Acordo de Processamento de Dados (DPA)

Partes

Controlador ("a Agência"): a agência titular da conta da Lumen.

Operador ("Lumen"): SCHWAB NICOLAS, contato contact@getlumen.lat.

1. Papéis, objeto e duração

A Agência é controladora dos dados pessoais que carrega na Lumen sobre seus clientes e sua equipe; a Lumen os trata como operadora, exclusivamente por conta da Agência. Este DPA vigora enquanto a Lumen prestar o serviço e até a devolução ou eliminação dos dados (cláusula 11).

2. Finalidade e dados tratados

Finalidade: prestar o serviço de monitoramento de visibilidade em mecanismos de IA contratado pela Agência (executar prompts, calcular métricas, gerar relatórios e recomendações).

Dados: nome, e-mail e foto dos usuários da Agência; nomes de marca, domínios, concorrentes, localizações e prompts de seus clientes; resultados de execuções; e dados das integrações que a Agência conectar. Titulares: usuários da Agência e, eventualmente, contatos de seus clientes. A Agência não deve carregar dados sensíveis nem dados de que não precise para o serviço.

3. Instruções

A Lumen tratará os dados somente conforme as instruções documentadas da Agência, que são este DPA, os Termos e o uso das configurações do serviço. Se considerar que uma instrução infringe a norma aplicável, informará a Agência. A Lumen não usa os dados da Agência para treinar modelos de IA nem para fins próprios distintos de prestar o serviço, salvo a elaboração de estatísticas e estudos agregados e anonimizados descritos na Política de Privacidade, que não identificam a Agência, seus clientes nem suas marcas.

4. Confidencialidade

A Lumen garante que as pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade.

5. Medidas de segurança

A Lumen aplica medidas técnicas e organizacionais adequadas, descritas na página de Segurança, entre elas:

• Criptografia em trânsito (HTTPS/TLS) e armazenamento criptografado.
• Credenciais de integrações criptografadas em nível de aplicação (AES-256-GCM).
• Autenticação via Google OAuth 2.0 ou link de acesso por e-mail, e separação dos dados por conta e por cliente.
• Conexões do Google Search Console e GA4 somente leitura, opcionais e desconectáveis.
• Acesso da equipe restrito a pessoal autorizado, com registro de quem e quando, e autenticação de dois fatores.

6. Suboperadores

A Agência autoriza de forma geral o uso dos subprocessadores listados na página de Subprocessadores. A Lumen lhes imporá obrigações de proteção de dados equivalentes e continuará responsável perante a Agência pelo cumprimento delas.

A Lumen avisará a Agência com 30 dias de antecedência por e-mail sobre a inclusão ou substituição de um subprocessador. Nesse prazo, a Agência poderá se opor por motivos razoáveis de proteção de dados; não havendo acordo, poderá encerrar o serviço afetado.

7. Transferências internacionais

Os dados são hospedados nos Estados Unidos (Supabase, região us-east-2, Ohio; Vercel, região cle1, Cleveland), o que implica uma transferência internacional a partir da Argentina, Colômbia ou outros países. Ao aceitar este DPA, a Agência autoriza expressamente essa transferência e declara que a informou aos titulares dos dados quando a norma aplicável exigir.

8. Direitos dos titulares

A Lumen auxiliará a Agência, com medidas técnicas razoáveis e em prazos que lhe permitam cumprir a norma, a responder a solicitações de acesso, retificação, eliminação, oposição e portabilidade. Se a Lumen receber uma solicitação diretamente, a encaminhará à Agência.

9. Incidentes de segurança

A Lumen notificará a Agência sem demora indevida, e em até 72 horas após tomar conhecimento, sobre qualquer violação de segurança que afete dados pessoais da Agência, indicando sua natureza, os dados afetados, as medidas adotadas e um ponto de contato, e auxiliará a Agência na notificação às autoridades e aos titulares quando necessário.

10. Auditoria

A Lumen disponibilizará à Agência as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA. Uma vez por ano, mediante aviso prévio, a Agência poderá solicitá-las; a Lumen as fornecerá respondendo a um questionário de segurança e apresentando documentação sobre as medidas descritas na página de Segurança.

11. Devolução e eliminação

Ao término do serviço, a Agência poderá exportar seus dados e a Lumen os eliminará em até 30 dias, salvo obrigação legal de conservá-los. Mediante solicitação, a Lumen confirmará a eliminação por escrito.

12. Responsabilidade e lei aplicável

A responsabilidade de cada parte é regida pelos Termos de Serviço. Este DPA é regido pela lei da República Argentina e se submete à jurisdição indicada nos Termos.

Aceitação

Este DPA integra os Termos de Serviço e se aplica à Agência desde que ela os aceita ao criar sua conta ou usar o serviço; não é necessária assinatura separada. Se a Agência precisar de uma cópia assinada, pode solicitá-la em contact@getlumen.lat.