Adendo de Tratamento de Dados (DPA)

Termos que regem o tratamento de dados pessoais realizado pelo Zelo, na qualidade de operador, por conta e sob instruções do integrador, na qualidade de controlador.

Última atualização: 20 de junho de 2026

Este Adendo de Tratamento de Dados ("Adendo" ou "DPA") integra e complementa os Termos de Serviço celebrados entre você ou a organização que você representa ("Integrador" ou "Controlador") e o Zelo, toolkit open-source de conformidade com a LGPD mantido por Thiago Rodrigues Carvalho (pessoa física, projeto independente), responsável pelo serviço gerenciado disponível em zelocompliance.com e api.zelocompliance.com ("Zelo" ou "Operador"). Este Adendo aplica-se ao tratamento de dados pessoais decorrente do uso do serviço gerenciado pelo Integrador para orquestrar suas operações de conformidade. Em caso de conflito entre este Adendo e os Termos de Serviço quanto à matéria de proteção de dados, prevalece este Adendo.

1. Definições

Os termos abaixo seguem o disposto na Lei nº 13.709/2018 (LGPD), em especial o Art. 5º:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Titular: a pessoa natural a quem se referem os dados pessoais objeto de tratamento — no contexto deste Adendo, os usuários finais do Integrador.
• Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais — aqui, o Integrador.
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador — aqui, o Zelo.
• Suboperador: terceiro contratado pelo Operador para auxiliar na prestação do serviço e que possa, nesse contexto, tratar dados em nome do Controlador.
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre controlador, titulares e a ANPD. O Encarregado do Zelo pode ser contatado em privacidade@zelocompliance.com.

2. Objeto e escopo do tratamento

O Zelo é um plano de controle de conformidade que não armazena dados pessoais dos titulares do Integrador. Os dados pessoais reais dos usuários finais permanecem, integralmente, no banco de dados do próprio Integrador. No exercício de suas funções como Operador, o Zelo trata exclusivamente:

• um external_id opaco — identificador definido pelo aplicativo do Integrador, sem significado intrínseco para o Zelo;
• registros de consentimento (metadados de concessão e revogação);
• estado de solicitações de titular (DSR) — o ciclo de vida das solicitações de direitos; e
• a trilha de auditoria encadeada por hash (tamper-evident).

O Zelo orquestra operações de conformidade (por exemplo, exclusão de dados) acionando o ambiente do Integrador por meio de webhooks assinados (HMAC-SHA256). A execução efetiva sobre os dados pessoais ocorre sempre no ambiente do Integrador. O Zelo não tem acesso ao conteúdo dos dados pessoais dos titulares e não os armazena.

2.1 Natureza, finalidade e duração

O tratamento tem por finalidade exclusiva permitir ao Integrador registrar consentimentos, gerir solicitações de titulares e manter trilha de auditoria verificável, em apoio ao cumprimento de suas obrigações sob a LGPD. A duração do tratamento corresponde à vigência da relação contratual, ressalvado o disposto na cláusula de eliminação.

3. Instruções do controlador

O Zelo trata os dados acima descritos somente conforme as instruções documentadas do Integrador, as quais são expressas, primordialmente, pelo uso da API e do painel do serviço pelo Integrador, bem como pela configuração de sua conta. Cada chamada de API, registro de consentimento, abertura de solicitação de titular ou disparo de webhook constitui instrução do Controlador. O Zelo não tratará os dados para finalidades próprias diversas das necessárias à prestação do serviço. Caso o Zelo entenda que uma instrução viola a LGPD, comunicará o Integrador.

4. Obrigações do operador

• tratar os dados apenas nos limites das instruções do Controlador e da prestação do serviço;
• garantir a confidencialidade dos dados, inclusive por parte de quaisquer pessoas autorizadas a tratá-los;
• adotar as medidas de segurança técnicas e administrativas descritas na cláusula 6;
• manter registro das operações de tratamento que realizar, na forma do Art. 37 da LGPD;
• auxiliar o Controlador no cumprimento de suas obrigações perante titulares e a ANPD, na medida da natureza do tratamento e das informações disponíveis ao Operador.

5. Suboperadores autorizados

O Integrador autoriza o Zelo a contratar os suboperadores abaixo, os quais estão sujeitos a obrigações de proteção de dados compatíveis com as deste Adendo:

O processamento da plataforma ocorre em território nacional, na região de São Paulo da OCI. O envio de e-mail transacional pelo Resend ocorre fora do Brasil, configurando transferência internacional limitada ao endereço de e-mail da conta e fundamentada na execução do serviço (LGPD, Art. 33). O Zelo informará o Integrador sobre qualquer pretensão de inclusão ou substituição de suboperador com antecedência razoável, facultando ao Integrador opor-se por motivo legítimo relacionado à proteção de dados.

6. Segurança da informação

O Zelo adota medidas técnicas e administrativas aptas a proteger os dados tratados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo:

• criptografia em trânsito (TLS) em todas as comunicações com a API e o painel;
• armazenamento de senhas de conta apenas como hash (PBKDF2-SHA256), nunca em texto claro;
• trilha de auditoria encadeada por hash (tamper-evident), que torna detectável qualquer adulteração de registros;
• assinatura de webhooks com HMAC-SHA256, garantindo autenticidade e integridade das instruções de orquestração;
• isolamento por chave de API e por tenant, de modo que os registros de um Integrador não sejam acessíveis a outro.

7. Incidentes de segurança

Ao tomar conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares e que envolva os dados tratados sob este Adendo, o Zelo comunicará o Integrador sem demora injustificada, fornecendo as informações disponíveis sobre a natureza do incidente, os dados afetados e as medidas adotadas ou recomendadas. Essa comunicação destina-se a apoiar o Controlador no cumprimento de seu dever de comunicação à ANPD e aos titulares previsto no Art. 48 da LGPD. Como o Zelo não armazena os dados pessoais dos titulares, a avaliação de impacto sobre tais dados cabe primariamente ao Integrador.

8. Direitos dos titulares

Considerando que os dados pessoais dos titulares residem no ambiente do Integrador, cabe a este atender diretamente às solicitações de exercício de direitos (Art. 18 da LGPD). O Zelo auxilia o Controlador nesse atendimento, disponibilizando o estado das solicitações (DSR), os registros de consentimento e a trilha de auditoria correspondentes, bem como a orquestração de operações (como exclusão) via webhooks assinados. Solicitações de titulares recebidas diretamente pelo Zelo serão, quando possível, redirecionadas ao Integrador.

9. Devolução e eliminação dos dados

Encerrada a prestação do serviço, o Zelo, por instrução do Integrador, eliminará ou devolverá os dados tratados sob este Adendo (external_id opaco, metadados de consentimento e de solicitações e trilha de auditoria), salvo quando a conservação for exigida por obrigação legal ou regulatória, nos termos do Art. 16 da LGPD. O Integrador pode exportar seus registros enquanto a conta permanecer ativa.

10. Auditoria

O Zelo disponibilizará ao Integrador as informações razoavelmente necessárias para demonstrar o cumprimento deste Adendo. Por ser um toolkit open-source (núcleo licenciado sob Apache-2.0 e auto-hospedável), o Integrador pode inspecionar o código-fonte do plano de controle. A trilha de auditoria encadeada por hash permite verificação independente da integridade dos registros. Solicitações adicionais de auditoria podem ser encaminhadas a privacidade@zelocompliance.com.

11. Vigência e relação com os Termos

Este Adendo vigora enquanto perdurar a relação contratual entre as partes e enquanto o Zelo tratar dados em nome do Integrador. Os termos não definidos aqui seguem os Termos de Serviço. Este Adendo é regido pela legislação brasileira, elegendo-se o foro do Brasil para dirimir controvérsias. Durante a fase beta, o serviço gerenciado é oferecido gratuitamente.