Acordo de Processamento de Dados (DPA)

1. Definições

Os termos seguem as definições da LGPD: Controlador, Operador, Titular, Tratamento, Dado Pessoal, Incidente.

2. Objeto

No Mapfin, o próprio Usuário é o controlador dos seus dados financeiros pessoais, e o Mapfin atua como operador, tratando esses dados exclusivamente para prestar o serviço contratado. Para os dados cadastrais do próprio Usuário (nome, e-mail, dados de cobrança), o Mapfin é controlador.

3. Natureza, finalidade e duração

• Finalidade: operação da plataforma de finanças pessoais (contas, cartões, lançamentos, categorias, orçamentos, metas, relatórios).
• Categorias de dados: identificação, contato, lançamentos financeiros manuais e dados de cobrança quando aplicável.
• Categorias de titulares: o próprio Usuário titular da conta.
• Duração: enquanto vigente a conta, mais até 90 dias para devolução/exclusão.

4. Obrigações do Mapfin (Operador)

• Tratar dados apenas conforme instruções documentadas e conforme os Termos.
• Garantir confidencialidade das pessoas autorizadas a tratar os dados.
• Adotar medidas técnicas e administrativas de segurança (TLS, Row-Level Security, controle de acesso, logs).
• Auxiliar o Titular no atendimento aos direitos previstos no art. 18 da LGPD.
• Notificar incidentes de segurança em até 48 horas após a ciência.
• Eliminar ou devolver dados após o término da relação, salvo obrigação legal.

5. Obrigações do Titular

• Garantir a veracidade e licitude dos dados inseridos.
• Manter dados de contato atualizados para comunicações sobre incidentes.
• Proteger as credenciais de acesso.

6. Subprocessadores autorizados

O Titular autoriza expressamente os seguintes subprocessadores:

• Supabase (Lovable Cloud) — banco de dados, autenticação e storage (infraestrutura AWS).
• Cloudflare, Inc. — CDN e hospedagem (Workers).
• Asaas — processamento de cobranças recorrentes.
• Hostinger — envio de e-mails transacionais.

O Mapfin notificará o Titular com 30 dias de antecedência sobre inclusão ou substituição de subprocessadores relevantes.

7. Transferência internacional

Alguns subprocessadores podem processar dados fora do Brasil. O Mapfin garante a adoção de salvaguardas contratuais conforme o art. 33 da LGPD.

8. Segurança da informação

• Criptografia em trânsito (TLS 1.2+).
• Isolamento de dados por usuário via Row-Level Security no banco.
• Autenticação por senha forte, provedores sociais e tokens de sessão.
• Backups automáticos periódicos.

9. Incidentes

Em caso de incidente envolvendo os dados do Titular, o Mapfin notificará por e-mail em até 48 horas, com descrição do ocorrido, dados afetados, medidas tomadas e contato do DPO (marcos@mapweb.com.br).

10. Devolução e exclusão

Encerrada a conta, o Titular pode exportar todos os dados em até 30 dias. Após esse prazo, o Mapfin elimina os dados em até 90 dias, exceto aqueles que devam ser retidos por obrigação legal.

11. Encarregado (DPO)

Marcos Alves Pereira da Silva — marcos@mapweb.com.br.

12. Foro

Foro da Comarca do Rio de Janeiro/RJ.