Adendo de Tratamento de Dados (DPA) — Zapool

Adendo separado dos Termos de signup. Não constitui parecer jurídico de escritório externo. Elaborado para clickwrap do Dono (hard gate antes de Meta / Contato / webhook de Mensagem).

1. Objeto e papéis

1.1 Este DPA regula o tratamento de dados pessoais de Contato e de Mensagem pela Alameda em nome do Cliente, para prestação do SaaS Zapool.

1.2 Para os fins da LGPD:

• o Cliente Zapool é Controlador de Contato e Mensagem;
• a Alameda é Operadora (art. 5º, VII, e art. 39 da LGPD);
• dados de Usuário da conta (login/auth) permanecem sob a Política de Privacidade (Alameda Controladora) e não são o objeto principal deste DPA.

1.3 A Meta (WhatsApp / Instagram / Messenger) é canal / subprocessadora de mensageria, não controladora conjunta Alameda↔Meta por padrão.

2. Aceite e evidência

2.1 Somente o Dono pode aceitar este DPA em nome do Cliente.

2.2 O aceite é eletrônico (clickwrap) e gera evidência com, no mínimo: identificação do Dono, identificação do tenant, dpaVersion, acceptedAt (IP opcional).

2.3 Sem aceite da versão vigente: a Alameda não abre Embedded Signup / Login for Business, não persiste tokens/IDs de canal, não cria Contato, não processa webhook de Mensagem do tenant e não expõe Inbox com Mensagem real daquele tenant. Navegação “só conta” e telas explicativas permanecem permitidas.

3. Instruções de tratamento

3.1 A Alameda tratará Contato e Mensagem somente para:

• receber, rotear e exibir Mensagens nos canais conectados;
• manter Contatos necessários ao atendimento no Zapool;
• operar webhooks, filas/cache efêmero e funções estritamente necessárias ao Serviço;
• cumprir obrigações legais ou ordens válidas de autoridade.

3.2 A Alameda não tratará Contato/Mensagem, no MVP, para:

• finalidade própria (prospecção, marketing próprio, treino de modelos de IA com esses dados, analytics cross-tenant);
• qualquer uso incompatível com este DPA ou com instruções lícitas do Cliente.

3.3 Se a Alameda considerar que alguma instrução do Cliente viola a LGPD ou outra norma, informará o Cliente e poderá suspender o tratamento afetado até saneamento.

4. Categorias de dados e titulares

O Cliente não deve instruir a Alameda a tratar categorias desnecessárias ao Serviço.

5. Mensagem efêmera

5.1 Mensagens são tratadas com minimização: cache em Redis com TTL de 24 horas, sem persistência de histórico longo no banco primário (PG) no desenho atual.

5.2 Efemeridade não exclui o caráter de tratamento de dados pessoais nem as obrigações deste DPA.

5.3 O Cliente reconhece que pedidos de acesso a conteúdo de Mensagem podem ser inviáveis após o TTL.

6. Base legal do Controlador

6.1 O Cliente declara e garante que possui base legal adequada (arts. 7º e/ou 11 da LGPD, conforme válido) para o tratamento de Contato/Mensagem que instruir a Alameda a realizar.

6.2 A Alameda não coleta consentimento do Contato em nome do Cliente no MVP, salvo funcionalidade futura expressamente acordada por escrito.

7. Subprocessadores

7.1 O Cliente autoriza a Alameda a utilizar os subprocessadores listados no Anexo A, necessários à operação do Zapool.

7.2 A Alameda imporá obrigações de proteção de dados compatíveis com este DPA, na medida do razoável e do que os contratos com subprocessadores permitirem.

7.3 A Alameda poderá atualizar o Anexo A com aviso razoável. Mudanças materiais (ex.: novo subprocessador que trate Contato/Mensagem; mudança de região de armazenamento com PII; ampliação material do que ferramentas de erro/analytics recebem sobre Contato/Mensagem) exigem re-aceite do Dono. Ajustes cosméticos/typo não re-bloqueiam o Serviço.

8. Segurança

8.1 A Alameda adotará medidas técnicas e administrativas de segurança compatíveis com o art. 46 da LGPD e com a natureza do Serviço (incluindo controle de acesso, HTTPS, segregação lógica de tenants na medida da arquitetura, e proibição de logar corpo de Mensagem em claro).

8.2 O Cliente é responsável por segurança das contas de Usuário do seu tenant, dispositivos e pelo uso adequado dos canais Meta.

9. Direitos dos titulares

9.1 Pedidos de titulares relativos a Contato/Mensagem devem ser atendidos, em regra, pelo Cliente (Controlador).

9.2 A Alameda auxiliará o Cliente, sob instrução documentada, na medida tecnicamente possível (ex.: exclusão/anonimização de Contato no banco; limitação decorrente do TTL de Mensagem).

9.3 Prazos de auxílio seguirão a legislação e a capacidade técnica; o Cliente permanece responsável perante o titular e a ANPD.

10. Incidentes de segurança

10.1 Se a Alameda tomar conhecimento de incidente de segurança que possa afetar dados pessoais de Contato/Mensagem do Cliente tratados sob este DPA, notificará o Dono em até 24 (vinte e quatro) horas após tal conhecimento, sem prejuízo de atualizações posteriores.

10.2 A notificação incluirá, na medida disponível: natureza do incidente, dados/titulares potencialmente afetados, medidas tomadas ou propostas e canal de contato.

10.3 O Cliente é responsável por avaliar a necessidade de comunicar titulares e a ANPD.

11. Auditoria

11.1 O Cliente poderá solicitar informações razoáveis para verificar o cumprimento deste DPA (questionário / evidências documentais).

11.2 Auditorias presenciais ou invasivas só ocorrerão se mutuamente acordadas por escrito, com aviso prévio mínimo de 30 dias, sem comprometer segurança ou confidencialidade de outros clientes, e no máximo 1 (uma) vez por ano, salvo incidente material ou ordem de autoridade.

12. Transferência internacional

Na medida em que Contato/Mensagem sejam tratados fora do Brasil (ex.: hospedagem nos EUA — Boston; infraestrutura Meta; demais subprocessadores do Anexo A), aplicam-se a transparência da Política de Privacidade e o art. 33 da LGPD, com garantias contratuais/DPA dos fornecedores conforme cabível. Mecanismos adicionais (incluindo CPC ANPD) poderão ser adotados pela Alameda ao longo do tempo.

13. Vigência e fim do tratamento

13.1 Este DPA vigorará enquanto o Cliente utilizar funcionalidades que impliquem tratamento de Contato/Mensagem pela Alameda, ou enquanto existirem obrigações residuais.

13.2 Ao término do contrato / offboarding do tenant, a Alameda excluirá ou anonimizará Contatos do Cliente em até 30 dias, salvo: (a) obrigação legal de retenção; (b) instrução escrita diversa do Cliente; (c) cópias em backup pelo ciclo máximo documentado (≤ 30 dias), sem restauração operacional indevida.

13.3 O tratamento de Mensagem cessa com o TTL e o purge dos caches; não há promessa de arquivo histórico.

14. Responsabilidade

14.1 Cada parte responde na medida de sua culpa pelos danos que causar no âmbito deste DPA, observados os limites dos Termos de Uso naquilo que forem compatíveis com a LGPD.

14.2 O Cliente responde perante titulares e autoridades por decisões de Controlador (finalidade, base legal, transparência ao Contato, etc.).

14.3 A Alameda responde por descumprimento de instruções lícitas ou de obrigações próprias de Operadora.

15. Alterações

A Alameda pode publicar novas versões deste DPA. Mudanças materiais exigem novo aceite do Dono para continuar Meta/Contato/webhook. A versão aceita permanece aplicável aos tratamentos realizados sob ela.

16. Contato da Operadora

ALAMEDA SOLUTIONS LTDA — CNPJ 60.184.290/0001-00
Encarregado: Thiago Almeida Amorim — alameda.solutions@gmail.com
Sede: Av. Jaime Reis, 30, Conj. 12, Andar 02, Cond. Garibaldi Cto. Cmrl., São Francisco, Curitiba/PR, CEP 80.510-010

Anexo A — Subprocessadores ( Contato / Mensagem e infraestrutura associada )

Nota: Resend, Google OAuth e PostHog tratam primariamente dados de Usuário (Controladora) e constam da Política de Privacidade; entram neste Anexo na medida em que qualquer expansão futura os faça tratar Contato/Mensagem — o que não ocorre no MVP descrito.