Acordo de tratamento de dados (DPA)

Versão 1.1 · Vigente desde 23 de outubro de 2026 · Substitui a versão 1.0

Este Acordo de Tratamento de Dados ("DPA") faz parte dos Termos de uso e se aplica automaticamente a todo assinante do AssistentFlow e do AssistentFlow Pessoal. Ele regula o tratamento de dados pessoais que a HubFlow faz em nome do assinante, conforme os arts. 37 a 42 da Lei 13.709/2018 (LGPD).

1. Partes e papéis

• Controlador: o assinante (pessoa física ou jurídica que contratou a assinatura). É quem decide para que e como os dados dos seus clientes, contatos, familiares e equipe são tratados no assistente.
• Operadora: 53.367.693 CESAR GIOVANINI DE MORAES (MEI), marca HubFlow, CNPJ 53.367.693/0001-11, Rua Cesário Chaves, 222, Fazenda, Itajaí (SC), CEP 88302-350.

Nos dados de cadastro, cobrança e suporte do próprio assinante, a HubFlow é controladora, e vale a Política de privacidade.

2. Objeto do tratamento

3. Obrigações do controlador (assinante)

• Ter base legal para cada tratamento (LGPD, arts. 7º e 11) e informar os seus clientes e contatos sobre o tratamento, inclusive sobre o uso de inteligência artificial e de transcrição de áudio no atendimento, na sua própria política de privacidade.
• Dar instruções lícitas. As configurações do painel (instruções do assistente, conhecimento, rotinas, integrações, permissões) são as instruções documentadas do controlador.
• Atender os titulares que o procurarem (art. 18) e, quando necessário, pedir o nosso apoio.
• Fazer as comunicações de incidente que cabem ao controlador (art. 48 e Resolução CD/ANPD nº 15/2024).
• Cumprir os termos dos serviços que conectar (WhatsApp, Telegram, Google, Asaas, Mercado Pago) e a Política de uso da Anthropic.

4. Obrigações da operadora (HubFlow)

• Tratar os dados somente para prestar o serviço e conforme as instruções do controlador, e avisá-lo se considerar uma instrução contrária à lei.
• Não vender, alugar ou ceder os dados; não usá-los para finalidade própria, publicidade ou treinamento de modelos de IA.
• Acessar o conteúdo da instalação apenas quando necessário para suporte pedido pelo controlador, segurança, manutenção ou cumprimento da lei, registrando o acesso.
• Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de sigilo.
• Manter registro das operações de tratamento que realiza (art. 37).
• Apoiar o controlador, na medida do razoável, no atendimento aos titulares, em relatórios de impacto e em pedidos da ANPD.

5. Medidas de segurança

• Instalação isolada por assinante: containers, rede e diretório de dados próprios; um assinante não alcança a instalação de outro.
• Tráfego cifrado (HTTPS/TLS); senhas com hash; chaves de API, tokens e credenciais de integrações cifrados com chave por instalação.
• Contêineres sem privilégios, sistemas de arquivos somente leitura onde possível, limites de processos e de memória.
• Acesso administrativo aos servidores só por chave criptográfica, restrito à equipe da HubFlow.
• Registros de auditoria das ações sensíveis; confirmação do assinante antes de enviar e-mails e cobranças.
• Serviços de áudio compartilhados que não guardam conteúdo: o áudio é processado em memória temporária e descartado ao fim da transcrição.
• Atualizações de segurança periódicas dos servidores e componentes.

6. Suboperadores

O controlador autoriza, de forma geral, o uso dos suboperadores abaixo. A HubFlow exige deles obrigações de proteção de dados compatíveis com este DPA e responde perante o controlador pelos atos deles, nos limites da lei e dos Termos de uso.

Serviços escolhidos e contratados pelo próprio assinante. Os provedores abaixo são acionados pelo software por decisão e com as credenciais do assinante; a relação contratual é entre o assinante e cada um deles, e os termos deles se aplicam:

• Anthropic, PBC (Estados Unidos): o conteúdo necessário para gerar as respostas é processado pelo Claude com a IA do próprio assinante (a assinatura Claude dele, no aplicativo oficial rodando no computador ou servidor dele, pelo recurso "Seu Claude", ou a chave de API dele configurada no painel), sob o contrato entre o assinante e a Anthropic. Quando a HubFlow, a seu critério, fornecer a própria API de IA a uma instalação, a Anthropic atua como suboperadora da HubFlow para essa instalação. Em cada caso valem os termos da Anthropic aplicáveis (por exemplo, os Termos comerciais, para a API) e a Política de uso da Anthropic.
• Google LLC: Agenda, Gmail, Drive e Planilhas, quando o assinante conecta a própria conta.
• WhatsApp (Meta) e Telegram: canais de mensagens do próprio assinante.
• Asaas e Mercado Pago: quando o assinante conecta a própria conta para consultar e preparar cobranças.

Novos suboperadores. Avisaremos o controlador por e-mail com pelo menos 15 dias de antecedência antes de incluir ou trocar um suboperador que trate dados dos clientes dele. Se houver objeção fundamentada e não encontrarmos alternativa, o controlador pode cancelar a assinatura com devolução proporcional do período pago e não usado.

7. Transferência internacional

Os dados ficam hospedados na União Europeia, região reconhecida pela ANPD como de nível adequado de proteção (decisão de adequação recíproca Brasil–União Europeia, 2026). Transferências para outros países ocorrem apenas pelos serviços que o próprio assinante escolhe conectar (item 6), com base nas garantias desses fornecedores e nas hipóteses do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024.

8. Incidentes de segurança

• A HubFlow avisará o controlador sem demora injustificada e em até 48 horas depois de confirmar um incidente que afete dados da instalação dele, pelo e-mail e WhatsApp do cadastro.
• O aviso trará, na medida do conhecido: o que aconteceu, quando, os dados e titulares possivelmente afetados, os riscos, as medidas já tomadas e as recomendadas, e um contato. Informações que faltarem serão complementadas assim que obtidas.
• Cabe ao controlador avaliar o risco e comunicar a ANPD e os titulares quando exigido (prazo de 3 dias úteis da Resolução CD/ANPD nº 15/2024). A HubFlow apoiará com as informações técnicas necessárias.

9. Direitos dos titulares

Se um titular pedir diretamente à HubFlow algo sobre dados da instalação de um assinante, encaminharemos o pedido ao assinante em até 5 dias úteis, sem responder pelo mérito, salvo obrigação legal. O painel permite ao assinante consultar e apagar conversas e contatos; quando for preciso, ajudamos a atender pedidos de acesso, correção, portabilidade e eliminação.

10. Auditoria e comprovação

Mediante pedido por escrito, com antecedência razoável e no máximo uma vez por ano (salvo incidente ou ordem de autoridade), a HubFlow fornecerá informações e documentos que demonstrem o cumprimento deste DPA (descrição das medidas de segurança, lista de suboperadores, registros pertinentes). Auditorias presenciais, se necessárias, serão combinadas entre as partes, sem acesso a dados de outros clientes e com custos do controlador.

11. Devolução e exclusão ao fim do contrato

• Até 90 dias depois do fim da assinatura, o controlador pode pedir a exportação completa dos dados da instalação (banco de dados e arquivos, em formato estruturado e de uso comum), entregue em até 15 dias por link seguro, sem custo.
• Passados os 90 dias, os dados são excluídos de forma definitiva, inclusive de cópias de trabalho, salvo guarda exigida por lei (art. 16). O controlador pode pedir a exclusão antecipada.

12. Responsabilidade

Cada parte responde pelos danos que causar por violação da LGPD, nos termos dos arts. 42 a 45. A operadora responde solidariamente apenas quando descumprir a lei ou as instruções lícitas do controlador (art. 42, §1º, I). Aplicam-se, no que couber, as regras de limitação de responsabilidade dos Termos de uso, que não afastam direitos do consumidor nem os casos em que a lei proíbe limitar.

13. Vigência, prevalência e contato

Este DPA vale enquanto houver tratamento de dados do controlador pela HubFlow. Em caso de conflito sobre proteção de dados, este DPA prevalece sobre os Termos de uso. Encarregado (DPO): Cesar Giovanini de Moraes, contato@hubflowai.com. Se a sua empresa precisar de uma versão assinada deste DPA, peça pelo mesmo e-mail.

---

Dúvidas sobre este documento: contato@hubflowai.com. Documentos relacionados: Termos de uso · Política de privacidade · Política de cookies · Cancelamento e reembolso · Uso aceitável · Aviso sobre o WhatsApp · Termos do programa de afiliados.