Acordo de Tratamento de Dados (DPA) | Kamalios

Última atualização / vigência: 22/06/2026

Este Acordo de Tratamento de Dados Pessoais ("DPA") é um anexo B2B que integra os Termos de Uso e a Política de Privacidade do Kamalios. Ele governa o tratamento de dados pessoais de terceiros (ex.: clientes, funcionários, fornecedores) que o Usuário insere na Plataforma, na qualidade de Controlador, e que o Kamalios trata como Operador (LGPD, arts. 5º, VI e VII; 37–40).

---

Índice

---

1. Partes e papéis

1.1. Operador: CODACTUS DESENVOLVIMENTO DE SOFTWARE LTDA ("Kamalios"), CNPJ 59.934.842/0001-63, São Paulo/SP.

1.2. Controlador: a pessoa física ou jurídica titular da Conta na Plataforma ("Usuário").

1.3. Ao aceitar os Termos de Uso e inserir dados pessoais de terceiros na Plataforma, o Usuário adere a este DPA e declara ter base legal para o tratamento que realiza como Controlador (LGPD, art. 7º ou 11).

2. Dados tratados pelo Operador

O Operador trata, em nome do Controlador, os dados pessoais inseridos pelo Usuário na Plataforma, que podem incluir: nome, CPF/CNPJ, CNPJ, e-mail, telefone, endereço, data de nascimento, dados financeiros operacionais e observações de clientes, contatos ou outros cadastros. O Operador não insere nem modifica esses dados por iniciativa própria.

3. Dados pessoais sensíveis — vedação

A Plataforma não se destina ao tratamento de dados pessoais sensíveis (LGPD, art. 5º, II), incluindo dados de saúde, genéticos, biométricos, de vida sexual, origem racial/étnica, convicção religiosa ou opinião política. É vedado ao Controlador inserir dados sensíveis, inclusive em campos de texto livre. Caso o faça, fazê-lo-á por sua conta e risco e o Operador reserva-se o direito de removê-los e suspender o acesso.

4. Finalidade e instruções

4.1. O Operador trata os dados exclusivamente para prestar o Serviço conforme contratado e nas finalidades descritas neste DPA e nos Termos. Qualquer tratamento adicional exige instrução documentada do Controlador (art. 39).

4.2. Finalidades permitidas ao Operador:

• Armazenar, exibir e processar os dados para as funcionalidades da Plataforma (cadastros, documentos, transações, relatórios, exportações);

• Realizar backups e garantir a disponibilidade e integridade dos dados;

• Suporte técnico ao Usuário, quando necessário para resolver incidentes;

• Cumprir obrigações legais impostas ao Operador.

5. Sub-operadores autorizados

O Operador pode subcontratar o tratamento apenas com os sub-operadores listados abaixo, os quais se obrigam a nível de proteção equivalente:

Sub-operador	Função	Local
Supabase	Banco de dados, armazenamento de arquivos e autenticação	Brasil (São Paulo)
HostGator	Hospedagem do site/app web	Brasil

O Controlador autoriza previamente esses sub-operadores ao aceitar este DPA. Alterações na lista serão comunicadas com antécedencia razoável, permitindo objeção fundamentada.

6. Transferência internacional

Os dados inseridos pelo Controlador são armazenados no Brasil (Supabase, região de São Paulo). Não há transferência internacional dos dados de terceiros inseridos pelo Controlador para sub-operadores fora do Brasil no escopo deste DPA. Quaisquer futuras transferências serão precedidas de salvaguardas (art. 33, LGPD) e comunicação ao Controlador.

7. Obrigações do Operador (LGPD, art. 39)

O Operador compromete-se a:

• Tratar os dados apenas por instrução do Controlador, salvo obrigação legal;

• Adotar medidas de segurança adequadas ao risco (criptografia em trânsito, controle de acesso, Row Level Security, trilhas de auditoria);

• Notificar o Controlador de incidentes relevantes que afetem seus dados, sem demora injustificada;

• Auxiliar o Controlador no atendimento de requisitos legais e de direitos de titulares, na medida em que os dados estão sob controle do Operador;

• Após encerramento do contrato, eliminar ou devolver os dados conforme instrução do Controlador, nos termos deste DPA.

8. Obrigações do Controlador

O Controlador declara e garante que:

• Possui base legal para o tratamento de todos os dados pessoais de terceiros que insere na Plataforma (LGPD, arts. 7º e 11);

• Informou os titulares sobre o tratamento, conforme os arts. 18 e 20 da LGPD;

• Não inserirá dados pessoais sensíveis (cláusula 3);

• Responde diretamente perante os titulares e a ANPD pelas operações de tratamento que realiza como Controlador.

9. Direitos dos titulares

Solicitações de titulares de dados inseridos pelo Controlador (ex.: solicitação de acesso, correção ou exclusão de um cliente do Usuário) devem ser direcionadas ao Controlador. O Operador, na medida do técnicamente possível, auxilia o Controlador no atendimento, inclusive disponibilizando as funções de exportação, edição e exclusão de registros no aplicativo.

10. Segurança e incidentes

10.1. O Operador adota as mesmas medidas de segurança descritas na Política de Privacidade, Seção 10, com o objetivo de proteger os dados do Controlador.

10.2. Em caso de incidente de segurança que afete dados do Controlador, o Operador comunicará o Controlador sem demora injustificada, fornecendo: descrição do incidente, dados afetados, provável impacto e medidas tomadas ou em andamento. O Controlador é responsável pela notificação à ANPD e aos titulares afetados (LGPD, art. 48), podendo contar com o auxílio do Operador nas informações que lhe couberem.

11. Retenção e exclusão

11.1. Os dados de terceiros inseridos pelo Controlador são eliminados quando o próprio Controlador os exclui (registro, Workspace ou Conta) pelo aplicativo, nos termos da Política de Privacidade, Seção 8.

11.2. Após o encerramento do contrato (cancelamento ou encerramento da Conta), os dados são eliminados conforme o procedimento de exclusão da Plataforma. O Controlador é responsável por exportar previamente quaisquer dados que precise preservar.

11.3. Dados retidos por obrigação legal ao Operador serão bloqueados e conservados apenas pelo prazo e finalidade legais.

12. Duração

Este DPA permanece em vigor enquanto o Controlador mantiver Conta ativa na Plataforma. O encerramento do contrato (exclusão de Conta ou término dos Termos) extingue automaticamente este DPA, ressalvadas as obrigações que, por sua natureza, devam subsistir (ex.: obrigações de sigilo, eliminação).

13. Contato e canal de privacidade

Operador — Kamalios:
Canal de privacidade e proteção de dados: privacidade@kamalios.com (canal mantido na forma do art. 11 da Resolução CD/ANPD nº 2/2022, em substituição à indicação formal de Encarregado).
CODACTUS DESENVOLVIMENTO DE SOFTWARE LTDA, CNPJ 59.934.842/0001-63, Av. Paulista, nº 1106, Andar 16, Sala 01, Bela Vista, CEP 01.310-914, São Paulo/SP.

Controlador: o próprio Usuário, responsável por manter canal de comunicação com os titulares dos dados que insere na Plataforma.