Acordo de tratamento de dados (DPA): modelo do Concedo

Versão 1.1, vigente desde 2 de setembro de 2026.

Quando você instala o banner do Concedo no seu site, nós passamos a tratar dados pessoais dos seus visitantes por conta sua. Você é o controlador; nós somos o operador. O contrato abaixo descreve esse tratamento: o que fazemos, o que não fazemos e com o que nos comprometemos.

Cada afirmação técnica deste documento corresponde a um mecanismo que já está no ar, e as principais têm teste automatizado que reprova quando o texto e o código divergem. Onde o mecanismo não existe, o documento diz que não existe, em vez de criar uma cláusula que ninguém cumpre.

Alcance deste documento

Este é o anexo de proteção de dados dos termos de uso. Onde os termos tratam do serviço, este documento trata exclusivamente do que a LGPD chama de operação de tratamento: o Concedo tratando dado pessoal a mando de você, nos limites do art. 39 da LGPD.

Ele não é aconselhamento jurídico. O texto é preciso sobre o nosso funcionamento e não substitui a análise de quem conhece o seu negócio. Leve-o ao seu advogado antes de assinar, inclusive para conferir se o tratamento descrito aqui atende às finalidades que você declara na sua própria política.

Ele não transfere responsabilidade. Você continua sendo o controlador. A base legal, o texto apresentado no banner, as categorias que você habilita e a política do seu site são decisões suas, e continuam sendo suas depois de assinado.

As partes

Papel	Quem
Controlador	Você, a pessoa jurídica titular do site em que o banner é instalado. Dados de qualificação preenchidos no instrumento assinado.
Operador	Concedo. Razão social, CNPJ e endereço constam do instrumento assinado.
Encarregado do operador	encarregado@concedo.com.br
Contato de privacidade	privacidade@concedo.com.br
Contato de segurança	seguranca@concedo.com.br

Você não precisa justificar o motivo do contato nem usar linguagem jurídica em nenhum desses canais.

O objeto: o que tratamos por sua conta

O Concedo trata dados dos seus visitantes para três finalidades, e só para elas:

1. Registrar a prova do consentimento. O art. 8º, §2º da LGPD coloca em você o ônus de provar que o consentimento foi obtido. O registro que geramos é essa prova.
2. Bloquear rastreadores antes da decisão do visitante, para que o consentimento seja efetivamente prévio.
3. Manter o inventário do seu site: quais terceiros, cookies e requisições existem em cada rota, e quais carregam antes da decisão. O inventário é do site, e não observação do visitante; a diferença está detalhada mais abaixo.

Tudo o que não sustenta uma dessas três finalidades fica fora do que gravamos, e foi esse critério que definiu, campo a campo, o conteúdo do registro.

Os dados de cadastro, cobrança e uso do painel, que são seus e não dos seus visitantes, estão fora deste documento: neles o Concedo é controlador, e quem descreve o tratamento é a política de privacidade.

As instruções do controlador

Nós tratamos os dados dos seus visitantes somente conforme:

• este documento;
• a configuração que você define no painel (categorias, textos, versão da política, domínios cadastrados);
• instruções adicionais que você nos enviar por escrito, se forem tecnicamente exequíveis e legalmente possíveis.

Não usamos dado de visitante seu para nada que seja nosso. Não treinamos modelo, não enriquecemos base, não montamos audiência, não vendemos e não cedemos para publicidade de terceiro. Não cruzamos dados de visitantes entre clientes diferentes: cada consulta do produto é filtrada por organização, com teste automatizado de isolamento que reprova a mudança que vazar dado de um cliente para outro.

Se recebermos uma instrução sua que, na nossa leitura, viole a LGPD, nós avisamos antes de executar. Se recebermos ordem judicial ou requisição de autoridade competente sobre dados tratados por sua conta, avisamos você sempre que a lei permitir, para que você possa reagir.

Os dados dos visitantes que ficam gravados

São duas coleções, com naturezas diferentes, e é essa diferença que sustenta as garantias das seções seguintes.

Registro de consentimento: a prova jurídica

Uma linha por escolha feita por um visitante no seu site.

Campo	Para que serve
Data e hora	Provar quando o consentimento foi dado
visitor_hash	Ligar as ações do mesmo visitante dentro do mesmo dia, sem identificá-lo
Categorias	O conteúdo exato da escolha: necessários, estatísticas, marketing, personalização
Ação	Distinguir "aceitou tudo" de escolha por categoria e de retirada de consentimento
Versão da política	Consentimento vale para a versão apresentada; mudou o texto, o banner volta
User agent	Evidência do ambiente, em caso de contestação
URL de origem	Em qual página do seu site a escolha foi feita
Idioma pedido	Qual idioma o navegador do visitante declarou preferir
Idioma apresentado	Em qual idioma o aviso de fato apareceu, e em qual versão do texto
Regime	Sob qual lei a escolha foi colhida: LGPD, GDPR ou opt-out norte-americano

Não há nome, não há e-mail, não há endereço IP e não há identificador publicitário.

Inventário do site: o estado operacional

Uma linha por item observado em cada rota do seu site. A linha é do item, e não da visita: o número de linhas não cresce com o tráfego.

Campo	Para que serve
Rota	Onde o item está, em rota normalizada, sem query e com identificador trocado por :id
Tipo, domínio e nome	Script, iframe, cookie ou requisição; o domínio de terceiro e o nome do item
Categoria	Como o item foi classificado
Origem	Quem viu o item: o sensor instalado, a varredura, ou os dois
Bloqueado	O motor de bloqueio já segurou este item
Antes do consentimento	O item já carregou antes de haver decisão, e isso vira alerta no painel
Exposto por falha nossa	A exposição aconteceu porque a nossa configuração caiu, não por erro seu
Primeira vez e última vez	Quando apareceu e quando foi visto pela última vez

Não existe coluna de visitante nesta tabela. O inventário não sabe, e não tem como saber, quem viu o quê.

O endereço IP não é gravado em lugar nenhum

O IP do seu visitante chega até nós na requisição porque é assim que a internet funciona. Ele morre ali. Nenhuma tabela do banco tem coluna de IP, nenhum log de aplicação escreve IP, nenhum campo JSON o carrega e nenhuma resposta o devolve.

O que fica gravado é um identificador derivado:

salt_do_dia   = sha256(semente_secreta + ":" + AAAA-MM-DD)
visitor_hash  = sha256(ip + "|" + user_agent + "|" + salt_do_dia)

O sal muda todo dia, de propósito. Com sal fixo, quem tivesse a semente e uma lista de IPs poderia recalcular hashes e reidentificar visitantes de qualquer época: o hash daria falsa sensação de anonimato sobre um espaço pequeno o bastante para ser varrido inteiro. Com sal diário, essa reversão alcança no máximo o dia corrente; dentro do dia ainda dá para deduplicar o mesmo visitante, que é o necessário para a prova, e passadas 24 horas a correlação se perde por construção.

A distinção tem efeito jurídico: isto é minimização forte e pseudonimização, e não anonimização no sentido do art. 12 da LGPD. Quem lhe disser que "hash é dado anonimizado" está simplificando de um jeito que não sobrevive a uma fiscalização. A diferença está explicada em anonimização.

Como você confere que isto é verdade. O teste automatizado tests/e2e/privacidade/vazamento-ip.spec.ts exercita a ingestão com um endereço de documentação conhecido nos cabeçalhos, inclusive nos caminhos de erro, e depois varre todas as colunas de texto e todos os campos JSON de todas as tabelas do banco, o log do servidor durante as requisições e o corpo e os cabeçalhos de todas as respostas, atrás daquele endereço e de qualquer valor em forma de endereço. O mesmo teste comprova a própria sensibilidade: grava o endereço num campo dentro de uma transação, exige que a varredura o encontre e desfaz tudo. Tabela nova entra na varredura sozinha, porque a lista de colunas sai do próprio catálogo do banco. Se alguém acrescentar amanhã uma coluna que guarde IP, a mudança não passa.

O que o sensor instalado envia, e o que ele não consegue enviar

Depois de instalado, o snippet passa a relatar o inventário do seu site. O contrato desse envio é fixado no código:

• Nenhum identificador de visitante no envio. Nem hash, nem id de sessão, nem o visitor_hash do registro de consentimento. Não existe campo para isso no formato aceito: o inventário é do site, e não de quem o visitou.
• Cookie vai por NOME, nunca por valor. O valor é onde mora o identificador do titular, e ele não sai do navegador.
• A rota é normalizada no NAVEGADOR, antes do envio: query fora, e segmento que pareça identificador, UUID, e-mail ou token vira :id. Normalizar no servidor não adiantaria: o dado pessoal já teria trafegado e já estaria no log de acesso.
• De terceiro sai só o domínio, nunca a URL inteira, porque ?uid= é comum em pixel.
• A ocupação dos cantos é geometria, e só. O campo cantos diz, para cada um dos quatro cantos da tela e para cada faixa de largura, se há algo embaixo do ícone de preferências e se esse algo é clicável. São dois valores de verdadeiro ou falso e dois nomes de uma lista fechada. Não existe campo de texto livre: nem rótulo, nem seletor, nem trecho de HTML, e por isso conteúdo da sua página não tem por onde sair. Ela existe para o produto avisar quando o ícone cai sobre um botão seu, em vez de você descobrir depois de instalar.
• A ausência da porta de volta é uma resposta de sim ou não. Quando você escolhe abrir as preferências por um elemento do seu site em vez do nosso ícone, o campo portaAusente diz apenas se procuramos e não achamos esse elemento na página. Nem o seletor, nem o texto, nem a posição dele saem do navegador. Ela existe porque essa porta é a via de revogação que a lei manda facilitar: sem a conferência, desligar o ícone tiraria o direito do titular em silêncio.
• O único campo opcional é tokenMapeamento. Ele aparece somente na aba aberta pelo passeio guiado da área restrita. É uma credencial efêmera vinculada ao site e ao prazo da janela, não ao visitante: chega pelo fragmento da URL, que não viaja no pedido HTTP nem no Referer, é movida para o armazenamento da própria aba e segue no relato do sensor. O servidor não a persiste em claro, e fechar ou renovar a janela invalida a anterior.

E, do lado de cá, o servidor não confia que o navegador cumpriu o contrato: ele reconfere a rota, o domínio e o nome do cookie, e recusa o envio inteiro quando algum deles não passa: rota com query, domínio que na verdade é uma URL, ou nome de cookie que tem cara de valor. Aceitar em parte gravaria justamente o item suspeito. Loader velho, adulterado ou de terceiro é o caminho por onde dado pessoal entraria na base, e a recusa fecha esse caminho dos dois lados.

O que o sensor não vê: cookie HttpOnly, cabeçalho Set-Cookie e processamento que só acontece no servidor. Essa classe de item só aparece pela varredura, e o produto marca quem viu cada item justamente para não afirmar ausência a partir de quem não conseguia olhar.

Por quanto tempo guardamos

Dado	Prazo
Registro de consentimento no plano Free	90 dias, com expurgo automático diário
Registro de consentimento nos planos pagos	Histórico integral, sem corte, enquanto o contrato durar
Inventário do site	Sai depois de 30 dias sem ser visto, e só quando a rota dele tiver sido visitada nos últimos 7 dias (regra abaixo)
Mapa de páginas e grupos de estrutura do site	90 dias depois de deixarem de ser vistos no site
Ocupação dos cantos da tela	Só o estado mais recente de cada página: a medição seguinte sobrescreve a anterior, e a linha morre com o site
Ausência da porta de volta numa página	Só o estado mais recente de cada página: a conferência seguinte sobrescreve a anterior, e a linha morre com o site
Registro de falha da aplicação	30 dias contados da última ocorrência
E-mail informado no scanner gratuito	Apagado assim que o relatório é enviado; 7 dias se o envio nunca acontecer
Scan público: endereço analisado e resultado	90 dias
Corpo cru do webhook do gateway de pagamento	30 dias
Parâmetros de marketing na fila de eventos	7 dias contados do evento
Sessão e token de autenticação	30 dias depois de expirar
Cadastro e conta	Enquanto a conta existir. Pedido o encerramento no painel, é apagada 7 dias depois, com sites, registros de consentimento, inventário, documentos e chaves em cascata
Contexto do consentimento (user agent e URL de origem), ao lado do registro	90 dias. A prova em si é integral; só o contexto encolhe
Lista de páginas visitadas por uma varredura	90 dias
Identificador de clique de anúncio na atribuição (gclid, fbclid, URL de referência e caminho de entrada)	90 dias
Texto livre do motivo de cancelamento	90 dias
Rascunho de documento não publicado, e dados do encarregado informados no formulário	30 dias

O histórico integral nos planos pagos é escolha de produto: prova de consentimento com prazo curto deixa de ser prova exatamente quando é cobrada.

Por que o contexto sai e a prova fica. O identificador do visitante no registro é sha256(IP · user agent · sal do dia), e o sal muda todo dia justamente para que, passadas 24 horas, ninguém consiga voltar do hash à pessoa. Guardar o user agent em claro na coluna vizinha desfazia parte disso: com o banco em mãos, sobrava o IP como única incógnita, e espaço de endereço IPv4 não é obstáculo para quem tem tempo. O contexto ajuda a investigar um incidente recente e não é prova de nada, então ele expira, e o que prova o consentimento continua integral.

Proteção de quem já pagou. O expurgo dos 90 dias pula qualquer organização que já tenha pago alguma vez, mesmo que hoje esteja no Free. Sem isso, um boleto atrasado que rebaixasse o plano faria o trabalho da madrugada seguinte apagar anos de prova jurídica sua, sem desfazer.

O inventário segue outra regra, porque ele é estado operacional e não prova jurídica. Um item some do inventário quando não é visto há 30 dias e a rota dele foi visitada nos últimos 7 dias. As duas condições existem juntas de propósito: ausência só é evidência quando alguém que consegue ver olhou. Apagar só por inatividade removeria item que continua no site, numa rota que ninguém visitou, e na visita seguinte a linha renasceria como "apareceu coisa nova", o que seria falso. A testemunha também precisa ser capaz de ver aquela classe de item: item que só a varredura enxerga só é dado por ausente quando foi a varredura que passou por ali de novo.

Consequência assumida: site que remove o Concedo para de mandar tudo, e nada é expurgado. Está certo: paramos de olhar, então não podemos afirmar que mudou.

Direitos do titular: o que você consegue fazer hoje

Quem responde ao titular é você, controlador. O nosso papel é lhe dar meios. Estes existem hoje, no produto:

Acesso e portabilidade. Exportação em CSV de todos os registros de consentimento de um site, com filtro por período e por ação, direto no painel. O arquivo traz exatamente estas colunas:

Coluna	O que é
ocorrido_em	Data e hora, em UTC
visitor_hash	O identificador derivado do dia
acao	Aceitar tudo, escolher por categoria, retirar
necessarios	Sempre sim, porque é a categoria que não se recusa
estatisticas	A escolha do visitante
marketing	A escolha do visitante
personalizacao	A escolha do visitante
versao_politica	A versão do texto apresentado
origem_url	A página em que a escolha foi feita
user_agent	O ambiente do visitante
idioma	O idioma que o navegador do visitante pediu
idioma_apresentado	O idioma em que o aviso apareceu na tela; pode diferir do pedido
versao_catalogo	Qual redação do texto foi apresentada; 0 na linha anterior ao catálogo
regime_aplicado	Sob qual lei a escolha foi colhida: lgpd, gdpr ou opt_out
id_consentimento	Protocolo exibido ao titular para localizar esta decisão

O export cobre o período inteiro pedido, sem paginação. Acima de 100.000 registros o pedido é recusado, com a orientação de estreitar as datas.

Eliminação. O botão fica em Sites → o site → Instalação, no fim da página, e mostra em números o que morre antes de perguntar. Apagar o site apaga, em cascata, os registros de consentimento, o inventário, os documentos e as varreduras daquele site. Para site a exclusão é imediata e sem volta: não há prazo de arrependimento, e a tela diz isso. O prazo de 7 dias existe só para o encerramento da conta inteira, descrito no fim deste documento.

Revogação de consentimento. O visitante retira o consentimento no próprio banner, e a retirada entra como registro novo, com ação própria. O registro anterior não é editado.

O que não existe hoje:

• Não há canal de DSAR, nem para você, nem para o titular. Pedido de titular chega a você pelos seus canais, e é você quem responde.
• Não há exclusão de registro por visitante individual. A limitação vem da própria minimização: passadas 24 horas, o sal diário torna impossível ligar um visitante aos registros dele, nem por você, nem por nós. Localizar registros de um titular específico só é viável dentro do mesmo dia, e ainda assim se o titular fornecer o ambiente exato. Quando o controlador não consegue identificar o titular nos dados, a LGPD não o obriga a manter dado adicional só para conseguir; o que a lei pede é que isso seja transparente.

Subprocessadores

Não subcontratamos ninguém para tratar dados dos seus visitantes sem que ele esteja nesta lista. Quanto menos fornecedor, menos gente com acesso potencial.

Categoria	Fornecedor	Toca dado de visitante seu?
Infraestrutura e banco	Indicado no instrumento assinado, com país	Sim
Gateway de pagamento	Asaas	Não
E-mail transacional	Indicado no instrumento assinado, com país	Não
Navegador de varredura	Cloudflare Browser Run	Não
Monitoramento de erros	Não contratado	—

• Infraestrutura e banco. É onde o registro de consentimento e o inventário ficam, e é o único ponto da lista em que dado tratado por sua conta é armazenado por terceiro.
• Gateway de pagamento. Recebe o seu cadastro de cobrança: nome, CNPJ ou CPF e e-mail. Nunca dado de visitante. Número de cartão não passa pelos nossos servidores.
• E-mail transacional. Verificação de conta, recuperação de senha, relatório de varredura e avisos de cobrança, todos endereçados a você, nunca a visitante do seu site.
• Navegador de varredura. Opcional, e só entra se o modo de navegador remoto estiver ligado. Ele abre as páginas do site varrido; nenhuma base nossa é enviada para lá.
• Monitoramento de erros. Não contratado: nenhuma ferramenta de captura de erro recebe dado do serviço.

O único subprocessador que armazena dado tratado por sua conta é o provedor de infraestrutura. Avisamos você com antecedência razoável antes de incluir ou trocar qualquer fornecedor desta lista, para que você possa se opor.

Transferência internacional

Se algum dos fornecedores acima estiver fora do Brasil, a transferência observará o art. 33 da LGPD, e o país e o mecanismo de transferência constam do instrumento assinado.

O país de hospedagem consta do instrumento assinado, e qualquer mudança é comunicada com antecedência, nos termos da seção de subprocessadores.

Segurança

Medidas que existem hoje, cada uma verificável:

Medida	Como está implementado
Senha	Hash argon2id. A senha em texto não é armazenada nem registrada em log.
Sessão do painel	Cookie HttpOnly, SameSite=Lax e Secure em produção. No banco fica só o SHA-256 do token.
Isolamento entre clientes	Toda consulta é filtrada por organização, com teste automatizado que reprova a regressão que vaze dado entre contas.
Ingestão	Validação de esquema em toda requisição, limite de taxa por site e por visitante, e a origem conferida contra o domínio cadastrado.
Limite de abuso	A chave por origem é o hash do IP: nem em memória o endereço fica em claro.
Segredos	Exclusivamente em variável de ambiente. Nenhuma credencial no código, com teste que varre os arquivos publicados atrás dos valores reais.
Banner no seu site	Nenhuma requisição a CDN de terceiro: uma só entregaria o IP do seu visitante a outra empresa antes de qualquer consentimento.

A descrição completa de cada mecanismo está em Segurança e privacidade dos dados.

Nossos colaboradores com acesso à base estão sujeitos a dever de confidencialidade, e o acesso é mínimo e por necessidade.

Incidentes de segurança

O que existe hoje: um log de evento de segurança que registra tentativa de login falha, estouro de limite, acesso negado, uso do token de manutenção e pedidos de recuperação de senha. A chave desse registro é sempre um hash: endereço IP não entra em log, e há teste que varre a saída do servidor durante as requisições e reprova se entrar.

Com o que nos comprometemos: comunicar você, controlador, assim que tivermos apuração suficiente para dizer o que aconteceu e quais dados foram atingidos, com o que já foi feito e o que recomendamos. A comunicação à ANPD e aos titulares afetados, quando houver risco relevante, é obrigação sua como controlador (art. 48 da LGPD). Nós lhe damos as informações e a colaboração necessárias, no prazo que a apuração permitir.

O que não prometemos: um prazo fixo de notificação em horas. Gestão formal de incidentes, com plantão, classificação de severidade e prazo contratual, não faz parte deste acordo.

Encontrou uma vulnerabilidade? seguranca@concedo.com.br. Não movemos ação contra quem reporta de boa-fé, sem exfiltrar dado e sem degradar o serviço.

Prestação de contas e auditoria

O que você pode conferir por conta própria, sem depender da nossa palavra:

• O painel e o export, que mostram exatamente o que está gravado.
• Esta documentação técnica pública, que descreve o mecanismo e não só a intenção.
• O comportamento observável: você pode abrir o seu próprio site com as ferramentas do navegador e verificar o que o banner envia, o que bloqueia e para onde fala.

Certificações e relatórios de auditoria independente, quando obtidos, são publicados na página de segurança e informados a você.

Mediante pedido razoável e com aviso prévio, prestamos as informações necessárias para demonstrar o cumprimento deste documento.

Fim do contrato: devolução e eliminação

Quando o contrato terminar:

1. Exporte antes. O CSV de consentimentos é a sua prova, e continua sendo sua. Enquanto a conta existir, você exporta quando quiser.
2. Apagar um site apaga os dados daquele site (registros de consentimento, inventário, documentos e varreduras) em cascata, imediatamente e sem volta. O botão fica em Sites → o site → Instalação, no fim da página, e mostra em números o que morre antes de perguntar. Para site não há prazo de arrependimento, e a tela diz isso.
3. Para encerrar a conta inteira, use Conta → Encerrar a conta. O pedido exige a sua senha e o nome da organização digitado, e só o titular (o primeiro cadastro da organização) pode fazê-lo.
4. O pedido não apaga nada na hora: há 7 dias para desfazer. Nesse prazo a conta continua funcionando por inteiro: o banner segue respondendo nos seus sites, o bloqueio de rastreadores segue de pé e o export dos registros continua disponível. Um aviso no topo do painel mostra a data da exclusão e o botão de cancelar, e o titular recebe a mesma data por e-mail no momento do pedido.
5. Passados os 7 dias a exclusão é executada e é definitiva: organização, usuários, sites, registros de consentimento, inventário, documentos e chaves de API. Não guardamos cópia para restaurar.
6. Assinatura ativa é cancelada no gateway no momento do pedido, não no fim do prazo, de modo que você não paga a janela em que está decidindo. Se o gateway recusar o cancelamento, o pedido não é registrado e nada acontece. Desfazendo o pedido, a assinatura não volta sozinha: refaça-a em Assinatura, onde a reativação dentro do período já pago não gera cobrança nova.
7. O prazo de 7 dias protege o titular. É o tempo para que o e-mail do pedido chegue e revele um pedido que não foi dele, cobrindo um fim de semana. Não é maior porque reter o que o titular mandou eliminar precisa ser breve.

Se a legislação nos obrigar a reter algum dado por prazo próprio, retemos apenas o mínimo exigido e apenas para esse fim.

Responsabilidades que continuam sendo suas

Assinar este documento não transfere para nós nada disto:

• escolher a base legal de cada tratamento que acontece no seu site;
• garantir que o texto do banner e a sua política descrevam o que o seu site realmente faz;
• não ligar tags fora do controle do consentimento: o produto bloqueia o que consegue interceptar, e nenhum bloqueio alcança o que é injetado de forma que o navegador não deixa observar;
• responder aos titulares e à ANPD como controlador;
• manter os seus dados de contato e o seu encarregado atualizados conosco.

O produto ajuda você a cumprir a lei. Ele não cumpre a lei no seu lugar.

Vigência, alterações e assinatura

Este documento vigora enquanto durar o contrato de uso do serviço e, nas obrigações de confidencialidade e eliminação, depois dele.

Alteração relevante cria versão nova, com data, comunicada por e-mail aos clientes e destacada no painel. Versões anteriores ficam disponíveis mediante pedido ao encarregado.

Sobre a assinatura: este texto é o modelo. O instrumento assinado é gerado a partir dele com a qualificação das duas partes. Para recebê-lo, escreva para privacidade@concedo.com.br. Foro e lei aplicável seguem os termos de uso.

Documentos relacionados

• Política de privacidade: o tratamento em que o Concedo é controlador, incluindo os seus próprios dados.
• Segurança e privacidade dos dados: como a minimização é implementada no código.
• Termos de uso: as regras do serviço, das quais este documento é anexo.
• Política de cookies: o que o nosso próprio site usa.
• Como escolher uma CMP: os critérios para cobrar isto de qualquer fornecedor, inclusive de nós.