Acordo de Tratamento de Dados (DPA) — Vesta Hub

Versão: 1.0 · Vigência a partir de: 07 de Julho de 2026

Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Uso e rege o tratamento de dados pessoais em que o Assinante (o "Controlador") utiliza a plataforma Vesta Hub e a VESTA HUB INOVA SIMPLES (I.S.), CNPJ 67.126.065/0001-59, com sede na Estrada Francisco da Cruz Nunes, 5982, Sala 204, Piratininga, Niterói/RJ, CEP 24.350-310 (o "Operador" ou "Vesta Hub"), trata dados pessoais por conta e sob as instruções do Controlador. Aplica-se a Lei nº 13.709/2018 (LGPD). Em caso de conflito com os Termos de Uso quanto à proteção de dados, prevalece este DPA.

Resumo

• Você (Assinante) é o Controlador dos dados de seus Clientes Finais; o Vesta Hub é o Operador e trata esses dados apenas conforme as suas instruções, para prestar o serviço.
• Adotamos medidas de segurança (Anexo II); recorremos a suboperadores que você autoriza e pode contestar, sob obrigações equivalentes de proteção (Anexo III); e o notificamos, sem demora, diante de incidentes.
• Ao término, devolvemos ou eliminamos os dados, ressalvada a guarda legal.
• Você é responsável pela base legal e por informar os seus titulares; nós o auxiliamos no atendimento aos direitos deles.

1. Objeto e papéis

1.1. Este DPA disciplina o tratamento, pelo Operador, dos dados pessoais que o Controlador insere na Plataforma — em especial os dados de seus Clientes Finais, contatos, fornecedores e demais titulares (o "Objeto"), descritos no Anexo I.

1.2. O Controlador determina as finalidades e os meios essenciais do tratamento; o Operador trata os dados exclusivamente por conta e sob as instruções do Controlador, sem finalidade própria.

1.3. Quanto aos dados de cadastro, conta e faturamento do próprio Assinante e de seus Usuários, o Vesta Hub atua como Controlador, regendo-se pela Política de Privacidade, e não por este DPA.

2. Instruções do Controlador

2.1. Constituem instruções documentadas do Controlador: estes Termos de Uso, este DPA e as configurações e ações realizadas pelo Controlador na Plataforma.

2.2. O Operador tratará os dados apenas conforme tais instruções, inclusive quanto à transferência internacional. Instruções adicionais que extrapolem o funcionamento padrão da Plataforma poderão exigir aditivo e ser orçadas à parte.

2.3. O Operador informará o Controlador se, a seu ver, uma instrução violar a legislação de proteção de dados, sem obrigação de fiscalizar a licitude da coleta realizada pelo Controlador.

3. Obrigações do Operador

3.1. Confidencialidade. O Operador garante que as pessoas autorizadas a tratar os dados estão submetidas a dever de confidencialidade e acessam os dados apenas na medida necessária.

3.2. Segurança. O Operador adota e mantém as medidas técnicas e organizacionais do Anexo II, compatíveis com o estado da técnica (arts. 46 a 49 da LGPD), obrigação que subsiste após o término do tratamento. Não se garante segurança absoluta.

3.3. Auxílio ao Controlador. Na medida do razoável e por meio das funcionalidades da Plataforma, o Operador auxilia o Controlador a: (i) atender às requisições dos titulares (cláusula 6); (ii) cumprir deveres de segurança, comunicação de incidentes e, quando exigido, elaborar Relatório de Impacto (RIPD); e (iii) prestar informações à ANPD.

3.4. Registro. O Operador mantém registro das operações de tratamento que executa como Operador (art. 37 da LGPD), limitado ao escopo do Controlador.

3.5. O Operador não comercializa os dados, não os utiliza para finalidades próprias e não os emprega para treinar modelos de inteligência artificial de terceiros.

4. Suboperadores

4.1. O Controlador autoriza o Operador a contratar suboperadores para viabilizar a Plataforma, relacionados no Anexo III, e a contratar novos suboperadores para as mesmas finalidades.

4.2. O Operador impõe aos suboperadores obrigações de proteção de dados e segurança compatíveis com as deste DPA e responde perante o Controlador pelo cumprimento por eles.

4.3. O Operador comunicará previamente alterações materiais na relação de suboperadores; o Controlador poderá opor-se, de forma motivada, no prazo informado. Não sanada a objeção, o Controlador poderá rescindir o serviço afetado, como remédio exclusivo.

4.4. Por segurança da informação e proteção de segredo de negócio, o Anexo III é confidencial (cláusula de confidencialidade dos Termos de Uso) e fornecido ao Controlador mediante solicitação.

4.5. Integrações habilitadas pelo Controlador. Clientes e serviços externos que o Controlador conecte à Plataforma (ex.: clientes de IA via MCP) são autorizados pelo próprio Controlador e não são suboperadores do Operador. O Operador apenas executa o compartilhamento autorizado; o tratamento por esses terceiros é de responsabilidade do Controlador.

5. Transferência internacional

5.1. Parte do tratamento ocorre fora do Brasil, por suboperadores. O Operador adota mecanismo legítimo de transferência internacional (arts. 33 a 36 da LGPD), incluindo, quando aplicável, as Cláusulas-Padrão Contratuais da ANPD (Resolução CD/ANPD nº 19/2024), assegurando o padrão de proteção da LGPD.

6. Direitos dos titulares

6.1. Os direitos dos titulares (art. 18 da LGPD) são exercidos perante o Controlador. O Operador disponibiliza funcionalidades de exportação, correção e eliminação e presta auxílio técnico razoável.

6.2. Requisição de titular recebida diretamente pelo Operador será, sempre que possível, redirecionada ao Controlador, sem que o Operador responda diretamente ao titular, salvo instrução em contrário.

7. Incidentes de segurança

7.1. Ao tomar conhecimento de incidente que possa acarretar risco ou dano relevante aos dados sob controladoria do Controlador, o Operador o notificará sem demora injustificada, informando o que dispuser: natureza do incidente, dados e titulares afetados, prováveis consequências e medidas adotadas.

7.2. A comunicação à ANPD e aos titulares — no prazo de 3 (três) dias úteis (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024) — é dever do Controlador; o Operador presta o auxílio cabível. O Operador não assume esse dever no lugar do Controlador.

8. Devolução e eliminação dos dados

8.1. Encerrado o contrato, o Controlador dispõe da Janela de Resgate de 30 dias para exportar os dados (Termos de Uso, cláusula 12).

8.2. Decorrido esse prazo, o Operador elimina ou anonimiza de forma irreversível os dados pessoais sob controladoria do Controlador ou, à escolha deste, os devolve, e os expurga de suas cópias e backups nos ciclos técnicos regulares.

8.3. Exceção. O Operador poderá conservar dados quando e enquanto exigido por lei — em especial dados fiscais (em regra 5 anos) e registros de acesso (mínimo de 6 meses) —, em acesso restrito e apenas pela finalidade que justifica a retenção (art. 16 da LGPD).

9. Demonstração de conformidade e auditoria

9.1. O Operador disponibilizará ao Controlador as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, preferencialmente por meio de documentação, certificações e respostas a questionário.

9.2. O Controlador poderá auditar o cumprimento deste DPA até uma vez por ano (ou após incidente comprovado), mediante aviso prévio de 30 dias, em horário comercial, sob confidencialidade, sem acesso a dados de outros clientes e sem interromper a operação, arcando com os custos da auditoria. A auditoria dá preferência à via documental da cláusula 9.1, admitindo-se diligência presencial apenas quando aquela se mostrar insuficiente; não pode ser conduzida por concorrente do Operador; e, mesmo após incidente, observa os mesmos limites de custo, confidencialidade, não acesso a dados de outros clientes e não interrupção da operação. Auditorias por terceiro dependem de acordo prévio e vínculo de sigilo.

10. Responsabilidade

10.1. Cada parte responde por suas obrigações na forma da LGPD. Entre as partes, a responsabilidade do Operador — inclusive por perdas relacionadas a incidentes ou ao tratamento de dados pessoais — observa os limites da cláusula 21 dos Termos de Uso, ressalvados dolo e culpa grave; tais limites não afetam a responsabilidade que a lei atribua ao Operador diretamente perante os titulares (art. 42 da LGPD).

10.2. O Controlador é responsável pela existência de base legal, pela licitude dos dados e das instruções e pelo cumprimento dos deveres de informação perante seus titulares. O Controlador defenderá, indenizará e manterá o Operador indene — de forma cumulativa à cláusula 22 dos Termos de Uso e sem teto financeiro nas relações entre empresas (B2B) — de toda reclamação, medida administrativa ou sanção (inclusive da ANPD, a título de regresso), perda, dano e custo razoável, aí incluídos honorários advocatícios, decorrentes de: (i) ausência ou insuficiência de base legal; (ii) instrução ilícita; (iii) descumprimento do dever de informar seus titulares; ou (iv) inserção de dados em desconformidade com a lei. Sendo o Controlador consumidor pessoa física, aplica-se a ressalva da cláusula 22.4 dos Termos (dolo ou culpa grave comprovada).

11. Obrigações e garantias do Controlador

11.1. O Controlador declara e garante que: (i) possui base legal para o tratamento e para a inserção dos dados na Plataforma; (ii) suas instruções são lícitas; (iii) informa os seus titulares sobre o tratamento, inclusive sobre o uso de operador e a transferência internacional; e (iv) não insere dados sensíveis desnecessários nem submete à funcionalidade de IA conteúdo sem a devida base legal.

12. Vigência e disposições finais

12.1. Este DPA vigora enquanto o Operador tratar dados sob controladoria do Controlador e, nas obrigações que por natureza subsistam, após o término.

12.2. Este DPA é regido pela legislação brasileira; fica eleito o foro da Comarca de Niterói/RJ. Prevalece sobre os Termos de Uso quanto à proteção de dados.

Anexo I — Descrição do tratamento

• Natureza e finalidade: hospedagem, armazenamento, organização, processamento e exibição de dados pessoais na Plataforma, para prestar ao Controlador o serviço de gestão contratado, incluindo a funcionalidade opcional de geração de notas por inteligência artificial.
• Duração: enquanto vigente o contrato, acrescida da Janela de Resgate e dos prazos técnicos e legais de eliminação/retenção.
• Categorias de titulares: Clientes Finais do Controlador, seus contatos, fornecedores, colaboradores e demais pessoas cujos dados o Controlador inserir.
• Categorias de dados pessoais: identificação e contato (nome, e-mail, telefone, CPF/CNPJ); dados de projeto, obra e orçamento; dados financeiros de projeto; conteúdo de reuniões e transcrições; e demais dados que o Controlador optar por inserir.
• Dados sensíveis: não previstos; o Controlador compromete-se a não inseri-los desnecessariamente.

Anexo II — Medidas de segurança

• Criptografia em trânsito (TLS) e em repouso.
• Controle de acesso com autenticação, menor privilégio e segregação por função.
• Isolamento lógico entre organizações (multi-tenant) na arquitetura da Plataforma.
• Registro e monitoramento de acessos e de eventos relevantes de segurança.
• Backups e rotinas de continuidade e recuperação.
• Gestão de vulnerabilidades, endurecimento (hardening) e segregação de ambientes.
• Confidencialidade e conscientização da equipe.

As medidas evoluem com o estado da técnica; alterações não reduzirão o nível de proteção contratado.

Anexo III — Suboperadores (confidencial)

Esta relação é confidencial e fornecida ao Controlador mediante solicitação, sob sigilo (cláusula 4.4).