Acordo de Processamento de Dados (DPA)
Última atualização: 31 de julho de 2026
Este Acordo de Processamento de Dados ("DPA") descreve como a NYVO e seus subprocessadores coletam, armazenam e tratam dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e, na medida aplicável, com o Regulamento Geral de Proteção de Dados da União Europeia (GDPR — Reg. UE 2016/679).
1. Controlador de dados
O controlador dos dados pessoais tratados na plataforma NYVO é o titular da conta de proprietário (owner) do site. A NYVO atua como operadora dos dados em relação aos usuários finais cadastrados na plataforma, nos termos do art. 5º, X da LGPD.
2. Finalidades e bases legais
Os dados pessoais são tratados exclusivamente para as seguintes finalidades:
- Criação e exibição do perfil público do usuário.
- Autenticação e controle de sessão (incluindo 2FA para contas PRO).
- Processamento de pagamentos e emissão de cobranças PIX.
- Envio de comunicações transacionais (confirmação de e-mail, 2FA, suporte).
- Geração de estatísticas de acesso ao perfil (agregadas e não identificáveis).
- Cumprimento de obrigações legais e regulatórias.
3. Subprocessadores
A NYVO utiliza os seguintes subprocessadores para operar a plataforma. Cada um está vinculado a contratos DPA equivalentes e adota medidas técnicas e organizacionais compatíveis com a LGPD e o GDPR.
| Subprocessador | Função | Dados tratados | Localização | Base legal |
|---|---|---|---|---|
| Supabase, Inc. | Banco de dados, autenticação e armazenamento de arquivos | E-mail, senha (hash), perfil público, links, pagamentos, logs de sessão | EUA (AWS us-east-1) | Legítimo interesse operacional / execução de contrato (LGPD art. 7º, II e IX) |
| Asaas Pagamentos S.A. | Processamento de pagamentos PIX (PCI DSS terceirizado) | Nome, CPF/CNPJ, e-mail, valor do pagamento | Brasil | Execução de contrato (LGPD art. 7º, V) — PCI DSS certificado nível 1 |
| Resend, Inc. | Envio transacional de e-mails (confirmações, 2FA, suporte) | Endereço de e-mail, conteúdo do e-mail transacional | EUA | Execução de contrato / legítimo interesse (LGPD art. 7º, II e IX) |
| Vercel, Inc. | Hospedagem da aplicação, CDN e armazenamento de arquivos (Blob) | Requisições HTTP (IP, headers), arquivos de mídia do perfil | EUA / Edge global | Legítimo interesse operacional (LGPD art. 7º, IX) |
4. Transferências internacionais
Dados tratados por subprocessadores localizados fora do Brasil (Supabase, Resend, Vercel) são transferidos com base nas cláusulas contratuais padrão (Standard Contractual Clauses — SCCs) e/ou pelo enquadramento de adequação previsto no art. 33 da LGPD. A Asaas opera integralmente no Brasil.
5. Retenção e exclusão
Os dados pessoais são retidos enquanto a conta do usuário estiver ativa. Após o encerramento, os dados são anonimizados ou excluídos em até 90 dias, salvo obrigação legal de retenção (ex.: registros fiscais — 5 anos). Logs de auditoria de segurança são retidos por 12 meses.
6. Segurança
A plataforma adota as seguintes medidas técnicas e organizacionais de segurança: criptografia em trânsito (TLS 1.2+), hash de senhas (bcrypt), autenticação de dois fatores (2FA) para contas PRO, rate-limiting e WAF no edge, auditoria de ações sensíveis com registro imutável, Row Level Security (RLS) no banco de dados e acesso de produção restrito ao service-role key.
7. Direitos dos titulares
Nos termos dos arts. 17 a 22 da LGPD, os titulares de dados têm direito a: confirmação de tratamento, acesso, correção, anonimização/bloqueio/exclusão, portabilidade, informação sobre compartilhamento, revogação de consentimento e oposição. Exerça seus direitos pelo painel do usuário ou pelo suporte.
8. Contato e encarregado (DPO)
Para questões relacionadas ao tratamento de dados pessoais, entre em contato pelo canal de suporte. Atualizações neste DPA serão comunicadas por e-mail e publicadas nesta página com pelo menos 15 dias de antecedência.