Acordo de Processamento de Dados (DPA)

Artigo 28 do Regulamento (UE) 2016/679 — RGPD

O presente Acordo de Processamento de Dados (doravante “Acordo” ou “DPA”) complementa e é parte integrante das Condições Gerais de Uso e Venda do jenvoie (doravante o “Contrato Principal”), cujo artigo 11 especifica, celebradas entre:

Gravity5, sociedade por ações simplificada (société par actions simplifiée) de direito francês com capital variável de 150 €, inscrita no RCS Créteil 931 799 860, com sede social em 6bis, rue Jean Mermoz, 94450 Limeil-Brévannes, France, representada pelo Sr. Yohann MEPA, Presidente, doravante denominada “o Operador” ou “Gravity5”.

E

O Cliente, profissional que aceitou o Contrato Principal, inclusive ao instalar o aplicativo jenvoie para Shopify, cujos dados de contato estão informados em sua conta ou em sua loja, doravante denominado “o Cliente” ou “o Controlador”.

Doravante denominados, em conjunto, as “Partes” e, individualmente, a “Parte”.

Preâmbulo

O Cliente utiliza o jenvoie, plataforma on-line de criação de jogos promocionais e de envio de e-mails (newsletters, sequências), acessível no jenvoie.fr e por meio do aplicativo jenvoie para Shopify (doravante o “Serviço”).

No âmbito da utilização do Serviço, o Operador trata, por conta e mediante instrução do Cliente, Dados Pessoais relativos aos participantes dos jogos do Cliente e a seus contatos (prospects, clientes, assinantes de listas de distribuição, clientes de sua loja).

O Cliente atua na qualidade de Controlador, nos termos do RGPD, em relação a esses dados. A Gravity5 atua na qualidade de Operador, nos termos do RGPD.

O presente Acordo tem por objeto regular as condições desse tratamento, em conformidade com o artigo 28 do RGPD e com a Lei Informatique et Libertés (lei francesa de proteção de dados) modificada.

Artigo 1 — Definições

• “RGPD”: Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.
• “Lei Informatique et Libertés”: Lei francesa nº 78-17, de 6 de janeiro de 1978, modificada.
• “Dados Pessoais” ou “Dados”: qualquer informação relativa a uma pessoa física identificada ou identificável, nos termos do artigo 4(1) do RGPD.
• “Titular dos Dados”: a pessoa física a quem os Dados se referem.
• “Tratamento”: qualquer operação efetuada sobre os Dados, nos termos do artigo 4(2) do RGPD.
• “Controlador”: o Cliente, que determina as finalidades e os meios do Tratamento.
• “Operador”: a Gravity5, que trata os Dados por conta do Cliente.
• “Suboperador”: terceiro contratado pelo Operador para realizar uma parte do Tratamento (provedor de hospedagem etc.).
• “Violação de Dados”: violação da segurança nos termos do artigo 4(12) do RGPD.
• “Autoridade de Controle”: a Commission Nationale de l’Informatique et des Libertés (CNIL, autoridade francesa de proteção de dados) ou qualquer outra autoridade competente.

Artigo 2 — Objeto e descrição do Tratamento

2.1 Objeto

O presente Acordo tem por objeto definir as condições em que o Operador se compromete a efetuar, por conta do Controlador, as operações de Tratamento de Dados descritas a seguir.

2.2 Descrição do Tratamento

Natureza do Tratamento

Hospedagem dos jogos do Cliente, registro das participações, determinação e certificação dos resultados, criação de códigos de desconto na loja Shopify do Cliente, coleta, registro, organização, conservação, consulta, utilização, comunicação por transmissão (envio de e-mails), eliminação ou destruição dos Dados, produção de estatísticas.

Finalidade(s)

Permitir ao Cliente organizar jogos promocionais, gerenciar seus contatos, criar e enviar e-mails (newsletters, sequências, e-mails relacionados às participações) aos contatos que tenham consentido e acompanhar as estatísticas desses envios.

Categorias de Dados

Endereço de e-mail e demais campos escolhidos pelo Cliente em seus formulários (nome, telefone, respostas, palpites, atributos personalizados); escolhas de consentimento (marketing, medição de abertura) e suas datas; partidas (data, idioma, resultado, prêmio, código de desconto, navegador, referência do certificado); atividade de e-mail (envios, entrega, rejeições, descadastramentos, reclamações, cliques e, se o destinatário o tiver aceitado, aberturas); identificador técnico único.

Categorias de Titulares dos Dados

Participantes dos jogos do Cliente; prospects, clientes e assinantes das listas de distribuição do Cliente; clientes da loja Shopify do Cliente; contatos profissionais.

Duração do Tratamento

Durante toda a vigência do Contrato Principal, acrescida do período de restituição/exclusão previsto no artigo 11.

2.3 Dados sensíveis

O Cliente compromete-se a não transmitir ao Serviço dados sensíveis nos termos do artigo 9 do RGPD (origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos ou biométricos, dados relativos à saúde, à orientação sexual), nem dados relativos a condenações penais (artigo 10 do RGPD), salvo consentimento expresso, prévio e por escrito do Operador.

Artigo 3 — Obrigações do Operador

3.1 Conformidade com as instruções

O Operador trata os Dados unicamente mediante instrução documentada do Controlador, inclusive no que se refere às transferências para fora da União Europeia. São consideradas instruções documentadas:

• O Contrato Principal e o presente Acordo;
• As parametrizações e configurações efetuadas pelo Cliente em sua conta ou no aplicativo jenvoie para Shopify;
• As ações realizadas pelo Cliente por meio da interface, da API ou de um assistente de inteligência artificial conectado via MCP com seus acessos (criação de jogos, envio de campanhas, importação de listas de contatos);
• As solicitações específicas formuladas por escrito (e-mail, ticket de suporte).

Se o Operador considerar que uma instrução constitui uma violação do RGPD ou de outras disposições aplicáveis em matéria de proteção de dados, ele informará imediatamente o Controlador.

3.2 Confidencialidade

O Operador assegura que as pessoas autorizadas a tratar os Dados se comprometam a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal apropriada de confidencialidade.

3.3 Segurança

O Operador implementa as medidas técnicas e organizacionais apropriadas previstas no Anexo 2 do presente Acordo, em conformidade com o artigo 32 do RGPD, para garantir um nível de segurança adequado ao risco.

3.4 Assistência ao Controlador

O Operador assiste o Controlador, na medida do possível e tendo em conta a natureza do Tratamento, para:

• Responder às solicitações de exercício dos direitos dos Titulares dos Dados (artigos 12 a 23 do RGPD);
• Assegurar o cumprimento das obrigações previstas nos artigos 32 a 36 do RGPD (segurança, notificação de violação, avaliação de impacto, consulta prévia).

Essa assistência é prestada por meio das funcionalidades do Serviço (exportação, exclusão, modificação de contatos) ou, na sua falta, mediante solicitação por escrito pelos canais de suporte.

3.5 Informação e cooperação

O Operador disponibiliza ao Controlador todas as informações necessárias para demonstrar o cumprimento de suas obrigações nos termos do presente Acordo.

Artigo 4 — Obrigações do Controlador

O Controlador compromete-se a:

• Documentar por escrito qualquer instrução relativa ao Tratamento dos Dados pelo Operador;
• Assegurar-se de que dispõe de uma base legal válida (em especial o consentimento prévio, livre, específico, informado e inequívoco para o marketing direto B2C, obtido, no caso dos participantes, por meio da caixa de consentimento do jogo, nunca pré-marcada) para cada envio efetuado por meio do Serviço;
• Conservar a prova do consentimento de cada destinatário (data, origem, mecanismo de opt-in);
• Cumprir as obrigações do RGPD que lhe incumbem na qualidade de Controlador, em especial a informação aos Titulares dos Dados (artigos 13 e 14), inclusive sobre a medição de abertura dos e-mails, que só é individual com o consentimento do destinatário;
• Publicar o regulamento de seus jogos e permanecer responsável por seus prêmios;
• Não importar para o Serviço listas compradas, alugadas, coletadas em sites ou sem consentimento válido;
• Manter atualizado seu registro das atividades de tratamento que lhe dizem respeito;
• Respeitar a Política de Uso Aceitável do Serviço;
• Zelar pela qualidade e pela exatidão dos Dados que carrega no Serviço;
• Responder às solicitações dos Titulares dos Dados e informar o Operador quando a assistência deste for necessária.

Artigo 5 — Direitos dos Titulares dos Dados

Na medida do possível, o Operador assiste o Controlador para responder às solicitações de exercício dos direitos dos Titulares dos Dados, em especial:

• Direito de acesso (artigo 15 do RGPD) — por meio da consulta e da exportação dos contatos;
• Direito de retificação (artigo 16 do RGPD) — por meio da funcionalidade de modificação de contato;
• Direito à eliminação (artigo 17 do RGPD) — por meio da funcionalidade de exclusão definitiva;
• Direito à limitação do Tratamento (artigo 18 do RGPD);
• Direito à portabilidade (artigo 20 do RGPD) — por meio da exportação em formato CSV;
• Direito de oposição (artigo 21 do RGPD) — por meio do link de descadastramento presente em cada e-mail e, quanto à medição de abertura, por meio do link de retirada do consentimento presente em cada e-mail que contém um pixel individual.

No caso do aplicativo jenvoie para Shopify, o Operador trata, além disso, as solicitações de privacidade transmitidas pela Shopify:

• customers/data_request: o Operador identifica os Dados que detém sobre esse cliente em relação à loja e os envia ao Cliente, por e-mail para o endereço da loja, sob a forma de arquivo;
• customers/redact: o Operador exclui o cadastro de contato, as respostas e o histórico de e-mails desse cliente e anonimiza suas partidas;
• shop/redact (recebido quarenta e oito (48) horas após a desinstalação): o Operador exclui os Dados de todos os participantes e contatos da loja, bem como os acessos à loja. No caso das pessoas descadastradas ou que se opuseram aos envios, bem como dos endereços com falha definitiva de entrega, ele conserva apenas uma impressão digital irreversível do endereço de e-mail, com o único fim de impedir sua reimportação; o mesmo se aplica em decorrência de um pedido de eliminação (customers/redact).

Se uma solicitação for dirigida diretamente ao Operador, este informará o Controlador em prazo razoável e redirecionará o Titular dos Dados ao Controlador, salvo instrução em contrário.

Artigo 6 — Notificação de Violação de Dados

O Operador notifica o Controlador de qualquer Violação de Dados o mais rapidamente possível e, no máximo, em quarenta e oito (48) horas após ter tomado conhecimento dela.

A notificação especifica, na medida em que essas informações estejam disponíveis:

• A natureza da Violação, as categorias e o número aproximado de Titulares dos Dados e de registros afetados;
• Os dados do ponto de contato (privacy@jenvoie.fr);
• As consequências prováveis da Violação;
• As medidas adotadas ou propostas para remediá-la e atenuar seus efeitos.

Se nem todas as informações estiverem disponíveis imediatamente, elas serão comunicadas de forma progressiva e sem demora injustificada.

Cabe ao Controlador, se for o caso, notificar a Violação à CNIL e aos Titulares dos Dados nas condições dos artigos 33 e 34 do RGPD.

Artigo 7 — Suboperação

7.1 Autorização geral

O Controlador autoriza o Operador a recorrer a Suboperadores para a execução do Serviço. A lista dos Suboperadores consta do Anexo 1 do presente Acordo.

7.2 Notificação das alterações

O Operador informa o Controlador de qualquer alteração prevista relativa à inclusão ou à substituição de um Suboperador, com aviso prévio mínimo de trinta (30) dias, dando assim ao Controlador a possibilidade de apresentar objeções fundamentadas a essas alterações.

7.3 Objeção

Em caso de objeção razoável do Controlador baseada em motivos relacionados à proteção dos Dados, as Partes discutirão de boa-fé para encontrar uma solução. Na falta de acordo, o Operador poderá, a seu critério, não contratar o Suboperador em questão ou permitir ao Controlador rescindir o Contrato Principal sem penalidade (no caso do aplicativo jenvoie para Shopify, desinstalando-o).

7.4 Responsabilidade

O Operador impõe a cada Suboperador, por contrato escrito, as mesmas obrigações em matéria de proteção dos Dados que as fixadas no presente Acordo. O Operador permanece plenamente responsável, perante o Controlador, pelo cumprimento, pelo Suboperador, de suas obrigações.

Artigo 8 — Transferências para fora da União Europeia

Os Dados são hospedados na União Europeia (centros de dados da Hetzner situados na Alemanha).

O envio dos e-mails é assegurado pela infraestrutura de envio própria do Operador (mail.jenvoie.fr), hospedada na Alemanha (UE): o conteúdo das mensagens não é objeto de nenhuma transferência para fora da UE. Quando, ainda assim, um tratamento envolver um Suboperador situado fora da União Europeia (Anexo 1), a transferência é regida:

• Seja por uma decisão de adequação da Comissão Europeia (em especial o Data Privacy Framework para os Estados Unidos, quando o Suboperador estiver certificado);
• Seja pela celebração de Cláusulas Contratuais-Padrão (CCP) adotadas pela Comissão Europeia (decisão 2021/914), incluindo, se for o caso, as medidas suplementares necessárias em conformidade com o acórdão Schrems II.

A lista dos Suboperadores especifica, para cada um, a localização e o mecanismo de transferência aplicável (Anexo 1).

Artigo 9 — Auditoria

O Operador disponibiliza ao Controlador, mediante solicitação por escrito e razoável, as informações e a documentação necessárias para demonstrar o cumprimento das obrigações previstas no presente Acordo e no artigo 28 do RGPD.

Essa obrigação é cumprida prioritariamente pela disponibilização:

• Da presente documentação contratual;
• Dos eventuais relatórios de certificação ou de auditoria de seus Suboperadores (em especial a ISO 27001 do provedor de hospedagem);
• De respostas a um questionário de segurança padronizado.

O Controlador pode, às suas custas e com aviso prévio razoável de, no mínimo, trinta (30) dias úteis, solicitar a realização de uma auditoria complementar restrita aos aspectos abrangidos pelo presente Acordo, no máximo uma vez por ano, salvo em caso de Violação de Dados comprovada. A auditoria é realizada durante o horário comercial, não deve perturbar a atividade do Operador e deve respeitar a confidencialidade dos demais clientes do Operador.

Artigo 10 — Vigência e rescisão

O presente Acordo produz efeitos na data de aceitação do Contrato Principal pelo Cliente e permanece em vigor durante toda a vigência do Contrato Principal, bem como durante o período necessário ao cumprimento das obrigações pós-contratuais (em especial a restituição e a exclusão dos Dados previstas no artigo 11).

Artigo 11 — Destino dos Dados ao término do contrato

O Cliente pode exportar seus contatos a qualquer momento a partir do Serviço. No caso do aplicativo jenvoie para Shopify, a desinstalação encerra imediatamente a exibição dos jogos e, ao receber o webhook shop/redact enviado pela Shopify quarenta e oito (48) horas depois, o Operador exclui definitivamente os Dados dos participantes e contatos da loja; as partidas são conservadas somente sob forma anonimizada, para as estatísticas.

Para os demais Clientes, no término ou na rescisão do Contrato Principal, e segundo a escolha do Controlador manifestada por escrito no prazo de trinta (30) dias seguintes ao término do contrato, o Operador procede:

• Seja à restituição dos Dados ao Controlador em formato estruturado, de uso corrente e legível por máquina (CSV ou JSON), em suporte seguro;
• Seja à exclusão definitiva de todos os Dados.

Na falta de instrução do Controlador no prazo fixado, o Operador procede à exclusão definitiva dos Dados, ressalvados os prazos técnicos de processamento.

Ficam excluídos da exclusão:

• Os backups técnicos, que são excluídos segundo o ciclo de rotação habitual;
• Os dados cuja conservação seja imposta por uma obrigação legal (faturamento, contabilidade, combate à fraude).

O Operador fornece, mediante solicitação por escrito, um atestado de exclusão.

Artigo 12 — Responsabilidade e indenização

Cada uma das Partes é responsável pelos danos causados por um descumprimento de suas obrigações nos termos do presente Acordo e do RGPD, nas condições previstas no artigo 82 do RGPD.

Sem prejuízo do que precede, a responsabilidade do Operador nos termos do presente Acordo está sujeita às limitações e exclusões previstas no Contrato Principal.

Nenhuma disposição do presente Acordo limita ou exclui a responsabilidade de uma Parte perante os Titulares dos Dados na medida em que tal limitação ou exclusão seja contrária ao RGPD ou a qualquer outra disposição legal imperativa.

Artigo 13 — Disposições gerais

13.1 Hierarquia dos documentos

Em caso de contradição entre o presente Acordo e o Contrato Principal sobre questões relativas à proteção dos Dados, prevalece o presente Acordo.

13.2 Alteração

O Operador pode alterar o presente Acordo para refletir mudanças regulatórias ou modificações do Serviço. Qualquer alteração substancial é objeto de notificação ao Controlador com aviso prévio de trinta (30) dias.

13.3 Lei aplicável e foro competente

O presente Acordo é regido pelo direito francês. Qualquer litígio relativo à sua interpretação ou à sua execução é resolvido nas condições do artigo 14 do Contrato Principal.

13.4 Aceitação

O presente Acordo é aceito juntamente com o Contrato Principal, nas condições previstas no preâmbulo deste (caixa a ser marcada na criação da conta no jenvoie.fr, caixa a ser marcada e botão de confirmação na primeira abertura do aplicativo jenvoie para Shopify, ou aprovação de um Orçamento). O registro dessa aceitação (identificador da conta ou domínio da loja Shopify, data e hora, versão aceita) é conservado pelo Operador.

Anexo 1 — Lista dos Suboperadores

Lista atualizada em 13 de novembro de 2026.

Hetzner Online GmbH

Hospedagem da infraestrutura (servidores, banco de dados, backups) e dos servidores de envio de e-mails do Operador — Alemanha (UE) — todos os Dados do Serviço — sem transferência (intra-UE).

Shopify

Para as lojas que utilizam o aplicativo jenvoie para Shopify: plataforma na qual o aplicativo funciona; transmite as solicitações de privacidade e hospeda os códigos de desconto criados pelo aplicativo na loja do Cliente; nenhum dado dos participantes nem dos contatos lhe é transmitido — Irlanda (UE), Canadá (decisão de adequação) e Estados Unidos (Data Privacy Framework) — segundo as condições da Shopify.

OpenAI

Tradução automática facultativa dos textos dos jogos redigidos pelo Cliente — Estados Unidos — nenhum dado de participante ou de contato — DPF / CCP.

Stripe

Pagamento dos clientes assinantes diretamente no jenvoie.fr (fora da Shopify) — UE e Estados Unidos — somente dados de faturamento do Cliente, nunca os participantes nem os contatos — DPF / CCP.

Nota: o encaminhamento dos e-mails é efetuado por meio da infraestrutura de envio própria do Operador (mail.jenvoie.fr), hospedada na União Europeia; nenhum prestador terceiro de e-mail marketing intervém, exceto quando o Cliente opta por enviar seus e-mails por meio de seu próprio servidor ou prestador de envio, que ele então designa sob sua responsabilidade.

Anexo 2 — Medidas técnicas e organizacionais de segurança

Em conformidade com o artigo 32 do RGPD, o Operador implementa as seguintes medidas para assegurar um nível de segurança adequado aos riscos:

1. Segurança das infraestruturas

• Hospedagem em centros de dados certificados ISO 27001 (Hetzner, Alemanha);
• Isolamento de rede, firewall e restrição das portas expostas;
• Atualizações regulares do sistema operacional e das dependências;
• Monitoramento do desempenho e alertas em caso de anomalia;
• Backups automáticos diários, criptografados e conservados em local distinto.

2. Segurança das comunicações

• Criptografia TLS 1.2, no mínimo (TLS 1.3 recomendado), para todas as comunicações de entrada e de saída;
• Implementação dos padrões de autenticação de e-mail: SPF, DKIM, DMARC;
• HTTPS obrigatório em todo o domínio jenvoie.fr;
• Verificação da assinatura (HMAC) de cada webhook recebido da Shopify;
• Cabeçalhos de segurança (HSTS, CSP, X-Frame-Options etc.).

3. Segurança dos dados armazenados

• Criptografia em repouso segundo a política do provedor de hospedagem (Hetzner);
• Hash criptográfico das senhas e dos códigos de acesso;
• Segregação lógica dos dados entre as contas de Clientes;
• Tokens de API armazenados com hash no banco de dados;
• Valor secreto próprio de cada partida, excluído no momento da eliminação, que torna os certificados impossíveis de vincular ao participante.

4. Controle de acesso

• Autenticação individual para cada administrador do Operador;
• Princípio do menor privilégio para os acessos internos;
• Registro (log) dos acessos de administradores aos bancos de dados;
• Revogação imediata dos acessos em caso de término de missão ou de desligamento.

5. Segurança de aplicações

• Validação das entradas e proteção contra injeções (SQL, XSS, CSRF);
• Limitação de taxa (rate limiting) nos endpoints sensíveis;
• Revisão de código para as funcionalidades críticas;
• Atualização regular das dependências e monitoramento de vulnerabilidades (CVE).

6. Medidas organizacionais

• Termo de confidencialidade assinado por qualquer pessoa que acesse os Dados;
• Conscientização sobre proteção dos Dados e segurança;
• Política documentada de gestão de incidentes;
• Manutenção de um registro dos tratamentos na qualidade de operador (artigo 30.2 do RGPD).

7. Medidas específicas do serviço de e-mail

• Link de descadastramento presente e funcional em cada e-mail de campanha;
• Pixel individual de medição de abertura somente com o consentimento do destinatário (caixa nunca pré-marcada), link de retirada em cada e-mail que o contém, nenhum pixel após a retirada; para os demais destinatários, pixel anônimo sem dado pessoal;
• Conservação da prova de consentimento sob a responsabilidade do Cliente, que deve poder fornecê-la mediante solicitação;
• Mecanismos antispam (gestão de rejeições, reclamações FBL, lista de supressão);
• Exclusão automática e definitiva dos contatos descadastrados e dos endereços com falha definitiva de todos os envios futuros;
• Detecção e exclusão das aberturas e cliques automáticos (robôs, pré-carregamento);
• Pausa automática das campanhas com taxa de rejeições ou de reclamações anormal;
• Pseudonimização parcial nos logs quando tecnicamente possível.

8. Continuidade de negócios

• Plano de backup testado periodicamente;
• RTO (Recovery Time Objective): 24 horas para os serviços críticos;
• Documentação atualizada dos procedimentos de restauração.

9. Gestão das Violações

• Procedimento de notificação ao Controlador em até 48 horas;
• Manutenção de um registro interno das Violações;
• Análise pós-incidente e implementação de medidas corretivas.

As presentes medidas podem ser adaptadas e complementadas à medida das evoluções técnicas e regulatórias, sem redução do nível global de proteção.