Mekovault

Acordo de Tratamento de Dados (DPA)

Tradução para referência. A versão em espanhol é a que prevalece.

Versão 1.0 · Vigência: 2026 · Este documento é um modelo de referência. Para operar com um cliente, nós o assinamos como anexo ao contrato de serviço.

1. Partes

  • Operadora (Data Processor): Mekovault SpA, Santiago do Chile.
  • Controladora (Data Controller): o Cliente que contrata os serviços da Mekovault.

2. Objeto

Este DPA regula o tratamento de dados pessoais que a Mekovault realiza por conta e em nome do Cliente em decorrência da prestação de serviços (gestão de identidades corporativas no Google Workspace e em outras plataformas).

3. Categorias de dados tratados

  • Funcionários do Cliente: nome, sobrenome, e-mail corporativo, cargo, departamento, gestor, permissões atribuídas, IP e user-agent das sessões.
  • Solicitantes externos (formulário público): e-mail, nome, motivo da solicitação.
  • Registros de atividade: audit log imutável de todas as ações administrativas realizadas sobre as identidades do Cliente.

4. Duração

Enquanto durar o contrato de serviços. Ao término, a Mekovault executa a exclusão dos dados do Cliente em um prazo máximo de 30 dias corridos, salvo obrigações legais de conservação (faturamento fiscal, audit logs da plataforma).

5. Obrigações da Mekovault (Operadora)

  • Tratar os dados unicamente conforme as instruções documentadas do Cliente.
  • Aplicar medidas técnicas e organizacionais apropriadas: criptografia em trânsito TLS 1.3, isolamento multi-tenant com Row-Level Security no PostgreSQL, vault dedicado por Cliente no Infisical, backups criptografados AES-256 no Backblaze B2 com object lock.
  • Garantir que seu pessoal se comprometa a manter a confidencialidade.
  • Notificar o Cliente sem demora indevida (em até 72 horas) diante de qualquer violação de segurança que afete dados pessoais.
  • Auxiliar o Cliente no cumprimento de suas obrigações frente a solicitações de titulares (direitos ARCO / GDPR Art. 15-22).
  • Auxiliar o Cliente na realização de avaliações de impacto (DPIA) quando forem exigidas.

6. Suboperadores

A Mekovault contrata suboperadores para prestar o serviço. A lista atualizada está publicada em /legal/sub-processors. Notificamos com 30 dias de antecedência qualquer alteração.

7. Transferências internacionais

Os dados do Cliente são processados principalmente nos Estados Unidos (AWS us-east-1) com backup no Backblaze B2 US-West. Ambos os fornecedores aderem ao EU-US Data Privacy Framework (para dados de residentes da UE).

8. Direitos de auditoria

O Cliente pode auditar o cumprimento deste DPA com 15 dias de aviso prévio. Alternativamente, a Mekovault entrega evidências documentais (relatórios SOC 2, políticas internas) quando solicitado.

9. Devolução ou exclusão de dados

A pedido do Cliente e a qualquer momento:

  • Exportação: a Mekovault entrega os dados do Cliente em formato estruturado (JSON/CSV) em um prazo de 15 dias.
  • Exclusão: a eliminação completa (DB + suboperadores) é executada em um prazo de 30 dias. Exceções: audit log da plataforma (5 anos) e backups com object lock (até expirar a retenção).

10. Responsabilidade

Cada Parte responde pelos danos causados pelo seu descumprimento deste DPA ou da legislação aplicável de proteção de dados, até o limite estabelecido no contrato de serviços.

11. Legislação aplicável

Este DPA é regido pelas leis da República do Chile, em particular a Ley 21.719. Para clientes com titulares na União Europeia, aplica-se adicionalmente o Regulamento (UE) 2016/679 (RGPD).

Para solicitar a versão assinável do DPA, escreva para legal@mekovault.com ou diretamente para cloud@mekovault.com.