DPA — Data Processing Agreement

• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável, conforme art. 5º, I, da LGPD.
• Controladora: a empresa cliente do Sigilium, responsável pelas decisões sobre o tratamento dos dados pessoais transmitidos à plataforma.
• Operador: o Sigilium, que realiza o tratamento de dados pessoais em nome da Controladora.
• Titular: pessoa natural a quem se referem os dados pessoais tratados.
• Subprocessador: terceiro contratado pelo Operador para realizar tratamentos específicos em nome da Controladora.
• Incidente de Segurança: qualquer evento adverso, confirmado ou suspeito, que comprometa a confidencialidade, integridade ou disponibilidade dos dados pessoais.

Este DPA regula o tratamento de dados pessoais realizado pelo Operador no contexto da prestação dos serviços Sigilium à Controladora. Aplica-se a todos os dados pessoais processados através da plataforma, durante a vigência do Contrato SaaS e pelos períodos de retenção definidos na Política de Privacidade.

Em relação aos dados das denúncias e ao conteúdo registrado pelos colaboradores da Controladora, o Sigilium atua como Operador; a Controladora é responsável pela base legal e finalidade do tratamento.

Em relação aos dados de cadastro dos administradores (e-mail, autenticação, aceite jurídico) o Sigilium atua como Controlador próprio.

• Recepção e armazenamento das ocorrências reportadas pelos colaboradores;
• Disponibilização das ocorrências ao painel da Controladora para apuração;
• Notificações por e-mail sobre eventos no canal;
• Geração de relatórios estatísticos e de conformidade NR-1;
• Backups, logs e auditoria de segurança.

Categorias de titulares: colaboradores da Controladora, prestadores de serviço e demais pessoas que utilizem o canal; administradores designados pela Controladora.

Categorias de dados pessoais: (i) dados livremente fornecidos pelo denunciante no campo de relato (texto livre — sob responsabilidade da Controladora); (ii) dados técnicos mínimos usados na segurança, sem campo de identificação direta e não destinados à identificação do denunciante; esses dados, combinados com o conteúdo ou outros elementos, ainda podem contribuir para a identificabilidade; (iii) dados de administrador (e-mail, nome, papel, empresa); (iv) dados do responsável da contratação registrado no clickwrap (nome, CNPJ, e-mail, cargo).

Categorias sensíveis: o conteúdo livre de uma denúncia pode incluir dados sensíveis (art. 5º, II, LGPD). A Controladora é responsável por orientar os colaboradores e tratar tais dados conforme o art. 11 da LGPD.

• Tratar dados pessoais somente conforme instruções documentadas da Controladora e conforme o Contrato SaaS, esta Política e o presente DPA;
• Garantir que pessoas autorizadas a tratar dados pessoais estejam sujeitas a obrigação de confidencialidade;
• Adotar medidas técnicas e organizacionais apropriadas (vide cláusula 9ª);
• Auxiliar a Controladora, na medida do possível, no atendimento de solicitações dos titulares;
• Auxiliar a Controladora no cumprimento de obrigações de segurança, notificações de incidentes e relatórios de impacto;
• Devolver ou eliminar os dados pessoais ao término dos serviços, observados os prazos legais de retenção;
• Disponibilizar à Controladora informações necessárias para demonstrar conformidade com este DPA.

• Determinar a finalidade e os meios essenciais do tratamento dos dados das denúncias que recebe;
• Garantir base legal adequada para o tratamento (geralmente legítimo interesse para investigações internas ou cumprimento de obrigação regulatória — NR-1);
• Informar adequadamente os colaboradores sobre o canal, em conformidade com os princípios de transparência;
• Atender solicitações dos titulares (art. 18, LGPD) em prazo razoável;
• Manter o registro das operações de tratamento sob sua responsabilidade.

A Controladora autoriza o Operador a utilizar os seguintes subprocessadores na operação dos serviços Sigilium, observadas as finalidades e limitações abaixo:

• Supabase (banco de dados, autenticação, Edge Functions e armazenamento de arquivos).
• Hostinger (hospedagem do front-end e da infraestrutura privada de varredura antivírus). Durante a inspeção, o gateway recebe os bytes do anexo em memória; o componente do Sigilium é configurado para não gravá-los no VPS.
• Stripe (processamento financeiro do checkout e gestão de assinaturas).
• Resend (envio de e-mails transacionais).
• Cloudflare (Turnstile, proteção contra bots/DDoS e trânsito HTTPS pelo Access/Tunnel até o gateway privado de varredura antivírus).
• Sentry (monitoramento técnico já existente e ativo de exceções e falhas do código). O payload controlado pela aplicação não contém conteúdo de relatos, anexos ou mensagens, identidade do denunciante, usuário, requisição, navegação ou contexto livre. Ele é limitado à categoria fechada da exceção, mensagem genérica, caminho do bundle publicado e linha/coluna, versão, ambiente, rótulo técnico enumerado, quando aplicável, e metadados operacionais do SDK. Replay, desempenho, transações, logs, métricas, sessões e breadcrumbs permanecem desativados. O envelope instrui o provedor a não inferir IP a partir do evento (infer_ip: never). A conexão HTTPS, contudo, pode tornar visíveis ao provedor o IP de origem e cabeçalhos técnicos necessários ao transporte; por isso não se promete ausência absoluta de dados pessoais em toda a camada de conexão.

Esta versão 1.1 documenta e restringe a operação técnica já existente do Sentry. O aceite expresso desta versão autoriza sua continuidade sob as finalidades e limitações descritas acima.

A inclusão ou substituição de subprocessador que trate dados pessoais em nome da Controladora, quando posterior ao aceite desta versão 1.1, será comunicada por e-mail aos administradores com antecedência mínima de 15 dias. A Controladora pode apresentar oposição justificada; persistindo o impasse, qualquer das partes poderá rescindir o Contrato SaaS sem ônus. Para essas alterações posteriores, a mera publicação desta versão não substitui o aviso por e-mail.

Google Drive: não integra a lista de subprocessadores ativos ou de destinos autorizados nesta versão. Seu uso como possível espelho cifrado de backup permanece condicionado a projeto futuro separadamente autorizado, validação da cifragem e da restauração e cumprimento prévio da comunicação aplicável. Esta referência é prospectiva e não afirma nem comprova que exista sincronização remota em produção.

Quando um subprocessador tratar dados fora do Brasil, o Operador adotará mecanismo de transferência internacional compatível com a LGPD e manterá disponível a identificação do mecanismo aplicável à Controladora.

• Criptografia: HTTPS/TLS em trânsito e criptografia em repouso no Supabase.
• Controle de acesso: RLS (Row Level Security) em todas as tabelas sensíveis, segregando dados por empresa.
• Autenticação: senha + JWT de curta duração + verificação anti-bot (Turnstile) no login.
• Auditoria: trilha administrativa append-only para os papéis da aplicação, sem escrita direta pelo front-end (security_admin_audit_log).
• Backup: backups gerenciados do banco e rotinas independentes são documentados com seu estado real de ativação, destino, cifragem, verificação e restauração. A existência de código ou runbook, isoladamente, não significa que uma rotina esteja ativa em produção.
• Princípio do menor privilégio: chaves de service_role utilizadas somente em componentes server-side autorizados, como Edge Functions e ferramentas operacionais restritas de backup, restauração e manutenção; nunca são expostas ao front-end, que usa apenas a chave anon.

Em caso de Incidente de Segurança envolvendo dados pessoais sob responsabilidade da Controladora, o Operador notificará a Controladora em prazo razoável a contar do conhecimento do incidente, e fornecerá informações suficientes para que a Controladora cumpra suas obrigações de notificação à ANPD e aos titulares afetados, nos termos do art. 48 da LGPD.

Quando o titular dirigir uma solicitação diretamente ao Operador (Sigilium) em relação a dados sob responsabilidade da Controladora, o Operador encaminhará a solicitação à Controladora em prazo razoável e auxiliará no que estiver ao seu alcance técnico.

A Controladora pode solicitar, com periodicidade não superior a 1 (uma) vez por ano, informações documentais sobre o cumprimento deste DPA. Auditorias presenciais ou técnicas no ambiente do Operador requerem acordo prévio, notificação com antecedência mínima de 30 dias e custos a cargo da parte solicitante, salvo se o auditor encontrar não-conformidade material.

O cancelamento do plano encerra o acesso ao serviço conforme o Contrato SaaS, mas não reduz o prazo aplicável aos relatos já encerrados. Para os contratos atuais, os relatos são mantidos por 5 anos-calendário contados do encerramento. Um prazo contratual futuro diferente somente será aplicado depois de configurado e validado para a respectiva Controladora.

Findo o prazo aplicável, os dados elegíveis serão eliminados pela rotina de retenção, salvo obrigação legal de guarda, processo judicial, investigação em andamento, pedido de autoridade ou outra medida de preservação aplicável. Dados de conta, aceites e trilhas jurídicas ou negociais seguem as finalidades e os critérios próprios descritos na Política de Privacidade e na legislação aplicável.

Este DPA vigora enquanto durar o Contrato SaaS e enquanto houver dados pessoais sob tratamento do Operador relativos à Controladora.

Em caso de conflito entre este DPA e o Contrato SaaS quanto a tratamento de dados pessoais, prevalecem as disposições deste DPA. Em caso de conflito com a Política de Privacidade, prevalece a interpretação mais protetiva ao titular.