Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados ("Acordo") é um adendo aos Termos de Serviço do Distilo ("Contrato Principal") e regulamenta o tratamento de dados pessoais pelo Distilo ("Operador") em nome do cliente ("Controlador") em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).

Ao aceitar o Contrato Principal, o Controlador aceita também este Acordo de Tratamento de Dados.

Identificação do Operador

1. Definições

• "Dados Pessoais": informação relacionada a pessoa natural identificada ou identificável, conforme Art. 5, I da LGPD.
• "Tratamento": toda operação realizada com dados pessoais, conforme Art. 5, X da LGPD.
• "Suboperador": terceiro contratado pelo Operador para realizar tratamento de Dados Pessoais.
• "Dados do Cliente": Dados Pessoais que o Controlador fornece ao Operador ou que o Operador trata em nome do Controlador no âmbito dos Serviços.
• "Serviços": os serviços de análise de dados e consultoria descritos no Contrato Principal.

2. Escopo e função das partes

O Controlador determina as finalidades e os meios do tratamento dos Dados do Cliente. O Operador trata os Dados do Cliente exclusivamente em nome do Controlador e conforme suas instruções documentadas (Art. 39 da LGPD).

3. Obrigações do Operador

O Operador se compromete a (Art. 39 e Art. 46 da LGPD):

• Instruções: Tratar os Dados do Cliente exclusivamente conforme as instruções documentadas do Controlador, salvo obrigação legal em contrário.
• Confidencialidade: Garantir que todas as pessoas com acesso aos Dados do Cliente estejam sujeitas a obrigação de sigilo.
• Segurança: Adotar medidas técnicas e organizacionais adequadas conforme Art. 46 da LGPD. Veja Artigo 6.
• Suboperadores: Não contratar suboperadores sem autorização prévia por escrito do Controlador. Veja Artigo 5.
• Direitos dos titulares: Auxiliar o Controlador no atendimento de solicitações dos titulares (Art. 18 da LGPD).
• Assistência: Auxiliar o Controlador no cumprimento de obrigações relativas a segurança, notificação de incidentes e relatório de impacto (RIPD).
• Eliminação: Após o término dos Serviços, eliminar ou devolver todos os Dados do Cliente, conforme escolha do Controlador. Veja Artigo 8.
• Auditorias: Disponibilizar todas as informações necessárias para demonstrar conformidade e permitir auditorias. Veja Artigo 9.

4. Obrigações do Controlador

• Garantir a existência de base legal válida para o tratamento dos Dados do Cliente (Art. 7 da LGPD).
• Informar o Operador tempestivamente sobre instruções de tratamento e alterações.
• Garantir que os Dados do Cliente foram coletados de forma lícita e precisa.
• Informar o Operador imediatamente caso uma instrução, em sua opinião, viole a LGPD ou outra legislação aplicável.

5. Suboperadores

O Controlador concede autorização geral por escrito para a contratação de suboperadores, desde que o Operador:

• Informe o Controlador com pelo menos 14 dias de antecedência sobre alterações na lista de suboperadores.
• Firme com cada suboperador um contrato que imponha obrigações equivalentes às deste Acordo.
• Permaneça integralmente responsável pelos atos dos suboperadores.

O Controlador pode apresentar objeção por escrito a um novo suboperador dentro de 14 dias após a notificação. Em caso de objeção, as partes buscarão uma solução em conjunto.

Suboperadores

O site, o conector Shopify, o executor das análises e o banco de dados da aplicação, que armazena os Dados do Cliente, rodam na União Europeia (Hetzner, Alemanha) para todos os Clientes, independentemente do país de estabelecimento. O modelo de linguagem que redige a análise roda nos Estados Unidos. A tabela abaixo e o Artigo 10 descrevem a salvaguarda de cada transferência.

Estado alpha atual

A Distilo está em fase alpha e ainda não onboardou Clientes pagantes. A infraestrutura que armazena os dados do Cliente fica na Alemanha (Nuremberg): o banco de dados da aplicação, o site, o conector Shopify e a orquestração das análises rodam em servidor próprio. Os dados de negócio do Cliente saem do EEE para o modelo de linguagem, nos Estados Unidos, como descreve a tabela acima.

6. Segurança (Art. 46 da LGPD)

O Operador adota, entre outras, as seguintes medidas:

• Criptografia de dados em trânsito (TLS/HTTPS)
• Criptografia de dados em repouso quando tecnicamente viável
• Controle de acesso baseado no princípio de necessidade de conhecimento
• Avaliação periódica das medidas de segurança
• Monitoramento de segurança via provedores de infraestrutura

O Operador avaliará periodicamente o nível de segurança e o adaptará ao estado da técnica, aos custos, à natureza e ao escopo do tratamento e aos riscos para os titulares.

7. Incidentes de Segurança (Art. 48 da LGPD)

O Operador comunicará ao Controlador, sem demora injustificada e no prazo máximo de 48 horas após a descoberta, qualquer incidente de segurança envolvendo Dados do Cliente. A comunicação conterá, no mínimo:

• A natureza do incidente, incluindo (quando possível) as categorias e o número de titulares afetados
• As consequências prováveis
• As medidas adotadas ou propostas para remediar o incidente
• Dados de contato para informações adicionais

O Operador auxiliará o Controlador no cumprimento da obrigação de comunicação à ANPD e aos titulares, conforme Art. 48 da LGPD.

8. Devolução e eliminação de dados

Após o término dos Serviços, o Operador, conforme escolha do Controlador:

• Devolverá todos os Dados do Cliente em formato comum e legível por máquina (CSV, JSON); ou
• Eliminará todos os Dados do Cliente e cópias existentes, salvo obrigação legal de retenção.

O Operador concluirá a eliminação em até 30 dias após a solicitação e, quando solicitado, confirmará por escrito.

9. Auditorias

O Operador permitirá ao Controlador, ou a um auditor independente por este designado, realizar auditorias para verificar o cumprimento deste Acordo. O Controlador:

• Notificará por escrito com pelo menos 30 dias de antecedência.
• Realizará a auditoria em horário comercial e de forma a minimizar a interrupção das atividades.
• Arcará com os custos da auditoria, salvo se esta revelar descumprimento material por parte do Operador.

10. Transferência internacional de dados

O banco de dados da aplicação armazena os Dados do Cliente na União Europeia (Hetzner, Alemanha) para todos os Clientes. O tratamento feito na UE (site, banco de dados da aplicação, conector Shopify e executor das análises, na Hetzner, Alemanha) apoia-se, para titulares brasileiros, no art. 33, I da LGPD, em razão do reconhecimento da União Europeia como organismo internacional adequado pela ANPD (Resolução CD/ANPD nº 32/2026).

O modelo de linguagem que redige a análise trata os Dados do Cliente nos Estados Unidos. Essa transferência, para a OpenRouter e para os hosts de modelo por trás dela, baseia-se nas Cláusulas Contratuais-Padrão da União Europeia (Módulo Dois) incorporadas ao acordo de tratamento da OpenRouter e aos contratos entre a OpenRouter e cada host. A OpenRouter não é certificada no EU-US Data Privacy Framework. As demais transferências para os Estados Unidos baseiam-se igualmente nas Cláusulas Contratuais-Padrão da União Europeia dos contratos de suboperação. As Cláusulas-Padrão Contratuais aprovadas pela Resolução CD/ANPD nº 19/2024 (art. 33, II "a" LGPD) serão adotadas na medida em que cada suboperador as disponibilize.

O Operador fornecerá, mediante solicitação, cópia dos mecanismos de transferência aplicáveis e da Avaliação de Impacto de Transferência (TIA) documentada para cada suboperador localizado nos EUA.

11. Responsabilidade

A responsabilidade das partes sob este Acordo está sujeita às disposições de responsabilidade do Contrato Principal, salvo disposição legal imperativa em contrário. O Operador responde solidariamente por danos causados pelo tratamento em violação à LGPD, conforme Art. 42 da LGPD.

12. Vigência e rescisão

Este Acordo entra em vigor na data de início do Contrato Principal e permanece vigente enquanto o Operador tratar Dados do Cliente. As disposições relativas a confidencialidade, eliminação e responsabilidade sobrevivem à rescisão.

13. Alterações

O Operador pode alterar este Acordo para atender a mudanças na legislação aplicável. Alterações materiais serão publicadas nesta página com pelo menos 30 dias de antecedência. O uso continuado dos Serviços após a notificação constitui aceitação.

14. Contato

Para dúvidas sobre este Acordo de Tratamento de Dados:
Privacidade: privacidade@distilo.com.br
Geral: contato@distilo.com.br