TAGGOR — ACORDO DE TRATAMENTO DE DADOS (DPA)

Versão: 1.0 — Lançamento comercial
Início de vigência: data em que forem aceitos os Termos de Uso e Serviço que incorporam este DPA, ou data de vigência de instrumento específico que o incorpore.
Prestadora: Haftware Sistemas de Internet Ltda., CNPJ 31.659.341/0001-05, Rua Silveira Martins, nº 810, Sala 504, Centro, Novo Hamburgo, Rio Grande do Sul, CEP 93510-310, Brasil (“Haftware” ou “Taggor”).
Privacidade: privacidade@taggor.dev. Comunicações contratuais: contato@taggor.dev.

Este Acordo de Tratamento de Dados (“DPA”) integra os Termos de Uso e Serviço do Taggor (“Termos”) celebrados entre a Haftware e o cliente identificado na respectiva conta, contratação ou instrumento específico (“Cliente”). O aceite dos Termos também constitui aceite deste DPA padrão, sem exigência de segundo clique, assinatura ou confirmação facultativa em Configurações. Um DPA específico celebrado separadamente prevalecerá quanto ao tratamento nele abrangido. Este DPA aplica-se sempre que a Haftware tratar Dados Pessoais do Cliente por sua conta e ordem. O Anexo A descreve o tratamento; o Anexo B estabelece medidas de segurança; o Anexo C contém regras complementares para legislações americanas; o Anexo D trata de transferências internacionais.

1. Definições, partes e papéis

1.1 Definições. “Legislação Aplicável de Proteção de Dados” significa as leis aplicáveis ao tratamento concreto, inclusive, conforme o caso, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”), o Regulamento Geral de Proteção de Dados da União Europeia (“GDPR/UE”), o UK GDPR e as leis estaduais americanas de privacidade, incluindo a California Consumer Privacy Act, conforme alterada (“CCPA”). “Dados Pessoais do Cliente” são os dados pessoais tratados pela Haftware em nome do Cliente por meio de componentes, coleções, envios, avisos relacionados e instruções pertinentes. “Titular” é a pessoa natural a quem esses dados se referem. “Suboperador” é o terceiro contratado pela Haftware para tratar Dados Pessoais do Cliente por conta dela. “Incidente de Segurança” é violação de segurança confirmada que resulte em destruição, perda, alteração, divulgação ou acesso não autorizado, de modo acidental ou ilícito, a Dados Pessoais do Cliente. Os termos controlador, operador, business, service provider, contractor, sale e sharing têm o sentido previsto na legislação aplicável.

1.2 Partes. O Cliente é a pessoa física ou jurídica efetivamente vinculada aos Termos, não necessariamente o titular técnico do workspace quando este atuar em nome de empresa. Quem aceitar em nome de pessoa jurídica declara possuir poderes para vinculá-la. Os dados de identificação e contato do Cliente serão os informados na conta, checkout, registros da assinatura ou instrumento firmado. O Cliente deverá mantê-los corretos e fornecer os dados necessários para completar instrumentos de transferência internacional quando exigidos.

1.3 Papéis. Em relação aos Dados Pessoais do Cliente, o Cliente geralmente atua como controlador e a Haftware como operadora, conforme as atividades reais e a legislação incidente. Se o Cliente atuar como operador de um controlador terceiro, como agência contratada por titular de website, a Haftware será sua suboperadora. O Cliente declara ter autorização de seu controlador para contratar a Haftware e transmitir as instruções previstas neste DPA. A Haftware não se torna parte do contrato entre o Cliente e os clientes deste.

1.4 Tratamentos próprios da Haftware. A Haftware pode atuar como controladora independente dos dados de conta, identidade, suporte, cobrança de suas assinaturas, prevenção a fraudes, administração da plataforma e outros tratamentos próprios descritos em sua Política de Privacidade. Esses tratamentos não ficam sujeitos às instruções do Cliente previstas neste DPA. A função jurídica de cada fornecedor depende do tratamento efetivamente executado: um processador de pagamentos não passa a ser suboperador dos dados dos visitantes apenas por cobrar a assinatura.

2. Objeto, duração e instruções

2.1 Objeto. A Haftware trata Dados Pessoais do Cliente para compilar, hospedar, disponibilizar, proteger e dar suporte a componentes; receber e armazenar informações coletadas por eles; apresentar, exportar, notificar sobre e excluir envios; e executar ações relacionadas escolhidas pelo Cliente no Serviço. Objeto, tipos de dados, titulares, finalidades e duração são descritos no Anexo A.

2.2 Instruções documentadas. O Cliente instrui a Haftware pelos Termos, por este DPA, pelas configurações do Serviço e por solicitações lícitas enviadas por canais ou interfaces autorizados. A Haftware tratará os Dados Pessoais do Cliente somente conforme essas instruções documentadas, salvo exigência legal. Quando exigido pelo art. 28 do GDPR/UE, informará antes sobre tratamento imposto por lei, salvo vedação legal por motivos relevantes de interesse público, e alertará o Cliente caso entenda que instrução viola as normas europeias aplicáveis, exceto quando legalmente impedida.

2.3 Operações permitidas. A Haftware poderá usar os Dados Pessoais do Cliente apenas para prestar as atividades específicas da seção 2.1, manter disponibilidade e segurança, prevenir e apurar fraude ou abuso do Serviço, prestar assistência, cumprir obrigações legais e realizar outros tratamentos expressamente permitidos às operadoras ou service providers pela lei aplicável. Não venderá esses dados, não os compartilhará para publicidade comportamental entre contextos e não utilizará o conteúdo dos envios para treinar modelos próprios ou de terceiros de IA generativa. Acesso para segurança e combate a abuso deve ser proporcional e reservado a pessoal com necessidade legítima.

2.4 Responsabilidade do Cliente. O Cliente define os dados solicitados, respectivas hipóteses legais e consentimentos quando necessários, informações aos titulares, finalidades, formulários, destinatários, prazos de retenção e atendimento dos direitos dos titulares. Compete-lhe obter autorizações, dar instruções legais e não submeter dados proibidos pelos Termos ou pela legislação. Informações comuns de contato, telefone e identificadores obtidos legitimamente, inclusive CPF e RG, não são proibidos genericamente; sua licitude permanece sob responsabilidade do Cliente. Dados de autenticação de cartões, informações financeiras vedadas, cópias de documentos não autorizadas e outras categorias restritas seguem os Termos e a lei. Funcionalidades de consentimento e classificações facultativas de dados não comprovam, por si só, conformidade legal.

3. Confidencialidade e acessos

A Haftware assegurará que as pessoas por ela autorizadas a acessar Dados Pessoais do Cliente estejam submetidas a deveres adequados de confidencialidade, legais ou contratuais, recebam acesso apenas na medida necessária e observem controles adequados. O acesso poderá ocorrer quando razoavelmente necessário ao suporte solicitado, à manutenção e proteção do Serviço, à investigação de uso indevido ou ao cumprimento da lei, sendo vedado o emprego para finalidades não relacionadas. O dever de confidencialidade subsistirá após o encerramento enquanto as informações mantiverem tal caráter, ressalvadas divulgações legítimas obrigatórias.

4. Segurança

4.1 Medidas. A Haftware implementará e manterá medidas técnicas e organizacionais razoáveis e adequadas à natureza, ao escopo, ao contexto e aos riscos do tratamento, inclusive as descritas no Anexo B, considerando o estado da técnica, custos de implantação e riscos aos titulares. Poderá atualizar medidas sem reduzir materialmente o nível geral de proteção. Nenhuma medida constitui garantia absoluta de prevenção de incidentes.

4.2 Responsabilidades compartilhadas. O Cliente responde pela segurança de seus websites, scripts e componentes, agentes de IA e integrações, concessão de acessos e credenciais, configuração da coleta e cópias independentes de dados necessários. A Haftware permanece responsável pelas medidas sob seu controle. Verificações automáticas, compilação, Shadow DOM e mecanismos de tratamento de erros não constituem auditoria ou certificação de segurança do código nem dispensam a validação dos componentes pelo Cliente.

5. Suboperadores

5.1 Autorização geral. O Cliente concede autorização geral, por escrito, para contratação de Suboperadores necessários à execução deste DPA. A lista atual, com fornecedores relevantes, finalidade e informações disponíveis sobre localização, permanecerá acessível na Lista de Suboperadores vinculada à seção de Documentos Jurídicos do Serviço (/legal/subprocessors); a lista oficial deverá estar publicamente acessível antes de este DPA ser apresentado para aceite. A qualificação depende do tratamento: fornecedores de infraestrutura, banco e e-mail de envios podem tratar Dados Pessoais do Cliente; provedores usados apenas para identidade ou cobrança de assinaturas podem tratar dados controlados pela própria Haftware.

5.2 Alterações e objeções. A Haftware comunicará ao Cliente, no e-mail da conta ou outro canal eficaz cadastrado, com ao menos 30 dias de antecedência, a inclusão ou substituição de Suboperador que trate Dados Pessoais do Cliente, salvo necessidade legal ou de segurança urgente que impossibilite aviso prévio; nesse caso, avisará assim que razoavelmente viável. O Cliente poderá objetar por escrito, em até 15 dias do aviso, mediante fundamento razoável e documentado de proteção de dados. As partes discutirão alternativa comercialmente razoável. Se inviável, o Cliente poderá cessar o tratamento afetado ou encerrar o serviço pago afetado, com eventual restituição dos valores antecipados não utilizados atribuíveis a ele quando exigida por lei ou acordada, observadas as seções 10 e 11. Na extensão legalmente admitida, o silêncio após o prazo corresponde à ausência de objeção.

5.3 Obrigações dos Suboperadores. A Haftware celebrará instrumentos juridicamente adequados que obriguem cada Suboperador a proteger os Dados Pessoais do Cliente de modo substancialmente equivalente às obrigações pertinentes deste DPA, inclusive confidencialidade, segurança, exclusão, assistência e transferências posteriores. A Haftware permanece responsável perante o Cliente pelo cumprimento dos deveres dos Suboperadores na forma da lei. A autorização do Cliente não substitui a obrigação da Haftware de obter fundamento válido para transferências aos seus próprios fornecedores estrangeiros.

6. Solicitações dos titulares

6.1 Atuação principal do Cliente. O Cliente é o principal responsável por receber, verificar e responder a solicitações dos titulares relativas aos Dados Pessoais do Cliente. Na extensão de seus controles, a Haftware fornecerá recursos disponíveis de autoatendimento e assistência razoável para o cumprimento das obrigações legais do Cliente, considerando a natureza do tratamento e as informações de que disponha.

6.2 Pedidos diretos. Se a Haftware receber pedido aparentemente relacionado a Dados Pessoais do Cliente, comunicará prontamente ao Cliente ou encaminhará o titular a ele, quando identificável e permitido, sem decidir por conta própria o mérito do pedido, salvo exigência legal. A Haftware não assume obrigação de criar novas ferramentas de busca não incluídas no Serviço, mas prestará a assistência exigida por lei; assistência extraordinária poderá estar sujeita a custos razoáveis previamente comunicados, quando lícitos.

7. Incidentes de segurança

7.1 Comunicação. A Haftware comunicará ao Cliente sem demora injustificada após tomar conhecimento de Incidente de Segurança envolvendo Dados Pessoais do Cliente, utilizando o contato de segurança ou o titular da conta. A comunicação inicial poderá ser preliminar e conterá as informações razoavelmente disponíveis sobre a natureza do incidente, dados afetados, consequências prováveis e medidas tomadas ou propostas. Informações complementares relevantes serão fornecidas à medida que estiverem disponíveis, com cooperação conforme a legislação.

7.2 Comunicações legais. Em regra, o Cliente, como controlador, avalia a obrigação de comunicar titulares e autoridades, recebendo assistência legalmente exigida da Haftware. Permanecem possíveis notificações diretamente impostas por lei à Haftware. Nenhuma parte precisa afirmar fatos ainda não verificados nem revelar detalhes sensíveis de segurança sem necessidade. A comunicação contratual não representa admissão de responsabilidade.

8. Auxílio e comprovação de conformidade

A Haftware auxiliará razoavelmente o Cliente, conforme a natureza do tratamento e as informações disponíveis, em avaliações de impacto, consultas prévias a autoridades e solicitações documentadas de conformidade legalmente exigidas. Disponibilizará informações razoavelmente necessárias para demonstrar o cumprimento das obrigações de operadora previstas neste DPA, preservando confidencialidade, segurança e dados de outros clientes.

9. Auditorias e verificação

9.1 Revisão ordinária. O Cliente poderá solicitar documentação pertinente e questionário de segurança razoável. Quando a legislação exigir auditoria, o Cliente ou auditor independente sujeito a confidencialidade poderá verificar a conformidade, como regra, no máximo uma vez a cada 12 meses, mediante aviso prévio de 30 dias, em horário comercial e com escopo e protocolo de segurança razoáveis. Documentos ou revisão remota terão preferência; visitas serão realizadas quando impostas por lei ou quando divergência material comprovada não puder ser resolvida de modo razoável à distância.

9.2 Exceções. Verificação extraordinária e proporcional será admitida por exigência de autoridade, após Incidente de Segurança relevante ou quando a legislação garantir direito irrenunciável de monitoramento ou correção, inclusive sob CCPA quando aplicável. A auditoria não poderá expor dados de terceiros, segredos comerciais, segurança ou continuidade do Serviço. O Cliente arcará com seus próprios custos e, onde lícito e previamente acordado, com custos incrementais razoáveis da Haftware. Não se restringem poderes de autoridades nem direitos irrenunciáveis.

10. Retenção, devolução e exclusão

10.1 Durante a contratação. O Cliente escolhe as configurações disponíveis de retenção e exclusão, respeitados os limites do plano, e é responsável pelos prazos legais adequados. A Haftware aplicará as restrições do plano e as instruções documentadas de exclusão, ressalvada retenção lícita. O Cliente deverá exportar o que precisar antes de reduzir plano, cancelar ou excluir o workspace; o Serviço não é arquivo permanente.

10.2 Após encerramento. Quando terminar o Serviço afetado, a Haftware, conforme escolha do Cliente e na medida viável e legalmente exigida, oferecerá oportunidade razoável de exportar Dados Pessoais do Cliente disponíveis e então os excluirá, ou os devolverá e excluirá as cópias existentes em prazo comercialmente razoável de encerramento, observado o procedimento de exclusão publicizado e a lei. A exclusão poderá ser irreversível. Havendo dever legal de exclusão imediata, agirá sem demora injustificada em conformidade com a lei.

10.3 Retenção residual limitada. Cópias de segurança podem reter dados até o término do ciclo normal de rotação protegida, período em que o acesso será restrito e não haverá tratamento rotineiro. Registros limitados de segurança, auditoria, prevenção a abuso, defesa judicial, contabilidade ou comprovação de exclusão poderão permanecer somente quando a lei permitir ou exigir e segundo prazos documentados. Dados restaurados anteriormente excluídos deverão voltar a estar sujeitos às medidas de exclusão. Nenhum período específico de eliminação em backup fica garantido sem verificação e publicação no cronograma oficial de retenção.

11. Transferências internacionais

As transferências de Dados Pessoais do Cliente observarão os requisitos específicos da lei aplicável a cada fluxo. O Cliente autoriza os locais de tratamento e Suboperadores informados na Lista de Suboperadores, condicionada tal autorização aos mecanismos legais de transferência e a este DPA. O aceite deste DPA pelo Cliente não celebra, por si só, as cláusulas de transferência exigidas entre a Haftware e um fornecedor de infraestrutura situado nos EUA; a Haftware deverá assegurar as salvaguardas necessárias nos contratos com os destinatários efetivos. O Anexo D aplica-se quando presentes seus pressupostos. Se determinado instrumento exigido não puder ser validamente adotado, o tratamento afetado não deverá ocorrer até regularização.

12. Prazo, precedência e responsabilidade

12.1 Prazo. Este DPA vigora enquanto a Haftware tratar Dados Pessoais do Cliente, inclusive durante retenção ou exclusão residual lícita. Deveres destinados por sua natureza a sobreviver ao encerramento subsistirão no período legalmente necessário.

12.2 Precedência. Este DPA prevalece sobre os Termos apenas quanto ao tratamento dos Dados Pessoais do Cliente por conta e ordem deste. Instrumentos obrigatórios de transferência internacional prevalecem sobre cláusulas contratuais incompatíveis na transferência a que se aplicam. DPA específico celebrado entre as partes prevalece sobre este DPA padrão na matéria abrangida. A Política de Privacidade disciplina os avisos sobre os tratamentos próprios da Haftware, observada a legislação.

12.3 Responsabilidade. Entre Cliente e Haftware, as exclusões de garantia, o teto agregado de responsabilidade e as cláusulas de indenização por terceiros dos Termos aplicam-se às reclamações relativas a este DPA na máxima extensão legalmente permitida. Nenhuma disposição reduz direitos de titulares ou autoridades, afasta obrigações legais próprias das partes nem limita responsabilidade quando isso for proibido, inclusive nas hipóteses em que o art. 82 do GDPR ou o art. 42 da LGPD estabeleçam responsabilidade inderrogável. O Cliente responde por decisões ou instruções ilícitas sob seu controle; a Haftware responde por atos e omissões próprios quando a lei assim determinar. Nenhuma indenização obriga uma parte a ressarcir a outra pelo ilícito próprio intransferível desta última.

12.4 Lei e foro. As cláusulas de lei aplicável e foro dos Termos regem disputas contratuais entre as partes nos limites legais. Permanecem inalterados leis obrigatórias de proteção de dados, competência de autoridades e instrumentos específicos de transferências internacionais.

13. Alterações e aceite eletrônico

A versão deste DPA apresentada ou disponibilizada antes do aceite dos Termos é incorporada por referência e se torna vinculante com esse aceite. A Haftware poderá guardar prova da versão, data, conta/workspace e usuário aceitante. Um reconhecimento facultativo em Configurações é apenas evidência adicional, não condição de eficácia do DPA padrão. Alterações relevantes serão informadas conforme os Termos e a lei; quando houver exigência de novo aceite afirmativo ou instrumento específico, as alterações não produzirão efeito para o tratamento afetado sem esse requisito. Nova versão não elimina retroativamente deveres anteriores.

14. Idioma e comunicações

A Haftware poderá oferecer versões oficiais em inglês e português brasileiro. A versão oficial efetivamente apresentada e aceita expressamente regerá a contratação, sem afastar normas obrigatórias nem exigências de idioma autêntico de cláusulas-padrão internacionais. Se houver contrato específico com outra disciplina linguística, prevalecerá ele no respectivo escopo. Avisos deste DPA poderão ser enviados ao e-mail cadastrado; pedidos de privacidade devem ser encaminhados a privacidade@taggor.dev e notificações contratuais formais a contato@taggor.dev.

Anexo A — Descrição do tratamento

Anexo B — Medidas técnicas e organizacionais

A Haftware manterá controles proporcionais à sensibilidade e aos riscos dos Dados Pessoais do Cliente, incluindo: (1) segregação de acesso por workspace; (2) autorização por papéis, privilégio mínimo e administração controlada; (3) proteção em trânsito nas interfaces autenticadas e conexões de banco; (4) proteção adequada de segredos de autenticação e credenciais; (5) minimização e mascaramento de dados sensíveis em logs operacionais quando viável; (6) registro e apuração de atividades administrativas relevantes à segurança; (7) controles de compilação e publicação, sem apresentá-los como auditorias integrais de código; (8) gestão de vulnerabilidades, atualizações e mitigação de abuso proporcionais ao Serviço; (9) cópias de segurança, restauração e exclusão protegidas conforme o ambiente de produção implantado; (10) obrigações de confidencialidade e gestão de acesso de colaboradores e Suboperadores; (11) procedimento de tratamento de incidentes que permita as notificações exigidas pela seção 7. Descrição técnica detalhada publicada separadamente só integra o contrato quando expressamente incorporada. Os compromissos publicados devem ser confrontados com o ambiente real de produção antes da aceitação de Dados Pessoais do Cliente.

Anexo C — Regras para leis estaduais americanas (quando aplicáveis)

C.1 Finalidades e papéis. Quando a CCPA/CPRA ou lei estadual semelhante se aplicar ao compartilhamento de informações pessoais do Cliente com a Haftware, as finalidades empresariais limitadas e especificadas são: hospedar e entregar componentes escolhidos pelo Cliente; receber, transmitir, guardar, apresentar, exportar e excluir envios; enviar avisos configurados; manter funções de conta/workspace e segurança, detectar incidentes, prevenir abuso, corrigir falhas e realizar operações internas legalmente permitidas diretamente ligadas a esses serviços. O Cliente fornece os dados apenas para essas finalidades. Este Anexo se aplica a dados tratados como service provider ou processor, não transformando automaticamente dados próprios de conta e cobrança em dados sob instrução do Cliente.

C.2 Proibições. A Haftware não poderá: (a) vender ou compartilhar tais dados na acepção da CCPA; (b) retê-los, utilizá-los ou divulgá-los fora das finalidades especificadas ou de outras hipóteses expressamente permitidas; (c) utilizá-los para finalidades comerciais alheias ou fora da relação empresarial direta; ou (d) combiná-los com informações de outros clientes ou coletadas em interações próprias com consumidores, salvo permissão legal expressa e observadas as restrições aplicáveis. É vedado utilizar conteúdo dos envios para publicidade comportamental entre contextos ou treinamento de modelos.

C.3 Proteção e colaboração. A Haftware oferecerá o nível de proteção exigido das prestadoras ou contratadas pela lei incidente, adotará segurança razoável, auxiliará em direitos dos consumidores aplicáveis e exigirá restrições equivalentes dos subcontratados relevantes. O Cliente terá direito, mediante aviso, de adotar medidas razoáveis e adequadas de verificação de conformidade e de cessação e correção de tratamento não autorizado, respeitada a proteção legítima da segurança. A Haftware notificará o Cliente caso conclua que não pode mais cumprir suas obrigações legais aplicáveis. O Cliente poderá determinar correções razoáveis e, quando legalmente permitido e necessário, suspender a transferência afetada ou encerrar o tratamento atingido.

C.4 Outras leis estaduais. Se outra lei estadual aplicável exigir previsões adicionais de contrato com operador, relativas a instruções, confidencialidade, assistência, segurança, Suboperadores, avaliações ou exclusão, as seções 1 a 13 serão interpretadas e cumpridas em conformidade com tais exigências, sem pretensão de afastar deveres irrenunciáveis.

Anexo D — Transferências internacionais

D.1 Brasil / LGPD. Em transferências internacionais a partir do Brasil abrangidas pela LGPD, o exportador e o importador efetivos deverão adotar mecanismo válido do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, conforme alterações. Quando forem escolhidas as cláusulas-padrão da ANPD, seu texto oficial integral e inalterado e os dados das partes e da transferência deverão integrar o instrumento celebrado entre exportador e importador reais. Este DPA não substitui as cláusulas que a Haftware deva celebrar diretamente com um Suboperador americano. Transferências a destinos cobertos por decisão de adequação vigente da ANPD poderão se apoiar nela no respectivo âmbito. Cliente e Haftware cooperarão quanto às informações necessárias à transparência, sem transferência contratual das obrigações próprias do controlador.

D.2 União Europeia/EEE para o Brasil. Na preparação deste DPA, a Decisão de Execução (UE) 2026/179, de 26 de janeiro de 2026, reconhece a adequação do Brasil para as transferências abrangidas da UE/EEE a controladores e operadores brasileiros sujeitos à LGPD. Assim, as cláusulas contratuais padrão europeias não são necessárias apenas para essa etapa adequadamente coberta da transferência à Haftware no Brasil. Isso não afasta deveres do art. 28 do GDPR nem salvaguardas para transferências posteriores do Brasil a outros países. Caso a adequação deixe de abranger determinado fluxo, as partes deverão implementar mecanismo válido, com módulo pertinente das SCCs europeias sem alteração e apêndices completos se escolhido esse mecanismo, antes de prosseguir com a transferência afetada.

D.3 Transferências restritas do Reino Unido. A decisão europeia de adequação não estabelece adequação do Reino Unido para o Brasil. Quando uma transferência restrita sob o UK GDPR exigir garantias, as partes deverão celebrar um International Data Transfer Agreement (IDTA) válido ou o UK Addendum do ICO às SCCs europeias, com tabelas completas, informações da transferência e avaliação de risco eventualmente exigida, antes do fluxo afetado. O aceite deste DPA padrão não equivale à celebração de um instrumento britânico incompleto. Cliente britânico que necessite desse mecanismo deverá contatar privacidade@taggor.dev antes de transferir os dados pessoais restritos.

D.4 Outros regimes e transferências posteriores. Exigências suíças ou de outras jurisdições serão observadas quando incidentes. A Haftware não tratará a mera publicação da Lista de Suboperadores ou a autorização geral do Cliente como substitutas de mecanismos legalmente exigidos para transferências a seus próprios fornecedores. Fluxos que não atendam a requisitos obrigatórios deverão ser suspensos ou restringidos, sem alegação meramente contratual de conformidade.

Referências normativas oficiais (informativas): LGPD; Resolução ANPD 19/2024; Decisão UE de Adequação do Brasil 2026/179; GDPR; SCCs europeias — Decisão 2021/914; orientação ICO sobre IDTA/UK Addendum; regulamento CCPA, §7051.