← Todos os documentos legais

Contrato de Processamento de Dados (DPA)

1. Finalidade

Este Contrato de Processamento de Dados (o “DPA”) rege o processamento de dados pessoais realizado pela HUB DESPACHOS Y PYMES S.L. (“HUB Consultores”, o “Processador”) em nome da organização do Usuário (o “Controlador”) quando o Usuário usa o aplicativo MCP Bridge — AI for Bitrix24 (o “Software”) para acessar dados de CRM armazenados em seu portal Bitrix24.

Este DPA constitui parte integrante do Contrato de Licença de Usuário Final (EULA) aceito pelo Controlador na instalação do Software, e cumpre o Artigo 28 do Regulamento Geral de Proteção de Dados (GDPR — Regulation (EU) 2016/679).

Em caso de conflito entre este DPA e o EULA ou a Política de Privacidade no que diz respeito ao processamento de dados pessoais em nome do Controlador, este DPA prevalece.

2. Definições

Os termos não definidos aqui têm o significado a eles atribuído no GDPR. Em particular:

• Controlador — a organização do Usuário que opera o portal Bitrix24.
• Processador — a HUB Consultores.
• Subprocessador — qualquer terceiro contratado pelo Processador para processar dados pessoais em nome do Controlador.
• Dados Pessoais — qualquer informação relacionada a uma pessoa física identificada ou identificável armazenada no portal Bitrix24 do Controlador e acessada por meio do Software.

3. Objeto, Natureza e Finalidade do Processamento

4. Categorias de Titulares dos Dados e de Dados Pessoais

Categorias de titulares dos dados:

• Funcionários do Controlador que usam o Software
• Leads, contatos, clientes e outras pessoas físicas cujos dados o Controlador armazena em seu portal Bitrix24
• Quaisquer outras pessoas físicas referenciadas em registros de CRM (fornecedores, parceiros, prospects, etc.)

Categorias de dados pessoais processados (apenas em trânsito):

• Dados de identificação (nome, sobrenome, cargo, empresa)
• Dados de contato (email, telefone, endereço)
• Dados comerciais (negócios, tarefas, comentários, anexos, campos personalizados que o Controlador definiu no Bitrix24)
• Quaisquer outros dados pessoais que o Controlador opte por armazenar em seu portal Bitrix24 e acessar por meio do Software

Categorias especiais de dados (Art. 9 do GDPR):

O Software não foi concebido para processar categorias especiais de dados (por exemplo, saúde, origem racial, religião, orientação sexual). No entanto, se o Controlador armazenar tais dados em seu portal Bitrix24 e os consultar por meio do Software, os dados transitarão pela infraestrutura do Processador. O Controlador é o único responsável por garantir uma base legal válida nos termos do Art. 9 do GDPR para tal processamento.

Recomendação. O Processador recomenda que o Controlador configure controles de acesso no Bitrix24 (permissões em nível de campo, restrições de função, visibilidade de campos personalizados) para impedir que o Software acesse campos contendo categorias especiais de dados, a menos que uma base legal documentada do Art. 9 e as salvaguardas adicionais exigidas pelo Art. 9 da LOPDGDD espanhola estejam em vigor.

5. Obrigações do Processador

O Processador deverá:

1. Processar dados pessoais apenas mediante instruções documentadas do Controlador, inclusive no que diz respeito a transferências de dados pessoais para países terceiros (Art. 28(3)(a) do GDPR). As instruções do Controlador são definidas como: as requisições à API emitidas pelos usuários autorizados por meio do assistente de IA de sua escolha. Qualquer outro processamento exige instruções escritas adicionais.

2. Garantir que as pessoas autorizadas a processar dados pessoais tenham se comprometido com a confidencialidade ou estejam sob obrigações legais apropriadas de confidencialidade (Art. 28(3)(b)).

3. Implementar medidas técnicas e organizacionais apropriadas para assegurar um nível de segurança adequado ao risco (Art. 32). Medidas específicas são descritas na Seção 12 da Política de Privacidade e incluem: criptografia em trânsito (TLS 1.2+), criptografia em repouso em nível de aplicação de tokens OAuth e do mcp_token usando o esquema simétrico Fernet (biblioteca cryptography) com a TOKEN_ENCRYPTION_KEY mantida fora do banco de dados; hashing SHA-256 para índices de busca de tokens e a lista de bloqueio de tokens revogados; criptografia em nível de disco na camada de infraestrutura; controle de acesso estrito; minimização de escopo OAuth; logs de auditoria; limitação de taxa; e detecção de intrusões.

4. Respeitar as condições para contratar subprocessadores conforme estabelecido na Seção 7 deste DPA (Art. 28(2) e (4)).

5. Auxiliar o Controlador, levando em conta a natureza do processamento, por meio de medidas técnicas e organizacionais apropriadas, no cumprimento de sua obrigação de responder a solicitações de titulares de dados que exerçam seus direitos sob o GDPR (Art. 28(3)(e)).

6. Auxiliar o Controlador a garantir a conformidade com as obrigações previstas nos Artigos 32-36 (segurança, notificação de violações, RIPDs, consulta à autoridade supervisora) (Art. 28(3)(f)).

7. À escolha do Controlador, excluir ou devolver todos os dados pessoais ao Controlador após o término da prestação dos serviços, e excluir as cópias existentes, salvo se a legislação da UE ou de um Estado-Membro exigir o armazenamento (Art. 28(3)(g)). Na prática, uma vez que o Processador não armazena dados de CRM em repouso, nenhuma exclusão é necessária na rescisão — os dados do Controlador residem apenas em seu portal Bitrix24 em todos os momentos.

8. Disponibilizar ao Controlador todas as informações necessárias para demonstrar a conformidade com as obrigações estabelecidas neste DPA e permitir auditorias, incluindo inspeções, conduzidas pelo Controlador ou por outro auditor por ele designado, às custas do Controlador e durante o horário comercial normal, com pelo menos 30 dias de aviso prévio por escrito (Art. 28(3)(h)).

6. Notificação de Violação de Dados Pessoais

O Processador notificará o Controlador sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais envolvendo dados pessoais processados em nome do Controlador. Esse prazo é deliberadamente mais curto do que o período de 72 horas de que o Controlador dispõe nos termos do Art. 33(1) do GDPR perante sua autoridade supervisora competente, de modo que o Controlador conserve tempo suficiente para avaliar a violação e, quando exigido, notificar a autoridade supervisora e os titulares de dados afetados. Quando o Processador tomar conhecimento de uma violação confirmada de alto risco, notificará o Controlador o mais rápido razoavelmente possível — e sem aguardar o limite de 48 horas — para permitir que o Controlador cumpra suas obrigações para com os titulares de dados nos termos do Art. 34.

A notificação deverá incluir, na medida do possível:

• A natureza da violação, incluindo as categorias e o número aproximado de titulares de dados e de registros envolvidos;
• As prováveis consequências da violação;
• As medidas tomadas ou propostas para tratar a violação e mitigar os efeitos adversos.

O Processador cooperará com o Controlador no cumprimento das próprias obrigações de notificação do Controlador nos termos dos Art. 33-34 do GDPR.

7. Subprocessadores

7.1 Autorização geral

O Controlador concede ao Processador autorização geral para contratar subprocessadores, sujeita às condições estabelecidas nesta Seção 7.

7.2 Subprocessadores atuais

A lista atual de subprocessadores é:

7.3 Alterações nos subprocessadores

O Processador deverá notificar o Controlador com pelo menos 30 dias de antecedência sobre qualquer adição ou substituição pretendida de subprocessadores que irão processar os dados pessoais do Controlador. A notificação será enviada por meio do painel “What’s new” do Software e por email, quando disponível.

O Controlador pode se opor à mudança por escrito no prazo de 30 dias a contar da notificação, declarando fundamentos razoáveis. Se as partes não puderem chegar a um acordo, o Controlador pode rescindir o acordo de processamento pertinente desinstalando o Software.

7.4 Obrigações dos subprocessadores

Ao contratar um subprocessador, o Processador deverá impor a ele as mesmas obrigações de proteção de dados estabelecidas neste DPA por meio de um contrato escrito (Art. 28(4)). Em particular:

• Sentry (Functional Software, Inc. / Functional Software GmbH): o Processador aceitou o Data Processing Addendum do Sentry por meio do painel Legal & Compliance do Sentry. O DPA do Sentry baseia-se na certificação EU-US Data Privacy Framework — autocertificada pela Functional Software, Inc. e verificável na lista oficial do DPF em dataprivacyframework.gov — e nas Standard Contractual Clauses (2021).
• Hetzner Online GmbH: subprocessador no âmbito do framework padrão Auftragsverarbeitungsvertrag (AVV) da Hetzner. A Hetzner é uma empresa alemã sujeita ao GDPR; os data centers usados pelo Software estão localizados na União Europeia.

Cópias dos acordos de subprocessamento celebrados estão disponíveis ao Controlador mediante solicitação escrita ao endereço de contato do Processador.

8. Transferências Internacionais de Dados

8.1 Arquitetura e papéis

O Software foi concebido de modo que a própria infraestrutura do Processador (servidores de aplicação, banco de dados, monitoramento de erros) permaneça dentro do Espaço Econômico Europeu (EEE). Especificamente:

• Servidores de aplicação e banco de dados: Hetzner, Nuremberg, Alemanha (UE).
• Monitoramento de erros: Sentry região da UE — Frankfurt, Alemanha.

Nenhum dado de CRM é armazenado em repouso pelo Processador em qualquer local.

8.2 Transferência ulterior ao assistente de IA escolhido pelo Controlador

A principal transferência de dados pessoais para fora do EEE que pode ocorrer em conexão com o Software é a transferência ulterior de dados de CRM do Processador ao assistente de IA que o Controlador autorizou (por exemplo, Claude.ai, ChatGPT ou outros assistentes compatíveis com MCP), que pode estar localizado nos Estados Unidos ou em outro lugar.

Essa transferência ulterior ocorre mediante instruções documentadas do Controlador (Art. 28(3)(a) do GDPR). A instrução materializa-se no ato de o Controlador autorizar um assistente de IA específico por meio do fluxo OAuth do Software. O Processador não seleciona o destino da transferência; ele encaminha os dados em trânsito ao assistente escolhido pelo Controlador.

O Controlador é a parte responsável, nos termos do Capítulo V do GDPR, por garantir que um mecanismo de transferência apropriado esteja em vigor entre ele próprio (como exportador de dados) e o assistente de IA (como importador de dados) antes de autorizar esse assistente. O Processador apoia o Controlador nessa avaliação mantendo a lista de subprocessadores na Seção 7.2 com as salvaguardas ali documentadas.

8.3 Salvaguardas disponíveis para a transferência ao assistente de IA

Para a transferência ulterior a um assistente de IA baseado nos EUA (ou em outro local fora do EEE), o Controlador deve invocar os seguintes mecanismos, em ordem de aplicabilidade:

1. Standard Contractual Clauses da Comissão Europeia (Decision 2021/914) (“SCCs (2021)”) firmadas entre o exportador de dados (o Controlador, ou a instância Bitrix24 atuando em seu nome) e o provedor do assistente como importador de dados, complementadas por uma avaliação de impacto da transferência quando exigida. Na data de vigência deste DPA, esse é o mecanismo documentado publicamente tanto pela Anthropic (Claude) quanto pela OpenAI (ChatGPT) para transferências de dados pessoais da UE.

2. Certificação EU-US Data Privacy Framework (DPF) da parte receptora, quando — e somente quando — o provedor se autocertificou e permanece na lista ativa do DPF. O Controlador deve verificar o status atual de certificação do provedor na lista oficial (https://www.dataprivacyframework.gov) antes de invocar esse mecanismo, pois as certificações podem ser adicionadas, retiradas ou invalidadas ao longo do tempo.

O Processador não garante o status de certificação nem a validade do mecanismo de transferência de qualquer provedor; ele evidencia as informações na Seção 7.2 para auxiliar a própria avaliação do Controlador nos termos do Capítulo V.

8.4 Derrogações nos termos do Art. 49

O Processador não invoca as derrogações do Art. 49 do GDPR (incluindo o “consentimento explícito” do Art. 49(1)(a)) como salvaguarda de rotina para a transferência ulterior descrita na Seção 8.2. Conforme declarado pelo Comitê Europeu de Proteção de Dados em suas Diretrizes 2/2018, as derrogações do Art. 49 são excepcionais e não apropriadas para transferências que sejam massivas, repetitivas ou sistemáticas por natureza. As transferências realizadas pelo Software em uso normal enquadram-se nessas categorias e devem portanto ser amparadas pelas SCCs (2021), pela certificação DPF (quando aplicável) ou por outro mecanismo apropriado nos termos do Capítulo V do GDPR.

9. Auditorias e Inspeções

O Controlador pode, às suas próprias custas e com pelo menos 30 dias de aviso prévio por escrito, conduzir uma auditoria (incluindo inspeções das instalações do Processador) para verificar a conformidade com este DPA. As auditorias deverão ser realizadas durante o horário comercial normal e de maneira que não interfira nas operações comerciais do Processador.

Tais auditorias não deverão ocorrer mais de uma vez a cada período de 12 meses, salvo se motivadas por (i) uma preocupação de conformidade documentada e material notificada ao Processador por escrito, ou (ii) uma solicitação de uma autoridade supervisora competente dirigida ao Controlador em relação ao processamento realizado pelo Processador em nome do Controlador.

O Processador pode atender a solicitações de auditoria fornecendo relatórios de auditoria de terceiros existentes (por exemplo, ISO 27001, SOC 2) quando disponíveis, juntamente com um resumo escrito das medidas técnicas e organizacionais efetivamente implementadas no momento da solicitação.

10. Responsabilidade

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações de responsabilidade estabelecidas no EULA, exceto quando lei imperativa (em particular o Art. 82 do GDPR) dispuser de outra forma. Cada parte será responsável pelos danos causados por um processamento que infrinja o GDPR apenas quando não tiver cumprido obrigações especificamente a ela dirigidas ou quando tiver agido fora ou de forma contrária às instruções lícitas do Controlador.

11. Duração e Rescisão

Este DPA vigora pelo período em que o Controlador mantiver o Software instalado em seu portal Bitrix24. Ele se rescinde automaticamente após a desinstalação do Software.

Após a rescisão:

• Todos os tokens OAuth e dados de roteamento mantidos pelo Processador (como Controlador desses registros — ver Seção 3.1 da Política de Privacidade) são excluídos no prazo de 24 horas.
• Nenhuma exclusão de dados de CRM é necessária, uma vez que o Processador nunca armazena dados de CRM em repouso (Seção 5(7) acima).

12. Lei Aplicável

Este DPA é regido pela lei espanhola e deverá ser interpretado de acordo com o EULA. As disputas estão sujeitas às mesmas cláusulas de jurisdição do EULA (Seção 12 do EULA).

13. Contato

Para qualquer assunto relacionado a este DPA, entre em contato:

• Email: [email protected] (linha de assunto: “MCP Bridge — DPA”)
• Endereço: HUB DESPACHOS Y PYMES S.L., Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Espanha
• Telefone: +34 822 684 008

14. Modificações a este DPA

O Processador poderá atualizar este DPA periodicamente para refletir mudanças na legislação de proteção de dados aplicável, em orientações do EDPB ou de autoridades supervisoras, em alterações de subprocessadores ou em modificações materiais das medidas técnicas e organizacionais. Modificações materiais serão notificadas ao Controlador com pelo menos 30 dias de antecedência em relação à sua entrada em vigor, por meio do painel “What’s new” do Software e, quando disponível, por email ao contato registrado no portal Bitrix24.

O Controlador pode se opor a qualquer modificação material por escrito, dentro do prazo de aviso de 30 dias, declarando fundamentos razoáveis. Se as partes não puderem chegar a um acordo, o Controlador pode rescindir o acordo de processamento pertinente desinstalando o Software, o que acionará o cronograma de exclusão descrito na Seção 11.

Alterações não materiais (correções tipográficas, esclarecimentos que não afetem os direitos ou obrigações do Controlador ou dos titulares de dados, atualizações de dados de contato) entram em vigor com a publicação do DPA revisado na URL onde este documento está hospedado.

Last updated: 2026-06-05 Version: 1.1

Changelog

v1.1 (2026-06-05) — Revisão de reforço do GDPR:

• §4 — Adicionada recomendação explícita ao Controlador para aplicar controles de acesso no Bitrix24 a fim de impedir que o Software acesse campos contendo categorias especiais de dados sem uma base legal documentada do Art. 9.
• §5(3) — Evidenciada a criptografia Fernet em nível de aplicação de tokens OAuth e do mcp_token, o hashing SHA-256 para buscas e a lista de bloqueio de tokens revogados. Criptografia em nível de disco esclarecida como medida complementar na camada de infraestrutura.
• §6 — Prazo de notificação de violação de dados pessoais mantido em 48 horas, deliberadamente mais apertado do que o prazo de 72 horas do Controlador nos termos do Art. 33(1) do GDPR, de modo que o Controlador conserve sua plena margem de notificação. Justificativa adicionada inline.
• §7.2 — Tabela de subprocessadores expandida com: localização explícita do data center (Hetzner Nuremberg, Alemanha — UE); região da UE do Sentry explícita (Frankfurt — ingest.de.sentry.io); salvaguardas por linha para qualquer transferência fora do EEE; esclarecimento do papel do Bitrix24 vs o assistente de IA. Para a Anthropic (Claude) e a OpenAI (ChatGPT), o mecanismo de transferência primário é identificado como Standard Contractual Clauses (2021); o EU-US Data Privacy Framework é tratado como salvaguarda condicional sujeita à verificação pelo Controlador do status atual de certificação do provedor em dataprivacyframework.gov.
• §7.4 — Adicionadas referências explícitas ao DPA do Sentry celebrado (por meio do painel Legal & Compliance do Sentry) e ao framework AVV da Hetzner. Cópias disponíveis mediante solicitação escrita.
• §8 — Seção de transferências internacionais reescrita conforme as Diretrizes 2/2018 do EDPB: as SCCs (2021) são agora identificadas como a salvaguarda primária para a transferência ulterior ao assistente de IA, e o EU-US Data Privacy Framework como salvaguarda condicional que exige verificação do Controlador na lista oficial do DPF. O “consentimento explícito” do Art. 49(1)(a) removido como salvaguarda de rotina; o Processador baseia-se, em vez disso, em instruções documentadas do Controlador.
• §9 — Cadência de auditoria limitada a uma vez a cada período de 12 meses, com exceções para preocupações de conformidade documentadas ou solicitações de autoridades supervisoras.
• §14 (novo) — Cláusula de modificações: aviso prévio de 30 dias para alterações materiais, com direito do Controlador de se opor e rescindir desinstalando o Software.

v1.0 (2026-05-21) — Publicação inicial.