Legal
Acordo de Tratamento de Dados Pessoais (DPA)
Versão 1.0, vigente desde 16 de outubro de 2026. Integra os Termos de Uso e Contrato de Licença do Vedai.
Partes: o CLIENTE, pessoa jurídica identificada no cadastro ou no Pedido de Serviço, como CONTROLADOR; e SELDDON IT SERVICOS LTDA, CNPJ 40.018.489/0001-43 ("Vedai"), como OPERADORA.
1. Objeto e papéis
1.1. Este DPA regula o tratamento de dados pessoais pela Vedai, em nome do CLIENTE, na prestação da Plataforma, conforme os arts. 37 a 42 da Lei 13.709/2018 (LGPD). Os termos com inicial maiúscula têm o sentido dos Termos de Uso.
1.2. O CLIENTE é Controlador dos dados pessoais dos Usuários Finais e da configuração que define. A Vedai é Operadora quanto a esses dados. Para os dados da cláusula 1.3, a Vedai atua como Controladora própria e este DPA não se aplica.
1.3. Tratamentos em que a Vedai é Controladora: dados de autenticação e segurança das contas dos Administradores; dados comerciais, contratuais e de cobrança; dados de visitantes do site e de leads; registros técnicos de segurança e prevenção a abuso das suas APIs (inclusive o endereço IP). Esses tratamentos seguem a Política de Privacidade.
1.4. Se, quanto a algum dado, a autoridade ou o Judiciário entenderem que há controladoria conjunta, as partes cooperarão e cada uma responderá na medida da sua participação, conforme a LGPD (art. 42) e o contrato.
2. Descrição do tratamento
Conforme o Anexo I dos Termos: natureza, finalidade, categorias de dados e de titulares, duração. Em resumo: metadados de uso (horário, destino, ação, contagens por tipo, total, pausas), e-mail de trabalho do Usuário Final, identificador e nome da instalação, política, códigos (hashes) e apelidos de termos sensíveis.
2.1. A Vedai não trata, e a Plataforma foi projetada para não receber, o texto das mensagens, os valores detectados, o conteúdo de anexos nem o cofre de tokens.
2.2. O CLIENTE é responsável por não inserir dados pessoais em campos livres (apelido de termo, nome da instalação). Se o fizer, trata-se de tratamento por instrução do CLIENTE.
2.3. Duração: a vigência do contrato, acrescida dos prazos de devolução e eliminação da cláusula 12.
3. Instruções documentadas
3.1. A Vedai tratará os dados somente conforme as instruções documentadas do CLIENTE: este DPA, os Termos, o Pedido de Serviço, a configuração do Painel e o uso da API. Instrução adicional depende de acordo escrito.
3.2. Se a Vedai considerar que uma instrução viola a LGPD, informará o CLIENTE e poderá suspender o seu cumprimento até o esclarecimento.
3.3. A Vedai não tratará os dados para finalidade própria incompatível, nem os venderá, nem os usará para publicidade, perfilamento ou treinamento de modelos.
3.4. A Vedai poderá gerar dados agregados e anonimizados, sem identificação do CLIENTE ou de Titulares, conforme o art. 12 da LGPD, para operação, segurança e melhoria do produto.
4. Obrigações do CLIENTE como Controlador
4.1. Definir a base legal, a finalidade e a necessidade do tratamento; informar os Titulares (art. 9º); manter política interna de uso de IA; atender os direitos dos Titulares; cumprir a legislação trabalhista aplicável ao monitoramento; designar encarregado; elaborar, quando exigido, relatório de impacto à proteção de dados pessoais; escolher e contratar as Ferramentas de IA e cumprir as regras de transferência internacional em relação a elas.
4.2. Manter atualizada a lista de Administradores e de instalações e revogar os acessos que não sejam mais necessários.
5. Confidencialidade
5.1. A Vedai assegura que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de sigilo contratual ou legal e que o acesso seja limitado a quem precise dele por razão de função.
6. Segurança
6.1. A Vedai manterá as medidas do Anexo II dos Termos e as revisará conforme o risco e o estado da técnica (LGPD, arts. 46 e 6º, VII).
6.2. A Vedai informará o CLIENTE sobre mudanças que reduzam materialmente o nível de proteção.
7. Suboperadores
7.1. O CLIENTE autoriza de forma geral a contratação de suboperadores, conforme a lista do Anexo III dos Termos.
7.2. A Vedai informará inclusões e substituições com 30 dias de antecedência. O CLIENTE poderá se opor, por escrito e fundamentadamente, em 15 dias. Se não houver solução razoável, o CLIENTE poderá rescindir o contrato sem multa quanto ao serviço afetado.
7.3. A Vedai celebrará com os suboperadores contratos com obrigações de proteção equivalentes, na medida possível frente a fornecedores de nuvem de adesão (como os termos de tratamento de dados do Google Cloud), e permanece responsável perante o CLIENTE pelo cumprimento deles, nos limites da cláusula 14.
8. Transferência internacional
8.1. Os dados de eventos ficam no Firebase e no Google Cloud, na região southamerica-east1. Alguns serviços (como Firebase Authentication, a rede de distribuição do Hosting, registros, suporte e operações do fornecedor) podem envolver tratamento fora do Brasil.
8.2. Quando houver transferência internacional, ela se amparará em um dos mecanismos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, em especial as cláusulas-padrão contratuais aprovadas pela ANPD, decisão de adequação, normas corporativas globais ou outro mecanismo válido.
8.3. A Vedai fornecerá ao CLIENTE, mediante pedido, informação sobre o mecanismo adotado em cada fluxo e cópia das cláusulas relevantes dos suboperadores, resguardados os segredos comerciais. Se a ANPD ou a lei exigirem a adoção das cláusulas-padrão entre as partes, elas serão incorporadas a este DPA por aditivo, sem modificação do texto oficial, que prevalecerá em caso de conflito.
9. Direitos dos Titulares
9.1. A Vedai encaminhará ao CLIENTE, em até 5 dias úteis, o pedido de Titular que receber sobre dados que trate como Operadora, sem responder ao Titular, exceto para informar o encaminhamento ou quando instruída.
9.2. A Vedai auxiliará o CLIENTE, por medidas técnicas e organizacionais adequadas e na medida do razoável, a atender pedidos de acesso, correção, eliminação, anonimização, bloqueio, portabilidade e informação.
9.3. O Painel exibe e exporta eventos em CSV, mas ainda não oferece exclusão por Titular nem exportação estruturada completa. Até que existam, a Vedai atenderá os pedidos manualmente, em até 15 Dias Úteis da solicitação feita pelo contato cadastrado do CLIENTE.
9.4. Pedidos individuais razoáveis são sem custo. Pedidos em volume ou de grande complexidade podem ser cobrados pelo esforço, com informação prévia.
10. Incidentes de segurança
10.1. A Vedai notificará o CLIENTE, por e-mail ao contato de privacidade cadastrado, sem demora injustificada e em até 48 horas após confirmar um incidente que afete dados pessoais tratados em nome do CLIENTE.
10.2. A notificação conterá, quando disponíveis: a natureza do incidente; as categorias e o número aproximado de Titulares e de registros; o contato para informações; as consequências prováveis; as medidas tomadas ou propostas. O que faltar será enviado em etapas.
10.3. O CLIENTE, como Controlador, avalia o risco ou dano relevante e comunica a ANPD e os Titulares em 3 dias úteis contados do seu conhecimento do incidente (Resolução CD/ANPD nº 15/2024; LGPD, art. 48). A Vedai cooperará e não comunicará a ANPD nem os Titulares em nome do CLIENTE sem instrução, salvo quando for Controladora do dado ou a lei exigir.
10.4. A Vedai manterá registro dos incidentes que afetem dados do CLIENTE por, no mínimo, 5 anos.
10.5. A notificação não implica reconhecimento de culpa.
11. Auditoria e demonstração de conformidade
11.1. A Vedai fornecerá ao CLIENTE as informações necessárias para demonstrar o cumprimento deste DPA, inclusive respostas a questionário de segurança uma vez por ano.
11.2. Auditoria adicional somente se: (a) houver incidente relevante ou indício razoável de descumprimento; (b) for exigida pela ANPD; ou (c) for previamente agendada com 30 dias de antecedência, no máximo uma vez por ano, em horário comercial, por auditor sob sigilo, sem acesso a dados de outros clientes, ao código-fonte ou a sistemas de terceiros (como o Google), com custos do CLIENTE e sem prejudicar a operação.
11.3. Relatórios e certificações de suboperadores (como os relatórios de conformidade do Google Cloud) poderão ser usados para atender em parte esta cláusula.
12. Devolução e eliminação
12.1. Ao término do contrato, em até 90 dias a Vedai eliminará os dados pessoais tratados em nome do CLIENTE ou os devolverá em formato estruturado, mediante pedido feito em até 30 dias do término, ressalvada a conservação autorizada pelo art. 16 da LGPD.
12.2. Os eventos são apagados automaticamente pelo prazo de retenção do plano (180 dias, ou 365 no plano enterprise), mesmo durante o contrato. Instalações, estatísticas agregadas, membros, termos e a chave de termos são eliminados manualmente no encerramento.
12.3. Cópias de backup, se existirem, são eliminadas no ciclo normal de rotação.
13. Cooperação com autoridades e relatório de impacto
13.1. A Vedai cooperará com solicitações da ANPD relativas aos dados tratados em nome do CLIENTE e auxiliará, quando razoavelmente solicitada, na elaboração de relatório de impacto, fornecendo informações técnicas sobre a Plataforma. A análise jurídica é do CLIENTE.
13.2. Se a Vedai receber ordem judicial ou de autoridade para entregar dados do CLIENTE, avisará o CLIENTE antes, quando a lei permitir, e entregará apenas o necessário.
14. Responsabilidade
14.1. A responsabilidade das partes perante Titulares e a ANPD segue a LGPD (arts. 42 a 45). Em especial, o Operador responde solidariamente apenas quando descumprir a legislação ou não seguir as instruções lícitas do Controlador, e o Controlador diretamente envolvido no tratamento do qual decorrerem danos responde solidariamente (art. 42, § 1º).
14.2. Entre as partes, a responsabilidade da Vedai neste DPA está sujeita à limitação da cláusula 20 dos Termos, ressalvados dolo, culpa grave e o que a lei não permita limitar. A limitação não é oponível aos Titulares nem à ANPD.
14.3. Direito de regresso: quem pagar valor superior à sua parte de culpa poderá exigir da outra o excedente, na proporção da responsabilidade de cada uma (LGPD, art. 42, § 4º).
14.4. O CLIENTE manterá a Vedai indene por reclamações de Titulares ou de terceiros decorrentes de instruções ilícitas do CLIENTE ou de falha dele em suas obrigações como Controlador (cláusula 21 dos Termos).
15. Vigência, alterações e precedência
15.1. Este DPA vige enquanto a Vedai tratar dados em nome do CLIENTE. Mudanças exigidas por lei ou pela ANPD poderão ser feitas mediante aviso, e as partes negociarão de boa-fé.
15.2. Em conflito sobre dados pessoais, este DPA prevalece sobre os Termos, e as cláusulas-padrão da ANPD, quando aplicáveis, prevalecem sobre ambos.
16. Contato
Assuntos deste DPA: contato@vedai.com.br.