Acordo de tratamento de dados (DPA)

Última atualização: 1º de novembro de 2026.

1. Partes e aceite

Este Acordo é parte dos Termos de uso e vale entre:

• o Cliente: a pessoa física ou jurídica que cria e administra uma comunidade na Memberfy (o proprietário, por si ou pela empresa que representa); e
• a Memberfy: a LUMA VENTURES LTDA - ME, CNPJ 21.951.820/0001-39, para Clientes no Brasil, ou a Memberfy, Inc. (Delaware, nº 10796969), para Clientes fora do Brasil.

Ao criar uma comunidade ou continuar a administrá-la depois desta data, o Cliente aceita este Acordo. Se houver conflito entre este Acordo e os Termos sobre dados pessoais, vale este Acordo.

2. Definições

Os termos "dado pessoal", "tratamento", "titular", "controlador", "operador" e "incidente de segurança" têm o sentido da LGPD (Lei 13.709/2018) e, quando aplicável, os equivalentes do GDPR (Regulamento (UE) 2016/679): personal data, processing, data subject, controller, processor e personal data breach. Suboperador é o terceiro contratado pela Memberfy que trata Dados do Cliente. Dados do Cliente são os dados pessoais que a Memberfy trata em nome do Cliente ao prestar o serviço.

3. Papéis

3.1. Sobre os Dados do Cliente, o Cliente é controlador e a Memberfy é operadora.

3.2. A Memberfy é controladora independente dos dados da conta de quem administra a comunidade e dos dados que trata para finalidades próprias: autenticação, segurança e prevenção de fraude e abuso, cobrança da taxa da plataforma, KYC exigido pelo provedor de pagamento, cumprimento de obrigação legal e estatísticas agregadas da plataforma. Esse tratamento segue a Política de Privacidade, não este Acordo.

3.3. O Cliente garante que tem base legal para os dados que coloca na plataforma ou pede aos membros (inclusive campos e formulários próprios, importações e convites), que informa os membros sobre o tratamento e que suas instruções cumprem a lei.

4. Objeto, natureza e finalidade

A Memberfy trata os Dados do Cliente só para prestar o serviço contratado (hospedar a comunidade, os módulos que o Cliente liga, os pagamentos e as comunicações), conforme o Anexo 1, e pelo tempo de vigência dos Termos.

5. Instruções

5.1. A Memberfy trata os Dados do Cliente só segundo as instruções documentadas do Cliente. São instruções: os Termos, este Acordo e as configurações e ações que o Cliente e sua equipe fazem na plataforma (incluindo a API, o MCP, webhooks e integrações).

5.2. A Memberfy avisa o Cliente se, na sua avaliação, uma instrução violar a lei, e pode suspender aquela instrução até a confirmação. A exceção é o tratamento exigido por lei; nesse caso a Memberfy avisa o Cliente antes, salvo se a lei proibir.

6. Confidencialidade

Quem tem acesso aos Dados do Cliente na Memberfy tem obrigação de confidencialidade e acessa só o necessário para a sua função. As mensagens privadas entre membros não ficam acessíveis à equipe do Cliente por nenhuma tela, API ou assistente.

7. Segurança

A Memberfy mantém as medidas técnicas e organizacionais do Anexo 2, revistas periodicamente. O Cliente é responsável pela segurança do que está sob seu controle: senhas e acessos da sua equipe, papéis atribuídos, chaves de API, destinos de webhooks e integrações que configura.

8. Suboperadores

8.1. O Cliente autoriza, de forma geral, a Memberfy a contratar os Suboperadores do Anexo 3 e outros que venham a ser necessários.

8.2. A Memberfy avisa o Cliente de Suboperador novo ou substituído com antecedência, por e-mail ao proprietário ou na lista pública. O Cliente pode se opor por motivo razoável ligado à proteção de dados; se não houver solução, o Cliente pode encerrar o serviço afetado, e a Memberfy devolve o valor pago antecipado pelo período não usado.

8.3. A Memberfy impõe a cada Suboperador, por contrato, obrigações de proteção de dados no mínimo equivalentes às deste Acordo, e responde perante o Cliente pelo que ele fizer.

8.4. Não são Suboperadores os destinos que o próprio Cliente escolhe: os seus webhooks, o seu Google Analytics, as suas chaves de IA em automações, os assistentes de IA que cada pessoa conecta pela integração MCP e outras integrações ativadas pelo Cliente. Para esses, o Cliente é responsável pelo destino.

9. Direitos dos titulares

9.1. A Memberfy oferece na plataforma meios para o Cliente atender os titulares: ver, corrigir e exportar listas de membros, inscrições e respostas (CSV), remover membros e apagar conteúdo.

9.2. Se um titular escrever à Memberfy sobre Dados do Cliente, a Memberfy encaminha o pedido ao Cliente sem responder no mérito, salvo instrução do Cliente ou obrigação legal, e ajuda o Cliente no que a plataforma não permitir fazer sozinho.

10. Incidentes de segurança

10.1. A Memberfy avisa o Cliente sem demora indevida depois de confirmar um incidente que afete Dados do Cliente, com o que souber: natureza, categorias e volume aproximado de titulares e dados, consequências prováveis, medidas tomadas e contato.

10.2. A Memberfy apoia o Cliente nas comunicações à ANPD (Resolução CD/ANPD nº 15/2024) e às autoridades do GDPR (72 horas, art. 33) e aos titulares. O aviso não significa reconhecimento de culpa.

11. Apoio, avaliações de impacto e auditoria

11.1. A Memberfy fornece ao Cliente as informações razoáveis de que ele precise para relatórios de impacto (RIPD/DPIA) e consultas prévias às autoridades, sobre o tratamento que ela faz.

11.2. A Memberfy disponibiliza as informações necessárias para demonstrar o cumprimento deste Acordo. Auditoria no local, quando a lei a exigir ou após incidente relevante, depende de aviso com antecedência, no máximo uma vez por ano, em horário comercial, sem acesso a dados de outros clientes, com dever de confidencialidade e às custas do Cliente.

12. Transferência internacional

12.1. A Memberfy e os Suboperadores podem tratar Dados do Cliente fora do país do Cliente, principalmente nos Estados Unidos.

12.2. Para dados sujeitos à LGPD, as partes adotam as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024), incorporadas por referência. Para dados sujeitos ao GDPR, adotam as Cláusulas Contratuais Padrão da Comissão Europeia (Decisão 2021/914), Módulo 2 (controlador para operador) e Módulo 3 (operador para operador) quando cabível, e o UK Addendum para dados do Reino Unido, incorporados por referência, com as escolhas do Anexo 4.

13. Prazo, devolução e eliminação

13.1. Este Acordo vale enquanto a Memberfy tratar Dados do Cliente.

13.2. Ao fim do serviço, o Cliente pode exportar os dados que a plataforma permite exportar. Depois do encerramento, a pedido do Cliente, a Memberfy elimina ou anonimiza os Dados do Cliente, salvo o que precisar guardar por obrigação legal (por exemplo, registros fiscais, de pagamento e de KYC, e registros de acesso pelo Marco Civil), que fica restrito a essa finalidade.

14. Responsabilidade e lei aplicável

14.1. A responsabilidade de cada parte segue os Termos e a lei aplicável.

14.2. Para Clientes no Brasil vale a lei brasileira e a versão em português; para os demais, vale a versão em inglês, sem prejuízo das cláusulas-padrão, que seguem a lei que elas próprias indicam.

Anexo 1. Descrição do tratamento

Anexo 2. Medidas de segurança

Descritas em termos gerais; os detalhes são confidenciais.

• Conexões cifradas em trânsito; dados em provedores de nuvem com cifragem em repouso.
• Senhas guardadas só como hash; números de cartão nunca passam pelo armazenamento da Memberfy (tokenização no provedor de pagamento).
• Isolamento lógico entre comunidades e controle de acesso por papel (proprietário, administrador, moderador, financeiro, membro) checado no servidor em cada operação.
• Registros de auditoria das ações da equipe e das ações feitas por assistentes de IA conectados.
• Limite de tentativas e proteção contra automação em login e formulários públicos.
• Remoção de metadados de localização (EXIF) das imagens enviadas.
• Expurgo automático de dados de curta duração (eventos brutos de navegação em 30 dias, carrinhos abandonados em 90 dias, inscrições push inativas em 60 dias).
• Revisão de segurança das mudanças antes de cada promoção para produção e registro dos achados até a correção.
• Ambientes de teste sem envio real de e-mail, SMS ou WhatsApp.
• Acesso de pessoal restrito ao necessário.

Anexo 3. Suboperadores