Acordo de Processamento de Dados (DPA) — Nossa EBD

Versão: 1.0·Vigência: 28 de maio de 2026·Atualizado em: 28 de maio de 2026

Versões publicadas

  • Versão 1.0·28 de maio de 2026vigente
  • Versão 1.0·20 de maio de 2026

Acordo de Processamento de Dados (DPA) — Nossa EBD

Versão: 1.0 Anexo I do Contrato de Serviço Nossa EBD (doc_201_contrato_servico_v1_0.md) Base legal: LGPD arts. 5º, 7º, 11, 33, 39, 46, 47, 48

PARTES

CONTROLADOR: [IGREJA], CNPJ [CNPJ] OPERADOR: SICHEM TECNOLOGIA LTDA., CNPJ 66.999.659/0001-01

1. OBJETO

1.1. Regular o tratamento de dados pessoais realizado pelo Operador em nome do Controlador no âmbito do Contrato Principal, em conformidade com a LGPD.

1.2. Em caso de conflito com o Contrato Principal no que se refere a dados pessoais, prevalece este Acordo de Processamento de Dados (DPA).

2. ESCOPO

2.1. Natureza: processamento automatizado via Software como Serviço com arquitetura multiassinante.

2.2. Finalidade: matrícula, gestão de turmas, presença, acompanhamento espiritual, relatórios, comunicação.

2.3. Duração: vigência do Contrato Principal + período de retenção legal/contratual (107_POLITICA_RETENCAO_E_ELIMINACAO.md).

2.4. Dados tratados: identificação, contato, familiares, sensíveis (religiosos), menores, geolocalização de check-in, dispositivo, audit logs.

2.5. Titulares: alunos (maiores e menores), responsáveis legais, visitantes, voluntários, colaboradores.

3. INSTRUÇÕES DO CONTROLADOR

3.1. O Operador trata dados estritamente conforme as instruções documentadas do Controlador, materializadas:

  • (a) pelo Contrato Principal e seus anexos;
  • (b) pela configuração do Assinante na Plataforma;
  • (c) por solicitações formais via e-mail/help-desk com identificação do solicitante.

3.2. Se uma instrução violar a LGPD, o Operador comunicará o Controlador e poderá suspender a execução até esclarecimento.

4. OBRIGAÇÕES DO OPERADOR

O Operador compromete-se a:

4.1. Confidencialidade — todas as pessoas autorizadas estão sob Acordo de Não Divulgação (NDA) (401_NDA_COLABORADORES_E_PARCEIROS.md).

4.2. Medidas técnicas e organizacionais — conforme 102_POLITICA_SEGURANCA_INFORMACAO.md, incluindo no mínimo:

Controle Implementação
Criptografia em trânsito TLS 1.2+
Criptografia em repouso AES-256 (volumes e backups)
Senhas bcrypt cost ≥ 12
Autenticação MFA para administradores
Isolamento plataforma compartilhada com isolamento por assinante church_id + PermissionGuard + RLS
Auditoria StudentAudit + AuditLogService
Sanitização sanitizeName() no service layer
Backups Diários, AES-256, retenção 30 dias
Vulnerabilidades Patches críticos em 72h; pentest anual
Treinamento LGPD anual para a equipe

4.3. Subprocessadores — somente os listados em 405_CADASTRO_SUBOPERADORES_VIGENTES.md. Inclusão de novo subprocessador será comunicada com 30 dias de antecedência; o Controlador poderá objetar com fundamento, hipótese em que as Partes negociarão solução; persistindo o impasse, o Controlador poderá rescindir sem multa.

4.4. Suporte ao exercício de direitos — instrumentos para que o Controlador atenda titulares (Art. 18) — exportação, correção, eliminação, portabilidade — em até 5 dias úteis após pedido formal.

4.5. Comunicação de incidentes — ao Controlador em até 24 horas após confirmação, contendo: descrição, dados afetados, número aproximado de titulares, medidas adotadas e contato do Encarregado (DPO). Cooperação plena nas comunicações à ANPD e aos titulares.

4.6. Auditoria — uma vez por ano, ou após incidente material, o Controlador (ou auditor independente sob NDA) poderá auditar evidências de conformidade do Operador, mediante aviso prévio de 30 dias, em horário comercial e sem prejuízo das operações. Custos da auditoria: por conta do Controlador, salvo se a auditoria revelar não conformidade material.

4.7. Não utilização para outras finalidades — vedado uso secundário de dados pessoais do Controlador, ressalvado dado anonimizado e agregado para benchmarks.

4.8. Cooperação com a ANPD — o Operador prestará informações requeridas pela autoridade.

5. OBRIGAÇÕES DO CONTROLADOR

5.1. Possuir base legal para os tratamentos solicitados (Arts. 7º e 11).

5.2. Obter consentimentos quando exigidos (sensíveis, menores, marketing).

5.3. Inserir dados lícitos, mínimos e atualizados.

5.4. Atender prioritariamente as solicitações de seus titulares.

5.5. Indicar interlocutor responsável (DPO ou ponto focal) para o Operador.

5.6. Não inserir dados de categorias proibidas (ex.: dados de saúde sem base legal própria, biometria sensível).

6. TRANSFERÊNCIA INTERNACIONAL

6.1. Quando aplicável, realizada com base nos mecanismos do art. 33 da LGPD (cláusulas-padrão, certificações, decisão de adequação da ANPD).

6.2. Lista de países envolvidos na operação atual: [PAÍSES] — atualizada em 405_CADASTRO_SUBOPERADORES_VIGENTES.md.

7. RESPONSABILIDADE

7.1. Cada Parte responde por sua atuação. Em caso de responsabilidade solidária imposta judicialmente, o causador exclusivo do dano reembolsará a outra (cláusula de regresso — 503_CLAUSULA_REGRESSO_MODELO.md).

7.2. Limites de responsabilidade do Contrato Principal aplicam-se subsidiariamente, ressalvadas as obrigações de indenidade.

8. TÉRMINO

8.1. Encerrado o Contrato Principal, o Operador:

  • Disponibilizará exportação por 30 dias;
  • Eliminará dados em até 30 dias adicionais;
  • Emitirá Certificado de Eliminação assinado pelo Encarregado (DPO);
  • Manterá apenas dados sob obrigação legal (fiscal, prescricional), com acesso restrito.

9. VIGÊNCIA

9.1. Este Acordo de Processamento de Dados (DPA) vigora enquanto vigorar o Contrato Principal e enquanto houver dados pessoais do Controlador sob custódia do Operador.

10. DISPOSIÇÕES FINAIS

10.1. Eventuais alterações materiais serão formalizadas por aditivo.

10.2. Foro: igual ao do Contrato Principal.

[CIDADE/UF], [DATA].

[CONTROLADOR — Igreja]

[OPERADOR — Software como Serviço]