Acordo de Processamento de Dados (DPA)
Data Processing Agreement entre Sinesys Tecnologia Ltda e seus clientes.
Última atualização:
Índice
1. Definições
Controlador: a instituição de ensino cliente do Aluminify.
Operador: Sinesys Tecnologia Ltda, que processa dados em nome do Controlador.
Dados Pessoais: conforme definição da LGPD (Lei 13.709/2018).
Subprocessadores: terceiros contratados pelo Operador para auxiliar no processamento.
2. Objeto
Este acordo estabelece as obrigações de proteção de dados entre o Controlador e o Operador no contexto da utilização da plataforma Aluminify.
3. Obrigações do Operador
- Processar dados apenas conforme instruções documentadas do Controlador
- Garantir que colaboradores com acesso a dados estejam sob compromisso de confidencialidade
- Implementar medidas técnicas e organizacionais adequadas
- Auxiliar o Controlador no atendimento a direitos dos titulares
- Notificar o Controlador sobre incidentes de segurança em até 72 horas
4. Subprocessadores
O Operador utiliza os seguintes subprocessadores:
| Subprocessador | Função | Localização |
|---|---|---|
| Supabase Inc. | Banco de dados e autenticação | EUA |
| Stripe Inc. | Processamento de pagamentos | EUA |
| Functional Software Inc. (Sentry) | Monitoramento de erros | EUA |
O Controlador será notificado com 30 dias de antecedência sobre novos subprocessadores.
5. Medidas de Segurança
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
- Isolamento de dados por Row Level Security (RLS)
- Backups diários com retenção de 30 dias
- Monitoramento contínuo e alertas de segurança
- Testes regulares de vulnerabilidade
6. Transferência Internacional
Dados podem ser transferidos para subprocessadores nos EUA. Transferências são amparadas por cláusulas contratuais padrão e mecanismos aprovados pela LGPD.
7. Retenção e Exclusão
Após término do contrato, dados do Controlador são excluídos em até 90 dias. O Controlador pode solicitar exportação dos dados antes da exclusão.
8. Auditorias
O Controlador tem direito a auditorias anuais mediante aviso prévio de 30 dias. O Operador fornecerá informações e acesso razoáveis.
9. Vigência
Este DPA vigora enquanto o Operador processar dados em nome do Controlador e permanece em vigor até a exclusão completa dos dados.