Termo de Operador de Dados Pessoais

Atualizado em 22 de outubro de 2026. Este texto é revisto periodicamente.

1. Partes, objeto e papéis

Controlador: [RAZÃO SOCIAL DO MERCADO], CNPJ [CNPJ DO MERCADO], endereço [ENDEREÇO DO MERCADO], representado por [NOME E CARGO DO REPRESENTANTE], canal de privacidade [CANAL DO MERCADO].

Operador: ControlMarket, sob responsabilidade de Bruno Peres. Encarregado e contato para privacidade e suporte: Bruno Peres, brunoinfoperes@gmail.com.

Este termo disciplina o tratamento, pelo operador, dos dados de consumidores e demais pessoas inseridos pelo mercado no ControlMarket, para prestar o serviço contratado. Aplica-se durante o tratamento e às obrigações que devam continuar após o encerramento. O mercado decide finalidades e bases legais. O ControlMarket permanece controlador dos dados de seus usuários, da contratação e da cobrança da plataforma, conforme a Política de Privacidade.

2. Instruções do controlador e art. 39

O operador trata os dados conforme as instruções lícitas e documentadas do controlador, nos termos do art. 39 da LGPD. O contrato, as configurações e as solicitações registradas do mercado compõem essas instruções. Uma instrução que mude finalidade, categorias de dados ou destinatários deve ser documentada antes da execução. Se identificar instrução incompatível com a LGPD, o operador informará o controlador para adequação antes de prosseguir com aquele tratamento.

Cabe ao mercado informar os titulares, manter dados corretos e necessários, definir e demonstrar a base legal de cada finalidade e avaliar a necessidade de biometria. A hipótese do art. 11, II, g, exige observar seus limites de identificação, autenticação, segurança e prevenção à fraude. Ela não autoriza automaticamente marketing baseado em biometria.

O mercado decide e dispara campanhas pelo canal de WhatsApp configurado para ele, para consumidores com telefone vinculado e dentro do segmento escolhido a partir de visitas e compras. O disparo não exige no sistema um registro de consentimento. Cabe ao mercado assegurar a base legal adequada, informar os destinatários e acolher pedidos de oposição ou de interrupção das mensagens, impedindo novos envios quando cabível.

3. Confidencialidade e acesso

O operador deve limitar o acesso às pessoas que dele necessitem para prestar suporte e operar o serviço, orientadas sobre confidencialidade, inclusive após o encerramento do vínculo. O mercado deve administrar seus usuários, cargos e permissões e retirar acessos desnecessários.

Ocorrências e pontuação de risco exigem a permissão occurrences.manage, concedida por padrão ao administrador da empresa e ao gerente. As ferramentas de privacidade exigem privacy.manage, concedida por padrão apenas ao administrador da empresa. Cargos personalizados e permissões individuais podem alterar essas concessões; o superadministrador da plataforma também pode acessá-las no suporte. O papel Somente leitura, por padrão, não vê rostos, presença nem ocorrências. A auditoria da empresa exige permissão de auditoria e de acesso à presença, além da permissão de ocorrências para registros ligados a elas. Alertas de segurança enviados por WhatsApp e push usam mensagem genérica, sem nome, telefone ou foto do consumidor. O operador não deve utilizar os dados dos consumidores para finalidades próprias alheias à prestação do serviço.

4. Segurança

O ControlMarket usa hash Argon2id para senhas, hashes para tokens de sessão e recuperação, cookie de sessão httpOnly e Secure em produção, HTTPS com TLS 1.2 ou 1.3, RLS e controles de permissão para isolamento entre empresas, e AES-256-GCM para credenciais de integração. Na rotina operacional do servidor, que não faz parte deste repositório, os backups diários são criptografados com age antes de serem armazenados: a cópia local no servidor tem retenção de 14 dias e a cópia fora do servidor, no Google Drive, de 30 dias.

O operador e o controlador devem preservar as credenciais sob sua responsabilidade e comunicar suspeitas de acesso indevido. A trilha de auditoria registra operações para rastreabilidade. Novos registros mascaram CPF, telefone, e-mail e documento pelo nome do campo em qualquer nível das alterações. Os padrões de CPF, telefone e e-mail são mascarados somente em texto livre, incluindo notas e contestações. Os nomes são preservados para identificar de quem é o registro alterado. Credenciais e campos bancários sensíveis também recebem máscara. Identificadores técnicos são preservados. Registros antigos não são automaticamente reescritos. O uso de medidas de segurança não elimina a obrigação de apurar falhas e corrigi-las.

5. Suboperadores e integrações

O controlador autoriza o uso dos serviços relacionados no Anexo B, limitado às funções utilizadas e aos dados necessários. Alguns provedores, como os de pagamento, podem atuar como controladores independentes em suas próprias operações. Este termo não altera o papel legal de cada fornecedor nem substitui o contrato do mercado com suas integrações.

O operador deve exigir obrigações compatíveis de confidencialidade, segurança e proteção de dados dos suboperadores sob sua contratação. Deve informar mudanças relevantes na lista antes de iniciar novo compartilhamento, para que o controlador possa avaliar e registrar eventual objeção justificada e ajustar ou encerrar a função afetada. Uma integração contratada diretamente pelo mercado permanece sujeita também às instruções e ao contrato desse mercado com o fornecedor.

6. Transferências internacionais

As integrações e serviços do Anexo B podem tratar dados fora do Brasil. O PDV Legal utiliza AWS S3 na região us-east-2, Estados Unidos. Não se declara país confirmado para todos os demais provedores.

O operador deve identificar e documentar o mecanismo aplicável a cada transferência sob sua responsabilidade, conforme o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024, e fornecer as informações ao controlador mediante solicitação. Quando couber, deve adotar cláusulas contratuais ou outra garantia legalmente admitida. A simples lista do Anexo B não comprova a adoção dessas garantias.

7. Direitos dos titulares e assistência

O mercado recebe, avalia e responde aos pedidos dos titulares dos dados sob seu controle. O operador encaminha ao mercado pedidos relativos a esses dados e auxilia na localização, exportação, correção, eliminação ou anonimização. A confirmação ou o acesso completo observa o prazo de até 15 dias do art. 19; o operador deve prestar auxílio em tempo útil para essa resposta. O controlador informa ao operador os prazos e as instruções do caso.

Quem tem a permissão de privacidade pode exportar por pessoa o cadastro, os eventos, vínculos ativos com vendas, vendas manuais do cadastro, bloqueios e ocorrências em todos os estados, incluindo notas, responsáveis, datas de revisão, canal e histórico de contestações. A exportação é restrita à empresa e não inclui arquivos, URLs ou caminhos de fotos. Cupons do PDV só são exportados com atribuição ativa e CPF correspondente ao cadastro explicitamente vinculado; nome ou proximidade de horários não comprovam identidade. Vínculos sem identidade comprovada são informados sem incluir os cupons correspondentes.

A exclusão remove cadastro facial local, eventos, todos os vínculos de conciliação, bloqueios e linhas completas de ocorrências, com revisão e contestações. Anonimiza nome, documento, telefone e e-mail dos cadastros de cliente vinculados. Nas transações do PDV com atribuição ativa e CPF correspondente, remove nome, CPF e titular do cartão, impedindo restauração desses campos por sincronização. Preserva vendas, itens, pagamentos e valores financeiros, cupons sem identidade comprovada, campanhas e auditoria antiga. Não busca nomes em texto livre para apagar outros registros. Mantém uma supressão com resumo criptográfico da chave da pessoa, identificador externo quando disponível, empresa, data, responsável e motivo para impedir reimportação facial. O alcance é o ControlMarket; fotos, dados mantidos no FaceGate, no PDV ou em outro sistema e mensagens já entregues exigem atendimento pelo respectivo responsável. O operador deve apoiar o controlador com informações para esses encaminhamentos.

As ocorrências nascem pendentes e precisam de confirmação humana antes de contar para o risco. Havendo mais de um gestor ativo com a permissão de ocorrências, a confirmação exige outro gestor; com apenas um, exige justificativa. Toda ação que afete o consumidor exige revisão humana prévia, sem bloqueio automático por pontuação. O mercado deve oferecer contestação e explicação dos critérios, nos termos do art. 20. A ocorrência contestada deixa de contar imediatamente até nova confirmação humana. Pendentes e descartadas também não contam; o histórico de contestações e desfechos permanece até a exclusão da ocorrência.

8. Incidentes de segurança

O operador deve informar o controlador sem demora indevida, com meta de até 48 horas após tomar conhecimento de incidente que envolva os dados tratados em seu nome. A primeira comunicação deve trazer o que já se sabe, sem aguardar a conclusão da investigação. Complementos devem ser enviados conforme a apuração avançar.

A comunicação deve indicar, quando disponíveis, natureza do incidente, categorias de dados e pessoas afetadas, período, possíveis efeitos, medidas tomadas, providências recomendadas e contato para acompanhamento. O operador deve preservar evidências e cooperar com o controlador na contenção e na avaliação dos riscos.

Cabe ao controlador avaliar e realizar a comunicação à ANPD e aos titulares quando o incidente puder causar risco ou dano relevante. A regra geral da Resolução CD/ANPD nº 15/2024 é de 3 dias úteis desde o conhecimento de que dados pessoais foram afetados, ressalvadas as hipóteses legais aplicáveis. A meta de 48 horas do operador não suspende nem amplia esse prazo.

9. Retenção e fim do contrato

O expurgo remove eventos de entrada e presença com mais de 180 dias por padrão, configurável de 30 a 730 dias por mercado. Eventos exatamente no limite são preservados até ultrapassá-lo. O operador deve executar diariamente a rotina de expurgo. Totais agregados de visitas e gasto são preservados enquanto o mercado mantiver a pessoa; eventos expurgados não são reimportados, mesmo após ampliar o prazo. Sessões têm validade de 1 dia ou 60 dias com a opção de lembrar do acesso; seus registros são eliminados pelo expurgo mais de 30 dias após a expiração. Tokens de redefinição valem 1 hora e têm uso único; são eliminados pelo expurgo mais de 7 dias após o uso ou, se não usados, mais de 7 dias após a expiração. Outros registros, incluindo supressões de reimportação, não têm prazo automático único; o mercado deve definir a necessidade de retenção, observadas as obrigações legais. A trilha de auditoria é mantida para rastreabilidade, com a máscara nos novos registros indicada na seção 4.

A opção de excluir empresa no aplicativo arquiva a empresa e preserva seus dados. O encerramento da assinatura também não executa por si só a eliminação. O controlador pode solicitar exportação ao operador pelo canal de contato deste termo.

Após pedido documentado do controlador, o operador executará a eliminação ou anonimização dos dados no ControlMarket em até 30 dias, informando a conclusão e eventuais dados que devam ser preservados por obrigação legal ou exercício regular de direitos, com finalidade e critério de retenção. Essa execução é feita pelo operador, não pelo botão de excluir empresa. O mercado deve solicitar também o encerramento do tratamento nos sistemas que contratou diretamente.

Na rotina operacional do servidor, backups já existentes seguem seus ciclos de 14 dias no servidor e 30 dias no Google Drive, sem eliminação seletiva imediata dentro de cada cópia. Em uma restauração, o operador deve reaplicar as exclusões e restrições solicitadas antes de retomar o tratamento dos dados restaurados.

10. Verificação e auditoria

O controlador pode solicitar informações e evidências sobre o tratamento realizado em seu nome e verificar o cumprimento deste termo, conforme o art. 39. Auditorias serão combinadas com antecedência e escopo proporcional, protegendo segredos comerciais, credenciais, disponibilidade do serviço e dados de outros clientes. O operador deve cooperar com a fiscalização da ANPD e informar ao controlador não conformidades que afetem seus dados e as medidas de correção.

11. Responsabilidade

A responsabilidade de cada parte é apurada conforme sua atuação, as obrigações legais e os arts. 42 a 44 da LGPD, inclusive as hipóteses legais de solidariedade e exclusão de responsabilidade. Este termo não afasta direitos dos titulares nem obrigações perante a ANPD. A condição de operador não dispensa o cumprimento das instruções lícitas e da legislação.

12. Registro entre as partes

Mercado: [RAZÃO SOCIAL DO MERCADO]. Representante: [NOME E CARGO DO REPRESENTANTE]. Data: [DATA]. Registro de concordância ou assinatura: [REGISTRO DO ACEITE].

ControlMarket: Bruno Peres. Data: [DATA]. Registro de concordância ou assinatura: [REGISTRO DO ACEITE].

Anexo A. Dados e finalidades

Dados pessoais de usuários, contratação e cobrança em que o ControlMarket é controlador estão descritos na Política de Privacidade.

Anexo B. Suboperadores e serviços integrados

Nas funções de IA, a regra é transmitir somente números agregados e descrições de produtos, nunca nomes de pessoas, CPF, telefone ou rosto. O mercado deve manter dados pessoais fora das descrições de produtos.

Anexo C. Modelo de aviso na entrada

Este mercado utiliza reconhecimento facial.

Controlador: [NOME DO MERCADO]. Usamos reconhecimento facial e registros de entrada para identificação, segurança e prevenção à fraude. As informações podem ser relacionadas às compras para gestão do atendimento. Campanhas, quando utilizadas, são de responsabilidade do mercado, inclusive a base legal e o atendimento de pedidos para deixar de recebê-las.

Para saber mais, pedir acesso ou correção, contestar informações ou solicitar exclusão: [CANAL DO MERCADO].

Política de Privacidade do ControlMarket: https://controlmarket.brunaoperes.com.br/privacidade

O mercado deve preencher os campos entre colchetes e ajustar as finalidades às funções que utiliza antes de imprimir. Este modelo também está em docs/lgpd/aviso-de-porta.md.