Acordo de Processamento de Dados

Última atualização: 14 de outubro de 2026

Este Acordo de Processamento de Dados (“DPA”) é firmado entre a Aporia Research Ltd (número de empresa 17518971, registrada na Inglaterra e no País de Gales), London N22 8NL, Reino Unido (“nós”), que opera o Page Lemon, e você, o cliente. “Você” inclui qualquer pessoa que publique um site no Page Lemon, com ou sem conta. Este DPA integra nossos Termos de Serviço sempre que tratamos dados pessoais em seu nome. Você o aceita ao aceitar os Termos, ao publicar um site ou ao reivindicar um site em uma conta. Se este DPA e os Termos conflitarem em matéria de proteção de dados, este DPA prevalece.

1. Papéis

• Quanto aos dados pessoais que seus sites coletam ou contêm (“dados pessoais do cliente”), você é o controlador e nós somos seu processador. Se você age em nome de outra pessoa (por exemplo, uma agência que cria o site de um cliente), você é processador e nós somos seu subprocessador. O Anexo 1 lista os dados.
• Quanto aos dados da sua própria conta, de cobrança e de suporte, somos controladores. Nossa Política de Privacidade trata disso, não este DPA.
• “Lei de proteção de dados” significa o UK GDPR e o Data Protection Act 2018 e, quando se aplicar a você, o GDPR da UE (Regulamento (UE) 2016/679), bem como as leis que os substituam ou implementem. Termos como “controlador”, “processador”, “violação de dados pessoais” e “titular dos dados” têm o significado dado por essas leis.

2. Suas instruções

• Tratamos dados pessoais do cliente somente conforme suas instruções documentadas. Suas instruções são: este DPA e os Termos; as configurações que você escolhe no Page Lemon; e o que você, sua equipe ou um aplicativo de IA que você conecta pedem ao Page Lemon que faça por meio do aplicativo, da API ou do nosso servidor MCP. Instruções adicionais devem ser dadas por escrito (e-mail basta) e ser compatíveis com o funcionamento do serviço.
• Também podemos tratar dados pessoais do cliente quando a lei do Reino Unido (ou, para dados da UE, a lei da UE ou de um Estado-Membro) exigir. Nesse caso, avisamos você antes, a menos que essa lei proíba por motivos importantes de interesse público.
• Avisamos você imediatamente se acharmos que uma instrução viola a lei de proteção de dados. Não somos obrigados a segui-la até que seja confirmada ou alterada.
• Você é responsável por ter uma base legal para os dados que seus sites coletam, pelo seu próprio aviso de privacidade aos seus visitantes e pelo que você pede que seus formulários e páginas coletem.
• Não vendemos dados pessoais do cliente, não os usamos para publicidade, não os usamos para treinar modelos de IA nem os combinamos com dados de outros clientes.

3. Confidencialidade

Todas as pessoas que autorizamos a tratar dados pessoais do cliente estão sujeitas a confidencialidade, por contrato ou por lei. O acesso se limita a quem precisa dele para operar, proteger ou dar suporte ao serviço.

4. Segurança

• Mantemos as medidas técnicas e organizacionais do Anexo 2. Podemos alterá-las, mas não de modo que reduza a proteção geral.
• Você é responsável pela segurança do que está sob seu controle: seu login, seus tokens de API e links de reivindicação, as pessoas que você convida, os aplicativos de IA que você conecta e o conteúdo dos seus sites.

5. Subprocessadores

• Autorização geral. Você nos autoriza a usar os subprocessadores listados na nossa página de subprocessadores. Ela indica cada prestador, sua finalidade, os dados envolvidos e onde ele trata os dados.
• Aviso de mudanças. Pelo menos 14 dias antes de um subprocessador novo ou substituto começar a tratar dados pessoais do cliente, enviamos e-mail a todos os titulares de conta e atualizamos a página de subprocessadores. Sites publicados sem conta não têm endereço de e-mail, então, para eles, a página é o aviso.
• Objeção. Você pode se opor, por motivos razoáveis de proteção de dados, dentro desses 14 dias, enviando e-mail para support@pagelemon.com. Discutiremos o assunto de boa-fé. Se não conseguirmos resolver, você pode encerrar o plano pago afetado e reembolsamos o período pré-pago não utilizado.
• Mesmas obrigações. Cada subprocessador está vinculado por contrato escrito com obrigações de proteção de dados pelo menos tão protetivas quanto este DPA. Continuamos responsáveis perante você pelo cumprimento delas.

6. Como ajudamos você

• Solicitações de pessoas. Ajudamos você a responder às pessoas que exercem seus direitos de proteção de dados. Grande parte é autoatendimento: você pode ver, exportar e excluir mensagens de formulários e agendamentos, remover membros, remover um formulário ou excluir um site. Se uma pessoa nos contatar sobre seu site, encaminhamos a solicitação a você e não a respondemos nós mesmos, a menos que a lei nos obrigue.
• Outro apoio. Damos apoio razoável com suas obrigações de segurança, notificações de violação, avaliações de impacto sobre a proteção de dados e consultas a uma autoridade reguladora, com base nas informações de que dispomos.

7. Violações de dados pessoais

• Avisamos você sem demora injustificada, buscando fazê-lo em até 48 horas, depois de tomarmos conhecimento de uma violação de dados pessoais que afete dados pessoais do cliente. Enviamos o aviso por e-mail ao endereço do titular da conta.
• Informamos o que sabemos e complementamos conforme descobrimos mais: o que aconteceu, os tipos e a quantidade aproximada de pessoas e registros afetados, as prováveis consequências e o que fizemos ou planejamos fazer.
• Avisar você não é admissão de culpa. Você decide se notifica a autoridade reguladora ou as pessoas afetadas.

8. Onde ficam os dados e transferências internacionais

• Onde ficam os dados. Nossos servidores ficam em Londres, Reino Unido. Eles guardam o banco de dados das contas (incluindo mensagens de formulários, agendamentos e membros) e um cache dos arquivos dos sites. Os arquivos dos sites ficam armazenados na UE, assim como os backups do banco de dados. Alguns subprocessadores tratam dados em outros países, incluindo os Estados Unidos, conforme mostra a página de subprocessadores.
• Dados que chegam a nós vindos da UE. Se o GDPR da UE se aplica a você, os dados que você nos envia no Reino Unido são cobertos pela decisão de adequação da Comissão Europeia para o Reino Unido. Se essa decisão acabar, as Cláusulas Contratuais Padrão da UE passam a valer automaticamente, com as escolhas do Anexo 3.
• Transferências posteriores a partir de nós. Quando transferimos dados pessoais do cliente a um subprocessador em um país sem decisão de adequação, usamos a salvaguarda do Anexo 3 e realizamos a avaliação de risco da transferência que ela exige. Compartilhamos um resumo mediante solicitação.

9. Devolução e exclusão

• Exportação a qualquer momento. Enquanto sua conta estiver aberta, você pode baixar os arquivos dos seus sites, as mensagens de formulários e agendamentos e as listas de membros.
• Sua escolha no final. Quando você encerra a conta ou o serviço termina, você escolhe se devolvemos os dados pessoais do cliente ou os excluímos. Para receber a devolução, envie e-mail para support@pagelemon.com antes de encerrar a conta ou em até 7 dias depois, e enviaremos os dados em formato comum e legível por máquina. Caso contrário, nós os excluímos.
• Em quanto tempo excluímos. Arquivos de sites: em até 7 dias depois que o site ou a conta for excluído. Mensagens de formulários e agendamentos: 30 dias depois de você enviá-los à lixeira, remover o formulário ou excluir o site. Membros e sessões de login: quando você remove a pessoa ou exclui o site. Números de visitantes: visualizações individuais de página após 30 dias; totais diários 30 dias depois que o site é excluído. Dados da conta: em até 30 dias após o encerramento da conta. Os backups do banco de dados são renovados a cada 7 dias, então os dados excluídos saem deles 7 dias depois. Os arquivos dos sites não têm backup separado. Sites anônimos que nunca são reivindicados são excluídos 72 horas após a publicação, e os arquivos são removidos em até 7 dias depois disso. Confirmamos a exclusão por escrito se você pedir.
• Só guardamos os dados por mais tempo quando a lei do Reino Unido (ou, para dados da UE, a lei da UE ou de um Estado-Membro) nos obriga a armazená-los, pelo tempo que ela exigir, e ainda protegidos por este DPA.

10. Auditorias e informações

• Disponibilizamos todas as informações necessárias para demonstrar que cumprimos nossas obrigações como seu processador: este DPA, a página de subprocessadores, nossas páginas Segurança e Confiança e respostas a um questionário de segurança razoável.
• Permitimos e contribuímos para auditorias, incluindo inspeções, realizadas por você ou por um auditor independente que você designe e que esteja sujeito a confidencialidade. Avise com pelo menos 30 dias de antecedência, ou menos se uma autoridade reguladora exigir ou após uma violação de dados pessoais. As auditorias acontecem em horário comercial, não podem acessar dados de outros clientes nem pôr o serviço em risco, e cada parte arca com seus próprios custos.
• Normalmente esperamos uma auditoria por ano. Mais auditorias são aceitas quando necessárias para demonstrar conformidade, após uma violação ou se uma autoridade reguladora pedir.
• Quanto aos nossos subprocessadores, confiamos nas certificações e nos relatórios de auditoria deles e os compartilhamos quando os termos deles permitem. Quando isso não bastar, usamos, em seu favor, nossos próprios direitos de auditoria previstos nos contratos com eles.

11. Responsabilidade

A responsabilidade de cada parte neste DPA segue a seção 8 dos Termos, exceto quando a lei de proteção de dados não permite limitar a responsabilidade. A responsabilidade perante as pessoas a quem os dados pertencem segue a lei de proteção de dados.

12. Vigência, alterações e lei aplicável

• Este DPA vigora enquanto tratarmos dados pessoais do cliente por você.
• Podemos atualizar este DPA para refletir mudanças na lei, nas orientações de autoridades reguladoras ou no nosso serviço. Avisamos por e-mail, com pelo menos 30 dias de antecedência, sobre mudanças relevantes, como nos Termos. As mudanças não reduzirão a proteção dos dados pessoais do cliente, a menos que a lei exija.
• Este DPA é regido pelas leis da Inglaterra e do País de Gales, e os tribunais da Inglaterra e do País de Gales têm jurisdição, exceto quando se aplicarem as Cláusulas Contratuais Padrão da UE, que então são regidas conforme o Anexo 3.

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas de segurança

1. Criptografia em trânsito. Todo o tráfego para nossos domínios e para seus sites usa TLS.
2. Criptografia em repouso. Os arquivos dos sites e os backups ficam em armazenamento criptografado na UE.
3. Separação. Seus sites são servidos de um domínio separado do aplicativo e do login, então um site não consegue ler sessões do aplicativo. Os dados de cada cliente ficam separados na aplicação e são verificados a cada requisição.
4. Controle de acesso. Só funcionários identificados acessam os servidores de produção, com chaves individuais e sem senhas compartilhadas. O acesso da equipe aos dados do cliente se limita ao que o suporte, a segurança ou a lei exigem.
5. Senhas e tokens. Senhas de sites e tokens de API são guardados apenas como hashes irreversíveis. Nunca vemos senhas de contas; o login é feito pelo nosso provedor de login. Dados de cartão nunca chegam aos nossos servidores.
6. Minimização de dados. Os números de visitantes não usam cookies nem scripts e nunca guardam um endereço IP completo. Os limites de spam dos formulários usam um hash irreversível do endereço IP.
7. Segurança dos envios. Os arquivos enviados são verificados em busca de chaves secretas vazadas, e os que parecem conter chaves são bloqueados. Não executamos código de servidor dos clientes.
8. Proteção contra ataques. Limites de requisições e proteção contra ataques de negação de serviço na frente de todos os nossos domínios.
9. Resiliência. Backups contínuos do banco de dados, procedimento de restauração testado e possibilidade de voltar um site a uma versão anterior.
10. Resposta a incidentes. Um procedimento escrito para violações, com papéis, o prazo de 72 horas para notificar a autoridade quanto aos nossos próprios dados e o aviso ao cliente da seção 7.
11. Gestão de fornecedores. Os subprocessadores são escolhidos pela segurança e vinculados por termos de processamento de dados.
12. Revisão. Revisamos essas medidas pelo menos uma vez por ano e após qualquer incidente ou mudança significativa.

Anexo 3: Termos de transferência internacional

Partes

• Exportador de dados: você, o cliente, com os dados de contato da sua conta. Papel: controlador, ou processador se você age em nome de outra pessoa. Atividades: conforme o Anexo 1.
• Importador de dados: Aporia Research Ltd (número de empresa 17518971, registrada na Inglaterra e no País de Gales), London N22 8NL, Reino Unido, contato support@pagelemon.com. Papel: processador (ou subprocessador). Atividades: as do Anexo 1.
• Assinatura e data: aceitar os Termos ou publicar um site equivale a assinar este anexo, na data da aceitação.

Dados da UE enviados a nós (somente se a decisão de adequação do Reino Unido acabar)

Transferências de nós para subprocessadores

A salvaguarda usada por cada subprocessador aparece na página de subprocessadores ou pode ser pedida em support@pagelemon.com.