Acordo de Processamento de Dados

1. Definições

• Controlador: o cliente MOC Suite que determina as finalidades e os meios do tratamento de dados pessoais de seus usuários finais.
• Operador: a MOC Soluções, que trata os dados em nome e conforme as instruções do Controlador.
• Titular: a pessoa natural a quem se referem os dados pessoais tratados.
• Dados Pessoais: qualquer informação que identifique ou possa identificar um Titular.
• Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, exclusão, etc.).
• Incidente de Segurança: acesso não autorizado, destruição, perda, alteração, divulgação ou qualquer forma de tratamento inadequado de Dados Pessoais.

2. Escopo do tratamento

A MOC Soluções, na qualidade de Operadora, trata os dados pessoais estritamente:

• Para prestação dos serviços contratados no MOC Suite (gestão de projetos, CRM, faturamento, timesheet, etc.);
• Conforme as instruções documentadas do Controlador;
• Para cumprir obrigações legais aplicáveis ao Operador;
• Para operação, manutenção e segurança da infraestrutura do serviço.

A MOC não utilizará os dados para finalidades próprias, publicidade ou benefício de terceiros sem autorização expressa do Controlador.

3. Obrigações da MOC (Operadora)

• Tratar os dados somente conforme instruções documentadas do Controlador, salvo exigência legal;
• Garantir que pessoas autorizadas ao acesso assumam obrigação de confidencialidade;
• Implementar medidas técnicas e organizacionais adequadas à segurança dos dados (Seção 5);
• Não subcontratar o tratamento sem informar o Controlador (Seção 4);
• Cooperar com o Controlador para atender requisições de Titulares (Seção 6);
• Notificar o Controlador sobre Incidentes de Segurança em até 48 horas da detecção;
• Ao término do contrato, excluir ou devolver os dados pessoais conforme instrução do Controlador, no prazo máximo de 30 dias.

4. Suboperadores

A MOC Soluções utiliza os seguintes suboperadores para prestação do serviço. Todos estão sujeitos a obrigações de proteção de dados equivalentes às deste DPA:

A MOC notificará o Controlador com antecedência mínima de 15 dias sobre adição ou substituição de suboperadores. O Controlador pode objetar por escrito; caso o acordo não seja possível, pode rescindir o contrato sem penalidade.

5. Medidas de segurança

A MOC Soluções mantém as seguintes medidas técnicas e organizacionais:

• Criptografia em trânsito via TLS 1.2+ em todas as comunicações;
• Criptografia em repouso nos bancos de dados e backups;
• Isolamento de dados por schema por tenant (PostgreSQL schema-per-tenant);
• Controle de acesso baseado em funções (RBAC) com princípio de mínimo privilégio;
• Trilhas de auditoria imutáveis (append-only) para operações sensíveis;
• Backups diários com retenção de 30 dias e testes de restauração;
• Autenticação multifator (MFA) obrigatória para acesso à infraestrutura;
• Monitoramento contínuo e plano de resposta a incidentes documentado.

6. Direitos dos Titulares

A MOC cooperará com o Controlador para atender requisições de Titulares (acesso, correção, eliminação, portabilidade, oposição), dentro do prazo de 5 dias úteis a partir da solicitação formal do Controlador. Requisições enviadas diretamente à MOC por Titulares serão redirecionadas ao Controlador responsável.

7. Transferência internacional

Os dados são armazenados primariamente no Brasil. Transferências para suboperadores fora do país (como processadores de pagamento) são realizadas somente quando o país de destino oferece grau de proteção adequado ou mediante adoção de cláusulas contratuais padrão, conforme art. 33 da LGPD.

8. Auditorias e conformidade

O Controlador pode solicitar, com aviso prévio de 30 dias e no máximo uma vez por ano, evidências documentais das medidas de segurança implementadas. Auditorias in loco são permitidas mediante acordo prévio e com custo a cargo do solicitante.

9. Vigência e encerramento

Este DPA vigora enquanto o Controlador mantiver contrato ativo com a MOC Soluções. Ao término, a MOC excluirá ou devolverá todos os dados pessoais dentro de 30 dias, fornecendo confirmação por escrito. Dados retidos por obrigação legal serão informados ao Controlador com a base legal aplicável.

10. Contato do Encarregado (DPO)