a parte que atua como Operadora quando trata dados em nome do assinante. ARPI-IMOB identifica a plataforma, e nao uma pessoa juridica autonoma nesta fase.

1. Por que este documento existe e quando ele se aplica

A LGPD separa dois papeis. Sobre os dados do proprio assinante - cadastro, login, cobranca - a ARPI-IMOB decide as finalidades e e controladora; isso e regido pela Politica de Privacidade. Sobre os dados que o assinante insere a respeito de terceiros - proprietarios, clientes, leads, interessados, locatarios, compradores, vendedores e partes de contrato - quem decide finalidade e meios e o assinante, que e controlador, e a ARPI-IMOB apenas executa: e operadora.

Este DPA rege exclusivamente a segunda relacao. Ele se aplica automaticamente a todo assinante, desde o aceite dos Termos de Uso, sem necessidade de assinatura separada.

2. Objeto, duracao e natureza do tratamento

• Objeto: operacao da plataforma ARPI-IMOB contratada pelo assinante.
• Duracao: enquanto durar a assinatura, mais os prazos de retencao da clausula 9.
• Natureza e finalidade: armazenar, organizar, consultar, alterar, transmitir e eliminar dados pessoais estritamente para prestar as funcionalidades contratadas - cadastro de imoveis, CRM, agenda, visitas, propostas, contratos, vitrine publica e controles de equipe.
• Categorias de titulares: proprietarios, locadores, locatarios, compradores, vendedores, leads, interessados, fiadores, procuradores e demais partes que o assinante registre.
• Categorias de dados: identificacao (nome, CPF/CNPJ, RG, nacionalidade, estado civil, profissao), contato (telefone, e-mail, endereco), dados patrimoniais e negociais do imovel e da transacao, documentos anexados pelo assinante e metadados dos arquivos.

3. Obrigacoes da ARPI-IMOB como operadora

A ARPI-IMOB obriga-se a:

• Tratar dados pessoais apenas conforme as instrucoes documentadas do assinante. Este DPA, os Termos de Uso e o uso das funcionalidades da plataforma constituem essas instrucoes. Se uma instrucao do assinante parecer violar a LGPD, a ARPI-IMOB o informara.
• Nao utilizar os dados de terceiros para finalidade propria. Em especial, nao os utiliza para publicidade, para treinar modelos, para enriquecer base propria nem para oferecer produtos a esses titulares.
• Manter confidencialidade, obrigando a mesma disciplina quem tenha acesso.
• Aplicar as medidas de seguranca da clausula 6.
• Auxiliar o assinante no atendimento a titulares (clausula 7) e diante da autoridade.
• Comunicar incidentes conforme a clausula 8.
• Manter registro das operacoes de tratamento que realiza (LGPD, art. 37).
• Ao fim da relacao, eliminar ou devolver os dados conforme a clausula 9.

4. Obrigacoes do assinante como controlador

O assinante declara e se obriga a:

• Possuir base legal adequada para inserir e tratar cada dado pessoal de terceiro na plataforma, e a informar os titulares como a LGPD exige. A ARPI-IMOB nao verifica nem valida a base legal do assinante e nao tem como faze-lo.
• Inserir apenas dados necessarios a finalidade - a plataforma nao impede o excesso, e minimizacao e dever do controlador.
• Nao inserir dados sensiveis (LGPD, art. 5º, II) em campos de texto livre, notas ou anexos. A plataforma nao foi desenhada para dados de saude, biometria, origem racial, conviccao religiosa, opiniao politica, filiacao sindical ou vida sexual, e nao aplica a esses dados as salvaguardas adicionais que a lei exige.
• Controlar quem acessa sua organizacao, revisando periodicamente os usuarios e os perfis de permissao. A concessao de acesso e ato do assinante.
• Responder, como controlador, aos pedidos de titulares sobre esses dados.
• Cumprir as obrigacoes proprias da atividade imobiliaria - inclusive as de prevencao a lavagem de dinheiro (Lei nº 9.613/1998 e Resolucao COFECI nº 1.336/2014) e as decorrentes do registro no CRECI. A plataforma e ferramenta de apoio e nao executa essas obrigacoes pelo assinante.

5. Suboperadores

O assinante autoriza a ARPI-IMOB a contratar suboperadores para a infraestrutura necessaria a prestacao do servico. A relacao vigente esta em Subprocessadores e integra este acordo.

A ARPI-IMOB exigira de cada suboperador obrigacoes de protecao compativeis com as deste DPA e responde perante o assinante pelos atos dos suboperadores que contrata.

Alteracoes: a inclusao ou substituicao de suboperador sera comunicada com antecedencia minima de 30 dias, por e-mail ao contato administrativo e por atualizacao da pagina de Subprocessadores. O assinante que se opuser, por motivo fundado em protecao de dados, podera rescindir sem multa ate a data da mudanca.

6. Seguranca

A ARPI-IMOB aplica controles proporcionais ao risco, entre eles: autenticacao por token com expiracao, segregacao logica por organizacao verificada automaticamente na base de codigo, controle de permissoes por perfil, MFA para operadores da plataforma, criptografia em transito, senhas armazenadas por hash, limite de tentativas nos fluxos de autenticacao, deteccao automatica de anomalia de acesso, registro de auditoria, registro seletivo de acesso a dado pessoal, expurgo de payloads sensiveis e armazenamento de arquivos por chave opaca com URL pre-assinada de validade curta.

Nenhum sistema e imune a incidentes. As medidas acima descrevem o estado atual e podem evoluir; a ARPI-IMOB nao as reduzira de forma a diminuir o nivel de protecao contratado.

7. Direitos dos titulares

Pedidos de titulares sobre dados inseridos pelo assinante devem ser dirigidos ao assinante, que e o controlador. Quando um pedido desses chegar a ARPI-IMOB, ela nao respondera diretamente: encaminhara ao assinante sem demora injustificada.

A ARPI-IMOB auxilia o assinante disponibilizando, na propria plataforma, funcoes de consulta, correcao, exportacao e exclusao ou anonimizacao dos registros, de modo que o assinante consiga atender aos pedidos nos prazos da LGPD. Havendo necessidade de auxilio adicional, o pedido deve ser enviado ao canal da clausula 11.

8. Incidentes de seguranca

Ao tomar conhecimento de incidente de seguranca que envolva dados pessoais tratados em nome do assinante, a ARPI-IMOB o comunicara sem demora injustificada, em prazo que preserve a capacidade do assinante de cumprir seus proprios deveres perante a ANPD e os titulares.

A comunicacao contera, na medida do conhecido: natureza do incidente, categorias e numero aproximado de titulares e registros afetados, consequencias provaveis, medidas adotadas ou propostas, e contato para mais informacoes. Informacao ainda nao apurada sera enviada em complementacao, sem retardar a comunicacao inicial.

A decisao de comunicar a ANPD e aos titulares e do assinante, na qualidade de controlador, nos termos do art. 48 da LGPD e da Resolucao CD/ANPD nº 15/2024. A ARPI-IMOB prestara as informacoes necessarias a essa decisao e nao a fara em nome do assinante, salvo solicitacao expressa.

9. Retencao, devolucao e eliminacao

• Durante a assinatura, o assinante pode exportar seus dados a qualquer momento pela plataforma.
• Encerrada a assinatura, os dados permanecem disponiveis para exportacao pelo prazo indicado nos Termos de Uso; a exclusao de conta observa a carencia operacional de 7 dias ali prevista, apos a qual os dados pessoais removiveis sao expurgados ou anonimizados.
• Registros que a lei obrigue a preservar - comerciais, fiscais, de auditoria e os registros de acesso a aplicacao exigidos pelo art. 15 da Lei nº 12.965/2014 - sobrevivem ao expurgo pelo prazo legal, com acesso restrito, nos termos do art. 16, I, da LGPD.
• Atencao do assinante: a atividade imobiliaria tem deveres proprios de guarda de registros, em especial os de prevencao a lavagem de dinheiro. Exportar os dados antes de solicitar a exclusao da conta e responsabilidade do assinante, e a ARPI-IMOB nao os reconstitui depois do expurgo.
• Backups seguem o ciclo operacional vigente e sao sobrescritos por rotina; dado ja expurgado da base ativa nao e restaurado a partir de backup, salvo em recuperacao de desastre, quando o expurgo e reaplicado.

10. Transferencia internacional

Parte dos suboperadores opera infraestrutura fora do Brasil ou e controlada por empresa sediada no exterior. O Zoho Mail ja processa comunicacoes de atendimento em infraestrutura nos Estados Unidos; a Vercel esta configurada nos Estados Unidos, sem evidencia de dados reais de clientes nesse fluxo. Toda transferencia internacional deve observar mecanismo previsto no art. 33 da LGPD e no Regulamento aprovado pela Resolucao CD/ANPD nº 19/2024. Antes de dados reais de clientes entrarem no produto, o fluxo e o mecanismo aplicavel devem estar documentados.

A relacao de suboperadores indica quais operam fora do Brasil.

11. Responsabilidade, auditoria e contato

Cada parte responde por suas proprias obrigacoes nos termos dos arts. 42 a 45 da LGPD. A ARPI-IMOB nao responde por tratamento decorrente de instrucao ilicita do assinante, por ausencia de base legal do assinante nem por dado que o assinante inseriu em desacordo com a clausula 4.

Mediante solicitacao fundamentada e com antecedencia razoavel, a ARPI-IMOB disponibilizara as informacoes necessarias para demonstrar o cumprimento deste DPA, preservados segredo de negocio e a seguranca dos demais assinantes.

Comunicacoes relativas a este acordo: suporte@arpi-imob.com.br.

12. Alteracoes

Alteracao que reduza direitos do assinante ou o nivel de protecao sera comunicada com antecedencia minima de 30 dias. Versoes historicas permanecem acessiveis pela URL versionada, no formato `/dpa?v=1.0`.