Acordo de Tratamento de Dados (DPA)

1. Definições e papéis

Para os fins deste DPA, aplicam-se as definições da LGPD.

Quanto aos dados que o usuário insere e gerencia na plataforma (lançamentos financeiros, anotações e informações correlatas), o usuário atua como controlador, definindo as finalidades do tratamento, e a Instituto Innvicton Ltda atua como operadora, tratando esses dados conforme as instruções do controlador e a finalidade de prestação do serviço.

2. Objeto e finalidade do tratamento

A operadora trata os dados pessoais exclusivamente para prestar os serviços do Rendei: registrar ganhos e despesas, transcrever e interpretar mensagens enviadas à assistente Lívia, gerar resumos e relatórios e manter a conta do usuário.

A operadora não utiliza os dados do controlador para finalidades próprias incompatíveis com a prestação do serviço.

3. Natureza dos dados e categorias de titulares

• Dados de cadastro: nome, e-mail e número de celular do usuário.
• Dados financeiros: ganhos, corridas, despesas, categorias, datas e anotações registradas.
• Conteúdo das conversas com a Lívia: mensagens de texto e áudios enviados pelo usuário.
• Categorias de titulares: o próprio usuário do Rendei.

4. Obrigações da operadora

• Tratar os dados apenas conforme a finalidade do serviço e as instruções do controlador.
• Adotar medidas de segurança técnicas e administrativas adequadas (art. 46 da LGPD).
• Garantir a confidencialidade dos dados, inclusive por parte de seu pessoal autorizado.
• Auxiliar o controlador no atendimento às solicitações dos titulares e às obrigações legais aplicáveis.
• Não compartilhar os dados com terceiros, salvo com os sub-operadores autorizados ou por obrigação legal.

5. Obrigações do controlador

• Possuir base legal adequada para o tratamento dos dados que insere na plataforma.
• Fornecer instruções lícitas e inserir apenas dados sobre os quais tem direito de uso.
• Responder, na qualidade de controlador, às solicitações de titulares relativas aos dados que gerencia.

6. Sub-operadores

O controlador autoriza a operadora a contratar sub-operadores para a prestação do serviço, mantendo com eles obrigações de proteção de dados compatíveis com este DPA. Os sub-operadores atuais são:

• WhatsApp / Meta Platforms: troca de mensagens com a assistente Lívia.
• OpenAI: transcrição de áudios (Whisper) e interpretação de linguagem natural dos lançamentos.
• Supabase: hospedagem do banco de dados, autenticação e armazenamento dos dados da conta e dos lançamentos.

7. Transferência internacional

Quando sub-operadores tratarem dados fora do Brasil, a operadora exigirá salvaguardas adequadas e níveis de proteção compatíveis com a LGPD, nos termos dos arts. 33 a 36 da Lei.

8. Segurança da informação

• Criptografia em trânsito (TLS/HTTPS) em todo o tráfego da plataforma.
• Senhas armazenadas de forma cifrada.
• Controle de acesso restrito e segregação de ambientes.
• Registros de acesso e monitoramento para fins de segurança.

9. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a operadora comunicará o controlador em prazo razoável, fornecendo as informações necessárias, e cooperará no cumprimento do dever de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, nos termos do art. 48 da LGPD.

10. Atendimento aos direitos dos titulares

A operadora auxiliará o controlador, na medida do tecnicamente possível, no atendimento às solicitações de exercício de direitos previstas no art. 18 da LGPD, observados os prazos legais.

11. Retenção e eliminação dos dados

Encerrado o tratamento ou a relação com o usuário, a operadora eliminará ou anonimizará os dados pessoais, ressalvadas as hipóteses de conservação previstas no art. 16 da LGPD, como o cumprimento de obrigação legal ou regulatória e o exercício regular de direitos.

12. Vigência

Este DPA vigora enquanto durar a prestação dos serviços do Rendei ao usuário e permanece aplicável, no que couber, às obrigações que, por sua natureza, devam subsistir após o término da relação.

13. Contato do Encarregado

O Encarregado pelo Tratamento de Dados Pessoais (DPO) pode ser contatado pelo e-mail privacidade@rendei.factorya.com.br para assuntos relacionados a este DPA e ao tratamento de dados pessoais.