Anexo de Tratamento de Dados

Versão 1 · em vigor desde 17/09/2026

Este anexo é parte dos Termos de Uso e regula o tratamento dos dados pessoais dos visitantes dos sites dos nossos clientes.

1. Papéis das partes

1.1. Quem decide por que e como os dados dos visitantes são tratados é o Cliente, que atua como controlador (LGPD, art. 5º, VI).

1.2. A Dr. Criativo trata esses dados em nome do Cliente e conforme as instruções dele, como operadora (art. 5º, VII).

1.3. Quanto aos dados de cadastro do próprio Cliente, a Dr. Criativo é controladora — ver o Aviso de Privacidade.

2. Objeto, finalidade e duração

2.1. Tratamos dados pessoais apenas para prestar o serviço: exibir o aviso, bloquear tags antes do consentimento, registrar a decisão de cada visitante e manter esse registro disponível como prova para o Cliente.

2.2. O tratamento dura enquanto o contrato estiver vigente, respeitados os prazos de guarda do item 8.

2.3. Não usamos os dados dos visitantes para finalidade própria, não os vendemos, não os cedemos e não os usamos para publicidade.

3. O que é tratado

3.1. Visitantes do site do Cliente

Não são coletados: nome, e-mail, telefone, conteúdo de formulários, comportamento de navegação, nem identificador entre sites diferentes. O sal ser exclusivo por site impede cruzar o mesmo visitante entre clientes.

3.2. Inventário de cookies (escâner)

O aviso envia, de forma amostral, apenas nomes de cookies, nomes de chaves de armazenamento local e domínios de terceiros carregados, além da situação do consentimento naquele navegador. Nenhum valor de cookie é lido. Cada amostra guarda a impressão do IP (item 3.1), apagada em 30 dias, apenas para limitar envios repetidos.

3.3. Pedidos de titulares

Nome, e-mail, tipo do pedido e o que a pessoa escrever na página de direitos, para encaminhar ao Cliente e acompanhar o prazo.

4. Instruções do controlador

4.1. As instruções do Cliente são dadas pela configuração do painel: categorias, lista de cookies, textos, domínios autorizados e documentos.

4.2. Só tratamos dados fora dessas instruções se houver obrigação legal, caso em que informamos o Cliente antes, salvo vedação legal.

5. Segurança

• tráfego sempre em HTTPS;
• senhas guardadas apenas como hash;
• IP dos visitantes guardado apenas como hash com sal por site;
• isolamento entre clientes aplicado na própria consulta ao banco;
• registro de consentimento aceito somente de domínios autorizados pelo Cliente;
• proteção contra CSRF, freio de tentativas de login e encerramento de sessões na troca de senha;
• trilha de auditoria das ações administrativas;
• cópia de segurança diária, com restauração testada;
• monitoramento externo e verificação diária da instalação.

Ainda não há verificação em duas etapas nem criptografia do banco em repouso.

6. Suboperadores

O Cliente autoriza os suboperadores abaixo. Mudanças são comunicadas com 30 dias de antecedência, e o Cliente pode rescindir sem ônus se não concordar.

Não há transferência internacional dos dados dos visitantes: eles ficam em servidor no Brasil.

7. Direitos dos titulares

7.1. Quem responde ao titular é o Cliente, como controlador.

7.2. A Dr. Criativo auxilia: hospeda a página de direitos, encaminha os pedidos ao Cliente, fornece consulta e exportação dos registros e executa exclusões solicitadas em até 5 dias úteis do pedido do Cliente.

7.3. Recebendo um pedido diretamente, encaminhamos ao Cliente e não respondemos em nome dele.

8. Guarda e eliminação

8.1. Encerrado o contrato, os dados ficam disponíveis para exportação por 30 dias e depois são eliminados, exceto o que precise ser guardado por obrigação legal ou para exercício regular de direitos.

8.2. Dados em cópias de segurança são eliminados no ciclo normal de rotação.

9. Incidentes de segurança

9.1. Havendo incidente que possa acarretar risco ou dano relevante aos titulares, comunicamos o Cliente em até 48 horas do conhecimento do fato, informando o que aconteceu, quais dados foram afetados e as medidas tomadas.

9.2. A comunicação à ANPD e aos titulares cabe ao Cliente, como controlador, com o nosso apoio.

10. Comprovação e auditoria

10.1. Fornecemos, mediante pedido razoável e uma vez por ano, as informações necessárias para demonstrar o cumprimento deste anexo.

10.2. Auditoria presencial ou por terceiro contratado pelo Cliente pode ser feita mediante aviso de 30 dias, em horário comercial, sem prejudicar a operação, às custas do Cliente.

11. Responsabilidade

As partes respondem nos termos dos artigos 42 a 45 da LGPD.

Como a plataforma funciona, em cinco linhas

1. O aviso é um arquivo JavaScript servido pela plataforma e instalado no site

do Cliente; ele bloqueia as tags antes de qualquer rastreamento.

1. Quando o visitante decide, o navegador envia a decisão direto para a

plataforma, que só aceita o envio vindo de um domínio autorizado.

1. O registro é gravado em tabela somente de acréscimo: não há edição nem

exclusão de registro de consentimento pelo painel.

1. O IP é transformado em hash com sal exclusivo do site, e o original é

descartado.

1. Os documentos aceitos ficam guardados com o texto exato e impressões digitais

que provam que ele não mudou depois.