Acordo de Tratamento de Dados Pessoais (DPA)

Versão 1.0, de 23/08/2026. Anexo aos Termos de Uso e Contrato de Assinatura da Plataforma Orquestra Live.

Este Acordo regula o tratamento de dados pessoais que Harmonika Mediaworks Ltda (CNPJ 43.168.815/0001-02 — "Operadora") realiza em nome do Cliente ("Controlador") ao prestar os serviços da Plataforma, nos termos da LGPD (Lei 13.709/2018), especialmente dos arts. 37 a 40 e 46 a 48.

1. Objeto, natureza e finalidade

1.1. A Operadora trata dados pessoais de participantes, inscritos, compradores, apresentadores e usuários autorizados do Controlador exclusivamente para prestar os serviços contratados (controle de acesso, transmissão, engajamento, vendas, e-mails, relatórios, suporte) e conforme as instruções documentadas do Controlador — inclusive as configurações que ele faz no painel (campos de cadastro, modos de acesso, prazos de VOD, e-mails automáticos).

1.2. Categorias de dados e titulares: as descritas na Política de Privacidade, seção 2. Duração: a vigência do contrato e o período de transição da cláusula 9.

1.3. O Controlador declara ter base legal para a coleta e o compartilhamento dos dados com a Operadora, informar adequadamente os titulares e ser responsável pelas instruções que fornece.

2. Obrigações da Operadora (LGPD, art. 39)

A Operadora se compromete a:

a) tratar os dados somente conforme este Acordo e as instruções do Controlador, informando-o se entender que uma instrução viola a lei; b) garantir que as pessoas autorizadas a tratar os dados estejam sob dever de confidencialidade; c) adotar as medidas de segurança da cláusula 4; d) auxiliar o Controlador, na medida do razoável e das funcionalidades da Plataforma, no atendimento a solicitações de titulares (LGPD, art. 18) — fornecendo exportações, exclusões e correções pelo painel ou pelo suporte em até 10 dias úteis; e) comunicar incidentes conforme a cláusula 5; f) ao término, devolver ou eliminar os dados conforme a cláusula 9; g) disponibilizar as informações necessárias para demonstrar o cumprimento deste Acordo (cláusula 7); h) manter registro das operações de tratamento realizadas em nome do Controlador (LGPD, art. 37).

3. Suboperadores

3.1. O Controlador autoriza, de forma geral, o uso dos suboperadores listados na Política de Privacidade (seção 4) — Supabase, Vercel, Cloudflare, Resend, Upstash, Sentry, Anthropic — e do Mercado Pago como controlador independente para pagamentos.

3.2. A Operadora informará, com 15 dias de antecedência por e-mail ou painel, a inclusão ou substituição de suboperador que trate dados do Controlador; este pode se opor por motivo razoável relacionado à proteção de dados, caso em que as partes buscarão alternativa ou o Controlador poderá rescindir sem ônus a parte afetada do serviço.

3.3. A Operadora firma com os suboperadores obrigações de proteção de dados equivalentes às deste Acordo e responde perante o Controlador pelos atos deles, nos termos da lei.

4. Segurança da informação

A Operadora mantém, no mínimo: criptografia em trânsito (TLS 1.2+); senhas com hash forte e verificação em duas etapas para usuários internos; controle de acesso por papel e por evento (isolamento lógico entre clientes — multi-tenant); sessão única por usuário; URLs de vídeo assinadas e marca-d'água; limitação de requisições e bloqueio por tentativas de login; registro de auditoria de ações administrativas; backups diários com retenção mínima de 7 dias; monitoramento de erros e disponibilidade; gestão de segredos com rotação; revisão periódica de vulnerabilidades das dependências; ambiente de produção separado de desenvolvimento.

5. Incidentes de segurança

5.1. A Operadora comunicará ao Controlador, sem demora injustificada e em até 48 horas após tomar ciência, incidentes de segurança que possam afetar dados pessoais tratados em nome dele, informando: natureza do incidente, dados e titulares afetados (quando possível), medidas adotadas e recomendadas, e contato para acompanhamento; complementará as informações conforme a apuração.

5.2. O Controlador é responsável por comunicar a ANPD e os titulares nos prazos da Resolução CD/ANPD nº 15/2024 (em regra 3 dias úteis), com o apoio da Operadora.

6. Transferência internacional

O Controlador autoriza a transferência internacional necessária ao uso dos suboperadores da cláusula 3, realizada com base em cláusulas contratuais e garantias compatíveis com a LGPD (art. 33), limitada ao necessário para a prestação do serviço.

7. Auditoria e demonstração de conformidade

7.1. A Operadora disponibiliza, mediante solicitação e até uma vez por ano, relatório descritivo das medidas de segurança, lista atualizada de suboperadores e respostas a questionário de segurança do Controlador.

7.2. Auditorias presenciais ou técnicas adicionais podem ser realizadas com aviso prévio de 30 dias, em horário comercial, sob confidencialidade, às custas do Controlador e sem comprometer dados de outros clientes.

8. Responsabilidade

Cada parte responde pelos danos que causar em razão do descumprimento da LGPD ou deste Acordo (LGPD, art. 42), observados os limites dos Termos de Uso, que não se aplicam a violação de dados por culpa da Operadora.

9. Término e devolução dos dados

Encerrado o contrato, o Controlador tem 30 dias para exportar os dados pelo painel. Após esse prazo, a Operadora exclui ou anonimiza os dados pessoais tratados em nome do Controlador, ressalvadas obrigações legais de guarda (Marco Civil, art. 15; legislação fiscal) e cópias de segurança, que expiram em até 90 dias. A exclusão é confirmada por e-mail mediante solicitação.

10. Disposições finais

Este Acordo integra os Termos de Uso, prevalecendo sobre eles no que se refere a dados pessoais. Alterações seguem o procedimento dos Termos. Contato do Encarregado da Operadora: contato@harmonika.com.br.