Anexo de Tratamento de Dados (DPA)

Este DPA se aplica sempre que o uso dos Serviços pelo Cliente resultar no tratamento, pela Infi, de dados pessoais em nome do Cliente, nos termos da LGPD (Lei 13.709/2018).

Onde este DPA conflitar com os Termos de Uso, este DPA prevalece em matéria de tratamento de dados pessoais.

A Infi V1 atende Clientes estabelecidos no Brasil, e este DPA é redigido sob a LGPD. Se a sua operação envolve titulares sujeitos ao GDPR ou a outro regime, fale com a gente antes: o anexo correspondente é negociado caso a caso, não está coberto aqui.

O Cliente é o controlador. A Infi é a operadora, e trata dados pessoais exclusivamente conforme instruções documentadas do Cliente — instruções que se materializam nos Termos de Uso, neste DPA e nas configurações que o Cliente faz no app Infi (produtos, planos, regras de cobrança, regras de roteamento, cadastro de Pagadores, destinos de payout, políticas de notificação).

A Infi não trata dados de Pagadores para finalidade própria. Não faz marketing para Pagador, não enriquece cadastro, não vende, não cede a terceiro para uso próprio dele e não usa esses dados para treinar modelo de inteligência artificial.

Se a Infi entender que uma instrução do Cliente viola a LGPD, informará o Cliente e poderá suspender a execução daquela instrução até esclarecimento.

Fora do escopo deste DPA, a Infi atua como controladora — em relação aos dados de cadastro, faturamento, uso e auditoria da própria conta do Cliente. Esse tratamento é regido pela Política de Privacidade.

Provedores de pagamento conectados pelo Cliente (Asaas, Stripe) não são suboperadores da Infi. A conta e o contrato são do Cliente, e o tratamento feito por eles decorre da relação direta entre Cliente e Provedor.

O tratamento sob este DPA vigora enquanto durar a assinatura do Cliente, acrescido da janela de retenção pós-rescisão da Seção 13.

A Infi trata dados pessoais para entregar os Serviços. As operações incluem:

• armazenar, indexar e recuperar cadastro de Pagadores e de destinatários de payout;
• gerar, atualizar e conciliar cobranças, faturas e assinaturas;
• transmitir instruções de cobrança e de payout ao Provedor conectado pelo Cliente, e receber notificações de status;
• medir consumo, aplicar regras de preço e apurar valores devidos ao Cliente por seus próprios clientes;
• enviar notificações de cobrança a Pagadores, por email, SMS ou WhatsApp, por determinação e em nome do Cliente;
• aplicar controles de risco sobre instruções de payout, incluindo verificação contra lista de destinos bloqueados;
• manter registros de auditoria das operações realizadas na conta do Cliente;
• eliminar, anonimizar ou exportar dados quando o Cliente solicitar.

• Pagadores do Cliente — pessoas naturais, ou representantes de pessoas jurídicas, que devem ou pagam cobranças emitidas pelo Cliente.
• Destinatários de payout ordenados pelo Cliente.
• Contatos que o Cliente cadastre para fins de cobrança, notificação ou conciliação.
• Membros da organização do Cliente cujos dados apareçam nos registros de uso e auditoria.

• Identificação — nome, CPF ou CNPJ.
• Contato — email, telefone, WhatsApp, endereço.
• Dados de cobrança — valores, vencimentos, status, meio de pagamento, histórico de tentativas, identificadores de transação no Provedor.
• Dados de payout — chave Pix e seu tipo, nome e documento do destinatário, valores e histórico de instruções. Na lista de destinos bloqueados a Infi guarda apenas hash da chave, não a chave em claro.
• Eventos de comunicação — envio, entrega e abertura de notificação de cobrança.
• Dados técnicos incidentais — endereço IP e identificadores de requisição, quando o Pagador acessa link de pagamento ou fatura.

A Infi não recebe nem armazena número completo de cartão, CVV ou credencial bancária de Pagador — a captura desses dados ocorre no ambiente do Provedor.

O Cliente não deve inserir na Infi dado pessoal sensível (art. 5º, II da LGPD) nem dado de crianças e adolescentes. Os Serviços não são dimensionados para essas categorias, e inseri-las é violação deste DPA.

O Cliente autoriza a Infi a contratar os suboperadores abaixo. Cada um está vinculado por contrato com obrigações de proteção de dados substancialmente equivalentes às deste DPA, e acessa apenas o mínimo necessário:

• DigitalOcean — hospedagem da aplicação e do banco de dados.
• Cloudflare — armazenamento de arquivos, proteção de borda e mitigação de ataque.
• Clerk — autenticação e gestão de identidade.
• Infisical — gestão de segredos e credenciais.
• Amazon Web Services — envio de email e mensagens, e armazenamento de objetos.
• Resend — envio de email transacional.
• Provedor de observabilidade — telemetria técnica da aplicação, com dado pessoal minimizado a identificadores.

A Infi permanece responsável perante o Cliente pelo tratamento realizado por seus suboperadores no escopo contratado.

A Infi mantém medidas técnicas e organizacionais proporcionais ao risco, incluindo:

• criptografia em trânsito (TLS 1.2 ou superior) e em repouso no banco de dados primário;
• credenciais de Provedor e segredos em gestor dedicado, cifrados, jamais em texto claro em código ou log;
• autenticação multifator e verificação adicional para operação sensível, como aprovação de payout e troca de credencial;
• controle de acesso por papel, em regime de menor privilégio, com registro de auditoria; acesso administrativo restrito a rede privada;
• firewall de aplicação na borda, em modo bloqueio e com política de falhar fechado;
• minimização de dados por desenho, incluindo uso de hash em lugar de chave em claro onde o identificador resolve;
• backup com retenção definida e procedimento de recuperação testado;
• pessoal vinculado a obrigação de confidencialidade.

A Infi comunicará o Cliente sem demora injustificada, e em qualquer caso em até 72 horas da confirmação, sobre incidente de segurança que afete dados pessoais tratados em nome dele.

A comunicação informará, na medida do que se souber: natureza do incidente, categorias e volume aproximado de dados e titulares afetados, consequências prováveis, medidas adotadas e de mitigação, e contato para acompanhamento.

A comunicação à ANPD e aos titulares é obrigação do Cliente, na qualidade de controlador. A Infi prestará a assistência razoável necessária, incluindo informação técnica e cronologia do incidente.

A Infi prestará assistência razoável para que o Cliente atenda pedidos de titulares — confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento e oposição.

Onde é tecnicamente viável, o Cliente executa essas ações diretamente no app Infi, sem depender da gente. Para o que exigir intervenção da Infi, o contato é [email protected].

Se um Pagador contatar a Infi diretamente, a Infi não responderá pelo mérito: encaminhará o pedido ao Cliente em até 5 dias úteis e informará o titular a quem o pedido foi encaminhado. Atender o pedido é obrigação do Cliente.

Parte da infraestrutura e alguns suboperadores operam fora do Brasil, atualmente em [REGIÃO/PAÍS — confirmar antes de publicar]. Há, portanto, transferência internacional de dados pessoais.

Essas transferências se apoiam nas hipóteses do art. 33 da LGPD conforme o caso — necessidade para execução do contrato, cumprimento de obrigação legal, ou cláusulas contratuais específicas com garantias equivalentes às da LGPD firmadas com cada suboperador.

A Infi disponibilizará ao Cliente, sob solicitação, informação sobre as garantias aplicadas a um suboperador específico.

A Infi avisará com pelo menos 30 dias de antecedência, por email e na página legal de beinfi.com, antes de incluir ou substituir suboperador.

O Cliente pode se opor nesse prazo por motivo fundado de proteção de dados. Se as partes não chegarem a solução, o Cliente pode rescindir os Serviços afetados sem ônus, com devolução proporcional de valores pagos por período não usufruído.

Mediante solicitação razoável e no máximo uma vez por ano, a Infi fornecerá ao Cliente resumo escrito de suas práticas de segurança e conformidade, suficiente para demonstrar o cumprimento deste DPA.

Quando a Infi obtiver relatório SOC 2 ou certificação equivalente, o relatório cumprirá essa obrigação.

Auditoria presencial não está prevista na V1. Se o seu programa de compliance exige, fale com a gente para acordo específico.

Encerrado o contrato, o Cliente tem 30 dias para exportar os dados. Após esse prazo, a Infi elimina os dados pessoais ativos em até 30 dias, e os backups expiram no ciclo normal, em no máximo 90 dias.

A Infi retém, pelo prazo legal e apenas na medida estritamente necessária, os registros que a lei exige guardar — em especial registros de acesso a aplicação de internet e documentos fiscais e contábeis. Esses registros permanecem protegidos pelas medidas da Seção 8.

Mediante solicitação, a Infi confirmará por escrito a eliminação realizada.

Este DPA é regido pela lei brasileira, com foro na Comarca de [CIDADE/UF], acompanhando os Termos de Uso.