RASCUNHO PARA REVISÃO JURÍDICA. Modelo-base de DPA. Cada operador real (ASAAS, Google, hospedagem) possui seus próprios termos de tratamento; este documento serve para (i) checklist do que exigir e (ii) DPA próprio quando o operador não fornecer um adequado. Validar com o Encarregado (DPO) e advogado de LGPD.

Acordo de Tratamento de Dados (DPA) - Modelo para Operadores

Este Acordo de Tratamento de Dados (“DPA”) rege o tratamento de dados pessoais realizado pelo Operador em nome da KOGNO (Controladora), nos termos da Lei nº 13.709/2018 (LGPD). Integra o contrato principal de prestação de serviços entre as partes.

1. Definições e papéis

1.1. Controladora: KOGNO ([RAZÃO SOCIAL], CNPJ 29.319.041/0001-27), a quem cabem as decisões sobre finalidades e meios essenciais.

1.2. Operador: [NOME DO OPERADOR], que trata dados pessoais em nome e sob as instruções da Controladora, exclusivamente para as finalidades deste DPA.

2. Objeto e finalidades

2.1. O Operador trata os dados pessoais estritamente necessários à prestação do serviço contratado: [DESCREVER - ex.: processamento de pagamento e split (ASAAS); videoconferência (Google); hospedagem (VPS); captação de leads].

2.2. É vedado ao Operador tratar os dados para finalidades próprias, estranhas a este DPA, salvo obrigação legal própria informada à Controladora.

3. Instruções de tratamento

3.1. O Operador trata os dados apenas conforme as instruções documentadas da Controladora e a legislação aplicável.

3.2. O Operador informa a Controladora caso entenda que uma instrução viola a LGPD.

4. Categorias de dados e de titulares

4.1. Dados: [cadastro, pagamento, imagem/voz, logs, conforme o operador]. Titulares: responsáveis, alunos (inclusive menores), professores. Tratamento de dados de menores e sensíveis recebe proteção reforçada.

5. Segurança da informação

5.1. O Operador adota medidas técnicas e administrativas adequadas (controle de acesso, criptografia, segregação, registros de auditoria, backups), proporcionais ao risco, em especial para dados de menores e sensíveis.

6. Confidencialidade

6.1. O Operador e seu pessoal mantêm confidencialidade sobre os dados, com obrigações de sigilo formalizadas.

7. Subcontratação (suboperadores)

7.1. O Operador só subcontrata suboperadores mediante autorização (geral ou específica) da Controladora, repassando-lhes as mesmas obrigações deste DPA, e responde pelos atos dos suboperadores.

8. Atendimento a titulares

8.1. O Operador auxilia a Controladora a responder às solicitações de titulares (art. 18) e às requisições da ANPD, nos prazos aplicáveis.

9. Incidentes de segurança

9.1. O Operador comunica a Controladora imediatamente (e no máximo em [PRAZO CURTO - ex.: 24 a 48h]) ao tomar conhecimento de incidente, fornecendo as informações necessárias à avaliação de risco e à comunicação à ANPD e aos titulares (art. 48).

10. Transferência internacional

10.1. Havendo tratamento fora do Brasil, o Operador assegura salvaguardas compatíveis com os arts. 33 e seguintes da LGPD (cláusulas-padrão contratuais ou equivalentes, normas corporativas globais, ou adequação reconhecida pela ANPD), e fornece à Controladora a documentação correspondente. Aplica-se em especial ao Google LLC (videoconferência) e a operadores hospedados no exterior.

11. Devolução ou eliminação ao término

11.1. Encerrado o serviço, o Operador, conforme instrução da Controladora, devolve ou elimina os dados pessoais e suas cópias, salvo obrigação legal de retenção, fornecendo declaração de eliminação quando solicitado.

12. Auditoria

12.1. O Operador disponibiliza à Controladora as informações necessárias para demonstrar conformidade e permite auditorias razoáveis, diretamente ou por relatórios de terceiros (por exemplo, certificações e relatórios de segurança).

13. Responsabilidade

13.1. As partes respondem nos termos da LGPD. O Operador indeniza a Controladora por danos decorrentes do descumprimento deste DPA, sem prejuízo da responsabilização legal própria.

14. Checklist de operadores da KOGNO

15. Histórico de versões