Acordo de tratamento de dados (DPA)

Este Acordo estabelece as condições de tratamento de dados pessoais pela Axtro World Corp. na prestação do ViralOS a empresas-clientes. Ele complementa os Termos de Uso. Condições específicas de um instrumento assinado entre as partes prevalecem no que forem compatíveis com a legislação aplicável. Uma versão assinável pode ser solicitada pelo canal de atendimento.

1. Quando este documento se aplica

Se a sua empresa usa o ViralOS para tratar dados pessoais de terceiros (por exemplo, dados de alunos ou clientes presentes no material que você envia), sua empresa é a controladora desses dados e a Axtro World Corp. atua como operadora, nos termos da LGPD (art. 5º, VI e VII). Este documento rege esse tratamento; empresas que precisem de um DPA assinado como anexo contratual formal podem solicitá-lo pelo contato acima.

2. Objeto e duração

A operadora trata dados pessoais só pelo tempo e para a finalidade necessários à prestação do serviço contratado pela controladora, conforme descrito na política de privacidade, e enquanto durar o contrato entre as partes.

3. Instruções da controladora

A operadora trata os dados pessoais apenas conforme as instruções documentadas da controladora (o uso normal do produto, e qualquer instrução adicional registrada por escrito), e informa a controladora se uma instrução violar a LGPD ou outra lei de proteção de dados aplicável.

4. Subprocessadores autorizados

A operadora pode envolver os subprocessadores abaixo para prestar o serviço, cada um sob contrato com obrigações de proteção de dados equivalentes às deste documento. A lista completa e atualizada também está na política de privacidade.

• Resend (Estados Unidos, em uso): Envio de mensagens transacionais de acesso, verificação de email e recuperação de senha.
• Railway (Estados Unidos, em uso): Hospedagem do banco de dados (Postgres), da API e do painel e página pública (viral.axtroai.com, ADR-060).
• Vercel (Estados Unidos, contingência): Ambiente de rollback do painel, sem tráfego de produção hoje (o domínio aponta para a Railway desde o ADR-060).
• Contabo (União Europeia, em uso): Servidor (VPS) dos workers de processamento, do armazenamento de mídia (vídeo, áudio e imagens geradas) e da instância própria de publicação.
• OpenRouter (Estados Unidos, sob demanda): Roteamento de modelos de linguagem para roteiro e ideias de conteúdo.
• Apify (Estados Unidos, sob demanda): Coleta de metadados públicos de posts de terceiros para o radar (RADAR_PROVIDER=apify); desligado por padrão.
• ElevenLabs (Estados Unidos, sob demanda): Síntese de voz (narração).
• HeyGen (Estados Unidos, sob demanda): Geração de vídeo com avatar falante.
• Meta, TikTok, YouTube, LinkedIn (Conforme a rede social escolhida pelo usuário, sob demanda): Publicação e leitura de métricas nas redes conectadas pelo próprio usuário.

A operadora avisa a controladora antes de adicionar ou substituir um subprocessador que trate dados pessoais, dando oportunidade razoável de objeção.

5. Segurança

A operadora mantém isolamento de dados por workspace a nível de banco de dados, criptografia em trânsito, controle de acesso interno e trilha de auditoria das ações administrativas sobre dados de cliente.

6. Notificação de incidente

A operadora notifica a controladora sem atraso indevido ao tomar conhecimento de um incidente de segurança que afete dados pessoais tratados por conta da controladora, fornecendo as informações disponíveis para que a controladora cumpra suas próprias obrigações de notificação.

7. Direitos do titular e assistência

A operadora assiste a controladora, na medida do razoável, a responder pedidos de titulares de dados (acesso, correção, eliminação, portabilidade) que cheguem sobre dados tratados no ViralOS.

8. Transferência internacional

Os subprocessadores listados acima operam fora do Brasil (Estados Unidos e União Europeia). Cada transferência deve observar um mecanismo válido e as salvaguardas exigidas pela legislação aplicável. Este documento não substitui cláusulas ou outros instrumentos específicos exigidos para uma transferência internacional.

9. Eliminação ao fim do contrato

Ao fim do contrato entre as partes, a operadora elimina ou devolve os dados pessoais tratados por conta da controladora, conforme as regras de retenção aplicáveis e salvo obrigação legal de guarda por prazo diferente.

10. Auditoria

A operadora disponibiliza à controladora as informações razoavelmente necessárias para demonstrar o cumprimento deste documento, e permite auditorias mediante aviso prévio razoável e nos limites que preservem a segurança dos demais clientes.

11. Como solicitar o DPA assinável

Empresas-cliente que precisem deste documento como anexo contratual formal, assinado por ambas as partes, podem solicitá-lo em fernando@axtroai.com.