Acordo de Processamento de Dados (DPA)

Versão: 1.2 — FINAL (05/08/2026)

Partes

Controlador: o Cliente que aceitou estes Termos (pessoa jurídica identificada no cadastro)

Operador: Pulso Gestora e Consultoria Ltda. (CNPJ 37.064.962/0001-14)

1. Definições

Aplicam-se as definições da LGPD (art. 5º):

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável
• Tratamento: toda operação realizada com dados pessoais
• Controlador: a quem competem as decisões referentes ao tratamento
• Operador: realiza o tratamento em nome do Controlador

Adicionalmente:

• Sub-operador: terceiro contratado pela Pulso para apoio à entrega dos serviços (lista completa e atualizada disponível mediante solicitação ao DPO — Cláusula 4)
• Dados do Cliente: dados pessoais carregados pelo Cliente na plataforma Pulso (docs, valuations, atas, comentários, identidade de fundadores em DD, etc.)

2. Escopo

2.1. Este DPA aplica-se ao tratamento de Dados do Cliente pela Pulso, em sua qualidade de Operador, durante a vigência do Contrato de Assinatura SaaS.

2.2. Dados de cadastro do Cliente (membros da equipe Cliente) NÃO são cobertos por este DPA — são tratados pelo Pulso como Controlador, conforme Política de Privacidade.

2.3. Tipos de dados pessoais tipicamente tratados sob este DPA:

• Dados de fundadores (nomes, LinkedIn, e-mails, background profissional) inseridos pelo Cliente em DD ou alinhamento founders
• Dados de co-investidores, advogados, auditores mencionados em atas, side letters
• Dados de LPs e cotistas dos fundos do Cliente (em relatórios CVM, IFRS, offshore)
• Dados de funcionários das startups investidas (em DD trabalhista, organograma)

3. Obrigações do Operador (Pulso)

3.1. Pulso compromete-se a:

a) Tratar os Dados do Cliente exclusivamente conforme as instruções documentadas pelo Cliente (estes Termos + a configuração da plataforma);

b) Garantir que pessoal autorizado mantenha sigilo (NDA interno + Código de Ética + Política de Compliance);

c) Implementar medidas técnicas e organizacionais apropriadas (Cláusula 6);

d) Auxiliar o Cliente no atendimento de direitos de Titulares (LGPD art. 18) em até 15 dias úteis;

e) Auxiliar o Cliente no cumprimento de obrigações de segurança e relatório de impacto (RIPD/DPIA);

f) Eliminar ou devolver os Dados do Cliente ao término do contrato;

g) Disponibilizar ao Cliente todas as informações necessárias para demonstrar cumprimento (audit trails, certificados, relatórios);

h) Notificar incidentes em até 24 horas após detecção (LGPD art. 48);

i) Não compartilhar Dados do Cliente com outros Clientes Pulso (ver NDA Mútuo Cláusula 4 e privacy-architecture.md).

4. Sub-operadores

4.1. Pulso pode contratar sub-operadores para apoio à entrega dos serviços. A lista atualizada consta da tabela abaixo (Cláusula 4.2) e é revisada periodicamente.

4.2. Sub-operadores atuais incluem:

4.3. Notificação de novos sub-operadores: Pulso comunicará o Cliente com 30 dias de antecedência antes de adicionar novo sub-operador. Cliente pode rescindir sem multa caso discorde, dentro desse prazo.

4.4. Pulso garante que cada sub-operador esteja vinculado a obrigações equivalentes às deste DPA por contrato (DPA com sub-operador) ou Standard Contractual Clauses (SCCs UE).

5. Transferência Internacional

5.1. Alguns Dados do Cliente podem ser processados em jurisdições fora do Brasil:

• EUA (Anthropic, Vercel, Cloudflare, Resend, WhatsApp)
• Edge global Vercel (CDN — apenas conteúdo público em cache)

5.2. Pulso garante adequação por:

• Sub-operador adere a SCCs UE (quando aplicável a Cliente UE)
• DPA com cláusulas LGPD-compatíveis
• Avaliação de risco do país (LGPD art. 33-36)

5.3. Para Cliente que exija processamento estritamente em território brasileiro:

• Tier Enterprise oferece deploy em região AWS sa-east-1 (São Paulo) com sub-operadores BR-only
• Anthropic processado via VPC endpoint dedicado (roadmap 2027)

6. Medidas Técnicas e Organizacionais

6.1. Pulso implementa, no mínimo:

Técnicas:

• TLS 1.2+ em todo tráfego (HTTPS obrigatório, HSTS habilitado)
• Criptografia em repouso no DB (AES-256)
• Tokenização de cartões via Stripe (PAN/CVV nunca tocam servidor Pulso)
• Audit log de acessos (queries Postgres, file reads)
• Isolamento por tenant (orgId em todas as tabelas + middleware)
• Backup diário com retenção 30 dias
• Penetration test anual (roadmap)

Organizacionais:

• Acesso staff apenas com consentimento + audit log
• NDA interno + Código de Ética obrigatório
• Treinamento de privacidade na onboarding de qualquer pessoa com acesso
• Plano de Resposta a Incidentes (PRI) — disponível mediante solicitação
• Designação de Encarregado (DPO) — Sandro Giovanni Valeri

7. Direitos dos Titulares

7.1. O Operador (Pulso) auxiliará o Controlador (Cliente) no atendimento dos seguintes direitos do Titular (LGPD art. 18):

• Confirmação de existência de tratamento
• Acesso aos dados
• Correção
• Anonimização, bloqueio, eliminação
• Portabilidade
• Eliminação dos dados tratados com consentimento
• Informação sobre compartilhamento
• Revogação de consentimento

7.2. Quando Pulso receber solicitação direta do Titular sobre Dados do Cliente, encaminhará ao Cliente em até 5 dias úteis, sem responder diretamente (preserva o papel de Controlador).

8. Notificação de Incidentes

8.1. Pulso notificará o Cliente sobre incidente de segurança envolvendo Dados do Cliente em até 24 horas após detecção, contendo:

• Descrição do incidente
• Categorias e número aproximado de Titulares e dados afetados
• Consequências prováveis
• Medidas adotadas e a serem adotadas
• Contato do DPO Pulso

8.2. Cliente é responsável pela notificação à ANPD (LGPD art. 48) ou autoridade equivalente — Pulso fornece as informações necessárias para a comunicação.

9. Auditoria

9.1. Cliente Enterprise pode solicitar auditoria de cumprimento deste DPA com 60 dias de antecedência, 1 vez por ano, mediante:

• NDA específico de auditoria assinado pelas Partes
• Custos da auditoria por conta do Cliente
• Acesso restrito a sistemas/registros essenciais ao escopo
• Sem comprometer dados de outros Clientes

9.2. Cliente não-Enterprise: recebe relatório anual de cumprimento (Q1 do ano subsequente) e pode solicitar info adicional via DPO.

10. Encerramento

10.1. Após término do Contrato de Assinatura SaaS:

• 30 dias: período de retenção para o Cliente exportar todos os Dados do Cliente
• 30+ dias: Pulso elimina os Dados do Cliente, exceto retenções legais (fiscais e contábeis) e backups com retenção até 30 dias adicionais
• Confirmação por escrito ao Cliente após eliminação concluída

10.2. Mediante solicitação do Cliente antes do prazo de 30 dias, Pulso pode também devolver os Dados em formato estruturado (JSON/XLSX/CSV).

11. Disposições Gerais

11.1. Este DPA é parte integrante dos Termos de Uso + Contrato de Assinatura SaaS.

11.2. Em caso de conflito entre este DPA e os Termos, prevalece este DPA quanto a tratamento de dados pessoais.

11.3. Atualizações deste DPA seguem a mesma regra dos Termos (30 dias de aviso para mudanças materiais).

11.4. Foro e lei aplicável: conforme Termos.

Vigência

Este DPA passa a vigorar entre Pulso e Cliente automaticamente, no momento em que o Cliente aceita os Termos de Uso + Contrato de Assinatura SaaS no cadastro (`terms-conditions.md`, §3.1) — não exige assinatura em separado.

Histórico de Versões