Acordo de Tratamento de Dados

Qualificação das partes

As partes deste Acordo são qualificadas da seguinte forma para os fins da LGPD (Lei nº 13.709/2018) e da Resolução CD/ANPD nº 19/2024:

Para fins das transferências internacionais de dados previstas na Cláusula 4, a Hoop atua como Exportadora e cada subprocessador listado no Anexo I atua como Importador dos dados pessoais transferidos para sua respectiva finalidade.

Objeto e categorias de dados tratados

A Hoop trata os dados pessoais abaixo, por instrução e sob responsabilidade do Controlador, exclusivamente para prestar os serviços contratados:

A Hoop não trata categorias especiais de dados pessoais (art. 11 LGPD) no âmbito deste Acordo, salvo os dados de conversão hasheados processados via CAPI, que podem conter informações sensíveis de consumidores finais enviadas pelo Controlador — sendo o Controlador exclusivamente responsável pela licitude desse envio.

Finalidades, instruções de tratamento e períodos de retenção

A Hoop trata os dados pessoais listados na Cláusula 2 exclusivamente de acordo com as instruções documentadas do Controlador e para as seguintes finalidades:

3.1 Finalidades autorizadas

• Prestação do serviço contratado: autenticação, busca e exibição de métricas de campanhas, geração de predições e recomendações de otimização, aplicação de ajustes de orçamento mediante confirmação explícita do usuário, envio de eventos CAPI.
• Segurança e monitoramento: monitoramento de erros e anomalias da plataforma para garantir estabilidade e segurança dos dados.
• Cumprimento de obrigação legal: atender requisições de autoridades regulatórias quando legalmente exigido.

3.2 Instrução documentada

Ao conectar contas Meta de seus clientes finais à plataforma Hoop e ao configurar workspaces para cada cliente, o Controlador emite instrução documentada para que a Hoop acesse e processe os dados de campanha daquelas contas nos limites dos escopos OAuth concedidos. Qualquer tratamento fora dessas finalidades exigirá instrução escrita adicional do Controlador.

3.3 Períodos de retenção pelo Operador

Transferências internacionais — SCCs e garantias (LGPD art. 33, II)

Os subprocessadores listados no Anexo I com sede nos Estados Unidos da América (Anthropic, OpenAI, Stripe, AWS, Vercel e Sentry) recebem dados pessoais originados no Brasil. Essas transferências internacionais têm como base legal o art. 33, inciso II da LGPD, por meio de garantias contratuais adequadas.

4.1 Instrumento das garantias

A Hoop assegura que cada transferência para subprocessadores nos EUA é instrumentalizada por Cláusulas Contratuais Padrão (SCCs) conforme o modelo estabelecido pela Resolução CD/ANPD nº 19/2024, ou por instrumento contratual equivalente aprovado pela ANPD. Os contratos com cada subprocessador incorporam:

• A identificação de cada parte como Exportadora ou Importadora, conforme seu papel na cadeia de tratamento;
• As categorias de dados pessoais transferidos, as finalidades da transferência e o período de armazenamento, especificados por subprocessador conforme o Anexo I;
• Obrigações de proteção equivalentes às desta Política e ao padrão da LGPD;
• Direito da ANPD e do Controlador a auditar o cumprimento dessas obrigações, mediante notificação razoável.

4.2 Minimização nas transferências

A Hoop garante que cada subprocessador recebe apenas os dados estritamente necessários para sua finalidade específica:

• Anthropic e OpenAI: recebem exclusivamente métricas de campanha sem identificadores pessoais (sem nome, e-mail, token Meta ou qualquer PII);
• Sentry: recebe logs de exceção sanitizados, com remoção prévia de dados de usuário identificáveis;
• Stripe: recebe apenas os dados de faturamento necessários para processar o pagamento;
• AWS/Vercel: operam como infraestrutura de hospedagem e não processam dados além do necessário para entrega do serviço.

4.3 Disponibilidade dos instrumentos

Cópias dos instrumentos contratuais de transferência (SCCs e DPAs com subprocessadores) estão disponíveis para inspeção pelo Controlador mediante solicitação formal ao DPO em contato@hoopai.com.br, no prazo de 15 dias úteis. A disponibilização pode ser condicionada à assinatura de acordo de confidencialidade.

Obrigações do Operador (Hoop)

A Hoop assume as seguintes obrigações no tratamento dos dados por instrução do Controlador:

5.1 Tratamento conforme instruções

A Hoop tratará os dados pessoais listados na Cláusula 2 exclusivamente de acordo com as instruções documentadas do Controlador e para as finalidades estabelecidas na Cláusula 3. Se a Hoop entender que uma instrução viola a LGPD ou qualquer outra disposição legal, informará o Controlador imediatamente.

5.2 Confidencialidade

A Hoop garante que todos os colaboradores, prestadores de serviço e subprocessadores com acesso aos dados do Controlador estão vinculados por obrigações de confidencialidade e têm acesso restrito ao estritamente necessário para a execução de suas funções (princípio do menor privilégio).

5.3 Medidas de segurança técnica e organizacional

A Hoop implementa e mantém, conforme art. 46 da LGPD, medidas proporcionais ao risco do tratamento, incluindo:

• Criptografia em trânsito via TLS 1.3 em todas as comunicações;
• Tokens OAuth Meta armazenados com criptografia simétrica autenticada (Fernet — AES-128-CBC com HMAC-SHA256);
• Senhas de usuários processadas com Argon2 (vencedor da Password Hashing Competition);
• Isolamento multi-tenant — dados de workspaces distintos nunca se cruzam;
• Controle de acesso por titularidade de workspace;
• Monitoramento contínuo de erros e anomalias.

5.4 Suporte ao Controlador no exercício de direitos dos titulares

A Hoop fornecerá ao Controlador assistência razoável para que este possa cumprir suas obrigações quanto ao exercício dos direitos dos titulares previstos no art. 18 da LGPD. Especificamente:

• Responder a solicitações de acesso, retificação, portabilidade ou exclusão de dados em até 15 dias corridos a partir do recebimento da solicitação formal;
• Fornecer ao Controlador relatório de dados tratados referente a um titular específico, mediante solicitação justificada;
• Executar exclusão técnica de dados de um titular específico quando instruída pelo Controlador, nos limites do tecnicamente viável e ressalvadas as obrigações legais de retenção.

5.5 Registros de tratamento (art. 37 LGPD)

A Hoop mantém registro interno das atividades de tratamento de dados realizadas como Operador, disponível para consulta pela ANPD mediante requisição formal e para inspeção pelo Controlador mediante solicitação razoável.

Subprocessamento autorizado

O Controlador autoriza a Hoop a contratar os subprocessadores listados no Anexo I deste DPA para auxiliar na prestação dos serviços. Esta autorização é condicionada às seguintes garantias:

• Cada subprocessador recebe apenas os dados estritamente necessários para sua finalidade específica, conforme detalhado no Anexo I;
• A Hoop celebra com cada subprocessador um contrato de tratamento de dados que impõe obrigações equivalentes às deste DPA;
• A Hoop permanece responsável perante o Controlador pelos atos e omissões dos subprocessadores que causem não conformidade com este DPA;
• A Hoop notificará o Controlador com 30 dias de antecedência antes de incluir novos subprocessadores ou fazer alterações materiais nos subprocessadores existentes, dando ao Controlador a oportunidade de se opor. Caso o Controlador se oponha e a substituição não seja viável, as partes poderão rescindir este DPA com aviso razoável.

A lista vigente de subprocessadores está disponível em subprocessadores e no Anexo I deste DPA. A versão do Anexo I vinculada a este instrumento é a Versão 1.1 (05 de junho de 2026).

Atendimento de direitos dos titulares

O Controlador é o responsável primário pelo atendimento das solicitações de direitos dos titulares de dados (LGPD art. 18) referentes aos dados de seus clientes finais processados por meio da plataforma Hoop.

Quando a Hoop receber diretamente uma solicitação de titular referente a dados processados por instrução do Controlador, a Hoop:

• Notificará o Controlador da solicitação em até 3 dias úteis;
• Não atenderá a solicitação diretamente sem instrução do Controlador, salvo obrigação legal expressa;
• Fornecerá ao Controlador os dados técnicos necessários para que ele atenda a solicitação.

Para solicitações referentes a dados de conta e uso de titulares que são usuários diretos da plataforma Hoop (colaboradores da agência-cliente), a Hoop atenderá diretamente conforme a Política de Privacidade vigente.

Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante a titulares de dados cujo tratamento é regido por este DPA, a Hoop adota o seguinte procedimento:

• Detecção e contenção: ao identificar um incidente, a Hoop adota imediatamente medidas de contenção para limitar o dano e preservar evidências;
• Notificação ao Controlador: a Hoop notificará o Controlador em até 48 horas após a confirmação do incidente, com as informações disponíveis sobre: (a) natureza e categorias de dados afetados; (b) número aproximado de titulares; (c) consequências prováveis; (d) medidas adotadas ou propostas;
• Notificação à ANPD: a Hoop notificará a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, conforme art. 48 da LGPD e orientações vigentes da ANPD, coordenando com o Controlador quando o incidente envolver dados cujo Controlador é a agência-cliente;
• Comunicação aos titulares: a Hoop e o Controlador coordenarão a comunicação aos titulares afetados, com as informações previstas em lei, nos casos em que a ANPD ou a legislação exigir;
• Relatório pós-incidente: no prazo de 30 dias após a resolução, a Hoop fornecerá ao Controlador um relatório descrevendo as causas raiz identificadas e as medidas corretivas adotadas.

Encerramento do contrato — devolução e exclusão de dados

Ao término do contrato de prestação de serviços, por qualquer motivo:

• A Hoop disponibilizará ao Controlador, pelo prazo de 30 dias após o encerramento, ferramentas para exportação dos dados de campanha e configurações de workspace em formato estruturado (JSON/CSV);
• Após o prazo de exportação, a Hoop procederá à exclusão ou anonimização irreversível de todos os dados pessoais do Controlador e de seus clientes finais nos sistemas ativos, em até 30 dias;
• Backups rotativos serão excluídos no ciclo normal de rotação, em até 90 dias adicionais;
• Tokens OAuth Meta serão excluídos em até 24 horas após o encerramento, independentemente do prazo acima;
• Dados de faturamento serão retidos pelo prazo legal de 5 anos, conforme obrigação fiscal;
• A Hoop fornecerá ao Controlador, mediante solicitação, um certificado de exclusão confirmando a eliminação dos dados pessoais dos sistemas ativos.

As obrigações de confidencialidade e as cláusulas sobre incidentes de segurança sobrevivem ao encerramento deste DPA pelo prazo de 5 anos.

Vigência, alterações e lei aplicável

Este DPA entra em vigor na data de aceite pelo Controlador (seja por assinatura eletrônica, aceite dos Termos de Uso com DPA incorporado, ou uso continuado da plataforma Hoop após notificação de disponibilização deste instrumento) e permanece vigente enquanto durar o contrato de serviços.

A Hoop pode atualizar este DPA para refletir alterações na legislação, nas orientações da ANPD ou na base de subprocessadores, notificando o Controlador com 30 dias de antecedência para alterações materiais. O Controlador pode rescindir o contrato se não concordar com alterações materiais.

Este DPA é regido pelas leis da República Federativa do Brasil. As partes elegem o foro da Comarca de São Paulo, SP, para dirimir controvérsias.

Em caso de conflito entre este DPA e os Termos de Uso no que diz respeito ao tratamento de dados pessoais de terceiros, este DPA prevalece.

Lista versionada de subprocessadores (versão 1.1 — 05/06/2026)

Esta lista é parte integrante do DPA e atualizada conforme a Cláusula 6. A versão vigente está disponível em subprocessadores.