Acordo de Tratamento de Dados (DPA)

Última atualização: 17 de junho de 2026

Minuta para validação jurídica (Diretoria da Factorya).

Este Acordo de Tratamento de Dados Pessoais (“DPA”, do inglês Data Processing Agreement) integra os Termos de Uso da plataforma eletriq e disciplina o tratamento de dados pessoais realizado pelo Instituto Innvicton LTDA (CNPJ 23.285.285/0001-50), na qualidade de operador, em nome e por conta do lojista contratante, na qualidade de controlador, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”).

1. Definições e Papéis

• Controlador: o lojista (revenda) contratante da plataforma eletriq, a quem competem as decisões referentes ao tratamento dos dados pessoais de seus colaboradores, clientes e leads.
• Operador: o Instituto Innvicton LTDA, que trata os dados pessoais em nome do controlador, exclusivamente conforme as instruções deste DPA e do contrato de prestação de serviço.
• Suboperadores: terceiros contratados pelo operador para auxiliar na prestação do serviço, listados na seção 5.
• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável tratada por meio da plataforma.
• Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação, entre outras).

2. Objeto e Duração

O operador tratará dados pessoais em nome do controlador exclusivamente para viabilizar as funcionalidades contratadas da plataforma eletriq (gestão de estoque de veículos, CRM e atendimento, financeiro, publicação de anúncios e integrações). O tratamento perdurará enquanto vigente o contrato de prestação de serviço, encerrando-se conforme a seção 8.

3. Natureza dos Dados e Categorias de Titulares

4. Obrigações do Operador

O Instituto Innvicton LTDA, na qualidade de operador, compromete-se a:

1. Tratar os dados pessoais somente conforme as instruções documentadas do controlador, consubstanciadas neste DPA, nos Termos de Uso e na configuração da plataforma.
2. Garantir que as pessoas autorizadas a tratar dados pessoais estejam sujeitas a dever de confidencialidade.
3. Adotar as medidas técnicas e organizacionais de segurança descritas na seção 6 (art. 46 da LGPD).
4. Auxiliar o controlador, na medida do possível, no atendimento às requisições de titulares (art. 18 da LGPD) e no cumprimento das obrigações dos arts. 48 e 49 da LGPD.
5. Não realizar transferência internacional de dados em desacordo com a LGPD nem contratar suboperador sem assegurar nível de proteção equivalente.
6. Eliminar ou devolver os dados pessoais ao término da prestação do serviço, conforme a seção 8.

5. Suboperadores

O controlador autoriza, de forma geral, a contratação dos suboperadores abaixo, indispensáveis à prestação do serviço. O operador assegura que cada suboperador esteja vinculado a obrigações de proteção de dados compatíveis com este DPA.

A relação atualizada de suboperadores está disponível mediante solicitação ao Encarregado. Alterações relevantes nesta lista serão comunicadas com antecedência razoável, facultando ao controlador opor-se por motivo legítimo.

6. Segurança da Informação (Art. 46 da LGPD)

O operador adota medidas técnicas e organizacionais para proteger os dados pessoais, incluindo:

• Criptografia em trânsito: TLS 1.2+ em todas as comunicações.
• Criptografia em repouso: proteção dos dados sensíveis armazenados.
• Autenticação: hash de senhas e controle de acesso por função.
• Isolamento de dados: Row Level Security (RLS), garantindo que cada lojista acesse apenas seus próprios dados.
• Backups: backups com retenção definida e restauração testada.
• Controle de acesso: princípio do menor privilégio aplicado a colaboradores e sistemas.
• Registro de aceites e auditoria: trilha de consentimentos e de ações relevantes na plataforma.

7. Incidentes de Segurança (Art. 48 da LGPD)

Caso o operador tome conhecimento de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicará o controlador sem demora injustificada, fornecendo, na medida do disponível: a descrição da natureza do incidente, as categorias e o número aproximado de titulares e de registros afetados, as medidas adotadas para conter os efeitos e mitigar os riscos, e os contatos para obtenção de mais informações. A comunicação à ANPD e aos titulares, quando cabível, é de responsabilidade do controlador, com o apoio do operador.

8. Eliminação e Devolução de Dados

Encerrada a prestação do serviço, o operador, conforme instrução do controlador, eliminará ou devolverá os dados pessoais tratados, ressalvada a conservação exigida por obrigação legal ou regulatória (por exemplo, dados fiscais e logs de acesso). A eliminação ocorre de forma segura, em prazo de até 30 dias após o encerramento, salvo prazos legais maiores aplicáveis.

9. Auditoria

O operador disponibilizará ao controlador, mediante solicitação razoável e com aviso prévio, as informações necessárias para demonstrar o cumprimento das obrigações deste DPA, preservada a confidencialidade e a segurança dos demais clientes da plataforma.

10. Encarregado (DPO)

O Encarregado pelo tratamento de dados pessoais pode ser contatado pelo e-mail privacidade@factorya.com.br, responsável por receber comunicações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD).

Operador: Instituto Innvicton LTDA (CNPJ 23.285.285/0001-50)
Itapema, Santa Catarina, Brasil
Contato: privacidade@factorya.com.br
Reclamações ANPD: gov.br/anpd