Acordo de tratamento de dados (DPA)

Este acordo ("DPA") faz parte dos Termos de uso e regula o tratamento de dados pessoais que a Wunka faz em nome do cliente quando presta o Couryo. Ele vale automaticamente para toda conta, a partir do aceite dos Termos, e dura enquanto houver tratamento de dados do cliente.

1. Partes e papéis#

• Cliente: quem tem a conta no Couryo. É o controlador dos dados pessoais dos seus destinatários e contatos: decide para quem envia, o quê e por quê.
• Wunka: Wunka Consultoria e Digital Solutions LTDA, CNPJ 60.431.942/0001-56, Rua das Angélicas, 325, Canoas (RS), CEP 92025-770. É a operadora: trata os dados só para prestar o serviço, conforme as instruções do cliente.

Para os dados da própria conta do cliente (cadastro, cobrança, acesso), a Wunka é controladora, e vale a Política de privacidade.

Os termos "dado pessoal", "titular", "tratamento", "controlador", "operador", "incidente de segurança" e "ANPD" têm o sentido da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD). "Subprocessador" é o terceiro que a Wunka contrata para tratar dados do cliente.

2. Objeto do tratamento#

O detalhe está no Anexo I. Em resumo, a Wunka armazena, envia e registra os e-mails do cliente, recebe e registra os eventos de entrega, mantém a lista de supressão, os contatos e os templates, analisa conteúdo e links de forma automática para prevenir abuso e executa os recursos de IA que o cliente usar.

3. Instruções do controlador#

• As instruções do cliente são estes Termos, este DPA e o que ele configura e envia pelo painel, pela API, pelo SMTP e pelo MCP.
• A Wunka só trata os dados conforme essas instruções, salvo quando a lei exigir outro tratamento. Nesse caso, avisa o cliente antes, se a lei permitir.
• Se a Wunka entender que uma instrução viola a LGPD ou outra lei, avisa o cliente e pode deixar de cumpri-la.
• A Wunka não vende os dados do cliente, não os usa para os próprios fins de marketing e não usa o conteúdo dos e-mails para treinar modelos de IA. Pode usar dados agregados e sem identificação para operar, proteger e melhorar o serviço, como medir taxas de entrega por provedor.

4. Obrigações do cliente#

O cliente garante que:

• tem base legal pela LGPD para tratar os dados que envia ao Couryo e para pedir o envio de cada e-mail;
• informou aos titulares o que precisa ser informado, inclusive sobre o uso de um operador no exterior;
• suas instruções são lícitas e seguem a Política de uso aceitável e de suspensão;
• não envia dados pessoais sensíveis (como saúde, religião, biometria) ou de crianças pelo Couryo sem necessidade e sem base legal específica.

5. Confidencialidade#

• Só têm acesso aos dados do cliente as pessoas da Wunka que precisam dele para prestar o serviço, dar suporte ou investigar abuso, e todas têm dever de confidencialidade.
• O acesso interno é por função, exige verificação em duas etapas e fica registrado: cada ação e cada exibição de endereço ou de conteúdo exige motivo e entra no registro de auditoria.
• Nas telas da equipe, os endereços dos destinatários aparecem mascarados.

6. Subprocessadores#

• O cliente autoriza a Wunka a usar subprocessadores para prestar o serviço. A lista por categoria está no Anexo III. Quem é cliente pode pedir a lista nominal por e-mail.
• A Wunka exige de cada subprocessador, por contrato, obrigações de proteção de dados no mínimo equivalentes às deste DPA, e continua responsável perante o cliente pelo que ele fizer.
• Aviso de mudança com 30 dias. Antes de incluir ou trocar um subprocessador, a Wunka avisa por e-mail as contas e atualiza esta página com pelo menos 30 dias de antecedência.
• Direito de objeção. O cliente pode se opor, com motivo razoável ligado à proteção de dados, dentro desses 30 dias. As partes buscam uma solução; se não houver, o cliente pode encerrar a conta, com reembolso proporcional do que foi pago e não usado.
• Em emergência de segurança ou de continuidade do serviço, a troca pode ser feita antes, com aviso imediato e o mesmo direito de objeção.

7. Segurança#

A Wunka mantém medidas técnicas e administrativas adequadas para proteger os dados contra acesso não autorizado, perda, alteração e vazamento, descritas no Anexo II, e as revisa conforme o serviço evolui.

8. Incidentes de segurança#

• A Wunka avisa o cliente em até 48 horas depois de confirmar um incidente de segurança que envolva dados do cliente.
• O aviso traz, na medida do que já se sabe: o que aconteceu, quando, os dados e os titulares afetados (categorias e quantidade aproximada), os riscos, as medidas tomadas e as recomendadas, e um contato. As informações que faltarem são enviadas assim que estiverem disponíveis.
• A Wunka ajuda o cliente no que for razoável para que ele faça as comunicações à ANPD e aos titulares que cabem ao controlador.
• O aviso de um incidente não significa reconhecimento de culpa.

9. Ajuda ao controlador#

• Pedidos de titulares: o painel e a API permitem consultar, corrigir e apagar contatos, apagar mensagens e incluir endereços na supressão. Se a Wunka receber um pedido de titular sobre dados do cliente, encaminha ao cliente em até 5 dias úteis e não responde no lugar dele, salvo instrução.
• Relatório de impacto e consultas à ANPD: a Wunka fornece as informações razoáveis sobre o tratamento que o cliente precisar.

10. Auditoria razoável#

• A Wunka fornece, a pedido, as informações necessárias para demonstrar o cumprimento deste DPA, como descrições das medidas de segurança e respostas a questionários.
• Se isso não bastar, o cliente pode fazer uma auditoria até uma vez por ano, com 30 dias de aviso, em horário comercial, sem acesso a dados de outros clientes, com dever de confidencialidade e por conta do cliente. A auditoria é feita primeiro por documentos e reuniões remotas.
• Uma auditoria adicional é possível depois de um incidente que afete o cliente ou quando a ANPD exigir.

11. Transferência internacional#

• Os servidores do Couryo e os subprocessadores ficam fora do Brasil, principalmente nos Estados Unidos. Ao contratar o serviço, o cliente autoriza a transferência dos dados para esses países.
• Para essas transferências, a Wunka adota os mecanismos do art. 33 da LGPD: as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), que se aplicam entre o cliente e a Wunka por força deste DPA, e garantias contratuais equivalentes com os subprocessadores.
• Se a ANPD mudar as regras ou um mecanismo deixar de valer, a Wunka adota outro mecanismo válido e avisa o cliente.
• Clientes do plano Empresa podem assinar as cláusulas-padrão em instrumento próprio.

12. Devolução e eliminação ao fim#

• Durante a conta, o cliente pode copiar e apagar os seus dados pelo painel e pela API a qualquer momento.
• Depois do encerramento, o cliente mantém o acesso de leitura por 30 dias para copiar os dados, salvo em fraude ou quando a lei impedir.
• Em seguida, a Wunka apaga os dados do cliente em até 30 dias. As cópias de segurança são substituídas em até 30 dias depois disso.
• A Wunka pode guardar o que a lei mandar, pelo prazo legal, sem usar esses dados para outro fim.
• A pedido, a Wunka confirma a eliminação por escrito.

13. Responsabilidade e prevalência#

• Cada parte responde pelos danos que causar, nos termos dos arts. 42 a 45 da LGPD. Os limites de responsabilidade dos Termos se aplicam na medida que a lei permitir.
• Em assunto de proteção de dados, este DPA prevalece sobre os Termos. Um DPA assinado do plano Empresa prevalece sobre este no que for diferente.
• Se houver diferença entre a versão em português e a versão em inglês, vale a versão em português.

14. Contato#

Encarregado pelo tratamento de dados pessoais (DPO): Kelvin Batista Biffi Leote, privacidade@couryo.com.

Anexo I: detalhes do tratamento#

Anexo II: medidas de segurança#

• Criptografia em trânsito (TLS) no site, no painel, na API, no SMTP e nos webhooks; webhooks assinados.
• Chaves de API guardadas só como hash; segredos de verificação em duas etapas criptografados.
• Verificação em duas etapas para clientes e obrigatória para a equipe; acesso interno por função e registro de auditoria.
• Endereços de destinatários mascarados nas telas da equipe; dados de erros técnicos sem conteúdo nem endereços de e-mail.
• Servidores com acesso só por chave, firewall, bloqueio automático de tentativas de invasão e atualizações automáticas de segurança.
• Isolamento da reputação de envio por conta e limites por nível de confiança.
• Cópias de segurança diárias, guardadas fora do servidor principal, com teste periódico de restauração.
• Retenção limitada por plano e limpeza automática todas as noites.

Anexo III: subprocessadores por categoria#