Acordo de Tratamento de Dados

1. Objeto e partes

Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Uso e regula o tratamento, por Blocos Marketing ("Operadora"), dos dados pessoais que a Agência ("Controladora") insere, importa ou conecta à Plataforma. Vale automaticamente para toda Agência com conta ativa.

2. Dados e titulares abrangidos

• Titulares: contatos dos clientes e negócios da Agência, visitantes do portal do cliente, pessoas mencionadas em relatórios, documentos, tarefas e no diário de leads.
• Dados: identificação e contato (nome, e-mail, telefone), dados profissionais, métricas de anúncios e de sites, registros de aprovação e comentários, registros do diário de leads (quantidades por canal, motivos de perda), logs de acesso do portal (IP, navegador).
• Natureza: hospedagem, organização, exibição, exportação e análise sob instrução da Controladora. Não usamos esses dados para fins próprios.

3. Instruções da Controladora

Tratamos os dados apenas conforme as instruções documentadas da Controladora, que são: as funcionalidades da Plataforma que ela usa, as configurações que escolhe (portal, seções visíveis, retenção de notificações, IA ligada ou não) e os pedidos feitos pelos canais de suporte. Se uma instrução parecer violar a LGPD, avisaremos antes de cumpri-la.

A Controladora garante que tem base legal para os dados que insere e para as contas que conecta, e que informou seus titulares conforme os arts. 9º e 18 da LGPD.

4. Suboperadores

Meta e Google, como fontes de dados conectadas pela Agência, são controladores independentes e não suboperadores. Mudanças nesta lista são comunicadas com antecedência mínima de 15 dias; a Controladora pode se opor e, nesse caso, encerrar o contrato.

5. Medidas de segurança

• Isolamento lógico por agência (row-level security) em todas as tabelas; visitantes do portal só enxergam o próprio cliente.
• Cifragem em repouso dos tokens de integração e chaves de IA (AES-256-GCM) e em trânsito (TLS).
• Autenticação com senha forte, verificação em duas etapas opcional e encerramento por inatividade.
• Cargos e permissões granulares para os membros; trilha de auditoria; log de acesso do portal.
• Acesso da equipe da Operadora restrito, por cargo, ao painel da plataforma, com registro.

6. Incidentes

Ao tomar conhecimento de incidente de segurança que afete dados da Controladora, a Operadora a notifica em até 72 horas, com a natureza do incidente, os dados e titulares afetados, as medidas tomadas e as recomendadas, e colabora na comunicação à ANPD e aos titulares quando cabível (art. 48).

7. Direitos dos titulares

Pedidos de titulares recebidos pela Operadora sobre dados da Controladora são encaminhados a ela em Configurações › Privacidade (fila de pedidos), com o prazo legal indicado. A Plataforma oferece exportação, correção e exclusão em cascata para que a Controladora atenda sem depender de suporte.

8. Retenção, devolução e exclusão

Durante o contrato a Controladora exporta seus dados quando quiser (Configurações › Dados e API). Ao encerrar a conta, os dados são eliminados em até 30 dias, inclusive de cópias de segurança, salvo o que a lei obrigar a manter. Payloads brutos das fontes são expurgados em 30 dias; logs em 12 meses.

9. Auditoria e cooperação

A Operadora disponibiliza informações razoáveis para demonstrar o cumprimento deste DPA e coopera em auditorias solicitadas pela Controladora ou pela ANPD, com aviso prévio e sem comprometer a segurança de outras agências.

10. Contato e vigência

Canal para este DPA: Encarregado de Proteção de Dados — privacidade@blocosmarketing.com. Versão 1.0, atualizada em 24/09/2026; vigora enquanto a conta da Agência existir.