Partes
- Operador: GetCart, pessoa jurídica controladora do produto (controlador dos meios).
- Controlador: a pessoa jurídica titular da loja na Shopify, Nuvemshop ou Tray onde o GetCart é instalado.
1. Objeto
Este DPA define como o Operador trata dados pessoais em nome do Controlador para entregar o serviço descrito nos Termos: enviar mensagens, negociar pelo agente, gerar cupom, montar link e cobrar a taxa.
2. Instruções do Controlador
O Operador trata os dados apenas conforme as instruções do Controlador expressas nos Termos, na Política de privacidade e na configuração feita pelo Controlador no painel. Se uma instrução do Controlador infringir a LGPD, o Operador avisa imediatamente.
Tratamento além das instruções — por exemplo, para treinamento de modelo — só acontece com consentimento separado do Controlador.
3. Finalidade e natureza do tratamento
Finalidade: recuperar carrinhos abandonados pelo WhatsApp. Natureza: leitura dos dados do carrinho, envio de mensagem, negociação, geração de cupom único, atribuição do pedido pago ao GetCart e cobrança.
4. Categorias de dados e titulares
Dados: nome, telefone, itens do carrinho, valor do carrinho, data da última visita, conteúdo das mensagens trocadas com a loja. Titulares: clientes finais da loja do Controlador.
5. Base legal
O tratamento é feito com base no legítimo interesse do Controlador (art. 7º, IX, da LGPD) para a primeira mensagem enviada por template aprovado, e no consentimento do titular (art. 7º, I) para a conversa aberta com o agente e para qualquer desconto negociado.
6. Medidas de segurança
Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256). Controle de acesso por papel (RBAC) com registro em log. Segregação entre empresas (cada loja vê só os seus dados). Backup criptografado e testes de restauração periódicos.
Relatório de segurança resumido fica disponível sob pedido a dpo@getcart.ai.
7. Sub-operadores
O Operador pode contratar sub-operadores para serviços auxiliares (Meta para WhatsApp, provedor da loja, gateway de pagamento, infraestrutura em nuvem). A lista atual fica em getcart.ai/legal/sub-operadores e é atualizada com pelo menos 30 dias de aviso antes de qualquer mudança.
8. Direitos dos titulares
O Operador ajuda o Controlador a responder aos direitos do art. 18 da LGPD em até 5 dias úteis após receber o pedido.
9. Incidentes de segurança
Em caso de incidente que cause risco ou dano aos titulares, o Operador avisa o Controlador em até 24 horas e à ANPD em até 2 dias úteis (art. 48 da LGPD), com informação sobre o que aconteceu, quais dados foram afetados e o que foi feito para mitigar.
10. Transferência internacional
Dados podem ser tratados em servidores fora do Brasil quando o Controlador escolher uma região diferente em /billing/payment-method, sob as mesmas garantias deste DPA e conforme o art. 33–36 da LGPD.
11. Vigência e rescisão
Este DPA vale enquanto o Controlador usar o GetCart. Ao encerrar, o Operador apaga ou devolve os dados pessoais tratados em até 30 dias, salvo o que a lei exigir manter por mais tempo.