Adendo de Tratamento de Dados Pessoais

Versão 1.0 — em vigor desde 11 de agosto de 2026.

Este Adendo integra os Termos de Uso e rege o tratamento de dados pessoais realizado pelo Trilha Hub por conta e ordem da Organização. Em caso de conflito com os Termos de Uso quanto a proteção de dados, prevalece este Adendo.

1. Partes e papéis

• Controladora: a Organização contratante, que decide as finalidades e os meios do tratamento dos dados pessoais que insere na plataforma.
• Operador: Paulo Afonso Gomes Fernandes Consultoria em Tecnologia da Informação LTDA, CNPJ 68.286.058/0001-87, que trata esses dados exclusivamente para prestar o serviço contratado, seguindo as instruções da Controladora.

Este Adendo não se aplica aos dados em que o Trilha Hub atua como controlador (conta de acesso, relação comercial, registros de segurança), regidos pela Política de Privacidade, item 2.1.

2. Objeto, natureza e finalidade

O Operador trata dados pessoais para disponibilizar as funcionalidades de gestão financeira, administrativa, de estoque, de cobrança e de comunicação da plataforma, conforme configurado e utilizado pela Controladora.

Duração: enquanto vigorar o contrato, acrescido dos prazos do item 10.

3. Categorias de titulares e de dados

Titulares: associados, beneficiários (incluindo crianças e adolescentes), responsáveis legais, fornecedores, parceiros, colaboradores e usuários indicados pela Controladora.

Categorias de dados (conforme o uso que a Controladora faz da plataforma):

A Controladora declara que não inserirá dados pessoais sensíveis (art. 5º, II, da LGPD) além do estritamente necessário, e reconhece que a plataforma não foi desenhada para essa categoria.

4. Dados de crianças e adolescentes

Dado o público típico da plataforma, o tratamento de dados de crianças e adolescentes é esperado. A Controladora declara e garante que:

• obteve o consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, nos termos do art. 14, §1º, da LGPD, ou possui outra base legal aplicável;
• mantém prova desse consentimento e a apresentará se solicitada;
• trata esses dados sempre no melhor interesse da criança e do adolescente;
• não condiciona a participação em atividade ao fornecimento de dados além do necessário.

O Operador, por sua vez, aplica a esses dados as medidas de segurança do item 6 e não os utiliza para qualquer finalidade própria, em especial publicidade, perfilamento ou treinamento de modelos de inteligência artificial.

5. Obrigações do Operador

O Operador se obriga a:

5.1. Tratar os dados somente conforme as instruções documentadas da Controladora — o uso da plataforma e suas configurações constituem essas instruções — salvo obrigação legal, hipótese em que informará a Controladora previamente, se a lei permitir.

5.2. Garantir que seu pessoal com acesso a dados esteja sujeito a dever de confidencialidade e atue sob o princípio do menor privilégio.

5.3. Implementar e manter as medidas técnicas e organizacionais do item 6.

5.4. Auxiliar a Controladora no atendimento de pedidos de titulares, disponibilizando recursos de consulta, correção, exportação e eliminação na própria plataforma. Se o pedido chegar diretamente ao Operador, ele não responderá em nome da Controladora: encaminhará a ela sem demora indevida.

5.5. Comunicar incidentes de segurança que possam acarretar risco ou dano relevante, sem demora indevida e em prazo não superior a 48 horas contadas da ciência, com as informações disponíveis: natureza, dados e titulares afetados, medidas adotadas e ponto de contato.

5.6. Auxiliar a Controladora nas obrigações de relatório de impacto e de comunicação à ANPD e aos titulares, na medida da informação que detém.

5.7. Manter registro das operações de tratamento que realiza por conta da Controladora.

5.8. Ao fim do contrato, eliminar ou devolver os dados conforme o item 10.

5.9. Não subcontratar novo suboperador sem observar o item 8.

6. Medidas técnicas e organizacionais

O Operador mantém, no mínimo, as medidas efetivamente implementadas e verificáveis a seguir:

Isolamento e acesso

• Isolamento entre organizações imposto no banco de dados por Row Level Security, não apenas por filtro de aplicação.
• Controle de acesso granular por permissão, com negação por padrão.
• Autenticação em duas etapas obrigatória para contas com permissão administrativa ou financeira sensível.
• Gestão de sessões ativas, com revogação remota pelo próprio titular da conta.

Criptografia

• Senhas armazenadas apenas como hash (Argon2).
• Dados sensíveis criptografados em repouso, com chave dedicada e separada da chave de sessão.
• Transporte exclusivamente por HTTPS, com HSTS.

Auditoria

• Trilha de auditoria somente-inserção: privilégios de alteração e exclusão revogados no banco para a credencial da aplicação.
• Registro de login, logout, negação de autorização e alterações relevantes, com identificador de requisição para correlação.
• Redação automática de campos sensíveis antes da gravação.

Aplicação

• Validação da assinatura binária real dos arquivos enviados; bloqueio de formatos de risco; download que nunca executa conteúdo na origem da aplicação.
• Política de segurança de conteúdo (CSP) restritiva, sem execução de script embutido.
• Limitação de taxa por conta e por origem nas rotas de autenticação.
• Detecção de reuso de token de sessão, com revogação da sessão comprometida.

As medidas evoluem conforme a linha de base de segurança interna (RFC-SEC-001). Alterações não reduzirão o nível de proteção contratado.

7. Auditoria e comprovação

Mediante solicitação razoável, com aviso prévio de 30 dias e no máximo uma vez por ano — ou após incidente relevante — o Operador disponibilizará informações necessárias para demonstrar o cumprimento deste Adendo.

O Operador pode atender essa obrigação por meio de relatórios, certificações ou registros de implementação, preservando segredo de negócio e a segurança dos demais clientes. Auditoria in loco depende de acordo prévio e ocorre às expensas da Controladora.

8. Suboperadores

A Controladora autoriza o Operador a contratar suboperadores para prestar o serviço. A lista vigente consta do item 5 da Política de Privacidade e inclui, nesta versão: gateway de pagamento, provedor de mensageria (e-mail e WhatsApp), provedor de armazenamento de arquivos e provedor de hospedagem.

O Operador:

• exige de cada suboperador obrigações de proteção não menos protetivas que as deste Adendo;
• permanece integralmente responsável perante a Controladora pelos atos dos suboperadores;
• comunicará a inclusão ou substituição de suboperador com antecedência mínima de 30 dias, facultando à Controladora objetar por escrito com justificativa razoável; não havendo solução, a Controladora poderá rescindir sem ônus a parte do serviço afetada.

9. Transferência internacional

Alguns suboperadores processam dados fora do Brasil. A transferência se apoia nas hipóteses do art. 33 da LGPD, em regra a necessidade para execução do contrato e as cláusulas contratuais de proteção firmadas com o fornecedor. Informações sobre as salvaguadas específicas são fornecidas mediante solicitação.

10. Devolução e eliminação ao fim do contrato

10.1. Encerrado o contrato, a Controladora terá 30 dias corridos para exportar seus dados pelos recursos da plataforma. Mediante pedido dentro desse prazo, o Operador disponibilizará os dados em formato estruturado e interoperável.

10.2. Decorrido esse prazo, o Operador eliminará ou anonimizará os dados em até mais 30 dias, inclusive em cópias de segurança, conforme o ciclo de rotação destas.

10.3. Permanecerão retidos apenas os dados que o Operador esteja obrigado a guardar por lei ou para exercício regular de direito em processo, restritos a essa finalidade e com acesso limitado.

10.4. Mediante solicitação, o Operador emitirá declaração de eliminação.

11. Responsabilidade

Cada parte responde pelas obrigações que lhe cabem na LGPD. A Controladora responde, em especial, pela existência de base legal, pela informação aos titulares, pelo consentimento de responsável legal no caso de crianças e adolescentes, e pela exatidão dos dados que insere.

As limitações de responsabilidade dos Termos de Uso aplicam-se a este Adendo, ressalvado o que a lei considerar irrenunciável.

12. Vigência e alterações

Este Adendo vigora enquanto durar o contrato e enquanto houver dados sob tratamento. A versão vigente fica publicada em nesta página, com número de versão e data; alterações relevantes seguem o aviso prévio de 30 dias previsto nos Termos de Uso.

13. Contatos

• Encarregado do Operador (DPO): Paulo Afonso Gomes Fernandes — [email protected]
• Comunicação de incidentes: [email protected]

Documento versionado no repositório do produto. Versão 1.0, vigente desde 11/08/2026.