Anexo de Tratamento de Dados — DPA

Versão 1.0 — vigente desde 2 de agosto de 2026.
Este Anexo integra os Termos de Uso quando apresentado e aceito pelo Cliente e descreve o tratamento realizado por conta do Cliente.
Entrada em vigor: quando aceito pelo Cliente ou, no máximo, na ativação do Ambiente. O simples pedido de Trial não inicia este Anexo.

1. Objeto

Este Anexo de Tratamento de Dados Pessoais, também denominado “Anexo” ou “DPA”, regula o tratamento de dados pessoais realizado pelo L3 Backups por conta do Cliente na prestação do serviço.

Para fins deste Anexo, L3 Backups significa 40.115.250 ARLES TORQUATO DE FARIAS, CNPJ nº 40.115.250/0001-91, Empresário Individual, com atuação e canais de contato em Dois Vizinhos, Paraná. Os dados completos de identificação e localização estão disponíveis em Dados do fornecedor.

Aplica-se ao tratamento de dados pessoais contidos no Conteúdo do Cliente, incluindo arquivos de backup, configurações de Equipamentos, comandos, notas, históricos, diagnósticos e metadados associados.

2. Relação com os demais documentos

Este Anexo integra:

• os Termos de Uso;
• a proposta, pedido ou contrato do Cliente;
• a Política de Privacidade.

Em caso de conflito sobre tratamento de dados pessoais realizado por conta do Cliente, este Anexo prevalece, salvo cláusula específica assinada posteriormente pelas Partes.

3. Papéis das Partes

3.1. Cliente como controlador

O Cliente é o controlador dos dados pessoais contidos no Conteúdo do Cliente porque determina:

• quais Equipamentos serão cadastrados;
• quais credenciais e comandos serão utilizados;
• quando e com que frequência as coletas ocorrerão;
• quais dados serão coletados;
• quem terá acesso;
• quais bases legais e prazos próprios se aplicam;
• como atender titulares.

3.2. L3 Backups como operador

O L3 Backups atua como operador, tratando os dados pessoais por conta do Cliente e de acordo com:

1. estes documentos;
2. as configurações realizadas por Usuários autorizados;
3. solicitações de suporte documentadas;
4. instruções adicionais lícitas e tecnicamente viáveis;
5. obrigações legais diretamente aplicáveis ao L3 Backups.

O L3 Backups informará o Cliente quando considerar que uma instrução viola a legislação de proteção de dados, salvo proibição legal.

3.3. Tratamentos em que o L3 Backups é controlador

Este Anexo não altera o papel do L3 Backups como controlador dos dados necessários à gestão de contas, segurança, auditoria própria, cobrança, suporte, cumprimento legal e defesa de direitos. Esses tratamentos são descritos na Política de Privacidade.

4. Descrição do tratamento

Elemento	Descrição
Objeto	Prestação de serviço de backup, validação, histórico, visualização, comparação, download, segurança e auditoria de configurações de equipamentos de rede
Duração	Vigência da relação, Trial, janelas de recuperação, ciclos de backup e prazos legais ou de retenção descritos nos documentos aplicáveis
Natureza das operações	Coleta, recepção, transmissão, acesso, registro, organização, criptografia de campos, armazenamento, recuperação, consulta, comparação, disponibilização, cópia técnica, restrição, sanitização e eliminação
Finalidades	Executar backups, verificar resultado, manter versões, permitir auditoria, diagnosticar falhas, prestar suporte, proteger a plataforma e cumprir instruções do Cliente
Titulares possíveis	Usuários do Cliente; administradores; funcionários; prestadores; assinantes e clientes do Cliente; contatos técnicos; pessoas identificadas incidentalmente em configurações ou registros
Categorias de dados	Nome, e-mail, username, endereço IP, identificadores de rede, registros de acesso, dados de autenticação, dados técnicos de equipamentos, configurações, comandos, notas e outros dados inseridos pelo Cliente
Dados sensíveis	Não são exigidos. Podem ser coletados incidentalmente se o Cliente os mantiver em configurações ou comandos; o Cliente deve evitar essa coleta e informar situações de risco elevado
Frequência	Manual, agendada ou decorrente de ação autorizada, conforme configuração do Cliente
Região atual do Conteúdo do Cliente	Servidor regional Akamai Cloud/Linode em São Paulo, com bucket e KMS no Google Cloud em São Paulo, Brasil
Camada central	Control na Akamai Cloud/Linode em Miami, Estados Unidos, sem backup completo, credenciais de Equipamentos ou chaves regionais no fluxo normal
Comunicação humana	Google Workspace Business Base, sem região de dados localizada no plano; mensagens podem ser processadas internacionalmente
Comunicação transacional	Resend/Plus Five Five, Inc., Estados Unidos; rastreamento de abertura e clique desabilitado
Monitoramento de heartbeat	Healthchecks.io/SIA Monkey See Monkey Do, Letônia, somente sinais mínimos sem Conteúdo do Cliente

5. Instruções do Cliente

As configurações feitas por Usuários autorizados constituem instruções documentadas.

Instruções adicionais deverão ser enviadas por canal autenticado ou contato autorizado. O L3 Backups poderá:

• pedir esclarecimento;
• rejeitar instrução ilegal;
• cobrar trabalho extraordinário previamente aprovado;
• propor alternativa tecnicamente viável;
• limitar acesso a dados que não sejam necessários ao atendimento.

O L3 Backups não é obrigado a desenvolver funcionalidade não contratada para atender instrução específica, mas cooperará para encontrar solução razoável.

6. Obrigações do Cliente

O Cliente declara e se compromete a:

1. tratar os dados de forma lícita, leal e transparente;
2. possuir base legal para o tratamento e para o uso do L3 Backups;
3. prestar os avisos necessários aos titulares;
4. respeitar finalidade, adequação e necessidade;
5. manter registro de suas instruções e operações quando exigido;
6. não cadastrar Equipamento ou credencial sem autorização;
7. evitar coleta de dados pessoais excessivos;
8. evitar inserir dados sensíveis, segredos ou conteúdo não necessário;
9. utilizar contas técnicas com privilégio mínimo;
10. definir Usuários e permissões adequadamente;
11. atender solicitações de titulares como controlador;
12. realizar, quando aplicável, relatório de impacto e consulta a seu encarregado;
13. informar ao L3 Backups requisitos regulatórios específicos antes da contratação;
14. não instruir tratamento contrário à lei ou aos direitos de terceiros.

O Cliente responde pela licitude das instruções e pela exatidão das informações que fornece.

7. Obrigações do L3 Backups como operador

O L3 Backups deverá:

1. tratar dados pessoais apenas para prestar, proteger e manter o serviço, segundo instruções documentadas;
2. limitar o acesso a pessoas autorizadas e sujeitas a dever de confidencialidade;
3. adotar medidas técnicas e administrativas proporcionais ao risco;
4. manter registros necessários para demonstrar suas operações;
5. auxiliar o Cliente, dentro de limites razoáveis, no atendimento de direitos;
6. auxiliar na análise de incidentes, riscos e medidas de mitigação;
7. comunicar incidente que afete o Conteúdo do Cliente sem demora injustificada;
8. contratar suboperadores sob obrigações de proteção compatíveis;
9. não vender os dados nem utilizá-los para publicidade incompatível;
10. eliminar ou devolver os dados conforme o ciclo aplicável, ressalvadas retenções legítimas;
11. disponibilizar informações razoavelmente necessárias para demonstrar o cumprimento deste Anexo;
12. preservar sigilo mesmo após o fim do tratamento.

8. Confidencialidade e acesso humano

O acesso humano ao Conteúdo do Cliente deverá ser restrito ao necessário para:

• suporte solicitado;
• investigação de falha;
• resposta a incidente;
• manutenção autorizada;
• cumprimento de obrigação legal;
• proteção da plataforma ou de terceiros.

O acesso será limitado a pessoal autorizado, com privilégio mínimo e dever de confidencialidade.

O Cliente deve evitar enviar conteúdo integral de backup por e-mail. Quando o suporte exigir análise de conteúdo, as Partes deverão preferir mecanismo seguro e limitar os dados ao trecho necessário.

9. Medidas de segurança

O L3 Backups mantém medidas proporcionais à natureza do serviço, incluindo, conforme aplicável:

9.1. Identidade e acesso

• contas individuais;
• hash de senha;
• autenticação em dois fatores disponível;
• perfis de acesso;
• invalidação de sessões;
• proteção contra tentativas abusivas;
• revisão de acessos administrativos.

9.2. Proteção de aplicação

• conexão criptografada;
• cookies de sessão protegidos;
• validação de origem das requisições;
• cabeçalhos de segurança;
• segregação lógica dos Ambientes;
• validação de identidade de host SSH;
• sanitização de campos sensíveis em registros.

9.3. Proteção de dados e segredos

• criptografia de campos sensíveis de Equipamentos por serviço de gestão de chaves;
• armazenamento de backups em infraestrutura de nuvem contratada;
• segregação de credenciais e segredos operacionais;
• controle de acesso às contas de serviço;
• descarte e rotação conforme ciclo aplicável.

9.4. Resiliência e auditoria

• registros de eventos e evidências;
• backups de recuperação de bancos;
• procedimentos de restore;
• monitoramento operacional;
• atualização e correção de componentes;
• resposta a incidentes.

O Cliente reconhece que segurança absoluta não existe e que suas próprias escolhas de protocolo, credencial, comando, rede e Usuários afetam o risco.

10. Suboperadores e fornecedores relacionados

O Cliente concede autorização geral para o uso de suboperadores necessários à prestação do serviço.

Entidade	Serviço	Papel e dados potencialmente tratados
Akamai Technologies International AG, Grafenauweg 8, Zug CH-6300, Suíça	Akamai Cloud/Linode; Control em Miami e regional em São Paulo	Operador/suboperador de compute, disco, rede e logs. Control recebe dados administrativos mínimos; regional recebe Conteúdo do Cliente necessário
Google Cloud Brasil Computação e Serviços de Dados Ltda., CNPJ 25.012.398/0001-07	Bucket, KMS e recuperação do Google Cloud; Google Workspace contratado diretamente	Operador/suboperador conforme o serviço. GCP regional recebe backups e dados criptografados; Workspace recebe mensagens, anexos e metadados
Cloudflare, Inc.	Domínio, DNS, Pages, proxy/CDN, WAF, proteção contra bots e Tunnel	Operador para tráfego, logs e conteúdo conforme serviço; pode atuar como controlador independente no registro do domínio e gestão da conta
Plus Five Five, Inc. (Resend)	E-mails transacionais em @notify.l3backups.com	Operador de destinatário, conteúdo e eventos de entrega; abertura e clique desabilitados
Stripe Brasil Soluções de Pagamento Ltda. – Instituição de Pagamento, com Stripe, LLC para tratamento de dados	Checkout, assinatura, pagamento e antifraude	Pode atuar como operador e controlador independente; normalmente não recebe Conteúdo do Cliente
SIA Monkey See Monkey Do (Healthchecks.io)	Heartbeats	Fornecedor operacional/controlador independente de conta e logs. Não deve receber dados pessoais de clientes do Cliente ou Conteúdo do Cliente

A EBANX IP Ltda. poderá processar o Pix usado para o pagamento da assinatura do Google Workspace pelo próprio L3 Backups. Não é considerada suboperadora ordinária do Conteúdo do Cliente no desenho atual.

O L3 Backups manterá contratos, DPAs ou instrumentos adequados quando aplicáveis e continuará responsável por suas próprias obrigações perante o Cliente.

Healthchecks.io deverá receber apenas UUID/chave secreta do check, timestamps e estado mínimo. Não serão enviados nomes de Cliente ou Equipamento, endereços de assinantes, credenciais, mensagens completas de erro, payloads ou backups.

10.1. Alterações de suboperadores

O L3 Backups comunicará alteração material por e-mail, aplicação, site ou página pública de subprocessadores com, quando possível, 15 dias de antecedência.

O prazo poderá ser menor em situação emergencial de segurança, imposição legal, substituição urgente de fornecedor ou evento fora do controle razoável do L3 Backups. Nesses casos, a comunicação ocorrerá sem demora injustificada.

O Cliente poderá apresentar objeção fundamentada em proteção de dados. As Partes buscarão solução razoável. Se não houver solução e a mudança for material, o Cliente poderá cancelar o serviço antes do novo tratamento, sem multa de fidelidade, permanecendo devidos os valores relativos ao período já utilizado.

11. Transferência internacional

O servidor Control é hospedado pela Akamai Technologies International AG na região de Miami, Estados Unidos. Essa camada recebe apenas dados administrativos, comerciais, de segurança, billing, provisionamento e direcionamento regional necessários.

O Conteúdo do Cliente da região brasileira é processado no servidor regional da Akamai Cloud/Linode em São Paulo, com bucket e KMS do Google Cloud também em São Paulo. Backups completos, credenciais de Equipamentos e chaves regionais não são copiados para o Control no fluxo normal.

O Google Workspace Business Base foi contratado diretamente com o Google. Não foi localizada opção de região de dados. Mensagens e anexos poderão ser armazenados ou processados onde Google ou seus subprocessadores mantenham instalações, conforme o contrato.

O Resend, operado pela Plus Five Five, Inc., processa e-mails transacionais principalmente nos Estados Unidos. Healthchecks.io é operado na Letônia e recebe apenas heartbeat mínimo. Cloudflare e Stripe podem realizar tratamentos internacionais conforme os serviços utilizados.

Quando o Cliente escolher futura região fora do Brasil, o país será informado antes da contratação ou migração, e servidor, storage e KMS seguirão a lógica regional informada.

Quando houver transferência internacional, o L3 Backups adotará mecanismo válido nos termos da LGPD e da regulamentação da ANPD, como:

• cláusulas-padrão contratuais da ANPD;
• decisão de adequação;
• cláusulas específicas aprovadas;
• normas corporativas globais aprovadas;
• outra hipótese legal válida.

O L3 Backups deverá identificar país, finalidade, categorias de dados, duração, agentes, transferências posteriores, retenção e medidas de segurança, incorporar as cláusulas-padrão quando necessárias e limitar o fluxo ao mínimo.

A região do Conteúdo do Cliente não garante residência de e-mails, pagamentos, DNS ou dados administrativos centrais.

12. Direitos dos titulares

O Cliente é o principal responsável por receber e decidir solicitações relacionadas ao Conteúdo do Cliente.

Ao receber solicitação diretamente:

1. o L3 Backups confirmará a identidade do Ambiente ou orientará o titular a procurar o Cliente;
2. não responderá sobre mérito ou base legal determinada pelo Cliente, salvo obrigação própria;
3. encaminhará a solicitação ao contato autorizado do Cliente, quando possível;
4. preservará a confidencialidade do Ambiente.

Mediante solicitação do Cliente, o L3 Backups prestará assistência tecnicamente razoável para localizar, acessar, corrigir, exportar, restringir ou eliminar dados, considerando as funcionalidades disponíveis.

Trabalho extraordinário poderá ser cobrado mediante aprovação prévia.

13. Incidentes de segurança

O L3 Backups comunicará ao Cliente, sem demora injustificada, incidente confirmado que afete dados pessoais do Conteúdo do Cliente.

A meta contratual é enviar aviso inicial em até 24 horas da confirmação razoável, ainda que a investigação esteja incompleta. O prazo não começa com todo alerta técnico, mas quando houver evidência razoável de que ocorreu incidente com dados pessoais do Cliente.

A comunicação inicial deverá incluir, na medida disponível:

• natureza e período estimado;
• sistemas, Ambientes e regiões envolvidos;
• categorias de dados e titulares;
• estimativa de registros;
• impacto em confidencialidade, integridade ou disponibilidade;
• acesso, download, alteração ou indisponibilidade confirmados;
• medidas de contenção e mitigação;
• informações pendentes e próximo prazo de atualização;
• ponto de contato.

O L3 Backups poderá complementar a comunicação em etapas.

O Cliente, como controlador, é responsável pela avaliação de risco ou dano relevante e pelas comunicações à ANPD e aos titulares, sem prejuízo da assistência do L3 Backups. Quando o próprio L3 Backups atuar como controlador, cumprirá diretamente as obrigações que lhe cabem.

Os registros de incidentes com dados pessoais serão mantidos por pelo menos 5 anos, com acesso restrito e sem inclusão desnecessária de Conteúdo do Cliente ou segredos.

Nenhuma Parte fará declaração pública em nome da outra sem autorização, salvo obrigação legal.

14. Relatório de impacto, consulta e cooperação regulatória

Quando razoavelmente necessário e relacionado ao serviço, o L3 Backups fornecerá informações disponíveis para ajudar o Cliente em:

• relatório de impacto à proteção de dados;
• avaliação de legítimo interesse;
• consulta prévia à ANPD;
• questionário de segurança;
• investigação de autoridade;
• demonstração de medidas de segurança.

O Cliente não terá direito a segredos de outros clientes, credenciais internas, vulnerabilidades exploráveis ou informação cuja divulgação aumente o risco da plataforma.

15. Auditoria e evidências

O L3 Backups poderá atender a obrigação de demonstração por meio de:

• documentação técnica e contratual;
• questionários;
• políticas e inventário de suboperadores;
• resumos de controles;
• relatórios independentes existentes;
• reunião técnica sob confidencialidade.

Auditoria direta deverá:

• ser solicitada com antecedência razoável;
• ter escopo relacionado a este Anexo;
• ocorrer no máximo uma vez por ano, salvo incidente ou exigência legal;
• não interromper a operação;
• proteger dados de terceiros e segredos;
• ser custeada pelo Cliente, salvo quando revelar descumprimento material imputável ao L3 Backups.

Auditoria presencial ou acesso a sistemas internos somente ocorrerá quando evidências alternativas forem insuficientes e mediante acordo específico.

16. Retenção, devolução e eliminação

Durante a relação, o Cliente poderá visualizar e baixar backups pelas funções disponíveis. A exportação de Equipamento excluído poderá ser gerada em pacote de recuperação com manifesto, checksums e proteção de integridade. A exportação integral de todo o Ambiente dependerá das funções disponibilizadas no Plano ou de atendimento específico.

16.1. Pedido e Trial

O formulário público coleta somente nome do provedor e e-mail como campos visíveis. O pedido não cria automaticamente Ambiente ou relação de tratamento como operador. O Trial começa apenas depois da aprovação, provisionamento manual e aceite dos documentos aplicáveis.

Trial expirado e não convertido entra em modo somente leitura por 30 dias, sem dívida. Durante a janela, o Cliente pode baixar dados e concluir conversão pré-paga. Depois, o purge automático poderá iniciar, ressalvadas retenções obrigatórias.

16.2. Cancelamento voluntário

O cancelamento produz efeitos ao final do período pago. Nessa data, cessam novos backups e o Ambiente entra, em regra, em modo somente leitura por 30 dias para download, suporte, exportação disponível e eventual reativação. Depois, o purge poderá ser iniciado.

16.3. Falha de renovação ou pagamento

Como os Planos são pré-pagos, a falta de confirmação do pagamento do ciclo seguinte não cria novo período contratado. O Ambiente poderá ser limitado, suspenso e submetido a uma janela final de saída antes do purge, conforme os Termos.

16.4. Eliminação antecipada

O Cliente poderá solicitar purge imediato mediante administrador autorizado, autenticação reforçada, confirmação de irreversibilidade e ressalva de retenções legais, investigação, exportação em andamento e legal hold.

16.5. Equipamento excluído

Equipamento excluído permanece logicamente removido por 30 dias, sem novas execuções e com credenciais inutilizadas. Durante a janela, o Cliente poderá restaurar, baixar backups, gerar pacote de recuperação ou solicitar purge imediato. A restauração exige nova credencial e nova validação de conectividade e confiança SSH quando aplicável.

16.6. Resíduos e preservação

Cópias de recuperação podem permanecer isoladas por até o ciclo técnico vigente, atualmente até 35 dias, e não serão usadas para finalidade ordinária. Registros fiscais, de segurança, incidentes, aceite, prevenção a fraude e defesa de direitos podem ser mantidos de forma restrita pelo prazo aplicável.

Após o purge, o L3 Backups não promete recuperação do Conteúdo do Cliente.

17. Retenção legal e preservação

O L3 Backups poderá suspender eliminação quando necessário para:

• cumprir ordem judicial ou administrativa válida;
• preservar evidência de incidente;
• investigar fraude ou abuso;
• cumprir obrigação legal;
• exercer ou defender direitos.

A retenção será limitada aos dados e ao prazo necessários. Quando possível, o Cliente será informado, salvo proibição legal.

18. Responsabilidade

Cada Parte responde pelas obrigações que lhe cabem e pelos danos que causar em violação à legislação e a este Anexo.

Na medida permitida por lei, aplicam-se as limitações dos Termos:

• limite geral agregado correspondente ao total pago nos 12 meses anteriores, ou R$ 500,00 no Trial;
• limite especial de duas vezes o limite geral para reclamações entre as Partes decorrentes de violação não intencional de confidencialidade ou obrigação contratual de proteção de dados, ou R$ 1.000,00 no Trial.

Esses limites não afastam direitos de titulares ou terceiros, sanções administrativas, deveres de comunicar, cooperar, cessar tratamento ou eliminar dados, nem hipóteses em que a limitação seja proibida por lei. Dolo, fraude e violação intencional de confidencialidade não ficam abrangidos pelo limite.

19. Término

Este Anexo permanece em vigor enquanto o L3 Backups tratar dados pessoais por conta do Cliente, inclusive durante retenção e eliminação.

Confidencialidade, segurança, responsabilidade, cooperação e restrições de uso sobrevivem enquanto o dado permanecer sob tratamento.

20. Contatos

• Contato do Cliente: administrador indicado no Ambiente ou contato definido no pedido/proposta;
• Privacidade do L3 Backups: [email protected], [email protected] ou [email protected];
• Segurança do L3 Backups: [email protected] ou [email protected];
• Contato contratual: [email protected] ou [email protected];
• Suporte: [email protected], de segunda a sexta-feira, 09:00–12:00 e 14:00–17:00, horário de Brasília, com meta de primeira resposta em até 2 dias úteis.
• Correspondência física e localização do fornecedor: consulte Dados do fornecedor.

A versão em português do Brasil é a fonte canônica e prevalece juridicamente sobre traduções.