Acordo de Tratamento de Dados (DPA)

Última atualização: 26/10/2026

Este Acordo de Tratamento de Dados (“DPA”) faz parte dos Termos de Uso e vale sempre que um cliente da KASISKI — empresa, consultoria, gabinete parlamentar ou órgão público (o “Controlador”) — colocar dados pessoais de terceiros no KASISKI Licitações, no KASISKI Mandato ou no KASISKI Compras Públicas, que D.B.C. Consultoria e Serviços Ltda., CNPJ 01.152.886/0001-51, São Paulo/SP (a “KASISKI” ou “Operadora”) trata em nome dele. Em caso de conflito com os Termos, prevalece este DPA quanto à proteção de dados. Contratos assinados com o poder público podem trazer cláusulas próprias, que prevalecem no que forem mais protetivas.

1. Papéis e objeto

O Controlador decide as finalidades e os meios essenciais do tratamento; a KASISKI é operadora (art. 5º, VII, e art. 39 da LGPD) e trata os dados só para prestar os produtos contratados. O objeto, a natureza e a duração do tratamento são os do contrato; os titulares e as categorias de dados de cada produto estão descritos nos itens 5 a 7 da Política de Privacidade (por exemplo: no Licitações, pessoas citadas em editais, atas e documentos; no Mandato, cidadãos atendidos pelo gabinete, inclusive dados sensíveis, como opinião política e saúde, que eles informarem; no Compras Públicas, servidores, fornecedores e demais pessoas citadas nos processos). O Controlador garante que tem base legal para o tratamento (no poder público, inclusive o art. 23 da LGPD) e que informou os titulares.

2. Instruções do Controlador

A KASISKI trata os dados conforme as instruções documentadas do Controlador, que são as configurações e o uso dos produtos, estes Termos e o que ele pedir por escrito. Se uma instrução parecer contrária à LGPD, a KASISKI avisa o Controlador e pode deixar de cumpri-la. A KASISKI não usa os dados do Controlador para finalidades próprias, salvo: (a) estatísticas anônimas ou agregadas descritas nos Termos de IA, nas condições lá previstas (no Mandato, só com a opção ligada pelo gabinete; no Compras Públicas, nunca); (b) segurança, prevenção a abusos e cumprimento de obrigação legal.

3. Confidencialidade

Só têm acesso aos dados as pessoas da KASISKI que precisam deles para prestar o serviço, obrigadas a sigilo. O acesso da equipe de suporte a uma conta depende da liberação do Controlador (acesso assistido), é somente leitura, dura tempo limitado, fica registrado e gera aviso por e-mail.

4. Medidas de segurança

A KASISKI mantém medidas técnicas e administrativas adequadas (art. 46 da LGPD), entre elas: conexão cifrada (HTTPS) e cabeçalhos de segurança nos sites; senhas guardadas só como hash; verificação de e-mail; limite de tentativas e bloqueio temporário após senhas erradas; sessões com validade limitada, encerradas na troca de senha ou de e-mail; separação dos dados por conta e permissões por papel; endereço IP guardado cifrado nos controles de abuso; defesas contra instruções maliciosas em documentos enviados à IA e verificação cruzada das respostas; no Compras Públicas, minimização do que vai à IA, bloqueio de processos sigilosos e trilha de auditoria encadeada por hash; no Mandato, consentimento registrado e exclusão automática de contatos sem consentimento; backups diários do banco de dados; e registro de erros e de acessos para investigação.

5. Suboperadores

O Controlador autoriza a contratação dos suboperadores listados na tabela de suboperadores. A KASISKI impõe a eles obrigações de proteção de dados equivalentes às deste DPA e responde por eles perante o Controlador, nos termos da lei. Inclusões ou trocas de suboperadores são avisadas com pelo menos 15 dias de antecedência, por e-mail ao responsável pela conta e na própria tabela; o Controlador pode se opor por motivo razoável ligado à proteção de dados e, se não houver solução, encerrar o contrato sem multa.

6. Transferência internacional

Parte dos suboperadores trata dados fora do Brasil. Essas transferências seguem o art. 33 da LGPD, com as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024), como indicado na tabela.

7. Incidentes de segurança

A KASISKI avisa o Controlador, pelo e-mail do responsável pela conta, em até 48 horas depois de confirmar um incidente de segurança que envolva os dados dele, para que o Controlador possa avaliar o caso e, se for o caso, comunicar a ANPD e os titulares no prazo do art. 48 da LGPD e da regulamentação da ANPD. O aviso traz, no que já se souber: a natureza do incidente, as categorias e a quantidade aproximada de titulares e de registros, as consequências prováveis e as medidas tomadas ou propostas. As informações são complementadas à medida que a apuração avança.

8. Apoio ao Controlador

A KASISKI ajuda o Controlador a atender os pedidos dos titulares (art. 18), com as funções dos próprios produtos (consulta, correção, exclusão de contatos e de registros, exportação dos dados) e, quando necessário, por privacidade@kasiski.com.br, e encaminha ao Controlador, em até 5 dias úteis, os pedidos de titulares que receber diretamente. Também fornece as informações razoavelmente necessárias para relatórios de impacto (art. 38), respostas à ANPD e prestação de contas.

9. Fim do contrato: devolução e eliminação

Durante o contrato e depois dele, o responsável pela conta pode baixar todos os dados e arquivos em “Plano e conta” → Baixar backup e apagar a conta em Excluir minha conta. A exclusão retira os dados do banco de dados e apaga os arquivos na hora; os backups automáticos são substituídos em até 14 dias, e então os dados deixam de existir também neles. A pedido do Controlador por privacidade@kasiski.com.br, a KASISKI faz a exclusão em até 15 dias. Sem pedido de exclusão, os dados ficam guardados, sem uso, para permitir a reativação, até que o Controlador peça a exclusão. Ficam guardados, pelo prazo legal, só os registros de cobrança e fiscais da KASISKI e, quando a lei exigir, os registros de acesso (art. 16 da LGPD).

10. Auditoria

A KASISKI disponibiliza as informações necessárias para demonstrar o cumprimento deste DPA. O Controlador pode, uma vez por ano ou depois de um incidente, pedir uma auditoria por questionário e documentos, com 30 dias de antecedência, ou por auditor independente obrigado a sigilo, às custas do Controlador, sem acesso a dados de outros clientes nem a informações que comprometam a segurança da plataforma. Órgãos de controle do poder público podem fiscalizar nos limites da lei.

11. Responsabilidade e vigência

Cada parte responde pelos danos que causar por descumprir a LGPD ou este DPA, nos termos dos arts. 42 a 45 da LGPD e dos limites dos Termos, quando a lei os admitir. Este DPA vale enquanto a KASISKI tratar dados do Controlador. Contato do encarregado da KASISKI (Daniel Bulha): privacidade@kasiski.com.br.