Este Termo de Tratamento de Dados Pessoais ("DPA") integra o contrato de prestação de serviços entre a OPTIFLOW TECNOLOGIA DA INFORMAÇÃO LTDA ("OPTIFLOW", Operadora) e a empresa cliente contratante (Controladora), e disciplina o tratamento de dados pessoais realizado pela OPTIFLOW por conta e ordem da Controladora, em conformidade com a Lei nº 13.709/2018 (LGPD).
Modelo de referência. Este documento é a versão pública padrão. Para cada contratação, ele é aceito pela empresa cliente (por assinatura ou aceite eletrônico) e prevalece o instrumento efetivamente firmado. Recomenda-se revisão jurídica antes do aceite.
1. Papéis e definições
Os termos "dado pessoal", "titular", "controlador", "operador", "tratamento" e "ANPD" têm o significado atribuído pela LGPD. Neste DPA:
- Controladora é a empresa cliente, que decide as finalidades e os meios essenciais do tratamento dos dados dos seus usuários finais.
- Operadora é a OPTIFLOW, que trata os dados em nome e segundo as instruções da Controladora.
- Usuário final é o titular cujos dados são tratados no âmbito dos serviços (ex.: clientes, consumidores ou participantes da Controladora).
2. Objeto e escopo
A OPTIFLOW tratará dados pessoais exclusivamente para prestar os serviços contratados — incluindo o desenvolvimento e a operação de plataformas e o envio de mensagens pela API oficial do WhatsApp Business e outros canais, em nome da Controladora. Os tipos de dados, categorias de titulares e finalidades são os definidos no contrato e nas configurações do serviço realizadas pela Controladora.
3. Tratamento sob instrução
A OPTIFLOW tratará dados pessoais somente conforme as instruções documentadas da Controladora e a legislação aplicável. A OPTIFLOW não usará os dados dos usuários finais para finalidades próprias, não os venderá e não os compartilhará com terceiros, salvo para prestar o serviço (sub-operadores) ou por obrigação legal, informando a Controladora quando permitido.
4. Obrigações da Operadora
- Adotar medidas técnicas e organizacionais de segurança adequadas (controle de acesso, criptografia em trânsito, princípio do menor privilégio);
- Garantir a confidencialidade por parte de quem tem acesso aos dados;
- Tratar apenas os dados necessários às finalidades contratadas (minimização);
- Auxiliar a Controladora no atendimento a titulares, a incidentes e a requisições de autoridades;
- Manter registro das operações de tratamento que realizar;
- Cumprir as políticas das plataformas envolvidas, incluindo as da Meta Platforms para o WhatsApp Business.
5. Sub-operadores
A Controladora autoriza a OPTIFLOW a contratar sub-operadores para viabilizar o serviço, mediante obrigações de proteção de dados compatíveis com este DPA. Os sub-operadores atuais de infraestrutura e comunicação constam da Política de Privacidade (seção 5) e incluem, conforme o serviço, provedores de hospedagem, de mensageria e a Meta Platforms (WhatsApp Business). A OPTIFLOW informará alterações relevantes na lista de sub-operadores.
6. Transferência internacional
Alguns sub-operadores podem tratar dados fora do Brasil. Nesses casos, a OPTIFLOW adotará salvaguardas compatíveis com o Capítulo V da LGPD para assegurar nível de proteção adequado.
7. Direitos dos titulares
Requisições de titulares (acesso, correção, exclusão, portabilidade, entre outras) são de responsabilidade da Controladora. A OPTIFLOW encaminhará à Controladora os pedidos que receber diretamente e a apoiará, com meios técnicos razoáveis, para responder dentro dos prazos legais.
8. Incidentes de segurança
A OPTIFLOW comunicará a Controladora, sem demora injustificada, ao tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, fornecendo as informações necessárias para que a Controladora cumpra suas obrigações perante os titulares e a ANPD.
9. Término, devolução e eliminação
Encerrado o contrato, a OPTIFLOW, conforme instrução da Controladora, devolverá ou eliminará os dados pessoais tratados, salvo obrigação legal de retenção. No modelo de onboarding via Embedded Signup, a Conta do WhatsApp Business (WABA) permanece de titularidade da Controladora.
10. Responsabilidade
Cada parte responde pelo cumprimento das obrigações que a LGPD lhe atribui em razão do seu papel (controladora ou operadora). Os limites de responsabilidade previstos no contrato principal aplicam-se a este DPA, no que couber.
11. Disposições gerais
Este DPA é regido pelas leis brasileiras e integra o contrato principal, prevalecendo, quanto ao tratamento de dados pessoais, em caso de conflito. Alterações seguem o procedimento de alteração do contrato principal. A versão vigente é a publicada nesta página, salvo instrumento específico firmado entre as partes.
OPTIFLOW TECNOLOGIA DA INFORMAÇÃO LTDA — CNPJ 59.748.653/0001-04 · Av. Paulista, 1106, Sala 01, Andar 16 — Bela Vista, São Paulo/SP · contato@optiflowtech.com.br