Acordo de Tratamento de Dados Pessoais

1. Partes, objeto e vigência

1.1. Este Acordo de Tratamento de Dados Pessoais (“Acordo”) é celebrado entre GH ENGENHARIA E GESTÃO INTEGRADA DE PROCESSOS LTDA, CNPJ 68.021.316/0001-01, com sede na Rua Tobias de Macedo Júnior, 1381 – Santo Inácio, Curitiba/PR, CEP 82010-340, fornecedora da plataforma Morada (“Operadora”), e o condomínio que contrata a plataforma (“Controlador” ou “Assinante”), identificado no cadastro e representado pelo síndico, pela administradora ou por outra pessoa com poderes para isso (“Responsável”).

1.2. O Acordo integra os Termos de Uso e Contrato de Assinatura e regula o tratamento, pela Operadora, dos dados pessoais que o Controlador, sua equipe e seus moradores registram na plataforma, nos termos da Lei nº 13.709/2018 (“LGPD”).

1.3. O aceite ocorre no cadastro, inclusive para o teste grátis, junto com os Termos de Uso e a Política de Privacidade, e fica registrado com data, hora, endereço IP e versão. O Acordo vigora enquanto a Operadora tratar dados do Controlador, inclusive durante o prazo de guarda posterior ao fim da assinatura.

1.4. Quando uma administradora usa um único acesso para vários condomínios, este Acordo vale separadamente para cada condomínio, que é o Controlador dos seus próprios dados.

1.5. Em caso de conflito entre este Acordo e os Termos de Uso sobre proteção de dados, prevalece este Acordo.

2. Papéis das partes

2.1. O Controlador é o condomínio Assinante: é ele quem decide quais dados de moradores, funcionários, visitantes e prestadores registrar, para quê e por quanto tempo. Cabe a ele, em especial:

• definir e documentar a base legal de cada tratamento (por exemplo, legítimo interesse na segurança e na administração do condomínio, cumprimento da convenção e do regimento interno, cumprimento de obrigação legal ou, quando necessário, consentimento);
• informar os titulares sobre o tratamento, inclusive por aviso visível na portaria e comunicado aos moradores, podendo usar o modelo disponibilizado pela Operadora;
• atender aos pedidos dos titulares (art. 18 da LGPD), com o apoio da Operadora previsto na seção 8;
• conferir e aprovar os cadastros de moradores, conceder e revogar os perfis de acesso da equipe e manter os dados corretos e atualizados;
• coletar apenas os dados necessários às finalidades que definiu.

2.2. A Operadora trata esses dados exclusivamente em nome do Controlador e para prestar o serviço contratado, sem decidir sobre suas finalidades.

2.3. Em relação aos dados cadastrais e de cobrança do Responsável, aos chamados de suporte, aos contatos do site e aos registros de acesso, a Operadora é controladora, conforme a Política de Privacidade; esses dados não são regidos por este Acordo.

2.4. No recebimento online da taxa condominial, o Asaas é contratado diretamente pelo Controlador, na conta dele. A Operadora apenas envia, por instrução do Controlador, os dados do pagador e da cobrança à conta Asaas do condomínio, e não recebe nem movimenta valores.

3. Instruções do Controlador

3.1. As instruções do Controlador são dadas pelo próprio uso da plataforma (cadastrar, editar, aprovar, conceder perfis, exportar, excluir, ativar recursos) e por solicitações registradas nos chamados de suporte. A Operadora tratará os dados somente para:

• armazenar, organizar, exibir e proteger os dados registrados pelo Controlador, por sua equipe e por seus moradores;
• executar os recursos da plataforma: portaria, autorizações e convites, encomendas, reservas, comunicados, enquetes, ocorrências, documentos, manutenção, financeiro e app do morador;
• enviar avisos no app e no celular, inclusive as rotinas automáticas de lembrete;
• emitir cobranças da taxa condominial pela conta Asaas do Controlador, quando ele ativar esse recurso;
• gerar os relatórios e arquivos que o Controlador solicitar, incluindo a exportação completa (ZIP);
• fazer cópias de segurança e restaurá-las em caso de falha;
• prestar suporte técnico quando solicitado pelo Controlador;
• cumprir ordem judicial ou obrigação legal, observado o item 3.3.

3.2. A Operadora não usa os dados do Controlador para finalidades próprias, como publicidade, estatística comercial, venda, criação de perfis ou treinamento de sistemas de inteligência artificial, e não os compartilha com terceiros além dos suboperadores do Anexo II.

3.3. Se a Operadora considerar que uma instrução viola a LGPD ou outra norma, informará o Controlador. Se for obrigada por lei ou ordem de autoridade a tratar ou fornecer dados, avisará o Controlador antes, salvo quando a própria lei ou ordem o proibir.

4. Dados e titulares envolvidos

4.1. A plataforma não realiza reconhecimento facial nem tratamento biométrico. Não há tratamento de dados de saúde além da informação sobre a vacina antirrábica dos animais, que não é dado pessoal sensível.

4.2. Dados de crianças e adolescentes são cadastrados pelo responsável legal ou pelo Controlador, no melhor interesse deles e limitados ao necessário para a administração e a segurança do condomínio (art. 14 da LGPD).

4.3. O tratamento dura enquanto houver assinatura e, depois dela, pelo prazo de guarda da seção 11.

5. Confidencialidade e acesso

5.1. A Operadora garante que todas as pessoas autorizadas a acessar a infraestrutura da plataforma estão sujeitas a dever de confidencialidade, por contrato ou por lei, que persiste após o fim do vínculo.

5.2. O acesso da equipe da Operadora aos dados de um condomínio é restrito ao necessário para suporte, manutenção ou segurança, e cada acesso fica registrado.

5.3. Verificações na conta do Controlador para resolver chamados ocorrem a pedido dele e se limitam ao necessário para resolver o problema relatado.

6. Segurança da informação

6.1. A Operadora mantém as medidas técnicas e administrativas descritas no Anexo I e pode substituí-las por outras de nível igual ou superior.

6.2. O Controlador é responsável pela segurança do seu lado: senhas fortes e exclusivas, controle de quem recebe acesso, revogação dos acessos de quem deixa a função (síndico, administradora, funcionários), proteção dos dispositivos da portaria e da administração e guarda segura dos arquivos exportados.

7. Suboperadores

7.1. O Controlador autoriza a Operadora a contratar os suboperadores do Anexo II. A Operadora exige deles obrigações de proteção de dados compatíveis com este Acordo e responde perante o Controlador pelo cumprimento dessas obrigações.

7.2. A inclusão ou troca de suboperador que trate dados de moradores, funcionários ou visitantes será comunicada na plataforma com antecedência mínima de 30 (trinta) dias. Se discordar, o Controlador pode cancelar a assinatura sem ônus antes da mudança, com direito à exportação dos dados.

7.3. Não são suboperadores da Operadora: (a) o Asaas no recebimento online da taxa condominial, contratado diretamente pelo Controlador (item 2.4); e (b) o WhatsApp (Meta), ferramenta de terceiros usada pelo próprio usuário quando ele toca em um botão que abre o aplicativo com uma mensagem pronta. A plataforma não envia mensagens pelo WhatsApp.

8. Apoio ao Controlador

8.1. A Operadora oferece ferramentas para que o Controlador atenda aos direitos dos titulares (art. 18 da LGPD): consulta, correção, exclusão de registros e exportação completa em formato estruturado.

8.2. Pedidos de titulares recebidos diretamente pela Operadora serão encaminhados ao Controlador em até 5 (cinco) dias úteis, sem que a Operadora responda pelo mérito ou revele dados a quem não for o titular.

8.3. A Operadora fornecerá, quando solicitado pelos chamados de suporte, as informações razoavelmente necessárias para o Controlador elaborar relatório de impacto à proteção de dados, responder a titulares ou atender à Autoridade Nacional de Proteção de Dados (ANPD).

9. Incidentes de segurança

9.1. A Operadora comunicará o Controlador sobre incidente de segurança que possa afetar dados do condomínio sem demora injustificada e em até 2 (dois) dias úteis da ciência, por aviso na plataforma e pelos contatos cadastrados do Responsável, para permitir que o Controlador cumpra o prazo de 3 (três) dias úteis da Resolução CD/ANPD nº 15/2024.

9.2. A comunicação trará, conforme disponível, as informações do art. 48, § 1º, da LGPD: descrição da natureza dos dados afetados; titulares envolvidos; medidas técnicas e de segurança utilizadas para a proteção dos dados; riscos relacionados ao incidente; motivos de eventual demora; e medidas adotadas e recomendadas para reverter ou reduzir os efeitos do prejuízo, além do contato para acompanhamento. Informações ainda não disponíveis serão complementadas assim que apuradas.

9.3. Cabe ao Controlador avaliar e, se for o caso, comunicar a ANPD e os titulares, nos termos do art. 48 da LGPD. A Operadora cooperará com essas comunicações, com a contenção do incidente e com o registro do ocorrido.

10. Transferência internacional

10.1. Os dados do condomínio e as cópias de segurança são armazenados no Brasil, e a base de dados não é transferida para outro país.

10.2. Os serviços de notificação dos fabricantes de navegadores e aparelhos (Anexo II) podem operar com servidores fora do Brasil. Por eles trafega apenas o aviso destinado ao aparelho de quem ativou os avisos, cifrado de ponta a ponta pelo padrão Web Push, sem que o serviço consiga ler o conteúdo. Esse tratamento ocorre para a execução do serviço solicitado pelo próprio titular e com as garantias contratuais dos fornecedores, nos termos do art. 33 da LGPD.

10.3. Qualquer outra transferência internacional dependerá do procedimento do item 7.2 e das garantias do art. 33 da LGPD.

11. Fim do tratamento: devolução e exclusão

11.1. Devolução. A qualquer momento, inclusive após o cancelamento, o síndico e a administração podem baixar pela plataforma um arquivo compactado (ZIP) com todos os dados do condomínio, o registro de atividades e os arquivos enviados. As senhas não são incluídas.

11.2. Exclusão. Encerrada a assinatura (por cancelamento, fim do teste sem contratação ou encerramento por inadimplência), os dados ficam disponíveis em modo somente leitura por 90 (noventa) dias e depois são excluídos definitivamente dos servidores ativos, incluindo a chave de integração do Asaas do condomínio. As cópias de segurança são sobrescritas em até 30 (trinta) dias adicionais.

11.3. A pedido do Controlador, a exclusão pode ser antecipada, e a Operadora fornecerá declaração de exclusão.

11.4. A Operadora poderá manter, apenas pelo tempo exigido em lei, os registros de acesso à aplicação (6 meses, art. 15 do Marco Civil da Internet) e os dados de cobrança da assinatura (5 anos), que não incluem dados de moradores ou visitantes.

11.5. Se o Controlador precisar guardar algum registro por prazo maior (por exemplo, por regra da convenção ou para defesa em processo), deve exportá-lo antes do fim do prazo do item 11.2.

12. Comprovação e auditoria

12.1. A Operadora disponibiliza este Acordo e seus anexos como descrição das medidas adotadas e responderá, uma vez por ano ou após incidente, a questionário razoável do Controlador sobre o cumprimento deste Acordo, enviado pelos chamados de suporte.

12.2. Verificações presenciais ou técnicas adicionais dependem de aviso com 30 (trinta) dias de antecedência, correm por conta do Controlador e não podem dar acesso a dados de outros condomínios nem comprometer a segurança da plataforma.

13. Responsabilidades

13.1. Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo, nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente apenas quando descumprir a legislação de proteção de dados ou deixar de seguir as instruções lícitas do Controlador.

13.2. O Controlador responde pela base legal, pela informação aos titulares, pela correção dos dados que registra, pelos perfis de acesso que concede e pelo uso dos dados exportados.

13.3. Aplicam-se, no que a lei permitir, os limites de responsabilidade previstos nos Termos de Uso.

14. Contato

Encarregado pelo tratamento de dados da Operadora: Gabriel Helmer Baer. Canais: menu Suporte dentro da plataforma (chamados) ou formulário Fale com a gente do site, indicando “Privacidade / LGPD”.

Anexo I — Medidas técnicas e administrativas de segurança

• Criptografia em trânsito: acesso à plataforma por HTTPS (TLS) no endereço oficial.
• Isolamento entre condomínios: cada condomínio tem a sua base separada, e todas as consultas são filtradas pelo condomínio da sessão.
• Controle de acesso por perfil: permissões de síndico, administração, portaria, zeladoria, conselho fiscal e morador conferidas no servidor; o morador só recebe os dados da própria unidade.
• Autenticação: senhas armazenadas com hash forte (bcrypt/Argon2), nunca em texto puro; bloqueio temporário após 8 tentativas sem sucesso em 15 minutos; sessão encerrada por inatividade.
• Proteção contra requisições forjadas: verificação de cabeçalho próprio em todas as chamadas que alteram dados (CSRF).
• Arquivos protegidos: fotos, assinaturas e documentos servidos apenas a usuários autenticados do próprio condomínio.
• Chaves de integração cifradas: a chave de API do Asaas do condomínio é guardada cifrada (libsodium) no servidor.
• Pagamentos: dados de cartão de crédito são enviados diretamente ao intermediador e não ficam armazenados na plataforma (apenas bandeira e quatro últimos dígitos).
• Avisos no celular: conteúdo cifrado de ponta a ponta pelo padrão Web Push.
• Auditoria: registro de atividades dos usuários do condomínio e registro dos acessos da equipe da Operadora.
• Infraestrutura: servidor no Brasil, com firewall que só libera as portas necessárias, acesso administrativo por chave criptográfica e atualizações de segurança.
• Menor privilégio: a plataforma roda com usuário de sistema, banco e processos exclusivos, separados de outros sistemas do servidor.
• Cópias de segurança: backup diário no servidor, mantido por 14 dias, e cópia diária cifrada fora do servidor, em equipamento da Operadora, com acesso restrito.
• Pessoas: acesso administrativo restrito ao responsável técnico, com dever de confidencialidade, apenas para suporte e manutenção.

Anexo II — Suboperadores autorizados

Integra os Termos de Uso e Contrato de Assinatura. Veja também a Política de Privacidade e o modelo de aviso para a portaria.