Acordo de Tratamento de Dados (DPA)

O DPA regula a Makatea como Operadora dos dados da sua carteira. É aceito junto com os Termos, sem assinatura à parte. A Makatea avisa qualquer incidente em até 24 horas. Inclui as cláusulas contratuais-tipo para a União Europeia e o Reino Unido. Mudanças de suboperador são avisadas com 30 dias.

SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V., pessoa jurídica mexicana operadora da plataforma "Makatea", com RFC SOB240719U87 e domicílio em Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México (doravante, "Makatea" ou o "Encarregado do tratamento"; no Brasil, Operador).

Este Acordo de Tratamento de Dados (doravante, o "DPA", do inglês Data Processing Agreement) integra de forma acessória o Contrato de Serviços / Termos de Serviço (o "Contrato Principal") celebrado entre:

• Você, o Cliente, identificado no Contrato Principal, que atua como Controlador do tratamento (em outras jurisdições, Responsável; doravante, o "Controlador" ou "Cliente"); e
• SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V., na qualidade de Operador do tratamento (em outras jurisdições, Encargado).

Você aceita este DPA de forma eletrônica ao aceitar os Termos de Serviço e ao se cadastrar ou contratar a plataforma (aceite click-wrap). O DPA fica incorporado por referência ao Contrato Principal e não exige assinatura de próprio punho nem ato de assinatura separado. A versão pública vigente deste DPA está disponível em https://makatea.ai/pt/legal/dpa.

Em caso de conflito entre este DPA e o Contrato Principal no que se refere à proteção de dados pessoais, prevalecerá este DPA.

1. Definições e marco normativo

1.1 Definições. Os termos "dados pessoais", "dados sensíveis" / "categorias especiais", "tratamento", "controlador" / "responsável", "operador" / "encarregado do tratamento", "suboperador" / "subencarregado", "titular", "transferência" / "transmissão" / "fluxo transfronteiriço", "elaboração de perfis / decisão automatizada" e "incidente ou violação de segurança" terão o significado que lhes atribuir a legislação de proteção de dados aplicável do país do Controlador.

1.2 Papéis. As partes reconhecem que, com relação aos dados da carteira que o Cliente carrega, importa ou gera na plataforma Makatea, o Cliente é o Controlador/Responsável e a Makatea é o Operador/Encarregado, tratando tais dados exclusivamente por conta e sob as instruções do Cliente. A Makatea atua como Controladora unicamente com relação aos dados de conta do próprio usuário-cliente (dados de cadastro, faturamento e administração da conta), regidos pelo Aviso/Política de Privacidade da Makatea e fora do escopo deste DPA.

1.3 Legislação aplicável. Este DPA foi elaborado para cumprir, conforme a localização do Controlador e dos titulares, com:

• México: Lei Federal de Proteção de Dados Pessoais em Posse de Particulares (LFPDPPP) e seu Regulamento supletivo. Autoridade: Secretaría Anticorrupción y Buen Gobierno.

• Colômbia: Lei Estatutária 1581 de 2012 e Decreto 1377 de 2013 (compilados no Decreto Único 1074 de 2015). Autoridade: Superintendência de Indústria e Comércio (SIC). A figura aplicável é o contrato de transmissão do art. 25 do Decreto 1377.

  Regime especial de habeas data financeiro (Lei 1266 de 2008). Quando o tratamento incluir informação financeira, creditícia, comercial ou de serviços de devedores na Colômbia, o Controlador (Cliente) pode ficar sujeito, além do regime geral (Lei 1581 de 2012 e Decreto 1377 de 2013), ao regime especial de habeas data financeiro da Lei 1266 de 2008, em sua eventual condição de fonte e/ou operador de informação, com as obrigações, os princípios e os direitos do titular que tal lei impõe. A determinação de se o Cliente atua como fonte e/ou operador e o cumprimento dos ônus correlatos (incluída a qualidade/veracidade do dado negativo, os prazos de permanência e o atendimento de consultas e reclamações sob a Lei 1266) competem exclusivamente ao Controlador. A Makatea, como Operador, trata tal informação unicamente conforme as instruções documentadas do Controlador e não opera como central de risco, operador de informação nem banco de dados de informação financeira por conta própria, nem reporta informação a centrais de risco salvo instrução expressa e documentada do Cliente.

• Brasil: Lei nº 13.709/2018 (LGPD) e Resoluções CD/ANPD nº 18/2024 e nº 19/2024. Autoridade: ANPD.

• Equador: Lei Orgânica de Proteção de Dados Pessoais (LOPDP), seu Regulamento Geral e a Resolução SPDP-SPD-2026-0004-R. Autoridade: Superintendência de Proteção de Dados Pessoais (SPDP).

• Peru: Lei nº 29733 e seu Regulamento aprovado pelo Decreto Supremo nº 016-2024-JUS. Autoridade: Autoridade Nacional de Proteção de Dados Pessoais (APDP) do MINJUSDH.

• União Europeia e Espaço Econômico Europeu: Regulamento (UE) 2016/679 (RGPD), em especial seu artigo 28. Este DPA inclui o Anexo UE e Reino Unido.

• Reino Unido: UK GDPR e Data Protection Act 2018. Autoridade: Information Commissioner's Office (ICO).

• Estados Unidos: leis estaduais de privacidade aplicáveis ao Controlador. A Makatea atua como prestadora de serviços (service provider ou processor) e não vende nem compartilha os dados da carteira.

• Índia: Digital Personal Data Protection Act, 2023. A Makatea atua como Data Processor do Controlador.

• Outros países: a lei de proteção de dados do país do Controlador e dos titulares. As obrigações deste DPA aplicam-se no que essa lei permitir.

2. Objeto, natureza, finalidade e duração do tratamento

2.1 Objeto. O objeto deste DPA é regular o tratamento que a Makatea, como Operador, realiza sobre os dados pessoais da carteira do Cliente, em razão da prestação dos serviços da plataforma Makatea (gestão de carteira, comunicação com clientes/devedores, registro de pagamentos, conciliação, campanhas e relatórios).

2.2 Natureza do tratamento e operações executadas. O tratamento compreende, conforme a funcionalidade utilizada pelo Cliente e conforme consta na plataforma, as seguintes operações de tratamento que a Makatea executa por conta do Cliente:

As comunicações da operação O2 são realizadas pelos canais operacionais: WhatsApp e e-mail. O SMS não é um canal operacional; caso seja habilitado no futuro, será documentado separadamente.

A determinação da base legal de cada operação compete exclusivamente ao Controlador. O Cliente se obriga a documentar a base legal de cada operação (na configuração da conta ou no anexo de bases legais que as partes mantenham) e a Makatea se obriga a tratar os dados somente conforme tais bases e instruções. No contexto B2B, a base típica do operador é a execução do contrato e/ou o legítimo interesse do controlador (art. 7 da LGPD; figuras equivalentes nas demais jurisdições), não o consentimento.

2.3 Finalidade. A Makatea trata os dados única e exclusivamente para prestar os serviços contratados ao Cliente e conforme suas instruções documentadas. A Makatea não utiliza os dados da carteira do Cliente para finalidades próprias distintas da prestação do serviço.

2.4 Duração e critérios de retenção. O tratamento se mantém durante toda a vigência do Contrato Principal e se extingue conforme a Cláusula 12 (Devolução e eliminação). A política de retenção por categoria de dado é a seguinte:

Ao cancelar a conta, os dados são eliminados ou anonimizados, salvo quando exista obrigação legal de conservação (por exemplo, fiscal, contábil ou de prevenção à lavagem de dinheiro), caso em que serão conservados unicamente pelo prazo e para a finalidade que a lei exigir.

3. Tipos de dados pessoais e categorias de titulares

3.1 Categorias de titulares. Pessoas físicas titulares da carteira do Cliente, tipicamente clientes/devedores do Cliente, e eventualmente seus contatos associados.

3.2 Tipos de dados tratados. A Makatea pode tratar as seguintes categorias de dados dos titulares da carteira, na medida em que o Cliente os carregue ou sejam gerados pelo uso do serviço:

3.3 Dados sensíveis / categorias especiais e dados financeiros. A plataforma não foi concebida para tratar dados sensíveis (saúde, biometria, origem étnica, ideologia, etc.). Não obstante, os campos de texto livre (notas), os campos personalizados ilimitados e os documentos KYC (INE) poderiam conter, por decisão unilateral do Cliente, dados que a legislação aplicável considere sensíveis ou financeiros. Em consequência:

(a) O Cliente se obriga a não carregar dados sensíveis desnecessários e a aplicar o princípio da minimização.

(b) Quando o Cliente carregar dados sensíveis, é o único responsável por obter o consentimento reforçado/explícito que a legislação aplicável exige (LFPDPPP arts. 7-8 México; Lei 1581 art. 9 Colômbia; LGPD art. 11 Brasil; base reforçada LOPDP Equador; por escrito Lei 29733 Peru; art. 9 RGPD na União Europeia e no Reino Unido).

(c) Quando o Cliente carregar dados financeiros (saldos, CLABE, comprovantes, documentos KYC), obriga-se a comprovar, mediante solicitação, o consentimento expresso que o México exige para dados financeiros (LFPDPPP arts. 7-8) e a base equivalente nas demais jurisdições.

(d) A Makatea não valida nem assume a condição de Controladora com relação à base legal de tais dados; o risco de carregar dados sensíveis/financeiros sem base válida recai sobre o Cliente.

4. Instruções do Controlador

4.1 A Makatea trata os dados unicamente conforme as instruções documentadas do Cliente, sendo a instrução inicial o uso da plataforma conforme o Contrato Principal, este DPA e a configuração que o Cliente realiza na aplicação. Como operador, a Makatea segue as instruções do controlador (art. 39 da LGPD e equivalentes).

4.2 A Makatea não trata os dados para finalidades próprias nem os comunica a terceiros, salvo (i) por instrução do Cliente, (ii) para prestar o serviço por meio dos suboperadores da Cláusula 8, ou (iii) quando exigido por obrigação legal, caso em que a Makatea informa previamente o Cliente, salvo proibição legal.

4.3 Se a Makatea considerar que uma instrução do Cliente infringe a legislação de proteção de dados aplicável, notifica o Cliente sem demora.

4.4 A Makatea não decide sobre o conteúdo, a exatidão nem a licitude dos dados carregados pelo Cliente; a determinação das finalidades, da base legal e da obtenção do consentimento do titular compete exclusivamente ao Cliente como Controlador.

5. Confidencialidade

5.1 A Makatea garante que toda pessoa autorizada a tratar os dados pessoais do Cliente está sujeita a um dever de confidencialidade de natureza contratual ou legal, que subsiste mesmo após o término da relação.

5.2 O acesso aos dados se limita ao pessoal que necessita conhecê-los para prestar o serviço, conforme o princípio do menor privilégio.

5.3 O dever de confidencialidade se estende aos suboperadores, conforme a Cláusula 8.

6. Medidas de segurança

A Makatea aplica as seguintes medidas técnicas e administrativas para proteger os dados.

6.1 Criptografia em trânsito (TLS/HTTPS) e em repouso. As comunicações da plataforma e das funções de serviço são realizadas sobre HTTPS/TLS, incluídos os endpoints para os suboperadores. Os dados em repouso são criptografados com AES-256 na infraestrutura de nuvem que os hospeda, e os dados de pagamento são processados em ambientes PCI-DSS dos processadores de pagamento.

6.2 Isolamento por organização. O isolamento é aplicado em nível de banco de dados nas tabelas principais: cada consulta verifica o pertencimento à organização do Cliente. A Makatea mantém esse isolamento mediante revisões internas contínuas.

6.3 Controle de acesso a segredos de integração. As chaves de integração (mensageria, processadores de pagamento, serviço e tarefas programadas) são guardadas criptografadas ou com leitura restrita e não são acessíveis aos usuários finais da organização.

6.4 Armazenamento privado de documentos e multimídia. Os documentos KYC, os arquivos multimídia recebidos, os anexos de modelos e os arquivos de conciliação são guardados em armazenamento privado, com políticas de acesso restritas à organização do Cliente.

6.5 Registro de auditoria. A plataforma registra automaticamente as ações (criação/atualização/eliminação/login/importação/envio/pagamento), o recurso afetado, instantâneos anteriores e posteriores, endereço IP, agente de usuário e marca temporal. A aplicação somente adiciona eventos ao registro e não oferece operações para modificá-los nem excluí-los.

6.6 Integridade de operações críticas. As operações de pagamento são executadas mediante funções atômicas protegidas contra condições de corrida; o registro de pagamentos somente admite novos lançamentos (os estornos são registrados como novos lançamentos, nunca como atualizações).

6.7 Comprovação. As medidas desta Cláusula são comprovadas perante o Cliente mediante a documentação e a assistência previstas na Cláusula 11. As certificações de terceiros que a Makatea venha a obter serão comunicadas ao Cliente separadamente.

7. Assistência ao Controlador

7.1 Direitos do titular. A Makatea assiste razoavelmente o Cliente para atender às solicitações dos titulares de exercer seus direitos conforme a legislação aplicável:

• México (LFPDPPP): direitos ARCO, Acesso (art. 22), Retificação (art. 23), Cancelamento com bloqueio (art. 24) e Oposição, incluída a oposição à elaboração de perfis (art. 26); revogação do consentimento (art. 7); prazos de 20 dias úteis, prorrogáveis por 15 (art. 31); exercício gratuito (art. 34).
• Colômbia (Lei 1581): conhecer, atualizar e retificar; prova da autorização; informação sobre o uso; revogação e supressão (art. 8.e); acesso gratuito. Consultas: 10 dias úteis (prorrogáveis por 5); reclamações: 15 dias úteis (prorrogáveis por 8), com marcação de "reclamação em trâmite". Para que o Cliente colombiano possa cumprir esses prazos, a Makatea responde e fornece a informação que dependa da plataforma dentro de 3 dias úteis a contar da solicitação do Cliente.
• Brasil (LGPD, art. 18): confirmação, acesso, correção, anonimização/bloqueio/eliminação (art. 18-IV/VI), portabilidade (art. 18-V), eliminação de dados tratados com base no consentimento, informação sobre uso compartilhado, revogação do consentimento e revisão de decisões automatizadas (art. 20).
• Equador (LOPDP): informação, acesso, retificação/atualização, eliminação/supressão (art. 18), oposição, portabilidade (art. 20), suspensão/limitação e direito a não ser objeto de decisões automatizadas (art. 22); regra geral de resposta de 15 dias, prorrogáveis.
• Peru (Lei 29733 / DS 016-2024-JUS): informação, acesso, retificação, cancelamento/supressão, oposição, tratamento objetivo (sem perfilamento automatizado sem base válida) e portabilidade.
• União Europeia e Reino Unido (RGPD e UK GDPR, arts. 15 a 22): acesso, retificação, apagamento, limitação, portabilidade, oposição e não ficar sujeito a decisões exclusivamente automatizadas. Resposta em um mês, prorrogável por mais dois meses.

7.2 Mecanismos para assistir esses direitos. Por meio do canal único de contato, a Makatea oferece, mediante solicitação:

• Acesso e exportação: além das funções de exportação para CSV (UTF-8) de carteira, relatórios e conciliação no nível da organização disponíveis na interface, a Makatea oferece, mediante solicitação, a exportação dos dados de um titular em formato estruturado e de leitura automática (acesso/portabilidade).
• Retificação/atualização: edição dos registros de membros e campos personalizados a partir da plataforma.
• Oposição / exclusão de comunicações (opt-out): registro de canais com exclusão e classificação como descadastro quando o titular solicita não receber mais comunicações.
• Cancelamento, supressão e eliminação: mediante solicitação, a Makatea realiza a eliminação ou anonimização efetiva dos dados pessoais de um titular, incluindo, conforme o caso, os registros conservados, salvo obrigação legal de conservação. Na interface, os membros podem ser marcados como dados de baixa e as ordens como canceladas; a eliminação ou anonimização efetiva é atendida pelo canal único.

A eliminação/anonimização efetiva e a exportação por titular são prestadas mediante solicitação pelo canal único da Cláusula 13, não como autosserviço dentro da plataforma.

7.3 Cancelamento com bloqueio e supressão efetiva. O direito de cancelamento com bloqueio é exigível no México (art. 24 LFPDPPP) e o direito de supressão o é na Colômbia (art. 8.e Lei 1581), no Brasil (art. 18-VI LGPD), no Equador (art. 18 LOPDP) e no Peru (art. 20 Lei 29733). Mediante solicitação do titular ou do Controlador pelo canal único, a Makatea aplica (i) o bloqueio do dado após o cancelamento (cessação do tratamento conservando o dado para a apuração de responsabilidades durante o prazo legal) e (ii) a eliminação ou anonimização definitiva dos dados pessoais, incluindo, no que for aplicável, os registros append-only (registro de auditoria e interações), os backups e sua propagação aos suboperadores, salvo obrigação legal de conservação.

7.4 Segurança, avaliações de impacto e consultas à autoridade. A Makatea assiste razoavelmente o Cliente no cumprimento de suas obrigações de segurança e de notificação de incidentes. Em particular, com relação ao Relatório de Impacto à Proteção de Dados (RIPD/DPIA) do art. 38 da LGPD e às figuras equivalentes nas demais jurisdições, a Makatea fornece ao Cliente, em função da informação de que dispuser: (i) descrição dos fluxos de dados dentro da plataforma; (ii) categorias de dados tratadas (Cláusula 3); (iii) identidade e função dos suboperadores (Cláusula 8); (iv) descrição das medidas técnicas e administrativas e de seu alcance (Cláusula 6); e (v) descrição em alto nível dos tratamentos automatizados/perfilamento (Cláusula 7.5). Da mesma forma, assiste na consulta prévia à autoridade quando aplicável.

7.5 Tratamento automatizado e elaboração de perfis. As partes declaram expressamente que a plataforma realiza tratamento automatizado com elaboração de perfis: classifica as interações mediante modelos de aprendizado de máquina (ML), aprende preferências de canal e horário do titular e deriva um status do membro (p. ex., ativo / em risco / inadimplente / inativo). Em alto nível, a lógica consiste na categorização de mensagens e sinais de comportamento de pagamento/resposta para priorizar a gestão de carteira e a comunicação; essas derivações podem constituir perfilamento e, conforme seu uso, decisões que afetem o titular. Em consequência:

(a) A Makatea assiste o Cliente no atendimento ao direito do titular de não ser objeto de decisões automatizadas e à revisão das mesmas (LGPD art. 20; LOPDP art. 22; oposição a profiling art. 26 LFPDPPP México; tratamento objetivo Lei 29733 Peru; art. 22 RGPD).

(b) O Cliente é responsável por dar transparência ao perfilamento aos titulares em seu aviso/política de privacidade e por informar a lógica e as consequências, bem como por obter a base que corresponder.

(c) A Makatea disponibiliza ao Cliente a descrição em alto nível da lógica necessária para tal transparência.

8. Suboperadores (subencarregados) e sua autorização

8.1 Autorização geral e conteúdo do encargo. O Cliente autoriza a Makatea a recorrer aos suboperadores necessários para prestar o serviço. Cada suboperador trata os dados sob seus próprios termos e acordos de tratamento ou cláusulas-padrão, que se aplicam ao usar seu serviço e se incorporam por referência a este DPA; a Makatea responde perante o Cliente pela prestação do serviço por meio de tais suboperadores. No caso do suboperador de análise, ele recebe unicamente métricas agregadas e o nome da organização e, por obrigação contratual assumida sob seus termos comerciais, não treina modelos com os dados que recebe; o Cliente aceita tais termos ao usar o serviço, sem assinatura adicional.

Especificamente com relação aos Controladores colombianos, e para dar cumprimento ao contrato de transmissão do art. 25 do Decreto 1377/2013, a Makatea: (i) dá aplicação à Política de Tratamento do Cliente; (ii) cumpre os princípios da Lei 1581; (iii) guarda confidencialidade e segurança sobre a informação; e (iv) atende às consultas e reclamações dos titulares por conta do Controlador, dentro do prazo firme de assistência da Cláusula 7.1.

8.2 Lista de suboperadores atuais. Os suboperadores e fornecedores que intervêm no tratamento são:

A lista por função e país é publicada em https://makatea.ai/pt/legal/subencarregados. A identidade de cada suboperador, sua localização e o mecanismo de legitimação da transferência ficam à disposição do Cliente mediante solicitação. A Makatea informará o Cliente com antecedência razoável sobre qualquer inclusão ou substituição de suboperador, para que possa exercer o direito de objeção previsto nesta Cláusula.

A infraestrutura de mensageria do WhatsApp, hospedada nos Estados Unidos, é própria da Makatea para o envio e recebimento de mensagens e multimídia, não um terceiro suboperador independente. As transferências internacionais associadas regem-se pela Cláusula 9.

Cada suboperador aplica seus próprios termos e acordos de tratamento ou cláusulas-padrão, que se incorporam por referência conforme a Cláusula 8.1.

8.3 Notificação prévia de mudanças e oposição. A Makatea informa o Cliente da incorporação ou substituição de suboperadores com antecedência razoável e prévia, dando-lhe a oportunidade de se opor por motivos razoáveis e fundamentados em proteção de dados antes que o novo suboperador comece a tratar dados. O aviso é realizado por e-mail ao contato do Cliente e mediante publicação em https://makatea.ai/pt/legal/subencarregados, com pré-aviso mínimo de 30 dias corridos.

8.4 Devolução/eliminação pelos suboperadores. A Makatea instrui seus suboperadores a devolver ou eliminar os dados em termos equivalentes aos da Cláusula 12, na medida em que tecnicamente seja possível, incluídos os backups.

9. Transferências e fluxos transfronteiriços

9.1 A prestação do serviço implica transferências / comunicações / fluxos transfronteiriços de dados para os suboperadores da Cláusula 8 localizados nos Estados Unidos e para a infraestrutura própria da Makatea, também nos Estados Unidos. O processamento dos meios de pagamento em dinheiro ou transferência no México ocorre dentro do país, sem transferência internacional para Controladores mexicanos.

9.2 Essas transferências aos EUA são realizadas sob as cláusulas-padrão/contratuais incorporadas nos termos de cada fornecedor, que se aplicam ao usar seu serviço, e são informadas ao titular por meio da informação que a Makatea disponibiliza ao Cliente para seu aviso de privacidade. Por jurisdição:

• México: a relação com o Encarregado não constitui "transferência" (a transferência é entre controladores). As comunicações aos suboperadores são realizadas como remessas a encarregados; qualquer transferência a terceiros controladores requer base conforme os arts. 35-36 LFPDPPP.
• Colômbia: configura-se como transmissão internacional (Decreto 1377, art. 25), amparada mediante o contrato de transmissão cujo conteúdo taxativo consta da Cláusula 8.1 (aplicação da Política do Controlador, princípios da Lei 1581, segurança, confidencialidade e atendimento de consultas/reclamações), sem necessidade de declaração de conformidade da SIC.
• Brasil: a transferência internacional é amparada por mecanismo do art. 33 da LGPD e pela Resolução CD/ANPD nº 19/2024, mediante as cláusulas-padrão contratuais (SCC) da ANPD incorporadas nos termos dos fornecedores nos EUA e/ou o consentimento do titular quando aplicável.
• Equador: fluxo internacional conforme a LOPDP, seu Regulamento e a Resolução SPDP-SPD-2026-0004-R, amparado mediante cláusulas-tipo incorporadas nos termos dos fornecedores, mantendo o registro de transferências disponível para a SPDP.
• Peru: fluxo transfronteiriço conforme a Lei 29733 e o DS 016-2024-JUS, amparado mediante cláusulas-modelo / garantias apropriadas incorporadas nos termos dos fornecedores; a Makatea fornece ao Controlador a documentação de respaldo disponível.
• União Europeia, Espaço Econômico Europeu e Reino Unido: as transferências aos Estados Unidos são amparadas pelas cláusulas contratuais-tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914, módulos 2 e 3) e pelo anexo britânico, conforme o Anexo UE e Reino Unido deste DPA.

9.3 A Makatea disponibiliza ao Cliente a informação razoavelmente necessária para que este informe as transferências em seu aviso/política de privacidade e, se for o caso, obtenha o consentimento do titular.

10. Notificação de incidentes de segurança

10.1 A Makatea notifica o Cliente após tomar conhecimento de um incidente ou violação de segurança que afete os dados pessoais tratados por conta do Cliente, dentro do prazo firme da Cláusula 10.4, a fim de que o Cliente possa cumprir suas obrigações de notificação à autoridade e aos titulares dentro dos prazos legais.

10.2 A notificação inclui, na medida em que se disponha: natureza do incidente, categorias e número aproximado de titulares e registros afetados, dados comprometidos, consequências prováveis e medidas adotadas ou propostas.

10.3 Prazos legais relevantes que o Cliente deve poder cumprir e para os quais a Makatea presta assistência oportuna:

• Peru: notificação à APDP do MINJUSDH dentro de 48 horas a contar da detecção (DS 016-2024-JUS), e aos titulares quando seus direitos forem comprometidos.
• Colômbia: aviso de incidentes à SIC (Lei 1581, art. 17 lit. n).
• Brasil: comunicação à ANPD e aos titulares em prazo razoável (art. 48 da LGPD).
• México: comunicação ao titular de violações que afetem significativamente seus direitos (art. 19 LFPDPPP).
• Equador: notificação de incidentes conforme a LOPDP e seu Regulamento.
• União Europeia e Reino Unido: notificação à autoridade de controle em até 72 horas quando cabível (art. 33 RGPD) e aos titulares quando o risco for elevado (art. 34 RGPD).

10.4 Prazo firme de notificação da Makatea ao Cliente. A Makatea notifica o Cliente dentro das vinte e quatro (24) horas seguintes à detecção do incidente, pelo canal único de contato, prazo concebido para deixar ao Cliente margem real para cumprir o dever de notificação à APDP do MINJUSDH (Peru) dentro de 48 horas, o prazo de 72 horas do art. 33 do RGPD e os demais prazos da Cláusula 10.3.

10.5 Com relação aos Controladores colombianos, a Makatea fornece a informação dentro do prazo firme de 3 dias úteis estabelecido na Cláusula 7.1, de modo que o Cliente possa cumprir os prazos de consultas (10 dias úteis, prorr. 5) e reclamações (15 dias úteis, prorr. 8), e dá suporte ao mecanismo pelo qual o Cliente deve poder marcar a "reclamação em trâmite" enquanto esta não for resolvida.

11. Auditoria e inspeção

11.1 A Makatea disponibiliza ao Cliente a informação razoavelmente necessária para demonstrar o cumprimento das obrigações deste DPA e permite e contribui para auditorias e inspeções, incluída a possibilidade de que o Cliente ou um auditor independente por ele designado (sujeito a confidencialidade) as realize.

11.2 As auditorias são realizadas com aviso prévio razoável, em horário comercial, sem afetar indevidamente a operação da Makatea e sem comprometer a segurança ou a confidencialidade dos dados de outros clientes. Condições operacionais: pré-aviso mínimo de 30 dias corridos, frequência máxima de uma auditoria por ano (salvo requerimento de autoridade ou incidente comprovado), e os custos razoáveis de auditorias presenciais adicionais a cargo do Cliente; coordenação pelo canal único de contato.

11.3 Como apoio operacional, o Cliente dispõe, dentro da plataforma, do registro append-only no nível da aplicação (Cláusula 6.5) e da função de conciliação com registro de ações, usuário atuante e cliente afetado, que é um registro operacional.

12. Devolução e eliminação ao término

12.1 No término do Contrato Principal, e a seu critério como Cliente, a Makatea devolve ou elimina os dados pessoais tratados por conta do Cliente, salvo quando a legislação aplicável exigir sua conservação.

12.2 Devolução. Você pode exportar seus dados mediante as funções de exportação para CSV disponíveis na plataforma. Adicionalmente, mediante solicitação pelo canal único, a Makatea realiza a exportação dos dados em formato estruturado e de leitura automática, dentro dos 30 dias seguintes ao encerramento da conta.

12.3 Eliminação. Mediante solicitação pelo canal único, a Makatea realiza a eliminação ou anonimização efetiva dos dados pessoais ao término da relação, conforme a política de retenção e prazos da Cláusula 2.4, incluindo, no que for aplicável, os registros append-only (registro de auditoria e interações), os backups e sua propagação aos suboperadores, salvo obrigação legal de conservação. Isso satisfaz o direito de supressão (CO art. 8.e; BR art. 18-IV/VI; EC art. 18; PE art. 20; União Europeia e Reino Unido art. 17 RGPD) e o cancelamento com bloqueio (MX art. 24).

12.4 A Makatea instrui seus suboperadores a devolver ou eliminar os dados em termos equivalentes, na medida em que tecnicamente seja possível, incluídos os backups.

13. Registros de atividades, identificação e obrigações registrais

13.1 Registro de atividades do operador (RoPA/RAT). A Makatea, como operador/encarregado, mantém seu próprio registro de operações/atividades de tratamento e o disponibiliza ao Controlador e à autoridade quando o requererem, conforme o art. 37 da LGPD (RoPA) no Brasil, os arts. 38 e ss. da LOPDP e seu Regulamento (RAT e registro de transferências) no Equador e, no Peru, a documentação interna das operações de tratamento do encarregado conforme o DS 016-2024-JUS (disponível para a APDP mediante requerimento), bem como as figuras equivalentes nas demais jurisdições. Este registro é adicional ao registro de bancos de dados que cabe ao Controlador.

13.2 Obrigações registrais do Controlador. O Controlador é responsável pela inscrição de bancos de dados e demais obrigações registrais quando aplicáveis: RNBD na Colômbia quando ultrapassar o limite do Decreto 090 de 2018 (ativos > 100.000 UVT) e designação de área de atendimento de direitos; RNPDP no Peru e avaliação da designação de Oficial de Dados Pessoais (ODP) conforme escala de vendas e tipo de tratamento (DS 016-2024-JUS); e demais registros locais. A Makatea lhe fornece a informação de tratamento que necessitar para tanto.

13.3 Aviso de privacidade do Controlador. O Cliente, como Controlador, deve dispor de aviso de privacidade (simplificado e integral) conforme os arts. 15-16 LFPDPPP (México) e figuras equivalentes, e disponibilizá-lo ao titular antes ou no momento da coleta. A Makatea lhe fornece a informação de tratamento necessária para elaborá-lo (dados, finalidades, transferências/suboperadores, perfilamento da Cláusula 7.5).

13.4 Designação de contato / Encarregado de Proteção de Dados. Cada parte designa um ponto de contato para assuntos de proteção de dados. As partes reconhecem as obrigações de designação conforme a jurisdição do Controlador: pessoa ou departamento de dados pessoais (México, art. 29 LFPDPPP); Encarregado/DPO de divulgação pública (Brasil, art. 41 da LGPD); Delegado de Proteção de Dados quando exigível (Equador, art. 47 LOPDP; Peru, DS 016-2024-JUS); e pessoa/área responsável pelo atendimento de direitos (Colômbia, Decreto 1377).

13.5 Contato de dados / DPO da Makatea. O canal único de contato para todas as jurisdições, e para que qualquer titular ou Controlador exerça seus direitos, é:

José Rodrigo Barrios Villa, rodrigo@makatea.ai

Este canal único atende, entre outros, às funções de: Departamento de Privacidade (México, art. 29 LFPDPPP); canal de PQR (Colômbia, Dec. 1377 art. 13); Encarregado/DPO (Brasil, art. 41 da LGPD) a cargo de José Rodrigo Barrios Villa; DPO (Equador, art. 47 LOPDP); e Oficial de Dados Pessoais (Peru), conforme resultar aplicável.

Designações e registros locais. A Makatea está constituída unicamente no México. Na medida em que a lei de outro país resultar aplicável por oferecer o serviço a pessoas em seu território, a Makatea atende aos direitos pelo canal único e cumpre as obrigações correspondentes. Quando a operação na União Europeia ou no Reino Unido o exigir, a Makatea designa o representante do artigo 27 do RGPD ou de seu equivalente britânico. Os registros ou designações locais (por exemplo, RNBD na Colômbia, RNPDP no Peru ou o registro de DPO perante a SPDP no Equador) são avaliados e realizados conforme haja operação efetiva em cada país.

14. Anexo UE e Reino Unido

Este anexo aplica-se quando o Controlador ou os titulares estão na União Europeia, no Espaço Econômico Europeu ou no Reino Unido.

14.1 Artigo 28 do RGPD. As Cláusulas 4 a 12 deste DPA cobrem as obrigações do artigo 28.3 do RGPD: instruções documentadas, confidencialidade, segurança, suboperadores, assistência com os direitos e a segurança, devolução ou eliminação e auditorias.

14.2 Cláusulas contratuais-tipo. Para as transferências aos Estados Unidos, as partes incorporam por referência as cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/914. Aplica-se o módulo 2 quando o Cliente é Controlador e o módulo 3 quando o Cliente é Operador de um terceiro. Os apêndices são completados com a informação das Cláusulas 2, 3, 6 e 8 deste DPA.

14.3 Reino Unido. Para as transferências a partir do Reino Unido incorpora-se o anexo internacional de transferência de dados emitido pelo ICO (International Data Transfer Addendum).

14.4 Lei e foro das cláusulas. As cláusulas contratuais-tipo regem-se pela lei do Estado-Membro nelas indicado. No restante rege a Cláusula 15.

15. Disposições finais

15.1 Lei aplicável e foro. Este DPA rege-se pelas leis dos Estados Unidos Mexicanos, e as partes se submetem à jurisdição dos tribunais competentes de Tepic, Nayarit, México, sem prejuízo das normas imperativas de proteção de dados do país do Controlador e dos titulares.

15.2 A nulidade de uma cláusula não afeta a validade das demais.

15.3 Qualquer modificação deste DPA é publicada em https://makatea.ai/pt/legal/dpa e comunicada conforme o Contrato Principal.

15.4 Aceite. Você aceita este DPA de forma eletrônica ao aceitar os Termos de Serviço e ao se cadastrar ou contratar a plataforma; fica incorporado por referência ao Contrato Principal, sem necessidade de assinatura de próprio punho nem ato de assinatura separado.

Operador: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (RFC SOB240719U87), Avenida del Valle 162, Col. Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México.

Contato único de privacidade / DPO / Encarregado (BR): José Rodrigo Barrios Villa, rodrigo@makatea.ai.

Versão pública: https://makatea.ai/pt/legal/dpa · Última atualização: 14 de outubro de 2026.

Idioma: este DPA é publicado em espanhol, inglês e português. Havendo divergência entre versões, prevalece a versão em espanhol.