Data Processing Agreement
Version v1.3 — effective 16 de julho de 2026
Doc E Sign — Acordo de Tratamento de Dados
Data de vigência: 16 de julho de 2026 Versão: v1.3 URL: doc-e-sign.com/dpa
Aviso de tradução: Esta tradução é fornecida por conveniência. Em caso de divergência entre esta versão e a versão em inglês, a versão em inglês prevalecerá.
Este Acordo de Tratamento de Dados ("ATD") é celebrado entre a Doc E Sign ("Operadora") e o remetente que aceita os Termos de Serviço da Doc E Sign ("Controladora"). Ele integra os Termos de Serviço da Doc E Sign e é incorporado por referência.
Este ATD rege o tratamento de dados pessoais pela Doc E Sign em nome da Controladora nos termos do artigo 28 do Regulamento Geral de Proteção de Dados do Reino Unido (UK GDPR) e do artigo 28 do Regulamento Geral de Proteção de Dados da União Europeia (GDPR), conforme aplicável.
1. Definições
"Controladora" significa o remetente — o titular da conta Doc E Sign que envia documentos e instrui a Doc E Sign a iniciar cerimônias de assinatura.
"Operadora" significa a Doc E Sign.
"Dado Pessoal" tem o significado atribuído pela legislação de proteção de dados aplicável.
"Tratamento" tem o significado atribuído pela legislação de proteção de dados aplicável.
"Titular dos Dados" significa a pessoa física cujos dados pessoais são tratados — neste contexto, principalmente o signatário.
"Suboperadora" significa qualquer terceiro contratado pela Doc E Sign para tratar Dados Pessoais nos termos deste ATD.
"Legislação Aplicável" significa o UK GDPR, o GDPR da UE e qualquer outra legislação de proteção de dados aplicável ao tratamento descrito neste ATD.
"Serviços" significa o serviço de assinatura de documentos da Doc E Sign, conforme descrito nos Termos de Serviço e na documentação em docs.doc-e-sign.com.
2. Escopo e natureza do tratamento
2.1 Objeto
A Doc E Sign trata dados pessoais em nome da Controladora para prestar os Serviços: iniciar cerimônias de assinatura, entregar documentos aos signatários, capturar assinaturas e valores de campos, e devolver os PDFs assinados concluídos.
2.2 Dados pessoais tratados nos termos deste ATD
Este ATD rege as seguintes categorias de dados pessoais para as quais a Controladora atua como controladora dos dados:
| Categoria | Detalhe |
|---|---|
| Endereços de e-mail dos signatários | Fornecidos pela Controladora ao criar um envelope; utilizados para entregar o convite de assinatura |
| Nomes dos signatários | Fornecidos pela Controladora ou inseridos pelo signatário durante a cerimônia; incorporados ao PDF assinado |
| Conteúdo do documento | O PDF enviado pela Controladora; pode conter dados pessoais de signatários ou terceiros |
| Assinaturas e valores de campos | Capturados dos signatários durante a cerimônia; incorporados ao PDF concluído |
| PDFs assinados concluídos | Armazenados no armazenamento seguro da Doc E Sign durante a vigência da assinatura ativa da Controladora |
Nota sobre dados objeto de corresponsabilidade: A Doc E Sign determina de forma independente as finalidades e os meios do tratamento de determinados dados do signatário (endereço IP, user agent, carimbos de data/hora dos eventos e o registro de confirmação de ciência). A Doc E Sign é controladora desses dados, não operadora agindo por instrução da Controladora. Esses dados são regidos pelo Acordo de Corresponsabilidade pelo Tratamento e pelo Aviso de Privacidade, e não por este ATD.
2.3 Categorias de titulares dos dados
Signatários — pessoas físicas que recebem um convite de assinatura da Controladora e são solicitadas a assinar um documento por meio da plataforma Doc E Sign. A Controladora é responsável por determinar a identidade dos signatários e por possuir base legal para compartilhar seus dados de contato com a Doc E Sign.
2.4 Finalidade do tratamento
Realizar a cerimônia de assinatura conforme as instruções da Controladora: entregar o documento aos signatários, capturar assinaturas e outros valores de campos, selar o PDF concluído e armazená-lo na conta da Controladora.
2.5 Duração do tratamento
A Doc E Sign tratará Dados Pessoais nos termos deste ATD durante a vigência da assinatura ativa da Controladora e por até 30 dias após o cancelamento da conta (a janela de download pós-cancelamento), após os quais os PDFs assinados armazenados serão permanentemente excluídos.
3. Instruções da Controladora
3.1 Tratamento mediante instrução
A Doc E Sign tratará Dados Pessoais apenas mediante instruções documentadas da Controladora. As instruções da Controladora estão estabelecidas neste ATD e são exercidas por meio do painel e da API da Doc E Sign (quando disponível). O ato de criar um envelope, especificar signatários e iniciar a cerimônia de assinatura constitui a instrução de tratamento da Controladora.
3.2 Conformidade legal
A Doc E Sign informará a Controladora prontamente caso, na opinião da Doc E Sign, uma instrução infrinja a Legislação Aplicável. A Doc E Sign não é obrigada a seguir uma instrução que a obrigue a violar a Legislação Aplicável.
3.3 Confidencialidade
A Doc E Sign garantirá que todo o pessoal autorizado a tratar Dados Pessoais nos termos deste ATD esteja sujeito a obrigações de confidencialidade apropriadas.
4. Segurança
A Doc E Sign implementará e manterá medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais contra tratamento não autorizado ou ilícito, perda acidental, destruição ou dano. Essas medidas incluem:
| Medida | Implementação |
|---|---|
| Criptografia em repouso | Todos os documentos armazenados e os dados pessoais (PII) do signatário são criptografados em repouso; os campos de PII do signatário utilizam chaves de criptografia de dados (DEKs) individuais por signatário, gerenciadas pelo Supabase Vault |
| Criptografia em trânsito | TLS 1.2 ou superior obrigatório em todas as conexões |
| Controles de acesso | Acesso baseado em funções; políticas de segurança em nível de linha no banco de dados; controles somente-inserção sobre os registros de auditoria |
| Gestão de chaves | DEKs gerenciadas pelo Supabase Vault; as chaves são destruídas mediante solicitações válidas de apagamento |
| Varredura de dependências | GitHub Dependabot e npm audit no pipeline de CI |
| Gestão de vulnerabilidades | Atualizações regulares de dependências; análise de segurança estática (linting) no CI |
| Resposta a incidentes | Processo documentado de resposta a incidentes; notificação de violação de dados conforme a cláusula 7 |
A Doc E Sign revisará regularmente essas medidas para garantir que permaneçam apropriadas ao risco.
5. Suboperadoras
5.1 Autorização
A Controladora autoriza a Doc E Sign a contratar as seguintes suboperadoras para os fins de prestação dos Serviços:
| Suboperadora | Finalidade | Localização | DPA firmado |
|---|---|---|---|
| Supabase | Banco de dados, autenticação, armazenamento de arquivos, gestão de chaves de criptografia | UE (Frankfurt, Alemanha) | Sim |
| Lettermint | Envio dos e-mails de convite de assinatura e dos e-mails com o documento concluído aos signatários | UE (Países Baixos) | Sim — assinado em 28 de junho de 2026, cópia executada arquivada |
| Nuntly | Envio dos e-mails de convite de assinatura e dos e-mails com o documento concluído aos signatários | UE (Irlanda) | Sim — assinado em 14 de julho de 2026, cópia executada arquivada |
A Doc E Sign não contratará suboperadoras adicionais sem fornecer à Controladora aviso prévio. O aviso de novas suboperadoras será dado por meio da atualização deste ATD (com 30 dias de antecedência para adições materiais) e por notificação por e-mail ao endereço registrado da Controladora.
5.2 Obrigações das suboperadoras
A Doc E Sign imporá a cada suboperadora obrigações de proteção de dados equivalentes às estabelecidas neste ATD, em particular quanto à confidencialidade, à segurança e aos direitos dos titulares dos dados. A Doc E Sign permanece responsável perante a Controladora pelos atos e omissões de suas suboperadoras na mesma medida em que seria responsável caso realizasse o tratamento diretamente.
6. Direitos dos titulares dos dados
A Doc E Sign auxiliará a Controladora no cumprimento de suas obrigações de resposta a solicitações de direitos dos titulares dos dados relativas a dados pessoais tratados nos termos deste ATD. Especificamente:
- Quando um signatário contatar a Doc E Sign com uma solicitação de acesso, apagamento, retificação, limitação ou portabilidade relativa a dados controlados pela Controladora (conteúdo do documento, dados de identidade do signatário fornecidos pela Controladora), a Doc E Sign notificará a Controladora em até 5 dias úteis e prestará a assistência que a Controladora razoavelmente exigir.
- A Doc E Sign mantém um mecanismo de busca por e-mail que permite identificar registros de signatários sem descriptografar toda a tabela, possibilitando uma resposta eficiente a solicitações de apagamento e de acesso.
- Para solicitações de apagamento relativas a dados que a Doc E Sign controla por direito próprio (endereço IP, user agent, estrutura dos registros de auditoria), a Doc E Sign responderá diretamente ao titular dos dados. Consulte o Acordo de Corresponsabilidade pelo Tratamento quanto à alocação das responsabilidades de tratamento de direitos.
7. Notificação de violação de dados pessoais
A Doc E Sign notificará a Controladora sem demora indevida — e, em qualquer caso, em até 72 horas após tomar conhecimento — de qualquer violação de dados pessoais que afete Dados Pessoais tratados nos termos deste ATD. A notificação incluirá, na medida em que já for conhecido:
- A natureza da violação, incluindo as categorias e o número aproximado de titulares dos dados e registros afetados
- As consequências prováveis da violação
- As medidas adotadas ou propostas para remediar a violação
A Doc E Sign cooperará com a Controladora na investigação da violação e no cumprimento das próprias obrigações de notificação da Controladora perante autoridades de controle e titulares dos dados.
8. Avaliações de impacto sobre a proteção de dados
A Doc E Sign prestará à Controladora assistência razoável na realização de qualquer avaliação de impacto sobre a proteção de dados (AIPD) exigida pela Legislação Aplicável em conexão com o tratamento nos termos deste ATD.
9. Exclusão e devolução de Dados Pessoais
9.1 No encerramento
No encerramento da conta da Controladora na Doc E Sign, ou mediante solicitação escrita da Controladora:
- Os PDFs assinados concluídos armazenados no armazenamento seguro da Doc E Sign ficarão disponíveis para download por 30 dias após o encerramento da conta e, em seguida, serão permanentemente excluídos
- Quaisquer dados pessoais mantidos pela Doc E Sign exclusivamente na qualidade de operadora serão excluídos ou anonimizados em até 30 dias após o término da janela de download de 30 dias
9.2 Prevalência da retenção
Não obstante a cláusula 9.1, a Doc E Sign poderá reter dados pessoais pelo período e na medida exigidos pela Legislação Aplicável. Em particular:
- A cadeia de auditoria criptográfica (que não contém dados pessoais legíveis — os campos de PII do signatário são criptografados e as DEKs são destruídas mediante apagamento) é retida por 7 anos a partir da data da assinatura, em conformidade com as obrigações da Doc E Sign como controladora e com sua base de interesse legítimo
- Os registros financeiros e de faturamento são retidos por 7 anos a partir da data da transação correspondente, em conformidade com a legislação tributária do Reino Unido
A Doc E Sign confirmará por escrito, mediante solicitação, que a exclusão foi concluída.
10. Auditorias e inspeção
A Controladora pode auditar a conformidade da Doc E Sign com este ATD, sujeito às seguintes condições:
- A Controladora fornece aviso prévio por escrito de pelo menos 30 dias
- As auditorias são realizadas durante o horário comercial normal e no máximo uma vez por ano civil, salvo quando exigido por uma autoridade de controle
- A Controladora arca com todos os custos de qualquer auditoria, salvo se a auditoria revelar uma violação material por parte da Doc E Sign
- A auditoria não exige que a Doc E Sign divulgue informações confidenciais relativas a outros clientes ou terceiros
Como alternativa a uma auditoria direta, a Controladora pode solicitar a documentação de segurança mais recente da Doc E Sign, os resultados de testes de penetração (quando disponíveis), ou certificações de terceiros (quando obtidas).
11. Transferências internacionais de dados
11.1 Dados da UE
Os dados pessoais originados de titulares dos dados na UE são armazenados pela Supabase em infraestrutura na UE (Frankfurt, Alemanha). Quando for necessária qualquer transferência internacional de dados pessoais originados na UE, ela será coberta pelas Cláusulas Contratuais Padrão da UE (Decisão da Comissão 2021/914) ou por uma decisão de adequação aplicável.
11.2 Dados do Reino Unido
Os dados pessoais originados de titulares dos dados no Reino Unido são armazenados na mesma infraestrutura da UE. A UE renovou sua decisão de adequação para o Reino Unido em 19 de dezembro de 2025 (abrangendo tanto o GDPR quanto a Diretiva de Aplicação da Lei) — nenhum mecanismo de transferência é exigido para dados originados no Reino Unido que fluam para países da UE/EEE. Quando dados pessoais originados no Reino Unido forem transferidos para um país fora do Reino Unido e do EEE que não possua decisão de adequação do Reino Unido, a Doc E Sign utilizará um International Data Transfer Agreement (IDTA) ou um UK Addendum às Cláusulas Contratuais Padrão da UE, conforme apropriado. Nota de verificação: decisões de adequação podem ser alteradas ou revogadas; este status deve ser reverificado anualmente ou sempre que uma alteração material nas relações de dados entre o Reino Unido e a UE for divulgada.
11.3 Transferências por suboperadoras
Cada transferência realizada por uma suboperadora é coberta pelo próprio DPA da suboperadora e pelos mecanismos de transferência aplicáveis. O registro de suboperadoras da Doc E Sign (mantido internamente) documenta o mecanismo de transferência aplicável a cada fluxo de dados.
12. Responsabilidades da Controladora
A Controladora é responsável por:
- Possuir base legal, nos termos da Legislação Aplicável, para compartilhar dados pessoais do signatário com a Doc E Sign e para instruir a Doc E Sign a tratá-los
- Garantir que os signatários tenham sido informados de que seus dados serão tratados pela Doc E Sign em conformidade com o Aviso de Privacidade da Doc E Sign
- Garantir que os documentos enviados para assinatura não contenham dados pessoais de terceiros cujos dados a Controladora não esteja autorizada a compartilhar
- Cumprir todas as obrigações impostas às controladoras de dados nos termos da Legislação Aplicável em conexão com o tratamento descrito neste ATD
13. Lei aplicável
Este ATD é regido pela lei da Inglaterra e do País de Gales. As partes se submetem à jurisdição exclusiva dos tribunais da Inglaterra e do País de Gales para qualquer disputa decorrente deste ATD, sem prejuízo da jurisdição de qualquer autoridade de controle.
14. Ordem de prevalência
Em caso de conflito entre este ATD e os Termos de Serviço, este ATD prevalecerá quanto ao objeto do tratamento de dados. Em caso de conflito entre este ATD e as Cláusulas Contratuais Padrão (quando aplicáveis), as Cláusulas Contratuais Padrão prevalecerão.