Acordo de Tratamento de Dados Pessoais

LOJISTATOP — ACORDO DE PROTEÇÃO E TRATAMENTO DE DADOS

Versão: 1.0 Data: 02 de outubro de 2026

IDENTIFICAÇÃO DAS PARTES

OPERADORA: Leonardo Ferro, pessoa física, utilizando comercialmente a identificação LOJISTATOP, doravante denominada OPERADORA ou LOJISTATOP.

CONTROLADOR: Pessoa física ou jurídica responsável pelo estabelecimento comercial contratante, devidamente identificada no cadastro eletrônico da plataforma LojistaTop, doravante denominada CONTROLADOR ou LOJISTA.

As partes celebram o presente Acordo de Tratamento de Dados Pessoais, complementar ao Contrato de Prestação de Serviços da plataforma LojistaTop.

CLÁUSULA 1 — OBJETO

1.1. O presente acordo estabelece as condições de tratamento, segurança, proteção, armazenamento, compartilhamento e eliminação dos dados pessoais processados pela LojistaTop em nome do CONTROLADOR.

1.2. O tratamento ocorrerá exclusivamente dentro das finalidades legítimas relacionadas aos serviços contratados, observadas as instruções documentadas do CONTROLADOR e as exigências legais aplicáveis.

1.3. Este acordo tem natureza complementar ao contrato principal de prestação de serviços tecnológicos.

1.4. Em caso de conflito entre disposições contratuais relativas ao tratamento de dados pessoais, prevalecerão as exigências legais obrigatórias e, entre disposições contratualmente compatíveis, a regra específica deste DPA.

CLÁUSULA 2 — DEFINIÇÕES

2.1. Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.

2.2. Controlador: agente responsável pelas decisões referentes às finalidades e aos meios essenciais do tratamento.

2.3. Operador: agente que realiza o tratamento de dados pessoais em nome do controlador.

2.4. Titular: pessoa natural à qual os dados pessoais se referem.

2.5. Tratamento: qualquer operação realizada com dados pessoais, incluindo coleta, acesso, armazenamento, utilização, compartilhamento, alteração e eliminação.

2.6. Suboperador: fornecedor contratado pela OPERADORA para executar determinadas operações de tratamento em seu nome, dentro das atividades abrangidas por este acordo.

2.7. Incidente de segurança: evento adverso relacionado à segurança de dados pessoais, incluindo situações de acesso não autorizado, destruição, perda, alteração ou divulgação indevida, conforme a legislação e regulamentação aplicáveis.

CLÁUSULA 3 — DETERMINAÇÃO DOS PAPÉIS

3.1. O LOJISTA atuará, em regra, como CONTROLADOR dos dados pessoais de seus consumidores tratados no contexto da operação de sua loja virtual.

3.2. A LOJISTATOP atuará, em regra, como OPERADORA desses dados, executando operações necessárias à prestação dos serviços tecnológicos contratados.

3.3. A LOJISTATOP será controladora independente dos dados pessoais tratados para suas próprias finalidades, incluindo cadastro de lojistas, gestão contratual, cobrança de assinaturas, segurança e cumprimento de obrigações legais.

3.4. A definição dos papéis não afasta a responsabilidade efetiva de cada parte pelas decisões e atividades que realizar.

3.5. Caso determinada funcionalidade envolva decisões conjuntas sobre finalidades e meios essenciais do tratamento, as partes deverão avaliar e documentar a configuração jurídica específica antes de sua utilização.

CLÁUSULA 4 — FINALIDADES AUTORIZADAS

4.1. A OPERADORA poderá tratar dados pessoais em nome do CONTROLADOR para:

a) Hospedagem e funcionamento da loja virtual.

b) Recebimento e armazenamento de pedidos.

c) Identificação de consumidores para execução das operações comerciais.

d) Exibição dos pedidos e informações necessárias no painel administrativo.

e) Gerenciamento de status, cancelamentos e acompanhamento de vendas.

f) Execução das integrações autorizadas pelo CONTROLADOR.

g) Envio de notificações operacionais contratadas.

h) Atendimento de solicitações de suporte técnico.

i) Implementação de mecanismos de segurança, prevenção de fraudes e recuperação operacional.

j) Outras operações indispensáveis ao cumprimento de instruções lícitas do CONTROLADOR.

4.2. As funcionalidades padronizadas e configuráveis contratadas constituirão instruções documentadas de tratamento, sem prejuízo de instruções adicionais formalizadas pelos canais oficiais.

4.3. A OPERADORA não poderá utilizar dados de consumidores para atividades comerciais próprias incompatíveis com este acordo ou com a legislação.

CLÁUSULA 5 — OBRIGAÇÕES DO CONTROLADOR

5.1. Compete ao LOJISTA:

a) Estabelecer as finalidades e bases legais adequadas para o tratamento.

b) Informar seus consumidores sobre a coleta e a utilização de dados pessoais.

c) Disponibilizar sua própria Política de Privacidade, quando aplicável.

d) Respeitar os direitos dos titulares.

e) Evitar coleta excessiva ou desnecessária.

f) Manter a veracidade e a atualização dos dados sob sua responsabilidade.

g) Proteger as credenciais de acesso de seus usuários.

h) Controlar o acesso de colaboradores e representantes autorizados.

i) Obter consentimento quando legalmente exigido.

j) Não inserir dados pessoais sensíveis sem necessidade legítima, fundamento legal e avaliação de riscos.

k) Respeitar as normas aplicáveis ao tratamento de dados de crianças e adolescentes.

l) Não utilizar a plataforma para atividades ilícitas ou para tratamentos incompatíveis com a LGPD.

5.2. O CONTROLADOR será responsável por estabelecer orientações adequadas para sua operação comercial.

5.3. O CONTROLADOR não deverá solicitar à OPERADORA a execução de tratamento manifestamente ilegal.

5.4. A OPERADORA poderá recusar instruções manifestamente incompatíveis com a legislação, comunicando os fundamentos ao CONTROLADOR sempre que possível.

CLÁUSULA 6 — OBRIGAÇÕES DA OPERADORA

6.1. Compete à LOJISTATOP:

a) Executar os tratamentos autorizados conforme o contrato e as instruções lícitas recebidas.

b) Utilizar os dados somente para finalidades compatíveis com a prestação dos serviços.

c) Aplicar medidas técnicas e administrativas de segurança proporcionais aos riscos.

d) Restringir o acesso aos dados às pessoas e aos serviços que efetivamente necessitem dessas informações.

e) Preservar a confidencialidade dos dados pessoais.

f) Adotar mecanismos razoáveis de prevenção contra acessos não autorizados.

g) Cooperar com solicitações legítimas relacionadas aos direitos dos titulares.

h) Comunicar incidentes de segurança conforme as regras deste acordo.

i) Manter procedimentos adequados para encerramento, devolução ou eliminação de dados.

j) Avaliar riscos relacionados aos fornecedores que realizem tratamento em seu nome.

k) Não comercializar bases de dados pessoais de consumidores.

l) Não explorar dados comerciais individualizados dos lojistas para finalidades próprias incompatíveis com o contrato.

6.2. A OPERADORA não será obrigada a executar instruções que comprometam a segurança, violem direitos de terceiros ou contrariem a legislação.

6.3. A OPERADORA deverá manter procedimentos internos compatíveis com os compromissos de confidencialidade e proteção de dados assumidos.

CLÁUSULA 7 — ACESSO ADMINISTRATIVO AOS DADOS

7.1. A LojistaTop poderá acessar informações técnicas e operacionais armazenadas na plataforma quando necessário para:

a) Suporte solicitado pelo lojista.

b) Investigação de falhas.

c) Correção de erros.

d) Prevenção de fraudes.

e) Segurança da informação.

f) Cumprimento de obrigação legal ou determinação válida.

7.2. O acesso administrativo deverá observar os princípios da necessidade, finalidade e proporcionalidade.

7.3. A existência de permissões administrativas não autoriza a consulta indiscriminada de informações de consumidores.

7.4. Sempre que tecnicamente viável e proporcional aos riscos, acessos privilegiados deverão ser registrados para fins de auditoria e segurança.

7.5. É vedada a utilização de informações acessadas administrativamente para benefício comercial particular ou finalidade estranha à execução do contrato.

CLÁUSULA 8 — MEDIDAS DE SEGURANÇA

8.1. A OPERADORA compromete-se a manter programa de segurança compatível com a natureza dos dados, volume de operações, infraestrutura e riscos envolvidos.

8.2. As medidas poderão incluir, conforme a arquitetura efetivamente utilizada:

a) Conexões protegidas por protocolos criptográficos adequados.

b) Proteção de senhas e credenciais.

c) Controle de acesso por perfis e permissões.

d) Atualização de componentes tecnológicos.

e) Procedimentos de recuperação de dados.

f) Segregação lógica das informações dos estabelecimentos.

g) Monitoramento e registros técnicos de segurança.

h) Gerenciamento de vulnerabilidades.

i) Medidas de proteção contra acesso não autorizado.

j) Avaliação periódica de riscos técnicos.

8.3. As partes reconhecem que nenhuma solução tecnológica garante eliminação absoluta de riscos.

8.4. Essa limitação não afasta o dever de prevenção, diligência ou responsabilização por violações legais.

CLÁUSULA 9 — SEGREGAÇÃO DAS INFORMAÇÕES

9.1. A OPERADORA deverá adotar mecanismos para impedir que um estabelecimento acesse indevidamente dados pertencentes à operação de outro lojista.

9.2. O acesso às informações deverá respeitar a identificação do estabelecimento e as permissões atribuídas aos usuários autorizados.

9.3. A existência de infraestrutura ou banco de dados compartilhados não autoriza compartilhamento indiscriminado de informações entre os contratantes.

9.4. Eventuais falhas de segregação serão tratadas conforme sua natureza, risco e consequências, inclusive sob o procedimento de incidentes de segurança quando cabível.

CLÁUSULA 10 — SUBOPERADORES E FORNECEDORES

10.1. O CONTROLADOR autoriza, de forma geral, a utilização de suboperadores necessários à prestação dos serviços contratados, observadas as garantias estabelecidas neste acordo.

10.2. Poderão ser contratados fornecedores das seguintes categorias:

a) Hospedagem de aplicações e bancos de dados.

b) Infraestrutura de rede.

c) Armazenamento e recuperação de dados.

d) Serviços de e-mail e comunicação.

e) Monitoramento e segurança.

f) Outras integrações legitimamente contratadas.

10.3. A LOJISTATOP deverá avaliar a adequação desses fornecedores quanto à natureza dos serviços e aos riscos envolvidos.

10.4. Sempre que pertinente, deverão ser estabelecidas obrigações contratuais de confidencialidade, segurança, cooperação e proteção de dados.

10.5. A relação de suboperadores relevantes será mantida acessível ao CONTROLADOR por meio de documento ou canal apropriado.

10.6. Alterações relevantes de suboperadores que afetem materialmente o tratamento serão comunicadas em prazo razoável, permitindo ao CONTROLADOR apresentar objeções fundamentadas.

10.7. A contratação de suboperadores não exonera automaticamente a OPERADORA de suas obrigações próprias.

CLÁUSULA 11 — SERVIÇOS FINANCEIROS INTEGRADOS

11.1. A plataforma poderá integrar serviços financeiros ou meios de pagamento contratados pelos estabelecimentos.

11.2. Quando a instituição financeira atuar como controladora independente, caberá a ela cumprir as obrigações legais relacionadas às suas próprias atividades de tratamento.

11.3. A LOJISTATOP não assumirá automaticamente a condição de instituição financeira, custodiante ou processadora direta de cartões apenas por disponibilizar integração tecnológica.

11.4. As informações compartilhadas serão limitadas às finalidades legítimas necessárias à execução dos serviços e às exigências legais.

11.5. O LOJISTA deverá conhecer as condições dos provedores de pagamento que utilizar.

CLÁUSULA 12 — TRANSFERÊNCIA INTERNACIONAL

12.1. O tratamento poderá envolver serviços tecnológicos sujeitos a transferência internacional de dados pessoais.

12.2. Essas transferências somente poderão ocorrer conforme mecanismos permitidos pela LGPD e pela regulamentação aplicável.

12.3. Quando forem exigidas cláusulas-padrão contratuais aprovadas pela ANPD, deverão ser incorporadas aos instrumentos apropriados, de maneira integral e conforme os requisitos regulamentares.

12.4. A OPERADORA deverá fornecer informações pertinentes sobre transferências internacionais efetivamente realizadas, respeitados os segredos comerciais e os deveres de transparência.

CLÁUSULA 13 — INCIDENTES DE SEGURANÇA

13.1. A OPERADORA deverá manter procedimento de identificação, avaliação e resposta a incidentes de segurança envolvendo dados pessoais.

13.2. Ao tomar conhecimento de incidente confirmado ou razoavelmente suspeito que possa comprometer dados pessoais tratados em nome do CONTROLADOR, deverá comunicar o fato sem demora injustificada.

13.3. Como compromisso operacional entre as partes, a OPERADORA buscará realizar a comunicação inicial em até 24 horas contadas do conhecimento do incidente, ainda que a investigação esteja em andamento.

13.4. A comunicação inicial deverá apresentar as informações disponíveis, podendo compreender:

a) Natureza do incidente.

b) Data ou período estimado de ocorrência.

c) Categorias de dados potencialmente afetadas.

d) Categorias de titulares envolvidos.

e) Possíveis consequências conhecidas.

f) Medidas iniciais de contenção.

g) Providências em andamento.

13.5. Informações ainda indisponíveis poderão ser complementadas posteriormente.

13.6. A OPERADORA deverá cooperar com o CONTROLADOR nas ações de investigação, mitigação, preservação de evidências e resposta.

13.7. Caberá ao CONTROLADOR realizar as comunicações legalmente exigidas à ANPD e aos titulares, quando atuar nessa condição, observadas as regras aplicáveis.

13.8. Nas operações em que a LOJISTATOP for controladora, ela assumirá diretamente suas obrigações legais de comunicação.

13.9. O prazo contratual de comunicação entre as partes não substitui, modifica nem amplia automaticamente os prazos regulamentares aplicáveis às notificações oficiais.

CLÁUSULA 14 — SOLICITAÇÕES DOS TITULARES

14.1. O CONTROLADOR será responsável por analisar e responder às solicitações de titulares relacionadas ao tratamento que determinar.

14.2. A OPERADORA deverá prestar assistência técnica razoável ao CONTROLADOR para localizar, acessar, corrigir, exportar, bloquear ou eliminar dados, conforme aplicável.

14.3. As solicitações deverão observar os requisitos de identificação, segurança e legitimidade.

14.4. Quando a OPERADORA receber diretamente solicitação relativa aos dados controlados pelo lojista, deverá encaminhá-la ao CONTROLADOR ou orientar o titular quanto ao canal responsável, sem divulgar dados indevidamente.

14.5. A OPERADORA não será obrigada a atender instruções que provoquem eliminação ilegal de registros sujeitos a conservação obrigatória.

CLÁUSULA 15 — AUDITORIA E DEMONSTRAÇÃO DE CONFORMIDADE

15.1. A OPERADORA deverá fornecer informações razoavelmente necessárias para demonstrar o cumprimento das obrigações assumidas neste acordo.

15.2. As informações poderão ser disponibilizadas por documentação técnica, declarações, registros pertinentes ou outras evidências adequadas.

15.3. Solicitações de auditoria deverão respeitar confidencialidade, proporcionalidade, segurança e direitos de outros estabelecimentos.

15.4. Auditorias técnicas presenciais ou acesso direto à infraestrutura dependerão de ajuste prévio quanto a finalidade, escopo, prazo, segurança e custos, sem prejuízo de determinações legais ou de autoridades competentes.

15.5. O presente acordo não concede ao CONTROLADOR acesso irrestrito aos sistemas internos, credenciais, código-fonte, segredos comerciais ou dados de outros contratantes.

CLÁUSULA 16 — RETENÇÃO, EXPORTAÇÃO E EXCLUSÃO

16.1. Os dados tratados em nome do CONTROLADOR serão conservados durante a prestação dos serviços e pelo período adicional legitimamente necessário.

16.2. Encerrado o contrato, o CONTROLADOR poderá solicitar a exportação dos dados disponíveis de sua operação, observadas as condições técnicas e contratuais.

16.3. Salvo situação excepcional, a solicitação de exportação poderá ser realizada em até 30 dias corridos após o encerramento contratual.

16.4. Após o período aplicável, a OPERADORA poderá eliminar ou anonimizar os dados que não estejam sujeitos a obrigação legal de retenção ou outra hipótese legítima de conservação.

16.5. A eliminação de dados em cópias de segurança poderá observar ciclos técnicos documentados de retenção, devendo ser impedida sua reutilização para finalidades incompatíveis.

16.6. O encerramento do contrato não obriga a OPERADORA a fornecer código-fonte, arquivos proprietários ou arquitetura interna da plataforma.

16.7. A retenção ou eliminação dos dados não prejudicará a preservação de evidências necessárias ao cumprimento da lei ou exercício regular de direitos.

CLÁUSULA 17 — CONFIDENCIALIDADE

17.1. As partes comprometem-se a manter confidencialidade sobre dados pessoais e informações protegidas acessadas em decorrência da execução contratual.

17.2. O acesso deverá ser restrito às pessoas legitimamente autorizadas e vinculadas a obrigações adequadas de sigilo.

17.3. O dever de confidencialidade permanecerá após o encerramento contratual enquanto subsistir obrigação legal ou legítima necessidade de proteção.

17.4. Informações somente poderão ser divulgadas sem autorização nas hipóteses legalmente permitidas ou exigidas.

CLÁUSULA 18 — RESPONSABILIDADE E INDENIZAÇÃO

18.1. Cada parte responderá pelos danos decorrentes de sua conduta, descumprimento contratual ou violação legal, conforme as regras aplicáveis.

18.2. O CONTROLADOR responderá pelas decisões ilícitas de tratamento que determinar, observadas as condições previstas na LGPD.

18.3. A OPERADORA responderá pelas violações que lhe forem atribuíveis, incluindo o descumprimento de suas obrigações legais e das instruções lícitas do CONTROLADOR, nas hipóteses previstas em lei.

18.4. A ocorrência de incidente provocado por terceiro não afastará automaticamente eventual responsabilidade por falhas próprias de segurança, prevenção ou diligência.

18.5. Eventuais obrigações de ressarcimento entre as partes dependerão da apuração dos fatos, do nexo causal e das responsabilidades efetivas.

18.6. Nenhuma cláusula poderá afastar direitos legalmente assegurados aos titulares ou excluir responsabilidade nas hipóteses em que a lei não permitir.

CLÁUSULA 19 — VIOLAÇÃO DO ACORDO

19.1. Constatado descumprimento relevante das obrigações de proteção de dados, a parte prejudicada poderá notificar a outra para adoção de providências corretivas.

19.2. Quando a infração for sanável, deverá ser concedido prazo razoável para regularização, proporcional à natureza e ao risco da ocorrência.

19.3. Situações graves que representem risco imediato aos dados pessoais poderão justificar suspensão preventiva do tratamento afetado.

19.4. Violações graves, reiteradas ou não sanadas poderão justificar rescisão contratual, sem prejuízo dos direitos legalmente assegurados.

CLÁUSULA 20 — VIGÊNCIA

20.1. O presente DPA entrará em vigor na data do aceite eletrônico ou assinatura pelas partes.

20.2. Permanecerá válido durante a execução do contrato principal e, quanto às obrigações que por sua natureza devam subsistir, após seu encerramento.

20.3. Alterações relevantes deverão ser documentadas e comunicadas conforme as exigências legais e contratuais.

CLÁUSULA 21 — LEGISLAÇÃO APLICÁVEL

21.1. Este acordo será regido pelas leis brasileiras, especialmente pela Lei nº 13.709/2018 e pelas regulamentações pertinentes.

21.2. Aplicam-se subsidiariamente as disposições válidas do contrato principal, desde que não contrariem o presente acordo ou normas obrigatórias.

21.3. Eventuais controvérsias poderão ser submetidas ao foro contratualmente estabelecido, observadas as regras legais de competência e proteção das partes.

ANEXO I — DESCRIÇÃO DAS OPERAÇÕES DE TRATAMENTO

Objeto: disponibilização de tecnologia para criação, hospedagem e gerenciamento de lojas virtuais.

Natureza das operações:

Coleta e recepção de dados.

Armazenamento e organização.

Consulta e exibição aos usuários autorizados.

Processamento de pedidos.

Compartilhamento necessário a integrações autorizadas.

Suporte, segurança e recuperação.

Exportação, exclusão e outras operações previstas contratualmente.

Categorias de titulares:

Consumidores.

Representantes dos consumidores, quando aplicável.

Administradores e colaboradores autorizados do estabelecimento.

Categorias de dados:

Dados de identificação.

Dados de contato.

Endereços.

Informações de pedidos.

Registros de transações e respectivos status.

Identificadores de acesso.

Outros dados legitimamente disponibilizados nas funcionalidades contratadas.

Finalidade principal: disponibilização e operação da loja virtual contratada.

Duração: vigência contratual e períodos adicionais legitimamente necessários.

Instruções: contrato principal, presente DPA, configurações autorizadas e instruções lícitas documentadas.

ANEXO II — RESPONSABILIDADES OPERACIONAIS

As atribuições acima não afastam deveres legais compartilhados, concorrentes ou próprios de cada agente.

ANEXO III — REGRAS MÍNIMAS DE SEGURANÇA

A LojistaTop deverá manter medidas proporcionais de proteção, considerando:

Gestão de autenticação e permissões.

Segregação lógica entre estabelecimentos.

Atualizações e correções de segurança.

Proteção de comunicação e credenciais.

Cópias de segurança e recuperação.

Monitoramento e resposta a incidentes.

Controle de fornecedores tecnológicos.

Confidencialidade dos acessos administrativos.

Eliminação segura de informações, quando cabível.

Reavaliação das medidas conforme mudanças de risco.

A implementação efetiva, as frequências e os parâmetros técnicos deverão constar de procedimentos internos documentados.

ANEXO IV — ACEITE ELETRÔNICO

Ao celebrar o contrato de prestação de serviços e aceitar este DPA, o CONTRATANTE declara que:

a) Identificou as responsabilidades atribuídas ao controlador e à operadora.

b) Está ciente de suas obrigações legais relativas aos dados de seus consumidores.

c) Autoriza o tratamento necessário à execução das funcionalidades contratadas, sem prejuízo da necessidade de base legal adequada.

d) Reconhece as regras de segurança, confidencialidade, compartilhamento e encerramento previstas neste acordo.

e) Compromete-se a utilizar a plataforma em conformidade com a LGPD e demais normas aplicáveis.

OPERADORA: LojistaTop — Leonardo Ferro

CONTROLADOR: Lojista identificado no cadastro contratual.

Data e registro de aceite: Conforme registro eletrônico mantido pela plataforma.