Acordo de processamento para a relação Operador (Integrador SaaS) → Sub-operadora (SignDocs Brasil).
Versão 1.0 — Última atualização: 8 de Setembro de 2026 · Central de Confiança
Este Acordo de Processamento de Dados Pessoais na Modalidade Sub-operador ("DPA B2B") é celebrado entre:
OPERADOR: [RAZÃO SOCIAL DO INTEGRADOR], pessoa jurídica inscrita no CNPJ/MF sob o nº [●], na qualidade de operador dos dados pessoais, conforme definido no Contrato de Licenciamento de Plataforma para Integradores SaaS ("Contrato Principal"); e
SUB-OPERADORA: WE SOLUÇÕES EM ASSINATURAS TECNOLÓGICAS INOVA SIMPLES (I.S.), pessoa jurídica inscrita no CNPJ/MF sob o nº 51.846.614/0001-20, que opera a plataforma "SignDocs Brasil", na qualidade de sub-operadora dos dados pessoais.
Este DPA B2B integra e complementa o Contrato Principal, regulando exclusivamente o tratamento de dados pessoais na cadeia Controlador (Cliente Final do Operador) → Operador → Sub-operadora.
Referência normativa: LGPD (Lei 13.709/2018), Res. CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte), Res. CD/ANPD nº 15/2024 (comunicação de incidentes), Res. CD/ANPD nº 18/2024 (Encarregado), Res. CD/ANPD nº 19/2024 (transferências internacionais).
1.1. Aplicam-se a este DPA B2B as definições do Contrato Principal. Complementarmente:
"Controlador": o Cliente Final do Operador, que define a finalidade e os meios essenciais do tratamento de dados pessoais dos Signatários. A Sub-operadora não tem relação contratual direta com o Controlador.
"Dados do Processo de Assinatura": os dados pessoais transmitidos pelo Operador à Sub-operadora via API para processamento de assinaturas, incluindo: nome do Signatário, CPF, e-mail, endereço IP de acesso, geolocalização (quando coletada pelo SDK), User-Agent, hash do documento, metadados de certificado digital (quando aplicável) e dados biométricos faciais (quando contratado como add-on).
"Dados Sensíveis": dados pessoais sensíveis nos termos do art. 5º, II, da LGPD, incluindo dados biométricos (selfie facial, liveness) quando a biometria for utilizada como método de verificação de identidade.
"Instruções Documentadas": as instruções de tratamento transmitidas pelo Operador à Sub-operadora, materializadas: (a) nos parâmetros de cada chamada de API (endpoint, payload, configuração de assinatura); (b) nas configurações do painel do Operador; e (c) em comunicações formais por escrito.
"Sub-sub-operador": terceiro contratado pela Sub-operadora para auxiliar no tratamento de dados pessoais, conforme lista publicada em signdocs.com.br/sub-operadores.html.
2.1. A Sub-operadora tratará os Dados do Processo de Assinatura exclusivamente para as seguintes finalidades: (a) processamento e registro de assinaturas eletrônicas e/ou digitais nos termos da MP 2.200-2/2001 e da Lei 14.063/2020; (b) geração de trilha de auditoria (log de eventos) e comprovante de assinatura; (c) envio de notificações aos Signatários (e-mail, SMS ou WhatsApp, conforme configuração do Operador); (d) armazenamento temporário dos documentos e evidências durante o ciclo de vida da transação, conforme Tabela de Retenção; e (e) verificação de identidade do Signatário, quando configurada pelo Operador (SERPRO/DataValid, biometria facial).
2.2. A Sub-operadora não tratará os Dados do Processo de Assinatura para qualquer outra finalidade, incluindo, sem limitação: marketing próprio, perfilamento (profiling), enriquecimento de base, treinamento de modelos de inteligência artificial ou comercialização a terceiros.
2.3. Os tipos de titulares afetados são: Signatários e, quando aplicável, representantes legais dos Controladores e do Operador que interajam com a Plataforma.
3.1. Tratar os dados pessoais exclusivamente conforme as Instruções Documentadas, não excedendo a finalidade descrita no §2º.
3.2. Manter registro das atividades de tratamento realizadas em nome do Operador (art. 37, LGPD).
3.3. Implementar e manter medidas técnicas e organizacionais de segurança adequadas à natureza dos dados tratados (art. 46, LGPD), incluindo, no mínimo: (a) criptografia em trânsito (TLS 1.2+) e em repouso (AES-256); (b) controle de acesso baseado em papéis (RBAC); (c) logs de acesso e auditoria; (d) testes de penetração periódicos; (e) política de gestão de vulnerabilidades; (f) autenticação multifator (TOTP) para acesso administrativo; e (g) backup com replicação geográfica.
3.4. Garantir que seus colaboradores, prestadores de serviço e Sub-sub-operadores estejam vinculados por obrigação de sigilo compatível com a LGPD.
3.5. Notificar o Operador em até 24 (vinte e quatro) horas sobre: (a) qualquer incidente de segurança envolvendo Dados do Processo de Assinatura (art. 48, LGPD; Res. CD/ANPD nº 15/2024); (b) qualquer solicitação recebida diretamente de titular de dados, Controlador ou autoridade pública, sendo que a Sub-operadora não responderá diretamente ao titular ou Controlador sem orientação do Operador, salvo quando compelida por lei; (c) qualquer requisição vinculante de autoridade judicial ou administrativa que obrigue a Sub-operadora a tratar dados em desconformidade com as Instruções Documentadas.
3.6. Auxiliar o Operador, na medida do razoável e mediante remuneração quando o volume de trabalho exceder o suporte padrão, no atendimento a: (a) requisições de direitos dos titulares (arts. 17-22, LGPD), incluindo acesso, retificação, eliminação e portabilidade; (b) elaboração de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD), quando solicitados pelo Operador ou exigidos pela ANPD; e (c) consultas prévias à ANPD (art. 36, LGPD).
3.7. Ao término do Contrato Principal, a Sub-operadora: (a) cessará imediatamente o tratamento ativo de novos dados pessoais; (b) disponibilizará ao Operador, pelo prazo de 30 (trinta) dias, acesso de leitura para extração de trilhas de auditoria e comprovantes; (c) após o prazo do item (b), os dados serão retidos e eliminados conforme a Tabela de Retenção vigente; e (d) emitirá certificado de eliminação quando solicitado pelo Operador.
4.1. Transmitir à Sub-operadora, via API, apenas os dados pessoais estritamente necessários à finalidade de assinatura (princípio da minimização, art. 6º, III, LGPD), garantindo que os dados são acurados e atualizados.
4.2. Garantir que cada Controlador (Cliente Final) tenha definido base legal válida para o tratamento (art. 7º, LGPD) e que os Signatários tenham sido adequadamente informados nos termos do art. 9º da LGPD, incluindo a identificação da Sub-operadora quando legalmente exigível.
4.3. Manter DPA próprio com cada Controlador (Cliente Final), disciplinando a relação controlador-operador, e garantir que tal DPA autorize (de forma geral ou específica) a utilização de sub-operadores para o tratamento dos dados pessoais.
4.4. Não transmitir à Sub-operadora dados pessoais sensíveis (art. 5º, II, LGPD) além dos estritamente necessários para o add-on de biometria facial, quando contratado e configurado. Dados pessoais sensíveis referentes a origem racial, convicção religiosa, opinião política, dados referentes à saúde ou à vida sexual, ou dados genéticos, não deverão ser incluídos nos campos de metadados das chamadas de API, salvo quando compuserem o conteúdo do documento PDF submetido para assinatura (caso em que a Sub-operadora os trata como carga opaca, sem parsing).
4.5. Ser o ponto único de contato para requisições de direitos dos titulares e notificações de incidentes na cadeia descendente (Controlador → Operador → Sub-operadora), não direcionando titulares ou Controladores diretamente à Sub-operadora sem sua anuência.
4.6. Declarar e garantir que cada transmissão de dados pessoais à Sub-operadora está amparada por base legal válida, definida pelo respectivo Controlador. O Operador indenizará a Sub-operadora por quaisquer danos, perdas, custos ou sanções decorrentes de tratamento realizado pela Sub-operadora em conformidade com as Instruções Documentadas, quando tais danos resultarem de: (a) ausência de base legal válida por parte do Controlador; (b) informações inexatas ou desatualizadas transmitidas pelo Operador; ou (c) descumprimento, pelo Operador, de suas obrigações perante o Controlador.
5.1. A Sub-operadora processa e armazena dados pessoais em infraestrutura localizada conforme a lista de Sub-sub-operadores (signdocs.com.br/sub-operadores.html). Quando o processamento envolver transferência internacional, aplicam-se as salvaguardas previstas nos arts. 33 a 36 da LGPD e na Res. CD/ANPD nº 19/2024.
5.2. A Sub-operadora utilizará como mecanismo de transferência: (a) Cláusulas-Padrão Contratuais da ANPD (Resolução nº 19/2024, Anexo II), já firmadas com seus Sub-sub-operadores que processam dados fora do Brasil; ou (b) outro mecanismo reconhecido pela ANPD no art. 33 da LGPD. As Cláusulas-Padrão aplicáveis estão disponíveis como anexo ao DPA da Sub-operadora na Central de Confiança.
5.3. O Operador reconhece e autoriza as transferências internacionais decorrentes do uso dos Sub-sub-operadores listados na data de assinatura deste DPA B2B.
6.1. O Operador autoriza a Sub-operadora a engajar os Sub-sub-operadores listados em signdocs.com.br/sub-operadores.html na data de assinatura deste DPA B2B (autorização geral, nos termos do art. 39 da LGPD).
6.2. A Sub-operadora notificará o Operador sobre a inclusão ou substituição de Sub-sub-operadores com antecedência mínima de 15 (quinze) dias, por e-mail ao contato designado no Contrato Principal. O Operador poderá se opor à alteração dentro de 15 (quinze) dias da notificação, apresentando razões fundamentadas. Caso as Partes não alcancem acordo em 30 (trinta) dias da oposição, o Operador poderá rescindir o Contrato Principal sem multa, mediante aviso de 30 (trinta) dias.
6.3. A Sub-operadora imporá a cada Sub-sub-operador obrigações de proteção de dados pessoais substancialmente equivalentes às previstas neste DPA B2B, permanecendo responsável perante o Operador pelo cumprimento dessas obrigações por parte dos Sub-sub-operadores.
6.4. O Operador é responsável por obter do Controlador (Cliente Final) a autorização (geral ou específica) para a utilização de sub-operadores, na forma do art. 39 da LGPD. A Sub-operadora não se responsabiliza por eventual ausência dessa autorização na relação Controlador-Operador.
7.1. A cadeia de atendimento a requisições de direitos dos titulares (arts. 17-22, LGPD) observará o seguinte fluxo: (a) o titular exerce seu direito perante o Controlador (Cliente Final do Operador); (b) o Controlador repassa a requisição ao Operador; (c) o Operador, na medida em que a requisição demande ação no âmbito da Plataforma, repassa à Sub-operadora; (d) a Sub-operadora executa a ação técnica em até 5 (cinco) dias úteis do recebimento e confirma ao Operador.
7.2. O prazo legal de 15 (quinze) dias (art. 19, §2º, LGPD) corre contra o Controlador. Os prazos internos desta cadeia foram dimensionados para que o Controlador disponha de margem hábil para sua resposta ao titular.
7.3. Caso a Sub-operadora receba requisição diretamente de titular ou de Controlador, sem intermediação do Operador, a Sub-operadora: (a) informará ao solicitante que o canal adequado é o Operador; (b) notificará o Operador em até 2 (dois) dias úteis; e (c) não executará a requisição sem instrução do Operador, salvo quando compelida por ordem judicial ou administrativa.
8.1. A Sub-operadora notificará o Operador sobre qualquer incidente de segurança que envolva Dados do Processo de Assinatura em até 24 (vinte e quatro) horas após a confirmação do incidente, conforme Cláusula 6ª do Contrato Principal.
8.2. A notificação incluirá, na medida em que as informações estejam disponíveis: (a) descrição da natureza do incidente; (b) categorias e volume aproximado de titulares afetados; (c) categorias de dados pessoais envolvidos; (d) consequências prováveis; (e) medidas adotadas e a adotar para mitigação; e (f) ponto de contato da Sub-operadora para acompanhamento.
8.3. O Operador é responsável por notificar o(s) Controlador(es) afetado(s) em até 48 (quarenta e oito) horas do recebimento da notificação da Sub-operadora, e por apoiar o Controlador no cumprimento de suas obrigações perante a ANPD e os titulares.
9.1. Aplicam-se as disposições da Cláusula 11ª do Contrato Principal.
9.2. Adicionalmente, a Sub-operadora disponibilizará ao Operador, mediante solicitação justificada, informações que permitam ao Operador demonstrar ao Controlador o cumprimento de suas obrigações de proteção de dados.
10.1. A Sub-operadora responderá perante o Operador pelos danos causados pelo tratamento de dados pessoais quando: (a) descumprir as obrigações deste DPA B2B que lhe são próprias; ou (b) agir em desconformidade com as Instruções Documentadas lícitas do Operador (art. 42, §1º, I, LGPD).
10.2. A Sub-operadora não responderá quando o dano decorrer exclusivamente de: (a) instruções do Operador ou do Controlador; (b) dados inexatos ou incompletos transmitidos pelo Operador; (c) ausência de base legal definida pelo Controlador; ou (d) caso fortuito ou força maior.
10.3. A responsabilidade solidária perante titulares (art. 42, LGPD) não é afastada por este DPA B2B, que regula apenas a relação interna entre as Partes. O direito de regresso entre Operador e Sub-operadora observará a proporção de culpa de cada Parte.
10.4. Aplicam-se os limites de responsabilidade (Cap) da Cláusula 9ª do Contrato Principal.
11.1. Este DPA B2B vigora pelo mesmo prazo do Contrato Principal, extinguindo-se automaticamente com a rescisão ou expiração daquele, sem prejuízo das obrigações de retenção, eliminação e confidencialidade que, por sua natureza, sobrevivem ao término.
11.2. A Sub-operadora manterá os dados pessoais pelo prazo definido na Tabela de Retenção (signdocs.com.br/tabela-de-retencao.html), mesmo após o término do Contrato Principal, exclusivamente para cumprimento de obrigações legais e exercício regular de direito.
12.1. Prevalência. Em caso de conflito entre este DPA B2B e o Contrato Principal, no que tange ao tratamento de dados pessoais, prevalecerão as disposições deste DPA B2B.
12.2. Encarregado (DPO). O Encarregado da Sub-operadora é Mark Austin Wagoner (dpo@signdocs.com.br), conforme indicação formal nos termos da Res. CD/ANPD nº 18/2024. O Operador deverá indicar seu próprio Encarregado perante a ANPD, quando legalmente exigível.
12.3. Atualizações. A Sub-operadora poderá atualizar este DPA B2B para refletir alterações legislativas, regulatórias ou operacionais, notificando o Operador com 15 (quinze) dias de antecedência. A continuidade do uso da API após o prazo de antecedência constitui aceitação da versão atualizada. Caso o Operador não concorde, poderá rescindir o Contrato Principal sem multa, mediante aviso de 30 (trinta) dias.
12.4. Legislação e foro. Este DPA B2B é regido pela legislação brasileira, elegendo-se o foro da Comarca de Belo Horizonte/MG, em consonância com o Contrato Principal.
12.5. Referências à Central de Confiança. As referências a URLs da Central de Confiança neste DPA B2B (Tabela de Retenção, Sub-operadores, AUP) são remissões dinâmicas — o documento vinculante é sempre a versão vigente publicada na Central de Confiança, não a versão existente na data de assinatura, ressalvado o direito de oposição do §6.2 para Sub-sub-operadores.
[Local], [DD] de [mês] de [ano].
_________________________________________
_________________________________________
"SIGNDOCS"
