Acordo de Tratamento de Dados (DPA)

1.Objeto, partes e vigência

Este Acordo de Tratamento de Dados (“DPA”) é anexo integrante dos Termos de Uso e é aceito pela profissional no momento do cadastro. Ele regula o tratamento de dados pessoais realizado por Pedro Silva Bertoluchi Desenvolvimento de Software Ltda, CNPJ 66.416.999/0001-62 (a Operadora), por conta e ordem da profissional ou do estúdio titular da conta (a Controladora).

Objeto: a prestação dos serviços de agendamento, comunicação com clientes, ficha de anamnese e gestão financeira descritos nos Termos de Uso, na medida em que envolvam dados pessoais das clientes finais da Controladora (os Titulares).

Vigência: este DPA vigora enquanto durar a conta da Controladora e, quanto às obrigações de confidencialidade, eliminação e cooperação, pelo prazo necessário ao seu cumprimento após o encerramento.

Em caso de conflito entre este DPA e os Termos de Uso quanto ao tratamento de dados pessoais das clientes finais, prevalece este DPA.

2.Papéis das partes

Para os fins da Lei nº 13.709/2018 (LGPD), as partes reconhecem expressamente que, quanto aos dados pessoais das clientes finais:

Parte	Papel	Responsabilidade principal
Profissional / estúdio	Controladora (art. 5º, VI)	Define as finalidades e os meios, escolhe a base legal de cada tratamento, presta informação aos Titulares e responde perante eles e a ANPD.
Marcalle	Operadora (art. 5º, VII)	Trata os dados apenas conforme as instruções documentadas da Controladora e este DPA, sem finalidade própria.
Fornecedores da Operadora	Sub-operadores	Tratam dados por conta da Operadora, com contrato equivalente e lista pública mantida atualizada.

Quanto aos dados cadastrais e de cobrança da própria Controladora, a Operadora atua como controladora, nos termos da Política de Privacidade.

3.Escopo do tratamento (Anexo I)

Categorias de titulares

Clientes finais e potenciais clientes da Controladora; eventualmente responsáveis legais de clientes menores de idade; profissionais integrantes da equipe da Controladora.

Categorias de dados pessoais

Identificação e contato: nome, telefone em formato internacional, e-mail, CPF e data de nascimento (os quatro últimos opcionais);
Dados de atendimento: serviços, datas, horários, valores, pacotes, preferências e observações da profissional, contagem de faltas, marcação de bloqueio e o motivo do bloqueio;
Dados da lista de espera: nome, telefone e observação, digitados no cadastro de espera e guardados separadamente da ficha da cliente;
Dados de avaliação do atendimento: nota, comentário e nome de exibição da Titular, exibidos na página pública da Controladora quando ela aprova a avaliação;
Dados de comunicação: registro de envio das mensagens (destinatário, modelo usado, data, hora e status de entrega). A Operadora não mantém, nesta versão, registro automático do opt-in da Titular, a prova do consentimento é obtida e guardada pela Controladora;
Dados sensíveis: respostas da ficha de anamnese que revelem informação sobre saúde (art. 5º, II da LGPD), quando a Controladora configurar tais perguntas, acompanhadas do nome assinado pela Titular, do aceite do texto de consentimento e da data e hora do envio;
Dados de imagem: fotos de procedimento enviadas pela Controladora, quando aplicável.

Operações de tratamento

Coleta, registro, armazenamento, organização, consulta, uso, comunicação por WhatsApp e e-mail, transmissão a sub-operadores, arquivamento, anonimização e eliminação.

Natureza e finalidade

Execução das funcionalidades contratadas pela Controladora e efetivamente disponíveis na conta dela: agendamento, confirmação, lembrete, lista de espera, ficha de anamnese e controle financeiro. Funcionalidades ainda em implantação (pacotes, campanhas segmentadas e comissões) passam a integrar este anexo quando forem liberadas, sem ampliar as categorias de dados descritas acima.

4.Instruções documentadas

A Operadora tratará dados pessoais exclusivamente conforme as instruções documentadas da Controladora. São instruções documentadas, para todos os efeitos:

Os Termos de Uso e este DPA;
As configurações escolhidas pela Controladora dentro do painel (serviços, modelos de mensagem, campos e texto de consentimento da ficha de anamnese, política de agendamento e cancelamento, equipe cadastrada);
As solicitações formais enviadas pelo canal de suporte, quando aceitas pela Operadora.

A Operadora não usará os dados das clientes finais para finalidade própria, não os venderá, não os cederá a terceiros fora da lista de sub-operadores e não os usará para treinar modelos ou construir perfis comerciais.

Se a Operadora entender que uma instrução viola a LGPD ou outra norma aplicável, informará a Controladora sem demora e poderá suspender a execução daquela instrução específica até esclarecimento. A Operadora poderá tratar dados por exigência legal ou de autoridade competente, informando a Controladora previamente, salvo quando a lei o proibir.

Dados sensíveis da anamnese

A Controladora declara que só configurará perguntas que revelem dados de saúde se houver consentimento específico, destacado e segregado da Titular (art. 11, I da LGPD). A Operadora fornece o campo de consentimento na própria ficha, com o texto que a Controladora configura, exigido antes do envio e registrado com nome assinado, data e hora, o isolamento por conta no banco de dados, a eliminação automática das respostas 365 dias após o envio e a exclusão imediata da ficha quando a Controladora apaga os dados da Titular. A redação do texto de consentimento, a decisão de coletar e a adequação das perguntas ao art. 11 permanecem da Controladora.

5.Confidencialidade

A Operadora garante que toda pessoa autorizada a tratar os dados pessoais está sujeita a obrigação de confidencialidade, contratual ou legal, que subsiste ao término do vínculo.

O acesso é concedido pelo princípio do mínimo necessário e revisado periodicamente;
O acesso da equipe de suporte a dados de uma conta ocorre apenas quando necessário à prestação do serviço solicitado pela Controladora;
A Operadora não divulga a existência ou o conteúdo dos dados da Controladora a terceiros, salvo obrigação legal.

6.Medidas de segurança (Anexo II)

A Operadora adota e mantém as medidas técnicas e organizacionais abaixo, revisando-as periodicamente conforme o art. 46 da LGPD:

Medida	Como é implementada
Isolamento entre contas	Filtro global de consulta na aplicação e política de segurança em nível de linha (RLS) no PostgreSQL, aplicada a todas as tabelas com dados de conta.
Criptografia	TLS em trânsito; cópias de segurança cifradas por nós antes de saírem do servidor; cifragem, dentro da aplicação, das credenciais de integração com terceiros (token da Meta). O disco do servidor de banco não é cifrado em repouso.
Controle de acesso	Autenticação com senha protegida por hash, cookie de sessão httpOnly com SameSite e revalidação contra o selo de segurança da conta a cada requisição, autorização por conta em todas as chamadas da API e privilégio mínimo para a equipe.
Registro e rastreabilidade	Registro técnico das operações da aplicação (logs, métricas e rastros de erro enviados ao provedor de observabilidade), usado para apurar falhas e incidentes.
Resiliência	Recuperação a ponto no tempo no banco de dados, com janela de cerca de três semanas oferecida pelo provedor. A cópia externa diária, o teste de restauração e os alertas de indisponibilidade e de falha de backup estão especificados, com procedimento de resposta escrito, e a ativação deles é item pendente do roteiro de implantação.
Desenvolvimento seguro	Revisão de código, testes automatizados, verificação de dependências e uso do OWASP ASVS nível 2 como checklist de cada versão.
Segurança das integrações	Validação de assinatura dos webhooks recebidos, limites de requisição por endereço IP e por número de telefone nos fluxos públicos, e armazenamento cifrado das credenciais de terceiros.

7.Sub-operadores

A Controladora autoriza, de forma geral, a contratação dos sub-operadores listados publicamente em marcalle.com.br/subprocessadores, página que indica, para cada um: finalidade, categorias de dados tratadas e país de processamento.

A Operadora impõe a cada sub-operador obrigações de proteção de dados equivalentes às deste DPA, por contrato escrito;
A Operadora permanece integralmente responsável perante a Controladora pelos atos dos seus sub-operadores;
Antes de incluir novo sub-operador que trate dados das clientes finais, a Operadora comunica a Controladora com 30 dias de antecedência, por e-mail e aviso no painel;
A Controladora pode se opor de forma fundamentada dentro desse prazo. Não havendo solução técnica alternativa, a Controladora pode rescindir sem ônus e com direito à devolução proporcional dos valores pagos antecipadamente.

8.Transferência internacional

Parte dos sub-operadores é constituída fora do Brasil, ainda que o processamento ocorra em regiões brasileiras. O instrumento em vigor hoje para essas transferências é o acordo de tratamento de dados publicado por cada sub-operador, que passa a valer com a contratação do serviço e incorpora as cláusulas-padrão da jurisdição dele. A lista de sub-operadores diz, fornecedor por fornecedor, qual é esse instrumento.

As cláusulas-padrão contratuais brasileiras aprovadas pela Resolução CD/ANPD nº 19/2024 (Anexo II) ainda não foram firmadas com esses sub-operadores. Firmá-las é compromisso da Operadora e está em andamento. A Controladora precisa saber disso para a própria prestação de contas dela, e por isso está escrito aqui em vez de ficar atrás de uma fórmula genérica.

A Operadora mantém à disposição da Controladora, mediante solicitação pelo canal de contato, a indicação do mecanismo de transferência adotado para cada sub-operador e a confirmação da região de processamento contratada.

9.Assistência com os direitos dos titulares

Os pedidos de Titulares são dirigidos à Controladora. A Operadora oferece, dentro do produto, os meios técnicos para atendê-los sem depender de chamado:

Exportação em CSV, a qualquer momento, da carteira de clientes e dos atendimentos (data, serviço, status e valor);
Exclusão dos dados de uma cliente específica, com anonimização imediata dos dados de identificação (nome, telefone, e-mail, CPF, data de nascimento, preferências e observações) e eliminação da ficha de anamnese, das avaliações e das fotos dela, tanto o registro no sistema quanto o arquivo no armazenamento;
Eliminação automática das respostas de anamnese 365 dias após o envio, sem depender de pedido;
Correção e atualização de dados cadastrais diretamente na ficha da cliente;
Consulta ao aceite da ficha de anamnese: nome assinado pela Titular, aceite do texto de consentimento e data e hora do envio.

Duas limitações desta versão, que a Controladora precisa conhecer

Falha do armazenamento: se a exclusão física do arquivo não for concluída, a pendência fica registrada e entra na rotina automática de novas tentativas. Falhas persistentes permanecem registradas para acompanhamento, sem garantia de remoção imediata enquanto o armazenamento estiver indisponível. A Controladora pode solicitar confirmação pelo canal de contato, no prazo de assistência técnica desta cláusula;
Lista de espera: o cadastro na lista de espera guarda nome e telefone digitados separadamente da ficha da cliente e não é alcançado pela exclusão dos dados de uma cliente. A Controladora precisa excluí-lo na própria lista de espera.

Se um Titular procurar diretamente a Operadora, ela não responderá ao pedido em nome próprio: encaminhará à Controladora em até 5 dias úteis e informará ao Titular que o pedido foi encaminhado. Para pedidos que exijam ação técnica não coberta pelas ferramentas do painel, a Operadora prestará assistência em até 10 dias úteis do recebimento da solicitação da Controladora.

10.Incidentes de segurança

A Operadora comunicará a Controladora, sem demora injustificada e em no máximo 48 horas contadas do conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos Titulares.

A comunicação conterá, na medida do disponível no momento:

Descrição da natureza do incidente e das categorias de dados e de titulares afetados;
Número aproximado de registros e de titulares envolvidos;
Consequências prováveis e riscos identificados;
Medidas técnicas e de segurança já adotadas ou propostas para mitigar os efeitos;
Ponto de contato para informações adicionais e cronograma de atualizações.

A Operadora prestará à Controladora a assistência necessária para que esta cumpra os prazos de comunicação à ANPD e aos Titulares previstos no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024 (3 dias úteis contados do conhecimento). A comunicação de incidente pela Operadora não implica, por si só, reconhecimento de culpa.

11.Relatório de impacto e cooperação com a ANPD

Considerando a natureza do tratamento e as informações à sua disposição, a Operadora prestará assistência razoável à Controladora na elaboração de relatório de impacto à proteção de dados pessoais (RIPD) e em eventual consulta prévia ou requisição da ANPD, fornecendo a documentação técnica pertinente sobre a arquitetura, as medidas de segurança e o fluxo de dados.

12.Devolução e eliminação ao término

Encerrada a relação contratual, por qualquer motivo:

A Controladora tem pelo menos 30 dias para exportar seus dados em formato estruturado e de uso comum (CSV), pelo próprio painel;
A Operadora elimina ou anonimiza de forma irreversível os dados pessoais das clientes finais em até 30 dias contados do pedido da Controladora, feito pelo canal de contato. Esse procedimento é executado pela Operadora e alcança também o que a exclusão pelo painel tenha deixado para trás por falha do armazenamento;
Cópias em backup são eliminadas no ciclo de rotação seguinte, hoje até cerca de três semanas na recuperação a ponto no tempo do banco. A cópia externa, que roda de hora em hora, segue a mesma rotação: o pedido de exclusão a alcança quando o backup completo que a contém sai da retenção;
Permanecem armazenados apenas os dados cuja guarda seja obrigatória por lei, em especial registros financeiros e fiscais e registros de acesso à aplicação (art. 15 do Marco Civil da Internet), pelo prazo legal e sem uso para qualquer outra finalidade.

Mediante solicitação, a Operadora fornece declaração de eliminação, indicando o que foi eliminado, o que foi anonimizado e o que permanece por obrigação legal.

13.Auditoria e demonstração de conformidade

A Operadora disponibilizará à Controladora as informações necessárias para demonstrar o cumprimento deste DPA, na seguinte ordem de meios, do menos ao mais oneroso:

Documentação pública: esta página, a Política de Privacidade e a lista de sub-operadores;
Resposta a questionário de segurança e privacidade, uma vez por ano, em até 30 dias do recebimento;
Relatórios de terceiros e certificações dos sub-operadores, quando disponíveis;
Auditoria presencial ou remota por auditor independente sujeito a confidencialidade, mediante aviso prévio de 30 dias, limitada a uma vez por ano (salvo incidente confirmado ou determinação de autoridade), em horário comercial, sem acesso a dados de outras controladoras e com custos suportados pela Controladora solicitante.

14.Contato, alterações e disposições finais

Canal de contato da Operadora para assuntos de proteção de dados: pedro.bertoluchi@outlook.com. A Operadora é agente de tratamento de pequeno porte e mantém esse canal nos termos da Resolução CD/ANPD nº 2/2022.

Alterações relevantes deste DPA são comunicadas com 30 dias de antecedência, por e-mail e aviso no painel. Se a Controladora não concordar, poderá rescindir sem ônus antes da entrada em vigor.

A invalidade de qualquer cláusula não afeta as demais. Este DPA é regido pela legislação brasileira e segue o mesmo foro dos Termos de Uso, que é o do domicílio da Controladora.

Os prazos deste DPA, num lugar só

48 horas contadas do conhecimento para comunicar um incidente à Controladora; 5 dias úteis para encaminhar a ela um pedido recebido de Titular; 10 dias úteis para assistência técnica em pedido de Titular; 30 dias de aviso prévio de novo sub-operador, de alteração deste DPA e de agendamento de auditoria; 30 dias para exportação e para a eliminação após o pedido; e uma auditoria por ano.

Estes prazos valem como compromisso contratual da Operadora desde 20 de agosto de 2026. Eles só mudam por aditivo escrito, com o mesmo aviso prévio de 30 dias previsto nesta cláusula, e toda alteração fica registrada no histórico de versões deste documento.

Uma ressalva honesta sobre o primeiro prazo: ele conta do conhecimento do incidente, e o alerta automático de indisponibilidade e de falha de backup ainda não está ativo, como diz a seção de medidas de segurança. Hoje a Operadora toma conhecimento por acompanhamento manual e pelos avisos dos próprios fornecedores, o que pode atrasar o começo da contagem. Enquanto o alerta não subir, é assim que este prazo funciona na prática.

15.Histórico de versões

Versão 1.3— 8 de setembro de 2026: Duas afirmações que descreviam o sistema ao contrário foram corrigidas. A primeira era sobre as fotos de atendimento, que o texto tratava como se fossem do mesmo tipo da foto de capa e do portfólio. Não são: a foto de atendimento é dado de saúde, fica em área separada do armazenamento e é servida por uma rota que exige sessão aberta e recusa o pedido quando a conta da sessão não é a dona do arquivo, sem passar por cache compartilhado. O texto passou a separar os dois casos em vez de descrever toda imagem igual. A segunda era sobre o Asaas: a abertura da conta de recebimento do studio já está disponível no painel, e data de nascimento, endereço completo e faturamento mensal declarado já são enviados quando a profissional pede essa conta; o texto anterior os contava como envio futuro. O que continua desligado, e passou a estar escrito com essas palavras, é a cobrança do atendimento pela plataforma, e é por isso que nenhum dado de cliente final chega ao Asaas. Nesta versão também entrou o canal de suporte no corpo dos Termos, em vez de aparecer só no rodapé, e a definição de hora útil ficou junto dele.
Versão 1.2— 3 de setembro de 2026: Correção dos números de backup e das afirmações de criptografia, que ainda descreviam o provedor de banco anterior. A janela de recuperação a ponto no tempo era declarada como 6 horas 'oferecida pelo provedor'; o banco passou a ser próprio em 25 de agosto de 2026, a recuperação é mantida por nós com arquivamento contínuo do log de transações, e a janela real é de cerca de três semanas. A afirmação de que o banco é 'cifrado em repouso pelo provedor' foi retirada dos quatro documentos: o disco do servidor não é cifrado, e o que é cifrado por nós são as cópias de segurança, antes de saírem da máquina, e as credenciais de integração dentro da aplicação. E a cópia externa e o teste de restauração deixaram de ser descritos como promessa: os dois estão ativos, a cópia de hora em hora e o teste semanalmente.
Versão 1.1— 2 de setembro de 2026: Correção da entrada do Asaas na lista de sub-operadores. O texto anterior dizia que a integração rodava no ambiente de testes do Asaas; essa afirmação foi retirada, e a entrada passou a descrever apenas o dado que chega lá. A finalidade passou a incluir a abertura da conta de recebimento do studio, e a lista de dados passou a nomear a data de nascimento, o endereço completo e o faturamento mensal declarado, que não constavam. Nesta data esses três eram descritos como envio futuro; a versão 1.3 corrigiu essa parte.
Versão 1.0— 25 de agosto de 2026: Primeira versão publicada como documento da empresa. Até aqui as páginas traziam um aviso de que eram minuta. A numeração recomeça em 1.0 porque as versões anteriores (“Minuta 1.0” e “Minuta 1.1”) eram rascunho declarado, e não versões deste documento. Nesta versão também foram corrigidos: a janela de recuperação do banco, que constava como 7 dias e naquela data era de 6 horas; a descrição da transferência internacional, que passou a dizer qual instrumento está em vigor hoje em vez de citar cláusulas ainda não firmadas; e o que acontece com o arquivo das fotos quando os dados de uma cliente são apagados, que o texto anterior descrevia ao contrário do que o sistema faz.

Documentos relacionados