Versão 1.0 | Vigência: 30 de abril de 2026
Para fins deste Acordo de Processamento de Dados ("DPA"), aplicam-se as seguintes definições, em conformidade com a LGPD (Lei 13.709/2018):
Este DPA estabelece as obrigações do Stokker (operador) em relação ao tratamento de dados pessoais realizado em nome da empresa-cliente (controlador), exclusivamente para fins de prestação do serviço contratado.
O tratamento de dados realizado pelo Stokker limita-se às seguintes operações:
O Stokker não utiliza os dados do controlador para qualquer finalidade própria, incluindo marketing, perfilamento, venda ou compartilhamento com terceiros além dos sub-operadores listados neste DPA.
O Stokker processa dados pessoais exclusivamente conforme as instruções do controlador, materializadas pela utilização das funcionalidades do serviço. O Stokker não realiza tratamento de dados para finalidades próprias ou independentes.
Caso o Stokker identifique que uma instrução do controlador pode configurar violação à LGPD ou a qualquer legislação aplicável de proteção de dados, o Stokker notificará o controlador imediatamente, por escrito, antes de executar a instrução em questão. O Stokker poderá suspender o processamento da instrução até receber confirmação ou instruções alternativas do controlador.
O Stokker utiliza os seguintes sub-operadores para a prestação do serviço:
| Sub-operador | Finalidade | Localização |
|---|---|---|
| Supabase (AWS sa-east-1) | Banco de dados, autenticação e armazenamento | São Paulo, Brasil |
| Vercel | Hospedagem da aplicação e CDN | Global (EUA/UE) |
| Anthropic | Processamento de NF-e com inteligência artificial | Estados Unidos |
Todos os sub-operadores estão vinculados a contratos que estabelecem obrigações de proteção de dados equivalentes às previstas neste DPA.
Alterações em sub-operadores: o Stokker notificará o controlador com no mínimo 30 (trinta) dias de antecedência antes de adicionar ou substituir sub-operadores. O controlador poderá apresentar objeção fundamentada dentro de 15 (quinze) dias após a notificação. Caso a objeção não possa ser resolvida, o controlador terá o direito de rescindir o contrato sem ônus.
Em conformidade com o Art. 46 da LGPD, o Stokker implementa e mantém as seguintes medidas técnicas e organizacionais para proteção dos dados pessoais:
Em conformidade com o Art. 48 da LGPD, o Stokker se compromete a notificar o controlador em prazo não superior a 72 (setenta e duas) horas após a confirmação de qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados.
A notificação incluirá, no mínimo:
O Stokker cooperará integralmente com o controlador para fins de investigação, mitigação e notificação à ANPD e aos titulares afetados, quando aplicável.
O Stokker auxiliará o controlador no atendimento a solicitações de titulares de dados, conforme previsto nos Arts. 17 a 22 da LGPD, incluindo:
Responsabilidade: o controlador permanece como responsável principal pelo atendimento às solicitações dos titulares. O Stokker fornece os meios técnicos para exportação, correção e exclusão de dados, e responderá a solicitações do controlador em até 5 (cinco) dias úteis.
O controlador poderá auditar a conformidade do Stokker com este DPA, observadas as seguintes condições:
O Stokker poderá disponibilizar relatórios de conformidade de terceiros (como certificações SOC 2, quando disponíveis) como alternativa a auditorias presenciais.
Ao término do contrato de prestação de serviço, independentemente do motivo:
O Stokker fornecerá ao controlador confirmação por escrito da exclusão dos dados, quando solicitado.
Os dados pessoais tratados pelo Stokker podem ser processados nas seguintes localidades:
A transferência internacional de dados está fundamentada no Art. 33, inciso II, da LGPD, mediante cláusulas contratuais padrão que asseguram nível de proteção adequado e equivalente ao previsto na legislação brasileira. O Stokker mantém registro atualizado das transferências internacionais realizadas.
Cada parte é responsável pelos danos causados por suas próprias violações à LGPD e a este DPA:
A limitação de responsabilidade aplicável está prevista nos Termos de Uso e se estende a este DPA, respeitados os limites impostos pela LGPD e pelo CDC.
Este DPA entra em vigor na data de contratação do serviço pelo controlador e permanece vigente durante toda a duração do contrato de prestação de serviço.
As obrigações previstas neste DPA sobrevivem ao término do contrato no que se refere a:
Documentos relacionados: