Assine o DPA do GDPR no painel do Deskwoot em menos de um minuto

Agora toda conta do Deskwoot pode assinar o Acordo de Processamento de Dados (DPA) do Artigo 28 do GDPR direto no painel, de forma eletrônica, em menos de um minuto, sem troca de e-mails e sem esperar contra-assinatura. Na maioria dos fornecedores, o cliente precisa pedir o DPA por e-mail, esperar três dias úteis, receber um PDF, assinar à mão, escanear, mandar de volta por e-mail e esperar mais três dias pela contra-assinatura. Achamos isso ridículo, então deixamos você fazer tudo sozinho.

A partir de hoje, toda conta do Deskwoot pode assinar o DPA do Artigo 28 direto no painel. Abra Configurações, Conformidade, Acordo de Processamento de Dados, preencha três campos, clique em Aceitar e receber o PDF e receba na hora um PDF totalmente assinado no seu e-mail. Pronto.

Por que um DPA importa

Se você processa dados pessoais de residentes da UE ou do EEE em qualquer ferramenta de terceiros (e um help desk que guarda e-mails e transcrições de chat de clientes entra nessa conta), o Artigo 28 do GDPR exige um contrato por escrito entre você (o controlador) e o terceiro (o operador). Sem um DPA, você está fora da lei. Isso complica rápido se um cliente fizer um pedido de acesso aos dados, se um órgão regulador auditar você ou se um fornecedor sofrer um vazamento de dados e sua resposta ao incidente não tiver nada por escrito.

Por que “eletrônico” não tem problema

O Artigo 28(9) do GDPR permite de forma explícita fechar o DPA eletronicamente. Ele não exige assinatura de próprio punho, com caneta. O que ele exige é uma prova verificável de que a pessoa certa do lado do controlador aceitou os termos sabendo o que fazia. É isso que o nosso fluxo de aceite registra.

O que registramos no momento da assinatura

Em cada aceite, além dos campos óbvios (e-mail, nome, cargo, empresa e país de quem assina), também guardamos:

• Data e hora do aceite e a versão do DPA
• Endereço IP e a cadeia completa de x-forwarded-for
• User-agent e os dados Sec-CH-UA de navegador, plataforma e dispositivo móvel
• ID CF-Ray da Cloudflare e CF-IPCountry, região e cidade. A Cloudflare remove esses cabeçalhos das requisições enviadas pelos visitantes na borda da rede e os define de novo por conta própria, então eles são difíceis de falsificar em produção.
• Preferência de idioma (Accept-Language), sinal DNT e URL de origem (Referer)
• Hash SHA-256 do PDF gerado, para podermos provar que o arquivo que você baixou é idêntico, bit a bit, ao que contra-assinamos

Tudo fica guardado em dobro. Uma vez na linha DpaAcceptance da sua conta e outra no seu log de auditoria, em dpa.accept. Se alguém contestar a assinatura no futuro, seria preciso adulterar os dois registros ao mesmo tempo para fingir que a assinatura nunca aconteceu.

Suboperadores e a cadeia de SCCs

O Anexo B do DPA lista todos os suboperadores que usamos. Northflank para hospedagem, Anthropic para IA, Stripe para pagamentos, Twilio para e-mail, Cloudflare para CDN e DNS, PostHog para análises, EasyPost para consultas de envio. Para cada um, mostramos a categoria de dados, o mecanismo de transferência do GDPR, a política de privacidade e, quando o suboperador publica o próprio DPA para clientes, um link direto para ele. Revisar toda a sua cadeia de SCCs leva cinco cliques em vez de uma tarde inteira de arqueologia em páginas jurídicas.

E quando houver atualizações?

Se adicionarmos um novo suboperador ou mudarmos os mecanismos de transferência, aumentamos a versão do DPA e o painel pede que você assine de novo na próxima visita. Seu aceite antigo continua no seu histórico. Substituído, mas não apagado, para que a trilha de auditoria seja contínua.

Já disponível

Disponível para toda conta do Deskwoot, em todos os planos. O PDF assinado também é gerado de novo quando você pede, a partir da linha de aceite que não pode ser alterada. Assim, mesmo que o nosso gerador de PDF ganhe um novo visual no futuro, você pode buscar a sua cópia arquivada de novo pelo hash.

O que é um acordo de processamento de dados do GDPR, em palavras simples?

Um acordo de processamento de dados (DPA) do GDPR é um contrato entre você (a empresa que coleta dados de clientes) e qualquer fornecedor que processa esses dados em seu nome (sua plataforma de atendimento ao cliente, seu serviço de e-mail, sua ferramenta de análise). O DPA define o que o fornecedor pode fazer com os dados, como vai protegê-los e o que vai fazer se algo der errado.

O Artigo 28 do GDPR torna o DPA obrigatório por lei, não opcional. Sem um DPA assinado entre você (o controlador) e o seu operador, cada byte de dados de clientes da UE que passa por esse fornecedor está fora da conformidade. É o DPA que dá a você a trilha de auditoria documentada para mostrar a um órgão regulador que o seu tratamento de dados segue regras claras e não é feito de qualquer jeito.

Quais são os 7 princípios do GDPR?

Os 7 princípios do Artigo 5 do GDPR: licitude, lealdade e transparência (processe dados só quando tiver uma base legal e avise as pessoas com clareza); limitação da finalidade (colete dados para um motivo definido e não use para outra coisa depois); minimização dos dados (colete só o que você realmente precisa, não tudo o que poderia coletar); exatidão (mantenha os dados atualizados e corrija erros quando encontrar); limitação da conservação (apague os dados quando não forem mais necessários); integridade e confidencialidade (proteja contra acesso não autorizado e perda); e responsabilidade (consiga demonstrar a conformidade, não só afirmar).

O Artigo 28 (obrigações do operador) vem do 7º princípio: como controlador, você precisa conseguir provar que cada operador trata os dados pelas mesmas regras. O DPA assinado é o documento que prova isso. O DPA do Deskwoot cobre os 7 princípios em texto simples e pode ser assinado em menos de um minuto direto no painel.