Versão 1.0 — vigente a partir de 4 de julho de 2026.
Este Acordo de Tratamento de Dados Pessoais ("DPA") integra e complementa o contrato principal ("Contrato") celebrado entre ECOMILHAS TECNOLOGIA LTDA (CNPJ nº 46.740.714/0001-37 — "ECOMILHAS") e o cliente corporativo ("Cliente") que contrata o programa de remuneração variável por metas ESG e demais serviços corporativos (os "Serviços"). Aplica-se sempre que a ECOMILHAS tratar dados pessoais em nome do Cliente, observadas a LGPD, o GDPR, o UK GDPR, a APPI, o CCPA/CPRA e demais leis de proteção de dados aplicáveis.
Em caso de conflito quanto à proteção de dados, prevalece este DPA sobre o Contrato.
1. Papéis das partes
Para os dados dos colaboradores do Cliente tratados no âmbito dos Serviços, o Cliente é o Controlador (ou controlador principal) e a ECOMILHAS atua como Operadora/Processadora, seguindo as instruções documentadas do Cliente. Quando a ECOMILHAS determinar finalidades e meios próprios (ex.: prevenção a fraude, cumprimento legal, geração de créditos de carbono a partir de trajetos), atuará como Controladora independente, conforme a Política de Privacidade.
2. Objeto, natureza e finalidade
- Objeto: tratamento de dados pessoais necessário à prestação dos Serviços.
- Natureza: coleta, registro, organização, armazenamento, uso, compartilhamento com sub-operadores, eliminação.
- Finalidade: habilitar benefícios ESG, validar trajetos, apurar recompensas e produzir relatórios de descarbonização.
- Duração: vigência do Contrato, mais os prazos legais de guarda.
3. Categorias de titulares e de dados (Anexo I)
- Titulares: colaboradores e representantes indicados pelo Cliente.
- Dados: identificação (nome, e-mail corporativo, identificador interno), vínculo empregatício, dados de trajeto e mobilidade, geolocalização, ecomilhas e recompensas. Não se destina ao tratamento de dados sensíveis; o Cliente não deve inseri-los.
4. Obrigações da ECOMILHAS (Operadora)
A ECOMILHAS: (a) tratará dados apenas conforme instruções documentadas do Cliente e a lei; (b) garantirá confidencialidade das pessoas autorizadas; (c) adotará as medidas de segurança do Anexo II; (d) auxiliará o Cliente, na medida do possível, no atendimento a titulares e em avaliações de impacto e consultas às autoridades; (e) notificará o Cliente sobre incidentes de segurança sem demora injustificada após tomar conhecimento; (f) ao término, eliminará ou devolverá os dados, salvo guarda obrigatória; (g) disponibilizará informações para demonstrar conformidade e permitirá auditorias conforme a seção 8.
5. Obrigações do Cliente (Controlador)
O Cliente garante que possui base legal para o tratamento e para o fornecimento dos dados à ECOMILHAS, que suas instruções são lícitas, que informou seus colaboradores conforme a lei e que obteve os consentimentos exigíveis (inclusive para geolocalização em segundo plano, quando aplicável).
6. Sub-operadores
O Cliente autoriza a ECOMILHAS a contratar sub-operadores (ex.: provedores de nuvem, processadores de pagamento/Mastercard, PIX, analytics e comunicação), mediante contrato com obrigações de proteção equivalentes às deste DPA. A ECOMILHAS mantém lista de sub-operadores disponível mediante solicitação e informará alterações relevantes com antecedência razoável, cabendo objeção fundamentada do Cliente.
7. Transferência internacional
Transferências internacionais serão realizadas apenas com salvaguarda adequada: adequação, Cláusulas Contratuais Padrão da UE (SCC), International Data Transfer Agreement do Reino Unido (IDTA) ou outra base autorizada pela ANPD/autoridades competentes. As SCC/IDTA aplicáveis consideram-se incorporadas a este DPA quando exigíveis.
8. Auditoria
Mediante aviso prévio razoável, no máximo uma vez por ano (salvo determinação de autoridade ou incidente), o Cliente poderá auditar a conformidade da ECOMILHAS, preferencialmente por meio de relatórios, certificações ou questionários, preservando a confidencialidade e a continuidade operacional.
9. Incidentes de segurança
A ECOMILHAS auxiliará o Cliente na comunicação a autoridades e titulares quando exigido. Para tratamentos sob GDPR/UK GDPR, a assistência considera o prazo de notificação de até 72 horas à autoridade competente.
10. Responsabilidade
A responsabilidade de cada parte segue os limites do Contrato. Na máxima extensão permitida em lei, exclui-se responsabilidade por danos indiretos e lucros cessantes. As partes cooperarão na alocação de responsabilidade proporcional à culpa.
11. Vigência e encerramento
Este DPA vige enquanto durar o tratamento em nome do Cliente. Encerrado o Contrato, a ECOMILHAS eliminará ou devolverá os dados no prazo de até 60 dias, salvo guarda obrigatória.
Anexo II — Medidas técnicas e organizacionais de segurança
Criptografia em trânsito (TLS) e em repouso; controle de acesso por menor privilégio e autenticação forte; segregação de ambientes; registro e monitoramento de logs; backups e plano de continuidade; gestão de vulnerabilidades e testes; avaliação e contratos com fornecedores; treinamento e confidencialidade de pessoal; procedimentos de resposta a incidentes; pseudonimização/minimização quando aplicável.
Este documento é um modelo e deve ser validado juridicamente e assinado pelas partes antes de produzir efeitos.
Documentos relacionados: Política de Privacidade · Termos Gerais de Uso · Política de Cookies.