Acordo de Tratamento de Dados (DPA)
Última atualização: 29/10/2026
Este Acordo integra os Termos de Uso do Rudder PM e regula o tratamento de dados pessoais que a RCT IT CONSULTING LTDA ("Operadora") realiza em nome do Cliente ("Controlador"), nos termos da Lei 13.709/2018 (LGPD).
1. Objeto e papéis
O Cliente é o controlador dos dados pessoais inseridos na Plataforma por ele, seus Usuários e Participantes externos. A RCT IT Consulting atua como operadora e trata esses dados apenas para prestar o serviço contratado.
2. Descrição do tratamento
| Item | Descrição |
|---|---|
| Titulares | Usuários do Cliente, responsáveis por atividades, aprovadores, gestores e fornecedores do Cliente cadastrados como Participantes externos |
| Categorias de dados | Nome, e-mail corporativo, empresa, perfil de acesso, registros de ações e conteúdo inserido (observações, documentos, dados de projetos) |
| Dados sensíveis | Não previstos. O Cliente se compromete a não inseri-los |
| Operações | Coleta, armazenamento, consulta, exibição aos Usuários autorizados, backup, análise por IA (quando habilitada), envio de links por e-mail (quando ligado) e eliminação |
| Duração | Vigência da contratação, mais o prazo de exportação previsto nos Termos |
3. Obrigações da Operadora
- Tratar os dados somente conforme as instruções documentadas do Controlador, que são estes Termos, este Acordo e as configurações feitas pelo Cliente na Plataforma.
- Garantir que as pessoas autorizadas a acessar os dados estejam sujeitas a dever de confidencialidade.
- Manter as medidas de segurança descritas na cláusula 6.
- Auxiliar o Controlador a atender pedidos de titulares e a elaborar relatórios de impacto, quando necessário, na medida das informações de que dispõe.
- Não usar os dados para finalidade própria, salvo dados agregados e anonimizados previstos nos Termos.
4. Obrigações do Controlador
- Garantir que possui base legal para o tratamento e que informou os titulares, inclusive os Participantes externos que convidar.
- Inserir apenas os dados necessários à gestão dos seus projetos, sem dados sensíveis.
- Gerenciar os acessos dos seus Usuários e remover os que não devem mais acessar.
- Decidir se habilita os insights por IA e o envio de links por e-mail, ciente das transferências internacionais descritas na cláusula 5.
5. Suboperadores e transferência internacional
O Controlador autoriza o uso dos suboperadores abaixo. A Operadora avisará o Cliente com 30 dias de antecedência antes de incluir ou trocar um suboperador, e o Cliente poderá se opor de forma fundamentada ou rescindir sem multa.
| Suboperador | Serviço | País |
|---|---|---|
| Supabase | Banco de dados, autenticação, arquivos e funções | Brasil (São Paulo) |
| Anthropic | Insights por IA (somente se habilitado) | Estados Unidos |
| Resend | Envio dos e-mails com os links de atualização (somente se ligado no projeto). Recebe nome e e-mail do responsável, nome do projeto e da empresa e o link | Estados Unidos (envio pela região de São Paulo) |
| Microsoft (Clarity) | Métricas de uso e gravação da navegação nas telas da Plataforma. Recebe dados de navegação e de dispositivo dos Usuários, com os campos de formulário mascarados; não recebe o conteúdo do banco de dados | Estados Unidos |
A Operadora mantém com cada suboperador obrigações de proteção de dados equivalentes às deste Acordo. As transferências internacionais se apoiam no art. 33 da LGPD.
6. Medidas de segurança
- Isolamento lógico entre os ambientes de cada Cliente, com regras de acesso aplicadas no banco de dados.
- Controle de acesso por perfil e por projeto, com senha forte e troca obrigatória no primeiro acesso.
- Criptografia em trânsito (HTTPS) e senhas armazenadas com hash.
- Links públicos com escopo limitado e expiração automática.
- Registro de auditoria de cada ação, com antes e depois.
- Backup do banco de dados com frequência diária.
7. Incidentes de segurança
A Operadora comunicará o Controlador em até 48 horas após tomar conhecimento de incidente que envolva seus dados pessoais. A comunicação informará a natureza do incidente, os dados e titulares afetados, os riscos e as medidas adotadas, para que o Controlador possa avaliar a comunicação à ANPD e aos titulares.
8. Auditoria
O Controlador pode solicitar, uma vez por ano, informações e evidências razoáveis do cumprimento deste Acordo, como questionários de segurança e descrição de controles. Auditorias presenciais dependem de acordo prévio sobre escopo, prazo e custos.
9. Término
Ao fim da contratação, o Cliente pode exportar seus dados no prazo previsto nos Termos. Depois, a Operadora eliminará os dados, inclusive dos backups no ciclo normal de sobrescrita, salvo obrigação legal de manter.
10. Contato
Assuntos de privacidade e proteção de dados: lgpd@rudderpm.com.br