Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados ("DPA") é firmado entre:

• Operador: VH SOFTHOUSE, CNPJ 46.944.588/0001-32("Empresa", "Operador", "nós"), responsável pela operação da plataforma Frota No Prazo.
• Controlador: o Cliente que contrata o Serviço e insere dados pessoais de motoristas, usuários ou terceiros na plataforma ("Cliente", "Controlador", "você").

Para fins deste DPA, os termos "dado pessoal", "tratamento", "titular", "controlador", "operador", "encarregado (DPO)" e "incidente de segurança" têm o significado atribuído pela LGPD (Lei nº 13.709/2018).

O Cliente atua como Controlador dos dados pessoais inseridos na plataforma e a Empresa atua como Operador, tratando os dados exclusivamente conforme as instruções documentadas pelo Cliente (representadas pela contratação do Serviço, pela configuração da conta e pelas funcionalidades disponíveis).

A Empresa não usa os dados pessoais do Cliente para finalidades próprias além do estritamente necessário para a prestação do Serviço, exceto quando exigido por lei ou determinação de autoridade competente.

• Natureza: coleta, armazenamento, processamento, consulta, transmissão, eliminação.
• Finalidade: prestação dos serviços de gestão de frota, controle de documentos, alertas de vencimento, monitoramento de multas (add-on), geração de FICI e demais funcionalidades contratadas.
• Duração: pelo prazo de vigência do contrato entre Cliente e Empresa, observado o prazo de retenção definido na Cláusula 8 abaixo.

O Operador trata, em nome do Controlador, os seguintes dados pessoais:

• Usuários da plataforma: nome, e-mail, telefone, senha (hash), papel (admin/gerente/visualizador), endereço IP, logs de acesso.
• Motoristas cadastrados: nome, CPF, RG, CNH (número, UF, categoria, validade), data de nascimento, endereço, telefone, e-mail.
• Multas e indicação de condutor (add-on): dados de autuação (AIT, infração, valor, pontuação, local), dados do proprietário do veículo retornados pelo SERPRO/RADAR via InfoSimples, dados de indicação assistida (link tokenizado, aceite eletrônico do motorista).
• Documentos anexados: arquivos de documentos da frota (CNH, CRLV, ANTT, contratos, etc.) que podem conter dados pessoais de terceiros (apenas conforme inseridos pelo Cliente).

O Cliente declara possuir base legal adequada sob a LGPD (consentimento, execução de contrato, obrigação legal, legítimo interesse, etc.) para inserir dados de terceiros na plataforma.

O Operador compromete-se a:

• Tratar os dados pessoais somente conforme instruções documentadas pelo Controlador, materializadas pelo uso das funcionalidades contratadas.
• Garantir que pessoas autorizadas a tratar os dados estejam comprometidas com a confidencialidade.
• Implementar medidas técnicas e organizacionais de segurança apropriadas (criptografia em trânsito e em repouso, controle de acesso baseado em papéis, registro de auditoria, backups regulares).
• Auxiliar o Controlador no atendimento aos direitos dos titulares (acesso, correção, eliminação, portabilidade) mediante solicitação por escrito.
• Comunicar incidentes de segurança ao Controlador em até 48 horas da ciência, com as informações exigidas pelo art. 48 da LGPD.
• Auxiliar o Controlador no cumprimento das obrigações dos arts. 46 a 49 da LGPD (relatório de impacto, atendimento à ANPD), na medida do razoável.

O Cliente autoriza a Empresa a contratar os seguintes subprocessadores para a prestação do Serviço, mantendo a Empresa integralmente responsável por suas atividades:

• Stripe Inc. (EUA) — processamento de pagamentos e gestão de assinaturas.
• Cloudflare R2 (EUA / global) — armazenamento dos arquivos de documentos.
• InfoSimples (Brasil) — gateway de consulta ao RADAR/SERPRO para o add-on de multas.
• Provedor de e-mail transacional (ex.: SES, Postmark) — envio de notificações por e-mail.
• Evolution API / provedor WhatsApp Business — envio de notificações por WhatsApp (quando configurado).
• Provedor de hospedagem da aplicação (ex.: AWS, GCP, Hetzner) — infraestrutura.

A lista atualizada de subprocessadores poderá ser consultada mediante solicitação. Mudanças significativas serão comunicadas com no mínimo 30 dias de antecedência.

Determinados subprocessadores (Stripe, Cloudflare) podem armazenar ou processar dados fora do Brasil. Tal transferência ocorre em conformidade com o art. 33 da LGPD, mediante cláusulas contratuais padrão e garantias adequadas de proteção pelo subprocessador.

• Ao término do contrato, o Operador eliminará ou devolverá ao Controlador os dados pessoais tratados, conforme a opção do Controlador, no prazo de 30 dias após o término.
• Cópias de backup podem ser mantidas por até 90 dias adicionais, exclusivamente para fins de continuidade operacional e auditoria, sendo eliminadas em seguida.
• Dados retidos por obrigação legal (ex.: fiscal, contábil) serão mantidos conforme a legislação aplicável e protegidos por medidas adequadas.

O Operador disponibiliza ao Controlador as ferramentas necessárias para que este atenda os direitos dos titulares previstos no art. 18 da LGPD. Quando o titular contatar diretamente o Operador, este encaminhará a solicitação ao Controlador no prazo de até 7 dias úteis.

O Controlador pode solicitar, mediante aviso prévio razoável (mínimo 30 dias), informações sobre o cumprimento deste DPA, incluindo certificações de segurança vigentes, descrição de controles e resumo de auditorias internas. Auditorias on-site requerem acordo prévio quanto a escopo, prazo e custos.

A responsabilidade do Operador limita-se ao previsto neste DPA e nos Termos de Uso. O Controlador é responsável pela legalidade da coleta e pelas instruções de tratamento, incluindo a obtenção das bases legais aplicáveis para inserir dados de terceiros (em especial motoristas) na plataforma.

O Encarregado pelo Tratamento de Dados Pessoais da Empresa pode ser contatado em [email protected]para qualquer solicitação relativa a este DPA, à LGPD ou ao tratamento de dados pessoais.

Este DPA vigora a partir do aceite eletrônico pelo Cliente e enquanto perdurar o contrato dos Termos de Uso. Alterações materiais serão comunicadas com no mínimo 30 dias de antecedência.

Este DPA é regido pela LGPD e demais leis da República Federativa do Brasil. Fica eleito o foro da comarca de Campos Belos/GO para dirimir controvérsias.