Acordo de Tratamento de Dados Pessoais – DPA

ACORDO DE TRATAMENTO DE DADOS PESSOAIS – DPA

AURA SAN

Versão 1.0
Última atualização: 21 de agosto de 2026

O presente Acordo de Tratamento de Dados Pessoais – Data Processing Agreement (“DPA”) integra os Termos de Uso e demais instrumentos de contratação da plataforma AURA SAN, sendo celebrado entre:

AURA SAN TECNOLOGIA LTDA., pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 43.926.896/0001-47, com sede em St. Leste Quadra 04 Conjunto 01 lote 27 - SCIA, Brasília - DF, 71261-455 doravante denominada “AURA SAN” ou “OPERADORA”;

e

a pessoa jurídica ou pessoa física contratante identificado no cadastro, proposta comercial, instrumento de contratação ou Conta vinculada à plataforma AURA SAN, doravante denominado “CLIENTE” ou “CONTROLADOR”;

individualmente denominada “Parte” e, em conjunto, “Partes”.

As Partes resolvem celebrar o presente DPA, que será regido pela Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (“LGPD”), pela regulamentação expedida pela Autoridade Nacional de Proteção de Dados – ANPD e pelas cláusulas seguintes.

1. OBJETO E FINALIDADE

1.1. O presente DPA disciplina as condições sob as quais a AURA SAN realizará, em nome e por conta do CLIENTE, operações de tratamento de dados pessoais necessárias à prestação dos serviços contratados por meio da plataforma.

1.2. Para as operações abrangidas por este DPA, o CLIENTE atuará, em regra, como Controlador, competindo-lhe as decisões referentes às finalidades e aos elementos essenciais do tratamento dos dados pessoais inseridos ou tratados sob sua determinação na plataforma, enquanto a AURA SAN atuará como Operadora, realizando o tratamento em nome do CLIENTE e de acordo com suas instruções legítimas.

1.3. A qualificação prevista nesta cláusula decorrerá da atuação efetivamente desempenhada pelas Partes e não impedirá que a AURA SAN atue como Controladora independente em operações realizadas para finalidades próprias, especialmente relacionadas à administração de contas, faturamento, cobrança, segurança da plataforma, prevenção a fraude, cumprimento de obrigações legais, exercício regular de direitos e gestão da própria relação contratual.

1.4. As operações nas quais a AURA SAN atuar como Controladora independente serão disciplinadas pela Política de Privacidade e Proteção de Dados Pessoais da AURA SAN e pela legislação aplicável, não se submetendo às instruções do CLIENTE previstas neste DPA.

Essa separação é importante: não podemos contratualmente chamar a AURA SAN de operadora para absolutamente tudo quando, na realidade, ela decide autonomamente determinadas finalidades. A LGPD define controlador justamente como aquele a quem competem as decisões sobre o tratamento.

2. ESCOPO DO TRATAMENTO

2.1. O tratamento realizado pela AURA SAN em nome do CLIENTE poderá compreender, conforme as funcionalidades efetivamente utilizadas:

I. coleta ou recepção;

II. acesso;

III. classificação e organização;

IV. armazenamento;

V. consulta;

VI. processamento;

VII. reprodução técnica;

VIII. transmissão;

IX. disponibilização;

X. modificação;

XI. extração e exportação;

XII. realização de cópias de segurança;

XIII. bloqueio;

XIV. exclusão ou eliminação; e

XV. outras operações tecnicamente necessárias à prestação dos serviços contratados.

2.2. O tratamento será realizado exclusivamente para permitir a disponibilização das funcionalidades contratadas, a manutenção, segurança e suporte da plataforma e o cumprimento das demais instruções legítimas do CLIENTE compatíveis com o objeto da contratação.

3. TITULARES E CATEGORIAS DE DADOS

3.1. Poderão ser tratados, em nome do CLIENTE, dados pessoais referentes, especialmente:

I. aos clientes e consumidores atendidos pelo CLIENTE;

II. aos usuários e colaboradores autorizados pelo CLIENTE;

III. aos representantes ou contatos relacionados às ordens de serviço; e

IV. a outras pessoas naturais cujos dados sejam legitimamente inseridos na plataforma pelo CLIENTE.

3.2. Categorias de dados

O tratamento poderá abranger, conforme as funcionalidades utilizadas:

I. nome;

II. telefone;

III. e-mail;

IV. dados relacionados à ordem de serviço;

V. informações sobre aparelhos e equipamentos;

VI. IMEI, número de série e outros identificadores de dispositivos;

VII. fotografias e registros visuais;

VIII. informações relativas ao Checklist 360;

IX. histórico de atendimentos, reparos e garantias;

X. comunicações relacionadas à prestação dos serviços;

XI. observações técnicas; e

XII. demais informações inseridas pelo CLIENTE nas funcionalidades disponibilizadas.

4. DADOS PESSOAIS SENSÍVEIS

4.1. A plataforma não é destinada, como finalidade ordinária, ao tratamento de dados pessoais sensíveis definidos pelo art. 5º, II, da LGPD.

4.2. O CLIENTE deverá abster-se de inserir dados pessoais sensíveis em campos livres, observações, imagens, ferramentas de inteligência artificial ou outras funcionalidades quando tais informações não forem estritamente necessárias à finalidade legítima pretendida.

4.3. Caso determinada funcionalidade venha a exigir tratamento regular de dados pessoais sensíveis, as Partes deverão avaliar previamente a respectiva finalidade, hipótese legal, necessidade e medidas de segurança aplicáveis.

5. INSTRUÇÕES DO CONTROLADOR

5.1. A AURA SAN tratará os dados pessoais abrangidos por este DPA conforme as instruções legítimas e documentadas do CLIENTE e dentro dos limites necessários à execução dos serviços contratados.

5.2. Para fins deste DPA, constituem instruções documentadas do CLIENTE:

I. estes Termos e o presente DPA;

II. as configurações realizadas pelo CLIENTE na plataforma;

III. as funcionalidades voluntariamente utilizadas;

IV. solicitações encaminhadas pelos canais oficiais; e

V. demais instruções documentadas e aceitas pela AURA SAN.

5.3. Caso a AURA SAN considere que determinada instrução viola a legislação de proteção de dados pessoais, comunicará o CLIENTE e poderá suspender sua execução até que a questão seja esclarecida ou regularizada.

5.4. A AURA SAN não estará obrigada a executar instrução manifestamente ilícita, tecnicamente impossível, incompatível com o objeto contratado ou capaz de comprometer a segurança da plataforma, de outros clientes ou de terceiros.

6. OBRIGAÇÕES DO CLIENTE – CONTROLADOR

Compete ao CLIENTE:

I. determinar finalidades legítimas para o tratamento;

II. assegurar a existência de hipótese legal adequada;

III. observar os princípios previstos na LGPD, especialmente finalidade, adequação, necessidade, transparência e segurança;

IV. fornecer aos titulares as informações legalmente exigíveis;

V. garantir a legitimidade dos dados inseridos na plataforma;

VI. evitar a inserção de dados excessivos ou desnecessários;

VII. manter adequadamente seus usuários, perfis e permissões de acesso;

VIII. atender aos direitos dos titulares quando atuar como Controlador;

IX. comunicar à AURA SAN solicitações que dependam de providências técnicas da Operadora;

X. adotar medidas adequadas de segurança em seus próprios ambientes, dispositivos e credenciais;

XI. comunicar imediatamente acessos indevidos ou comprometimento de suas contas; e

XII. cumprir as demais obrigações impostas ao Controlador pela legislação.

6.2. O CLIENTE será responsável pelas instruções fornecidas à AURA SAN e pela licitude da coleta e das finalidades por ele determinadas, sem prejuízo das responsabilidades próprias da AURA SAN decorrentes da legislação e de sua atuação como Operadora.

7. OBRIGAÇÕES DA AURA SAN – OPERADORA

Compete à AURA SAN:

I. tratar os dados de acordo com as instruções legítimas do CLIENTE;

II. limitar o tratamento ao necessário para execução dos serviços;

III. adotar medidas técnicas e administrativas de segurança compatíveis com os riscos envolvidos;

IV. restringir o acesso aos dados às pessoas que necessitem acessá-los para execução de suas funções;

V. assegurar que pessoas autorizadas a acessar dados estejam submetidas a deveres adequados de confidencialidade;

VI. manter registros e documentação pertinentes às operações sob sua responsabilidade, quando exigidos pela legislação;

VII. auxiliar razoavelmente o CLIENTE no atendimento aos direitos dos titulares;

VIII. cooperar com o CLIENTE na análise e resposta a incidentes;

IX. informar o CLIENTE sobre situações relevantes relacionadas à proteção dos dados tratados em seu nome;

X. observar as regras aplicáveis à contratação de suboperadores;

XI. observar as exigências legais referentes a transferências internacionais de dados; e

XII. após o término da prestação, adotar as providências de devolução, exportação, eliminação ou conservação previstas neste DPA.

8. CONFIDENCIALIDADE E CONTROLE DE ACESSO

8.1. A AURA SAN adotará medidas destinadas a assegurar que o acesso aos dados pessoais seja limitado às pessoas que necessitem deles para execução de suas funções.

8.2. Empregados, desenvolvedores, prestadores de serviços e demais pessoas autorizadas pela AURA SAN deverão estar sujeitos a obrigações de confidencialidade compatíveis com a natureza das informações acessadas.

8.3. As credenciais de acesso deverão ser individuais sempre que tecnicamente aplicável, sendo vedado o compartilhamento indiscriminado de contas administrativas.

8.4. A AURA SAN deverá revogar ou adequar acessos quando deixarem de ser necessários em razão de alteração de função, desligamento ou encerramento da relação com a pessoa autorizada.

9. SEGURANÇA DA INFORMAÇÃO

A AURA SAN adota medidas técnicas e administrativas destinadas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação, divulgação ou qualquer forma de tratamento inadequado ou ilícito, considerando a natureza dos dados tratados, as características da plataforma e os riscos envolvidos nas operações.

9.2 Entre as medidas atualmente implementadas encontram-se, conforme aplicável:

I. proteção das credenciais de autenticação, incluindo armazenamento seguro de senhas mediante técnicas criptográficas de hash;

II. mecanismos de proteção de sessões e autenticação, com utilização de configurações de segurança destinadas a reduzir riscos de acesso indevido;

III. mecanismos de proteção contra requisições indevidas, abuso e tentativas excessivas de acesso;

IV. controles destinados à autenticação e validação de comunicações entre sistemas e integrações;

V. procedimentos seguros de recuperação de acesso e redefinição de senha, com mecanismos temporários e de utilização controlada;

VI. utilização de cabeçalhos e configurações de segurança destinados à proteção das comunicações e da aplicação;

VII. registro e auditoria de eventos relevantes, bem como mecanismos de controle e acompanhamento de sessões;

VIII. utilização de sinais técnicos relacionados a IP e dispositivo para identificação e avaliação de riscos, nos termos desta Política;

IX. mecanismos de controle de tráfego e limitação de requisições, destinados à proteção da disponibilidade e integridade da plataforma; e

X. procedimentos de backup e restauração controlada de dados, destinados à continuidade, recuperação e segurança das informações.

As medidas de segurança serão avaliadas e aprimoradas de acordo com a evolução tecnológica da plataforma, os riscos identificados, a natureza das operações de tratamento e as exigências legais e regulatórias aplicáveis.

Embora a AURA SAN adote medidas destinadas à prevenção e mitigação de riscos, nenhum sistema tecnológico pode ser considerado absolutamente imune a incidentes. Eventuais incidentes envolvendo dados pessoais serão tratados de acordo com os procedimentos internos da AURA SAN e com as obrigações de comunicação e documentação previstas na legislação e regulamentação aplicáveis.

9.3. As medidas de segurança serão periodicamente avaliadas e poderão evoluir em razão de alterações tecnológicas, novos riscos, funcionalidades ou exigências legais.

10. SUBOPERADORES

10.1. O CLIENTE autoriza a AURA SAN a contratar terceiros necessários à prestação dos serviços que realizem tratamento de dados pessoais em nome da AURA SAN, doravante denominados Suboperadores, desde que observadas as disposições desta cláusula.

10.2. A AURA SAN deverá selecionar Suboperadores que ofereçam garantias adequadas de proteção de dados e segurança compatíveis com a natureza dos serviços contratados.

10.3. Os Suboperadores deverão estar sujeitos a obrigações de proteção de dados compatíveis com as assumidas pela AURA SAN neste DPA, considerando a natureza da atividade efetivamente desempenhada.

10.4. A AURA SAN permanecerá responsável perante o CLIENTE pelo cumprimento das obrigações que lhe sejam legal e contratualmente atribuíveis, não se eximindo de suas próprias responsabilidades pela mera contratação de Suboperador.

Lista de Suboperadores

A AURA SAN poderá manter relação atualizada dos Suboperadores envolvidos no tratamento de dados pessoais realizado em nome do CLIENTE, disponibilizando-a mediante solicitação e/ou por meio de seus canais oficiais.

Na configuração atualmente implementada, poderão integrar a cadeia de tratamento, conforme as funcionalidades efetivamente utilizadas pelo CLIENTE:

I. Render Services, Inc. — fornecimento de infraestrutura de hospedagem em nuvem, incluindo a infraestrutura na qual são atualmente executados o banco de dados PostgreSQL e os serviços Redis/Valkey utilizados pela plataforma;

II. Mercado Pago — processamento e intermediação de pagamentos relacionados à contratação dos serviços da AURA SAN;

III. Resend — processamento e envio de e-mails e comunicações transacionais da plataforma; e

IV. OpenAI — processamento das informações encaminhadas às funcionalidades de inteligência artificial por meio da OpenAI API.

A utilização de ferramentas adicionais que impliquem tratamento de dados pessoais em nome do CLIENTE será incorporada à relação de Suboperadores quando efetivamente implementada e juridicamente aplicável.

11. DIREITOS DOS TITULARES

11.1. O CLIENTE, enquanto Controlador, será responsável por receber, avaliar e responder às solicitações dos titulares relacionadas aos tratamentos realizados sob sua determinação.

11.2. Quando uma solicitação exigir providência técnica da AURA SAN, esta prestará assistência razoável ao CLIENTE para localização, acesso, correção, bloqueio, anonimização, exportação ou eliminação dos dados, conforme aplicável.

11.3. Caso a AURA SAN receba diretamente solicitação relacionada a dados tratados exclusivamente em nome do CLIENTE, deverá, sempre que possível, encaminhá-la ao CLIENTE ou orientar o titular quanto ao Controlador responsável, abstendo-se de decidir autonomamente sobre o mérito da solicitação quando essa decisão competir ao Controlador.

Prazo interno de cooperação

Aqui eu colocaria prazo contratual:

11.4. A AURA SAN deverá encaminhar ao CLIENTE as solicitações de titulares recebidas diretamente e relacionadas ao tratamento realizado em seu nome em até 2 (dois) dias úteis, contados de sua identificação, salvo situação que demande encaminhamento em prazo inferior.

Esse prazo de 2 dias não é prazo da LGPD. É nosso SLA jurídico interno para não consumir o prazo do Controlador.

12. INCIDENTES DE SEGURANÇA

12.1. A AURA SAN manterá procedimentos destinados à identificação, contenção, investigação, documentação e tratamento de incidentes de segurança envolvendo dados pessoais.

12.2. Quando identificar incidente envolvendo dados pessoais tratados em nome do CLIENTE, a AURA SAN deverá comunicá-lo ao CLIENTE sem demora injustificada e, sempre que possível, em até 24 (vinte e quatro) horas contadas da confirmação de que o evento envolve dados pessoais sob responsabilidade do CLIENTE.

12.3. A comunicação inicial deverá conter as informações disponíveis naquele momento, podendo ser complementada posteriormente à medida que a investigação avance.

Sempre que disponíveis, serão informados:

I. natureza do incidente;

II. data ou período provável da ocorrência e da detecção;

III. categorias de dados afetados;

IV. categorias e número estimado de titulares;

V. medidas técnicas e de segurança existentes;

VI. possíveis consequências;

VII. providências adotadas para contenção e mitigação; e

VIII. demais informações razoavelmente necessárias ao CLIENTE.

12.4. A AURA SAN cooperará razoavelmente com o CLIENTE na avaliação do risco ou dano relevante e no cumprimento das obrigações de comunicação.

12.5. Quando o CLIENTE for Controlador, caberá a ele decidir e realizar as comunicações legalmente exigíveis à ANPD e aos titulares, sem prejuízo da cooperação da AURA SAN.

12.6. A comunicação da AURA SAN ao CLIENTE prevista nesta cláusula não significa, por si só, reconhecimento de falha, culpa ou responsabilidade pelo incidente.

12.7. Os registros dos incidentes envolvendo dados pessoais serão conservados pelo prazo mínimo exigido pela regulamentação aplicável, atualmente de 5 (cinco) anos.

O SLA de 24 horas é propositalmente menor que o prazo externo. A regulamentação atual dá ao controlador três dias úteis para determinadas comunicações; se a Operadora demorar três dias para avisá-lo, o contrato torna o cumprimento praticamente impossível.

13. TRANSFERÊNCIA INTERNACIONAL DE DADOS

13.1. A AURA SAN somente realizará transferência internacional de dados pessoais abrangidos por este DPA quando houver hipótese legal e mecanismo de transferência admitidos pela LGPD e pela regulamentação da ANPD.

13.2. Quando a transferência for baseada nas cláusulas-padrão contratuais aprovadas pela ANPD, estas serão incorporadas integralmente e sem alteração ao instrumento jurídico aplicável, conforme exigido pela regulamentação.

13.3. A AURA SAN deverá manter informações suficientes sobre os Suboperadores envolvidos em transferências internacionais e os mecanismos jurídicos utilizados.

Render / Render PostgreSQL — Ohio (US East), Estados Unidos. Demais fornecedores: localização do processamento/armazenamento a confirmar.

O Render/PostgreSQL em Ohio está comprovado no material que temos.

A Resolução nº 19/2024 exige que, quando a transferência se apoiar nas cláusulas-padrão nacionais, elas sejam utilizadas integralmente, sem modificação.

14. INTELIGÊNCIA ARTIFICIAL

14.1. Caso funcionalidades da plataforma utilizem modelos ou serviços de inteligência artificial de terceiros e envolvam dados pessoais tratados em nome do CLIENTE, o respectivo fornecedor será submetido às regras aplicáveis aos Suboperadores e às transferências internacionais, quando cabíveis.

14.2. A AURA SAN deverá configurar e contratar tais serviços, sempre que tecnicamente e comercialmente possível, de forma a reduzir tratamentos incompatíveis com a finalidade da plataforma.

14.3. Dados pessoais tratados em nome do CLIENTE não deverão ser utilizados pela AURA SAN para treinamento autônomo de modelos próprios ou disponibilizados para treinamento geral de modelos de terceiros, salvo quando houver fundamento jurídico adequado, transparência e instrumento específico que legitime essa finalidade.

[OpenAI API — Por padrão, os dados enviados e recebidos pela API não são utilizados para treinamento ou aprimoramento dos modelos da OpenAI, salvo adesão expressa ao compartilhamento de dados. As entradas e saídas da API podem ser retidas por até 30 dias para prestação do serviço e prevenção/investigação de abuso, ressalvadas exceções aplicáveis e obrigações legais.

14.4. O CLIENTE compromete-se a não inserir deliberadamente em funcionalidades de IA dados pessoais sensíveis, credenciais, senhas, PINs ou informações excessivas quando não forem necessários à finalidade legítima da utilização.

15. RETENÇÃO DOS DADOS

15.1. A AURA SAN conservará os dados tratados em nome do CLIENTE durante a vigência da prestação dos serviços e pelo período necessário ao cumprimento das instruções legítimas do Controlador e das obrigações legais aplicáveis.

15.2. Encerrada a finalidade do tratamento, os dados serão devolvidos, exportados, eliminados, anonimizados ou conservados quando houver fundamento jurídico que autorize ou imponha sua manutenção.

15.3. Os registros de acesso à aplicação sujeitos ao art. 15 do Marco Civil da Internet serão conservados pelo prazo legal de 6 (seis) meses, sob sigilo e em ambiente controlado e seguro, ressalvadas as hipóteses legais de preservação por prazo superior.

15.4. Registros de incidentes envolvendo dados pessoais serão conservados por, no mínimo, 5 (cinco) anos, nos termos da regulamentação aplicável.

15.5. As demais categorias de dados observarão a Matriz de Retenção e Descarte da AURA SAN, as instruções do CLIENTE e as obrigações legais pertinentes.

16. ENCERRAMENTO, DEVOLUÇÃO E ELIMINAÇÃO

16.1. Encerrada a relação contratual, o CLIENTE terá 30 (trinta) dias, contados do término efetivo de seu acesso contratado, para realizar ou solicitar a exportação dos dados disponibilizados pela plataforma, conforme os mecanismos tecnicamente oferecidos.

16.2. Decorrido o prazo, a AURA SAN poderá iniciar os procedimentos de eliminação ou anonimização dos dados mantidos exclusivamente para prestação dos serviços.

16.3. Não serão eliminados os dados cuja conservação seja necessária ou permitida em razão de:

I. obrigação legal ou regulatória;

II. exercício regular de direitos;

III. determinação judicial ou administrativa;

IV. segurança ou prevenção a fraude, quando houver fundamento jurídico;

V. cumprimento dos períodos legais de retenção; ou

VI. outra hipótese prevista na LGPD.

16.4. Dados existentes exclusivamente em backups poderão permanecer até o encerramento do ciclo técnico de retenção, permanecendo protegidos e indisponíveis para utilização ordinária durante esse período.

[O sistema possui backups PostgreSQL e mecanismo de restauração controlada. O ciclo/prazo de retenção dos backups ainda será definido de acordo com a configuração efetivamente adotada no ambiente de produção..]

17. AUDITORIA E COMPROVAÇÃO DE CONFORMIDADE

17.1. A AURA SAN manterá documentação razoavelmente necessária à demonstração do cumprimento das obrigações assumidas neste DPA.

17.2. Mediante solicitação fundamentada do CLIENTE, a AURA SAN poderá fornecer informações razoáveis sobre suas medidas de proteção de dados e segurança, observados:

I. os segredos comercial e industrial;

II. a segurança de outros clientes;

III. a confidencialidade da infraestrutura;

IV. direitos de terceiros; e

V. a proporcionalidade da solicitação.

17.3. Auditorias presenciais ou testes diretamente sobre a infraestrutura não poderão ser realizados unilateralmente pelo CLIENTE, devendo ser previamente acordados quanto ao escopo, data, forma e medidas de segurança, salvo obrigação legal ou determinação de autoridade competente.

17.4. O direito de auditoria não autoriza acesso a dados pertencentes a outros clientes da AURA SAN.

18. REGISTROS E PRESTAÇÃO DE CONTAS

18.1. Cada Parte deverá manter, dentro de suas respectivas competências, documentação apta a demonstrar o cumprimento das obrigações que lhe sejam aplicáveis.

18.2. A AURA SAN cooperará, na medida razoavelmente necessária, com informações relacionadas ao tratamento realizado em nome do CLIENTE para auxiliá-lo no cumprimento de obrigações perante titulares ou autoridades competentes.

18.3. Quando a elaboração de Relatório de Impacto à Proteção de Dados Pessoais – RIPD for juridicamente necessária e depender de informações sob domínio da AURA SAN, esta fornecerá ao CLIENTE os elementos razoavelmente necessários relacionados aos serviços prestados.

19. RESPONSABILIDADE

19.1. Cada Parte responderá pelas obrigações que lhe sejam atribuídas pela legislação e por este DPA, considerada sua efetiva participação nas operações de tratamento.

19.2. O CLIENTE responderá pela legitimidade das finalidades, bases legais e instruções por ele determinadas, bem como pelos dados inseridos sob sua responsabilidade.

19.3. A AURA SAN responderá pelo tratamento realizado em desacordo com a legislação ou com as instruções lícitas do Controlador, nas hipóteses e limites previstos pela LGPD.

19.4. Nenhuma disposição deste DPA deverá ser interpretada como exclusão ou limitação de responsabilidade em hipótese na qual tal afastamento seja vedado pela legislação.

Eu evitaria cláusula dizendo simplesmente “o Cliente indenizará integralmente a AURA SAN por qualquer problema de LGPD”. Para esse produto, prefiro atribuição de responsabilidade conforme conduta + papel efetivamente exercido, que é muito mais defensável.

20. PREVALÊNCIA E INTEGRAÇÃO CONTRATUAL

20.1. Este DPA integra os Termos de Uso e o instrumento de contratação da plataforma.

20.2. Em caso de conflito entre este DPA e disposição geral dos Termos de Uso especificamente relacionada ao tratamento de dados realizado pela AURA SAN como Operadora, prevalecerá este DPA quanto à matéria de proteção de dados.

20.3. A Política de Privacidade continuará aplicável às operações em que a AURA SAN atuar como Controladora.

20.4. Eventuais cláusulas-padrão de transferência internacional aprovadas pela ANPD, quando incorporadas à relação, prevalecerão sobre disposição incompatível deste DPA quanto à transferência por elas regulada.

21. VIGÊNCIA

21.1. Este DPA entra em vigor juntamente com a contratação ou aceite dos Termos de Uso e permanecerá aplicável enquanto a AURA SAN realizar tratamento de dados pessoais em nome do CLIENTE.

21.2. As obrigações de confidencialidade, segurança, eliminação, cooperação, responsabilidade e outras que, por sua natureza, devam sobreviver ao encerramento permanecerão aplicáveis enquanto os respectivos dados continuarem legitimamente tratados.

22. LEGISLAÇÃO E FORO

22.1. Este DPA será regido pelas leis da República Federativa do Brasil, especialmente pela Lei nº 13.709/2018 e pelas normas expedidas pela ANPD.

22.2. Nas relações estritamente empresariais, fica eleito o foro de Brasília/DF, ressalvadas as regras legais de competência absoluta ou outras normas cogentes aplicáveis.

23. ACEITE E CONTRATAÇÃO ELETRÔNICA

23.1. Este DPA poderá ser celebrado eletronicamente e integrar, mediante referência expressa, os Termos de Uso aceitos pelo CLIENTE.

23.2. O aceite eletrônico dos Termos de Uso que identifique expressamente a incorporação deste DPA poderá constituir manifestação válida de concordância com suas disposições.

23.3. A AURA SAN manterá registros aptos a identificar a versão do DPA aplicável à contratação, inclusive data de vigência e demais evidências técnicas pertinentes.

ANEXO I — DESCRIÇÃO DO TRATAMENTO

ANEXO II – SUBOPERADORES

AURA SAN TECNOLOGIA LTDA.
DPA – Versão 1.0