Acordo de tratamento de dados (DPA)
31 de outubro de 2026
Este acordo vale entre a empresa cliente (a "Cliente", controladora dos dados) e a GrowRockets Consultoria em TI Ltda (a "GrowRockets", operadora) quando a GrowRockets trata dados pessoais por conta da Cliente no Radar de conversão. Ele faz parte dos Termos de uso e se aplica sozinho, quando a Cliente aceita os Termos. Quem precisar de uma cópia com contraparte assinada escreve para privacidade@growrockets.com.
Ele cumpre o art. 28 do GDPR e do UK GDPR, os arts. 39 e 42 a 46 da LGPD e, no que toca ao México, o dever de contrato entre responsável e encarregado da LFPDPPP.
1. Objeto, natureza e duração
A GrowRockets trata os dados pessoais necessários para a Cliente usar o Radar: guardar totais por mês e etapa, mostrar onde as pessoas travam, registrar pedidos e melhorias, gerir a equipe da Cliente e avisá-la. O tratamento dura enquanto a Cliente usar o serviço e termina como diz a cláusula 9.
Titulares: as pessoas da equipe da Cliente que usam o Radar (convidadas ou donas da conta). Dados: e-mail, nome, papel na empresa, data do último acesso e o conteúdo dos pedidos e recados que elas escrevem. O Radar foi feito para não receber dados pessoais dos clientes da Cliente: guarda só totais. A Cliente se compromete a não os enviar nem em campo livre.
Inteligência artificial: o que a GrowRockets manda a um provedor de IA são totais da empresa e texto público, nunca dado pessoal de titular. Hoje os totais da Cliente conectada ao Radar não vão para IA. Se passarem a ir, continuam sendo só totais, e a GrowRockets avisa a Cliente antes, pelo mesmo caminho da cláusula 5.
2. Instruções da Cliente
A GrowRockets trata os dados só conforme as instruções documentadas da Cliente: estes termos, este acordo e o uso que a Cliente faz das funções do produto. Se uma instrução parecer violar a lei de proteção de dados, a GrowRockets avisa a Cliente e pode suspender a execução até que ela confirme ou corrija.
3. Confidencialidade
As pessoas da GrowRockets que acessam os dados da Cliente estão sob dever de confidencialidade e só acessam o que o trabalho exige.
4. Segurança
A GrowRockets mantém medidas técnicas e organizacionais adequadas ao risco (GDPR art. 32, LGPD art. 46), descritas em /seguranca. Entre elas: isolamento por empresa no banco e testado, cifragem em trânsito e em repouso, cifragem própria de chaves e tokens, controle de acesso por papel, limites de uso, registro de erros sem dado pessoal e correção de falhas conhecidas. Podemos atualizar as medidas, nunca para um nível menor de proteção.
5. Suboperadores
A Cliente autoriza de forma geral os suboperadores da tabela abaixo. Com cada um, a GrowRockets usa o acordo de tratamento de dados que o próprio provedor oferece e responde pelos atos deles perante a Cliente.
Para incluir ou trocar um suboperador, a GrowRockets avisa a Cliente por e-mail, no endereço do dono da conta, antes da mudança. A Cliente pode se opor, por escrito, por motivo razoável de proteção de dados. Se não houver solução, a Cliente pode encerrar só o serviço afetado e receber de volta o valor pago pelo período que sobrar. Um prazo de aviso fixo, quando a Cliente precisar, entra na proposta.
| Empresa | Para quê | Dados | Onde |
|---|---|---|---|
| Supabase | Banco de dados, login e armazenamento de arquivos | Conta, totais por mês, pedidos, convites e contatos comerciais | Brasil (São Paulo) |
| Vercel | Hospedagem do site e das funções do servidor | Tudo o que passa pelo app, em trânsito, e os registros de acesso | Funções em São Paulo; páginas estáticas pela rede global de entrega |
| Resend | Envio de e-mails: convites de equipe e avisos | E-mail e nome de quem recebe, e o texto do aviso | EUA |
| Sentry | Monitoramento de erros | Mensagem e local do erro. Sem corpo de pedido, sem cookies e sem e-mail (removidos antes do envio) | EUA |
| Cloudflare (Turnstile) | Confere que quem envia um formulário público é uma pessoa | Sinais do navegador e endereço de IP, só nos formulários públicos | EUA e rede global |
| PostHog | Estatísticas de uso do app e do site | Cliques e telas vistas, só depois do seu consentimento. Nunca na demonstração | EUA |
| Anthropic | Responde às perguntas feitas ao Rocky na demonstração e lê o site no scan de receita | Totais e texto público: a pergunta e os números da tela da demonstração; no scan, o texto da página inicial do site e os totais digitados. Sem nome nem e-mail | EUA |
| Stripe | Pagamento por cartão, quando a empresa contrata um plano pago | Dados de cobrança. O número do cartão vai direto para a Stripe e nunca passa pelos nossos servidores | EUA e UE |
O que mandamos a um provedor de IA são totais da empresa e texto público, nunca dado pessoal. Hoje isso acontece em dois lugares, os dois com a Anthropic (EUA). No Rocky, o assistente da demonstração, vão a pergunta e os números da tela: das empresas de exemplo, que são fictícias, ou os que a própria pessoa digitou. Não guardamos a pergunta nem a resposta; contamos só quantas perguntas houve por dia, sem saber de quem. No scan de receita, vão o texto público da página inicial do site e os totais digitados (cadastros, pagantes e ticket médio); o e-mail de quem pede o relatório não vai. Os totais de uma empresa conectada ao Radar não vão para nenhum provedor de IA. Se isso mudar, continuam indo só totais, sem dado pessoal, e a empresa é avisada antes, como diz o DPA. Outros módulos da GrowRockets (Turbo e Ignite) também usam a Anthropic, e a OpenAI (EUA) para transcrever áudio.
6. Direitos dos titulares
Se um titular pedir à GrowRockets algo sobre dados que ela trata por conta da Cliente, a GrowRockets encaminha o pedido à Cliente sem demora e não responde por conta própria, salvo se a lei exigir. O Radar traz, em Configurações, as ferramentas para baixar, corrigir e apagar dados, e a GrowRockets ajuda a Cliente com o que faltar, em prazo razoável.
7. Ajuda com a conformidade da Cliente
Dentro das informações que tem, a GrowRockets ajuda a Cliente com avaliações de impacto à proteção de dados, consultas prévias à autoridade e com as obrigações de segurança e de aviso de incidente.
8. Incidente com dados pessoais
Se a GrowRockets souber de um incidente que afete dados pessoais da Cliente, avisa a Cliente sem demora indevida. O aviso diz, no que já se souber: o que aconteceu, quais dados e quantas pessoas, as consequências prováveis e o que está sendo feito. A GrowRockets coopera na investigação e na comunicação às autoridades e aos titulares, que é decisão da Cliente.
9. Devolução e eliminação
A Cliente pode baixar os dados quando quiser (Configurações, Privacidade e dados). Quando a Cliente encerra a conta, ou quando o contrato termina, a GrowRockets apaga os dados: os totais e pedidos do Radar na hora, o resto da empresa em até 7 dias, e o que estiver em cópias de segurança dos provedores no ciclo normal deles. A GrowRockets só guarda o que a lei mandar guardar, por exemplo registros de cobrança, e diz qual é a lei se a Cliente perguntar.
10. Auditorias e informações
A GrowRockets dá à Cliente as informações necessárias para mostrar conformidade com este acordo, por resposta ao questionário de segurança (peça em /seguranca). Uma auditoria além disso, quando a Cliente precisar, é combinada na proposta, por conta dela e sob confidencialidade. Hoje a GrowRockets não tem certificação SOC 2 nem ISO 27001.
11. Transferências internacionais
Os dados do Radar ficam em São Paulo. Os suboperadores fora do Brasil tratam dados sob os acordos de tratamento de dados e as cláusulas de transferência que eles mesmos oferecem.
Se a Cliente está na União Europeia, no Espaço Econômico Europeu, na Suíça ou no Reino Unido e precisar de cláusulas contratuais padrão assinadas com a GrowRockets, elas entram na proposta.
12. Responsabilidade, prazo e ordem
A responsabilidade de cada parte segue os limites dos Termos de uso, sem afastar o que a lei de proteção de dados não deixa limitar. Este acordo dura enquanto a GrowRockets tratar dados da Cliente. Em caso de conflito sobre dados pessoais, vale este acordo e, acima dele, as cláusulas padrão que forem assinadas na proposta.
Contato
Encarregado (DPO): Rony Lussari, privacidade@growrockets.com. Última atualização: 31 de outubro de 2026.
Veja também a Política de privacidade, os Termos de uso e a página de Segurança. Política de privacidade · Termos de uso · Segurança