Acordo de tratamento de dados (DPA)

Versão 1 · em vigor desde 22 de outubro de 2026

Resumo

Este acordo vale para os dados pessoais dos seus clientes e visitantes que a Destrava guarda para você: formulários do site, contatos, dados dos apps (clientes, orçamentos, recibos, vales-presente) e denúncias sobre o seu site.
Para esses dados, você é o controlador e a Destrava é a operadora. Na Argentina, você é o responsável e a Destrava é a encarregada do tratamento.
A Destrava só usa esses dados para prestar o serviço, segundo as suas instruções. Não os vende, não os usa para fins próprios e não os usa para treinar modelos de IA próprios.
Os dados ficam nos provedores listados neste acordo. Parte deles fica fora do Brasil, por exemplo, nos Estados Unidos.
Se houver um incidente de segurança, avisamos você sem demora.
Quando o serviço termina, você pode pedir uma cópia; depois, os dados são apagados.
Você cuida da base legal, do aviso de privacidade no seu site e de não coletar dados de que não precisa.
Este acordo faz parte dos Termos de uso. Você o aceita junto com eles. Não é preciso assiná-lo separadamente.

1. O que é este acordo

Este acordo explica como a Destrava trata dados pessoais em seu nome quando você usa a plataforma.

Ele segue a Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD) e, para dados sujeitos à lei argentina, a Lei 25.326.

Os dados que a Destrava trata como controladora (por exemplo, os dados da sua conta, da sua equipe e dos seus pagamentos) não entram aqui. Eles são tratados na Política de privacidade.

2. Quem é quem

Destrava: o serviço oferecido no site destrava.lat. Neste acordo, é a operadora (LGPD) e a encarregada do tratamento (Lei 25.326).
Você: a empresa ou pessoa que contrata a Destrava e aceita os Termos de uso. Neste acordo, é o controlador (LGPD) e o responsável pela base de dados (Lei 25.326).
Titulares: as pessoas a quem os dados se referem. Por exemplo, quem preenche um formulário no seu site ou um cliente que você cadastra num app.
Encarregado pelo tratamento de dados pessoais (DPO) da Destrava: atende pelo e-mail contato@destrava.lat.

3. Definições

Dados do cliente: os dados pessoais dos titulares que a Destrava trata em seu nome. A lista está no Anexo 1.
Suboperador: um provedor que a Destrava contrata e que trata dados do cliente. A lista está no Anexo 3.
Incidente de segurança: um acesso não autorizado, perda, alteração, vazamento ou destruição de dados do cliente, por acidente ou de propósito.
Autoridade: a Autoridade Nacional de Proteção de Dados (ANPD), no Brasil, e a Agência de Acesso à Informação Pública (AAIP), na Argentina.

4. Suas instruções

A Destrava trata os dados do cliente só segundo as suas instruções documentadas.

Contam como instruções:

estes Termos de uso e este acordo;
o que você e a sua equipe configuram e fazem na plataforma: os formulários que colocam no site, os apps que instalam, as permissões que aceitam, os botões de IA que usam e as conexões que ativam;
os pedidos que você faz por escrito pelo e-mail contato@destrava.lat ou pelo painel.

A Destrava não usa os dados do cliente para outro fim. Não os vende, não os aluga, não os cede a terceiros e não os mistura com dados de outros clientes.

Se uma instrução parecer contrária à lei, a Destrava avisa você e pode deixar de cumpri-la até que a questão seja resolvida.

Se uma instrução sair do que o serviço oferece, ela precisa ser combinada antes, por escrito.

Se uma lei ou uma ordem de autoridade obrigar a Destrava a tratar os dados de outro modo (por exemplo, entregar dados a um juiz), ela avisa você antes, salvo se a lei proibir o aviso.

5. Confidencialidade

Só acessam os dados do cliente as pessoas da equipe da Destrava que precisam deles para prestar o serviço, dar o suporte que você pediu, cuidar da segurança ou cumprir a lei.

Essas pessoas têm dever de sigilo, por contrato ou por lei, e esse dever continua depois que elas saem.

Os acessos da equipe ficam registrados na auditoria, que mostra quem fez o quê e quando.

6. Segurança

A Destrava mantém medidas técnicas e administrativas para proteger os dados do cliente, de acordo com o risco e com o estado da técnica. As medidas atuais estão no Anexo 2.

A Destrava pode mudar essas medidas para melhorar a segurança. Uma mudança não pode reduzir o nível geral de proteção.

Você também tem tarefas de segurança: cuidar do acesso à sua conta, escolher bem os papéis e as permissões da sua equipe e retirar o acesso de quem sai.

7. Suboperadores

Você autoriza a Destrava a usar os suboperadores do Anexo 3.

A Destrava contrata cada suboperador com obrigações de proteção de dados compatíveis com este acordo. A Destrava continua responsável perante você pelo que o suboperador fizer com os dados do cliente.

Mudanças na lista. Antes de começar a usar um suboperador novo, a Destrava avisa você por e-mail e atualiza o Anexo 3 com 15 dias de antecedência. O aviso informa o nome, o país e o que ele faz.

Direito de se opor. Nesses 15 dias, você pode se opor por escrito, com um motivo ligado à proteção de dados. A Destrava vai procurar uma solução com você. Se não houver solução, você pode cancelar o serviço pelo procedimento normal de cancelamento, sem multa. Nesse caso, os dados seguem o que diz a seção 14.

Urgência. Se um suboperador precisar ser trocado às pressas, por segurança ou porque deixou de prestar o serviço, a Destrava avisa você o mais rápido possível, e o direito de se opor vale da mesma forma.

8. Transferência internacional

Alguns suboperadores tratam dados fora do Brasil e da Argentina. Hoje:

os arquivos (fotos, vídeos e arquivos dos apps) ficam no R2 da Cloudflare, nos Estados Unidos, e a rede da Cloudflare é global;
o conteúdo das ações de IA passa pela OpenRouter, nos Estados Unidos, e pelo provedor do modelo escolhido para cada ação, no país onde ele estiver;
o banco de dados fica no Brasil (São Paulo). Para dados sujeitos à lei argentina, isso também é uma transferência, porque o Brasil não está na lista de países adequados da Argentina.

A Destrava só faz essas transferências pelos caminhos que a lei permite:

Brasil: os mecanismos do art. 33 da LGPD, como as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD 19/2024);
Argentina: os mecanismos do art. 12 da Lei 25.326, como os contratos-modelo da Disposição DNPDP 60-E/2016 ou as cláusulas da Resolução AAIP 198/2023.

Se houver cláusulas-padrão aplicáveis entre você e a Destrava, elas fazem parte deste acordo.

Você deve informar aos titulares, no aviso de privacidade do seu site, que os dados podem ir para outros países.

9. Inteligência artificial

Quando uma pessoa da sua equipe usa um botão de IA ou um app usa a IA, o conteúdo dessa ação é enviado ao provedor do modelo por meio da OpenRouter, passando pelo AI Gateway da Cloudflare. Isso conta como uma instrução sua.

O preço aproximado aparece antes do uso e o custo real fica registrado depois.

A Destrava não usa os dados do cliente para treinar modelos de IA próprios.

Os provedores de modelos tratam o conteúdo segundo os contratos deles com a OpenRouter. Por isso, evite incluir dados pessoais na ação de IA quando eles não forem necessários para o resultado.

As ações de IA da Destrava servem para escrever, resumir ou ler conteúdo a pedido de uma pessoa. A Destrava não toma, em seu nome, decisões automatizadas sobre os titulares.

10. Apps de outras empresas e conexões

A loja pode ter apps de outras empresas, e você pode conectar apps de fora pelo "Conectar com Destrava".

Quando você instala um desses apps ou aceita uma conexão, você autoriza aquela empresa a tratar os dados das permissões que aceitou. Essa empresa não é suboperadora da Destrava: ela tem os próprios termos e a própria política de privacidade, e responde pelo próprio serviço.

A Destrava revisa esses apps antes de publicá-los e pode suspendê-los. Você pode cortar uma conexão a qualquer momento em Painel → Apps → De outras empresas.

11. Pedidos dos titulares

Os titulares têm direitos sobre os próprios dados, como acesso, correção, exclusão e portabilidade. Responder a esses pedidos é tarefa sua, como controlador.

A Destrava ajuda assim:

pelas ferramentas do painel, onde você vê os contatos e os dados de cada app;
quando o painel não bastar, você escreve para contato@destrava.lat e a Destrava ajuda a encontrar, corrigir, exportar ou apagar os dados, a tempo de você cumprir os prazos legais (por exemplo, 15 dias para o acesso completo no Brasil; 10 dias corridos para o acesso e 5 dias úteis para a correção ou exclusão na Argentina).

Se um titular pedir algo diretamente à Destrava, ela não responde ao mérito do pedido. Ela encaminha o pedido a você em até 2 dias úteis e orienta o titular a procurar você, salvo se a lei determinar outra coisa.

12. Incidentes de segurança

Se a Destrava confirmar um incidente de segurança com dados do cliente, ela avisa você sem demora indevida e em até 48 horas depois da confirmação.

O aviso traz o que já se souber:

o que aconteceu e quando;
os tipos de dados e o número aproximado de titulares afetados;
os riscos para os titulares;
o que a Destrava já fez e o que recomenda que você faça;
quem é o contato na Destrava.

Se alguma informação ainda não estiver disponível, a Destrava envia o que tiver e completa depois.

A Destrava ajuda você a comunicar o incidente à autoridade e aos titulares, quando for o caso. A decisão de comunicar e o envio da comunicação cabem a você, como controlador.

Avisar um incidente não significa reconhecer culpa.

13. Relatório de impacto e consultas

Se você precisar fazer um relatório de impacto à proteção de dados pessoais (RIPD) ou responder a uma autoridade sobre o tratamento feito pela Destrava, ela fornece as informações que tiver e que forem razoáveis, como a descrição do tratamento, as medidas de segurança e a lista de suboperadores.

14. Fim do serviço: devolução e exclusão

Quando o serviço termina, ou quando você encerra a conta:

a Destrava para de tratar os dados do cliente, salvo para guardá-los, devolvê-los ou apagá-los;
durante 30 dias, você pode pedir uma cópia dos dados do cliente pelo e-mail contato@destrava.lat;
depois desses 30 dias, a Destrava apaga os dados do cliente;
as cópias de segurança são apagadas no ciclo normal de rotação e, até lá, ficam protegidas e não são usadas.

Quando você desinstala um app, os dados dele ficam guardados por 30 dias e depois são apagados.

A Destrava só guarda o que a lei obriga, pelo prazo que a lei manda e só para esse fim. Por exemplo: os registros de acesso por 6 meses (Marco Civil da Internet, art. 15) e os registros de auditoria e de pagamentos pelo prazo da lei fiscal.

Para dados sujeitos à lei argentina, a Destrava não usa a opção de guardar os dados por até 2 anos depois do fim do serviço (Lei 25.326, art. 25), salvo se você autorizar de forma expressa.

15. Auditorias e informações

A Destrava fornece, a pedido, as informações necessárias para mostrar que cumpre este acordo. Por exemplo: respostas a questionários de segurança, a descrição das medidas e a lista de suboperadores. Um pedido por ano não tem custo.

Uma auditoria presencial ou por terceiros só acontece quando a lei ou uma autoridade exigir, ou depois de um incidente que envolva os seus dados. Nesses casos:

você avisa com pelo menos 30 dias de antecedência e propõe o escopo;
o auditor assina um compromisso de sigilo e não pode ser concorrente da Destrava;
a auditoria não pode pôr em risco a segurança nem os dados de outros clientes;
os custos são seus, salvo se a auditoria mostrar que a Destrava descumpriu este acordo de forma relevante.

16. Suas obrigações como controlador

Você se compromete a:

ter uma base legal para cada tratamento que pedir à Destrava;
ter um aviso de privacidade no seu site que explique quem trata os dados, para quê, com quem os compartilha, que eles podem ir para outros países e como o titular exerce seus direitos;
na Argentina, mostrar a informação do art. 6 da Lei 25.326 e a legenda da AAIP onde coletar dados;
não coletar dados de que não precisa: peça nos formulários e nos apps só o necessário;
não incluir dados sensíveis (saúde, religião, biometria, origem racial ou étnica, opinião política, vida sexual, entre outros) nem dados de crianças e adolescentes, salvo se tiver base legal e real necessidade. A plataforma não foi feita para esses dados e não tem medidas extras para eles;
responder aos pedidos dos titulares e comunicar incidentes quando a lei exigir;
cuidar das ferramentas que você mesmo adicionar ao seu site e dos serviços que conectar.

17. Responsabilidade

Cada parte responde pelos danos que causar, conforme a LGPD (arts. 42 a 45), a Lei 25.326 e as demais leis aplicáveis.

A Destrava, como operadora, responde quando descumprir a lei de proteção de dados ou as suas instruções lícitas.

Os limites de responsabilidade dos Termos de uso valem para este acordo só até onde a lei permitir. Nada neste acordo limita os direitos dos titulares.

18. Duração, mudanças e ordem de prevalência

Este acordo vale enquanto a Destrava tratar dados do cliente, mesmo depois que o serviço termina, até a exclusão prevista na seção 14.

A Destrava pode atualizar este acordo, com número de versão e data. Mudanças importantes são avisadas com 15 dias de antecedência e, ao entrar, a plataforma pede que você aceite a versão nova. Uma mudança não pode reduzir a proteção dos dados do cliente, salvo se a lei exigir.

Se houver conflito sobre o tratamento de dados pessoais em seu nome:

este acordo prevalece sobre os Termos de uso;
as cláusulas-padrão de transferência internacional, quando aplicáveis, prevalecem sobre este acordo naquilo que regulam.

No restante, valem os Termos de uso, inclusive as regras de lei aplicável e foro.

19. Contato

Dúvidas sobre este acordo, pedidos de cópia ou de exclusão e avisos: contato@destrava.lat.

O encarregado pelo tratamento de dados pessoais (DPO) da Destrava atende pelo mesmo e-mail.

Anexo 1. Descrição do tratamento

Objeto

Guardar e tratar os dados pessoais que você e os seus visitantes colocam na plataforma, para prestar o serviço da Destrava: site, painel, apps e ações de IA.

Duração

Enquanto a sua conta existir e, depois, até a exclusão prevista na seção 14.

Natureza

Coleta pelos formulários do site e pelos apps; armazenamento; organização; consulta e exibição para a sua equipe no painel; avisos para a sua equipe; processamento por IA quando alguém da sua equipe pede; envio para os serviços que você conectar; exportação e exclusão.

Finalidade

Prestar o serviço que você contratou, segundo as suas instruções. Nenhuma outra.

Titulares

visitantes do seu site que preenchem um formulário;
seus clientes e contatos que você ou a sua equipe cadastram nos apps;
pessoas que aparecem nas fotos e nos vídeos que você envia;
pessoas que fazem uma denúncia sobre o seu site, na parte que se refere ao seu site.

Categorias de dados

identificação e contato: nome, e-mail, telefone ou WhatsApp, e outros dados que o formulário ou o app pedir;
conteúdo das mensagens enviadas pelo site;
dados que os apps guardam, como clientes, orçamentos, recibos, vales-presente e valores;
imagens de pessoas em fotos e vídeos (das fotos, a Destrava apaga o EXIF e o GPS);
o conteúdo que vai para uma ação de IA e a resposta;
data e hora de cada registro e quem da sua equipe o criou.

Dados sensíveis

Não previstos. Veja a seção 16.

Frequência

Contínua, enquanto você usa o serviço.

Anexo 2. Medidas de segurança

Entrada protegida: a pessoa entra com e-mail e senha (guardada só de forma cifrada), com o Google ou com um código enviado por e-mail.
Papéis e permissões: dono, gerente e atendente, com permissões que o dono ativa e desativa pessoa por pessoa.
Dados separados por empresa: os dados de cada app são guardados por empresa.
Apps isolados: os apps rodam isolados no navegador (iframe sandbox) e só acessam o que você autorizou.
Equipe da Destrava: o painel interno exige Cloudflare Access e verificação em duas etapas (TOTP).
Auditoria: registro de quem fez o quê e quando.
Registros de acesso: IP, data e hora, guardados por 6 meses.
Fotos: a Destrava apaga o EXIF e a localização (GPS) de cada foto.
Avisos assinados: os avisos automáticos (webhooks) vão com assinatura, para quem recebe conferir a origem.
Proteção contra robôs: a rede da Cloudflare filtra tráfego automatizado.
Pagamentos: a Destrava não guarda números de cartão.
Limpeza automática: todo dia, a plataforma apaga o que venceu, como códigos de entrada e convites.
Cópias de segurança: feitas e substituídas por rotação.

Anexo 3. Suboperadores

Supabase: banco de dados e login. São Paulo, Brasil (AWS sa-east-1).
Cloudflare: servidores, rede, sites publicados, arquivos (R2), AI Gateway e Access. Arquivos nos Estados Unidos (região ENAM); rede global.
Resend: envio de e-mails. São Paulo, Brasil.
OpenRouter: encaminha cada ação de IA ao provedor do modelo. Estados Unidos.
Provedores de modelos de IA (por exemplo, Google, Anthropic e OpenAI): recebem o conteúdo da ação de IA. No país de cada provedor.

Não são suboperadores deste acordo:

Google (login com o Google), Mercado Pago e Ualá Bis (pagamentos): tratam dados da sua conta e dos seus pagamentos, não dos seus clientes. Estão na Política de privacidade.
YouTube e Vimeo: só entram se você colocar um vídeo deles no seu site, por escolha sua. O vídeo é carregado no modo sem cookies até alguém apertar o play.
Apps de outras empresas e conexões: veja a seção 10.

Acuerdo de tratamiento de datos (DPA)

Versión 1 · vigente desde 22 de octubre de 2026

Resumen

Este acuerdo vale para los datos personales de tus clientes y visitantes que Destrava guarda para vos: formularios del sitio, contactos, datos de las apps (clientes, presupuestos, recibos, vales de regalo) y denuncias sobre tu sitio.
Para esos datos, vos sos el responsable y Destrava es la encargada del tratamiento. En Brasil, vos sos el controlador y Destrava es la operadora.
Destrava solo usa esos datos para darte el servicio, según tus instrucciones. No los vende, no los usa para fines propios y no entrena modelos de IA propios con ellos.
Los datos están en los proveedores que listamos acá. Parte de ellos está fuera de la Argentina y de Brasil, por ejemplo en Estados Unidos.
Si hay un incidente de seguridad, te avisamos sin demora.
Cuando termina el servicio, podés pedir una copia, y después los datos se borran.
Vos te ocupás de la base legal, del aviso de privacidad en tu sitio y de no recolectar datos que no necesites.
Este acuerdo es parte de los Términos de uso. Lo aceptás junto con ellos. No hace falta firmarlo aparte.

1. Qué es este acuerdo

Este acuerdo explica cómo Destrava trata datos personales en tu nombre cuando usás la plataforma.

Sigue la Ley 25.326 de Protección de Datos Personales y, para los datos sujetos a la ley brasileña, la Lei Geral de Proteção de Dados (Lei 13.709/2018, la LGPD).

Los datos que Destrava trata como responsable (por ejemplo, los de tu cuenta, tu equipo y tus pagos) no están incluidos acá. Están en la Política de privacidad.

2. Quién es quién

Destrava: el servicio que se ofrece en el sitio destrava.lat. En este acuerdo es la encargada del tratamiento (Ley 25.326) y la operadora (LGPD).
Vos: la empresa o persona que contrata Destrava y acepta los Términos de uso. En este acuerdo sos el responsable de la base de datos (Ley 25.326) y el controlador (LGPD).
Titulares: las personas a las que se refieren los datos. Por ejemplo, quien completa un formulario en tu sitio o un cliente que cargás en una app.
Delegado de protección de datos de Destrava (DPO): contato@destrava.lat.

3. Palabras que usamos

Datos del cliente: los datos personales de los titulares que Destrava trata en tu nombre. La lista está en el Anexo 1.
Subencargado: un proveedor que Destrava contrata y que trata datos del cliente. La lista está en el Anexo 3.
Incidente de seguridad: un acceso no autorizado, pérdida, alteración, filtración o destrucción de datos del cliente, por accidente o a propósito.
Autoridad: la Agencia de Acceso a la Información Pública (AAIP), en la Argentina, y la Autoridade Nacional de Proteção de Dados (ANPD), en Brasil.

4. Tus instrucciones

Destrava trata los datos del cliente solo según tus instrucciones documentadas.

Cuentan como instrucciones:

estos Términos de uso y este acuerdo;
lo que vos y tu equipo configuran y hacen en la plataforma: los formularios que ponen en el sitio, las apps que instalan, los permisos que aceptan, los botones de IA que usan y las conexiones que activan;
los pedidos que hacés por escrito a contato@destrava.lat o desde el panel.

Destrava no usa los datos del cliente para otro fin. No los vende, no los alquila, no los cede a terceros y no los mezcla con datos de otros clientes.

Si una instrucción parece contraria a la ley, Destrava te avisa y puede dejar de cumplirla hasta que se resuelva.

Si una instrucción va más allá de lo que ofrece el servicio, hay que acordarla antes por escrito.

Si una ley o una orden de autoridad obliga a Destrava a tratar los datos de otra forma (por ejemplo, entregarlos a un juez), te avisa antes, salvo que la ley prohíba el aviso.

5. Confidencialidad

Solo acceden a los datos del cliente las personas del equipo de Destrava que los necesitan para darte el servicio, darte el soporte que pediste, cuidar la seguridad o cumplir la ley.

Esas personas tienen un deber de confidencialidad, por contrato o por ley, y ese deber sigue aunque dejen de trabajar con Destrava.

Los accesos del equipo quedan registrados en la auditoría, que dice quién hizo qué y cuándo.

6. Seguridad

Destrava mantiene medidas técnicas y organizativas para proteger los datos del cliente, de acuerdo con el riesgo y con el estado de la técnica. Las medidas actuales están en el Anexo 2.

Destrava puede cambiar esas medidas para mejorar la seguridad. Ningún cambio puede bajar el nivel general de protección.

Vos también tenés tareas de seguridad: cuidar el acceso a tu cuenta, elegir bien los roles y los permisos de tu equipo y sacarle el acceso a quien se va.

7. Subencargados

Autorizás a Destrava a usar los subencargados del Anexo 3.

Destrava contrata a cada subencargado con obligaciones de protección de datos compatibles con este acuerdo. Destrava sigue siendo responsable frente a vos por lo que el subencargado haga con los datos del cliente.

Cambios en la lista. Antes de empezar a usar un subencargado nuevo, Destrava te avisa por e-mail y actualiza el Anexo 3 con 15 días de anticipación. El aviso dice el nombre, el país y qué hace.

Derecho a oponerte. En esos 15 días podés oponerte por escrito, con un motivo ligado a la protección de datos. Destrava va a buscar una solución con vos. Si no la hay, podés dar de baja el servicio por el camino habitual, sin multa. En ese caso, los datos siguen lo que dice la sección 14.

Urgencia. Si hay que cambiar un subencargado con urgencia, por seguridad o porque dejó de prestar el servicio, Destrava te avisa lo antes posible, y el derecho a oponerte vale igual.

8. Transferencia internacional

Algunos subencargados tratan datos fuera de la Argentina y de Brasil. Hoy:

los archivos (fotos, videos y archivos de las apps) están en el R2 de Cloudflare, en Estados Unidos, y la red de Cloudflare es global;
el contenido de las acciones de IA pasa por OpenRouter, en Estados Unidos, y por el proveedor del modelo elegido para cada acción, en el país donde esté;
la base de datos está en Brasil (São Paulo). Para los datos sujetos a la ley argentina, eso también es una transferencia, porque Brasil no está en la lista de países con protección adecuada de la Argentina.

Destrava solo hace esas transferencias por las vías que permite la ley:

Argentina: los mecanismos del art. 12 de la Ley 25.326, como los contratos modelo de la Disposición DNPDP 60-E/2016 o las cláusulas de la Resolución AAIP 198/2023;
Brasil: los mecanismos del art. 33 de la LGPD, como las cláusulas contractuales estándar de la ANPD (Resolução CD/ANPD 19/2024).

Si hay cláusulas modelo aplicables entre vos y Destrava, son parte de este acuerdo.

Tenés que informar a los titulares, en el aviso de privacidad de tu sitio, que los datos pueden ir a otros países.

9. Inteligencia artificial

Cuando una persona de tu equipo usa un botón de IA o una app usa la IA, el contenido de esa acción va al proveedor del modelo a través de OpenRouter y del AI Gateway de Cloudflare. Eso cuenta como una instrucción tuya.

El precio aproximado aparece antes del uso y el costo real queda registrado después.

Destrava no usa los datos del cliente para entrenar modelos de IA propios.

Los proveedores de modelos tratan el contenido según sus contratos con OpenRouter. Por eso, evitá poner datos personales en la acción de IA cuando no hagan falta para el resultado.

Las acciones de IA de Destrava sirven para escribir, resumir o leer contenido a pedido de una persona. Destrava no toma, en tu nombre, decisiones automatizadas sobre los titulares.

10. Apps de otras empresas y conexiones

La tienda puede tener apps de otras empresas, y podés conectar apps externas con "Conectar con Destrava".

Cuando instalás una de esas apps o aceptás una conexión, autorizás a esa empresa a tratar los datos de los permisos que aceptaste. Esa empresa no es subencargada de Destrava: tiene sus propios términos y su propia política de privacidad, y responde por su servicio.

Destrava revisa esas apps antes de publicarlas y puede suspenderlas. Podés cortar una conexión cuando quieras en Panel → Apps → De otras empresas.

11. Pedidos de los titulares

Los titulares tienen derechos sobre sus datos, como acceso, rectificación, supresión y portabilidad. Responder esos pedidos es tarea tuya, como responsable.

Destrava te ayuda así:

con las herramientas del panel, donde ves los contactos y los datos de cada app;
cuando el panel no alcanza, escribís a contato@destrava.lat y Destrava te ayuda a encontrar, corregir, exportar o borrar los datos, a tiempo para que cumplas los plazos legales (por ejemplo, en la Argentina, 10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión; en Brasil, 15 días para el acceso completo).

Si un titular le pide algo directamente a Destrava, Destrava no responde sobre el fondo del pedido. Te lo pasa dentro de los 2 días hábiles y le indica al titular que se contacte con vos, salvo que la ley diga otra cosa.

12. Incidentes de seguridad

Si Destrava confirma un incidente de seguridad con datos del cliente, te avisa sin demora indebida y dentro de las 48 horas desde la confirmación.

El aviso dice lo que ya se sepa:

qué pasó y cuándo;
qué tipos de datos y cuántos titulares, aproximadamente, se vieron afectados;
los riesgos para los titulares;
qué hizo Destrava y qué te recomienda hacer;
quién es el contacto en Destrava.

Si algún dato todavía no está disponible, Destrava manda lo que tenga y lo completa después.

Destrava te ayuda a comunicar el incidente a la autoridad y a los titulares, cuando corresponda. La decisión de comunicarlo y el envío son tuyos, como responsable.

Avisar un incidente no significa reconocer culpa.

13. Evaluación de impacto y consultas

Si necesitás hacer una evaluación de impacto en la protección de datos o responderle a una autoridad sobre el tratamiento que hace Destrava, Destrava te da la información que tenga y que sea razonable, como la descripción del tratamiento, las medidas de seguridad y la lista de subencargados.

14. Fin del servicio: devolución y borrado

Cuando termina el servicio, o cuando cerrás la cuenta:

Destrava deja de tratar los datos del cliente, salvo para guardarlos, devolverlos o borrarlos;
durante 30 días podés pedir una copia de los datos del cliente a contato@destrava.lat;
pasados esos 30 días, Destrava borra los datos del cliente;
las copias de seguridad se borran en el ciclo normal de rotación y, hasta entonces, quedan protegidas y no se usan.

Cuando desinstalás una app, sus datos se guardan 30 días y después se borran.

Destrava solo guarda lo que la ley obliga, por el plazo que la ley manda y solo para ese fin. Por ejemplo: los registros de acceso por 6 meses (Marco Civil da Internet de Brasil, art. 15) y los registros de auditoría y de pagos por el plazo de la ley fiscal.

Para los datos sujetos a la ley argentina, Destrava no usa la opción de guardar los datos hasta 2 años después del fin del servicio (Ley 25.326, art. 25), salvo que la autorices en forma expresa.

15. Auditorías e información

Destrava te da, a pedido, la información necesaria para mostrar que cumple este acuerdo. Por ejemplo: respuestas a cuestionarios de seguridad, la descripción de las medidas y la lista de subencargados. Un pedido por año no tiene costo.

Una auditoría presencial o por terceros solo se hace cuando la ley o una autoridad lo exigen, o después de un incidente que involucre tus datos. En esos casos:

avisás con al menos 30 días de anticipación y proponés el alcance;
el auditor firma un compromiso de confidencialidad y no puede ser competidor de Destrava;
la auditoría no puede poner en riesgo la seguridad ni los datos de otros clientes;
los costos son tuyos, salvo que la auditoría muestre que Destrava incumplió este acuerdo de forma relevante.

16. Tus obligaciones como responsable

Te comprometés a:

tener una base legal para cada tratamiento que le pidas a Destrava;
tener un aviso de privacidad en tu sitio que explique quién trata los datos, para qué, con quién los comparte, que pueden ir a otros países y cómo el titular ejerce sus derechos;
en la Argentina, mostrar la información del art. 6 de la Ley 25.326 y la leyenda de la AAIP donde recolectes datos;
no recolectar datos que no necesites: pedí en los formularios y en las apps solo lo necesario;
no cargar datos sensibles (salud, religión, datos biométricos, origen racial o étnico, opiniones políticas, vida sexual, entre otros) ni datos de niñas, niños y adolescentes, salvo que tengas base legal y una necesidad real. La plataforma no está pensada para esos datos y no tiene medidas adicionales para ellos;
responder los pedidos de los titulares y comunicar los incidentes cuando la ley lo exija;
ocuparte de las herramientas que agregues a tu sitio y de los servicios que conectes.

17. Responsabilidad

Cada parte responde por los daños que cause, según la Ley 25.326, la LGPD (arts. 42 a 45) y las demás leyes aplicables.

Destrava, como encargada, responde cuando incumple la ley de protección de datos o tus instrucciones lícitas.

Los límites de responsabilidad de los Términos de uso valen para este acuerdo solo hasta donde lo permita la ley. Nada en este acuerdo limita los derechos de los titulares.

18. Duración, cambios y orden de prioridad

Este acuerdo vale mientras Destrava trate datos del cliente, incluso después de que termine el servicio, hasta el borrado previsto en la sección 14.

Destrava puede actualizar este acuerdo, con número de versión y fecha. Los cambios importantes se avisan con 15 días de anticipación y, al entrar, la plataforma te pide aceptar la versión nueva. Ningún cambio puede reducir la protección de los datos del cliente, salvo que la ley lo exija.

Si hay un conflicto sobre el tratamiento de datos personales en tu nombre:

este acuerdo prevalece sobre los Términos de uso;
las cláusulas modelo de transferencia internacional, cuando se apliquen, prevalecen sobre este acuerdo en lo que regulan.

En todo lo demás, valen los Términos de uso, incluidas las reglas de ley aplicable y jurisdicción.

19. Contacto

Dudas sobre este acuerdo, pedidos de copia o de borrado y avisos: contato@destrava.lat.

En ese mismo e-mail atiende el delegado de protección de datos (DPO) de Destrava.

Anexo 1. Descripción del tratamiento

Objeto

Guardar y tratar los datos personales que vos y tus visitantes cargan en la plataforma, para darte el servicio de Destrava: sitio, panel, apps y acciones de IA.

Duración

Mientras exista tu cuenta y, después, hasta el borrado previsto en la sección 14.

Naturaleza

Recolección por los formularios del sitio y por las apps; almacenamiento; organización; consulta y visualización para tu equipo en el panel; avisos para tu equipo; procesamiento por IA cuando alguien de tu equipo lo pide; envío a los servicios que conectes; exportación y borrado.

Finalidad

Darte el servicio que contrataste, según tus instrucciones. Ninguna otra.

Titulares

visitantes de tu sitio que completan un formulario;
tus clientes y contactos que vos o tu equipo cargan en las apps;
personas que aparecen en las fotos y videos que subís;
personas que hacen una denuncia sobre tu sitio, en lo que se refiere a tu sitio.

Categorías de datos

identificación y contacto: nombre, e-mail, teléfono o WhatsApp, y otros datos que pida el formulario o la app;
el contenido de los mensajes enviados por el sitio;
datos que guardan las apps, como clientes, presupuestos, recibos, vales de regalo y montos;
imágenes de personas en fotos y videos (de las fotos, Destrava borra el EXIF y el GPS);
el contenido que va a una acción de IA y la respuesta;
fecha y hora de cada registro y quién de tu equipo lo creó.

Datos sensibles

No previstos. Ver la sección 16.

Frecuencia

Continua, mientras usás el servicio.

Anexo 2. Medidas de seguridad

Inicio de sesión protegido: la persona entra con e-mail y contraseña (guardada solo cifrada), con Google o con un código que le llega por e-mail.
Roles y permisos: dueño, gerente y atención, con permisos que el dueño activa y desactiva persona por persona.
Datos separados por empresa: los datos de cada app se guardan por empresa.
Apps aisladas: las apps corren aisladas en el navegador (iframe sandbox) y solo acceden a lo que autorizaste.
Equipo de Destrava: el panel interno exige Cloudflare Access y verificación en dos pasos (TOTP).
Auditoría: registro de quién hizo qué y cuándo.
Registros de acceso: IP, fecha y hora, guardados 6 meses.
Fotos: Destrava borra el EXIF y la ubicación (GPS) de cada foto.
Avisos firmados: los avisos automáticos (webhooks) van firmados, para que quien los recibe pueda verificar el origen.
Protección contra robots: la red de Cloudflare filtra el tráfico automatizado.
Pagos: Destrava no guarda números de tarjeta.
Limpieza automática: todos los días la plataforma borra lo vencido, como los códigos para entrar y las invitaciones.
Copias de seguridad: se hacen y se reemplazan por rotación.

Anexo 3. Subencargados

Supabase: base de datos e inicio de sesión. São Paulo, Brasil (AWS sa-east-1).
Cloudflare: servidor, red, sitios publicados, archivos (R2), AI Gateway y Access. Archivos en Estados Unidos (región ENAM); red global.
Resend: envío de e-mails. São Paulo, Brasil.
OpenRouter: lleva cada acción de IA al proveedor del modelo. Estados Unidos.
Proveedores de modelos de IA (por ejemplo, Google, Anthropic y OpenAI): reciben el contenido de la acción de IA. En el país de cada proveedor.

No son subencargados de este acuerdo:

Google (inicio de sesión con Google), Mercado Pago y Ualá Bis (pagos): tratan datos de tu cuenta y de tus pagos, no de tus clientes. Están en la Política de privacidad.
YouTube y Vimeo: solo intervienen si ponés un video de ellos en tu sitio, por decisión tuya. El video carga en modo sin cookies hasta que alguien le da play.
Apps de otras empresas y conexiones: ver la sección 10.

Data Processing Agreement (DPA)

Version 1 · in effect since October 22, 2026

Summary

This agreement covers the personal data of your customers and visitors that Destrava stores for you: site forms, contacts, app data (customers, quotes, receipts, gift cards) and reports about your site.
For this data, you are the controller and Destrava is the processor. Under Brazilian law (LGPD), Destrava is the "operadora"; under Argentine law (Law 25,326), it is the "encargado del tratamiento".
Destrava uses this data only to provide the service, following your instructions. It does not sell it, does not use it for its own purposes and does not use it to train its own AI models.
The data is stored with the providers listed here. Some of them are outside Brazil and Argentina, for example in the United States.
If there is a security incident, we tell you without delay.
When the service ends, you can ask for a copy, and then the data is deleted.
You are responsible for having a legal basis, publishing a privacy notice on your site and not collecting data you do not need.
This agreement is part of the Terms of Use. You accept it when you accept them. It does not need to be signed separately.

1. What this agreement is

This agreement explains how Destrava processes personal data on your behalf when you use the platform.

It follows the Brazilian General Data Protection Law (Law 13,709/2018, the LGPD) and, for data subject to Argentine law, Law 25,326.

Data that Destrava processes as a controller (for example, your account, your team and your payments) is not covered here. It is covered in the Privacy Policy.

2. Who is who

Destrava: the service offered on the destrava.lat website. In this agreement, it is the processor ("operadora" under the LGPD and "encargado del tratamiento" under Law 25,326).
You: the company or person that hires Destrava and accepts the Terms of Use. In this agreement, you are the controller ("controlador" under the LGPD and "responsable de la base de datos" under Law 25,326).
Data subjects: the people the data is about. For example, someone who fills in a form on your site, or a customer you add to an app.
Destrava's data protection officer (DPO): can be reached at contato@destrava.lat.

3. Definitions

Customer data: the personal data of data subjects that Destrava processes on your behalf. The list is in Annex 1.
Subprocessor: a provider that Destrava hires and that processes customer data. The list is in Annex 3.
Security incident: unauthorized access to, or loss, alteration, leak or destruction of, customer data, whether accidental or deliberate.
Authority: the National Data Protection Authority (ANPD) in Brazil and the Agency for Access to Public Information (AAIP) in Argentina.

4. Your instructions

Destrava processes customer data only on your documented instructions.

These count as instructions:

the Terms of Use and this agreement;
what you and your team set up and do on the platform: the forms you add to the site, the apps you install, the permissions you accept, the AI buttons you use and the connections you turn on;
the requests you make in writing to contato@destrava.lat or through the panel.

Destrava does not use customer data for any other purpose. It does not sell it, rent it, give it to third parties or mix it with other clients' data.

If an instruction seems unlawful, Destrava tells you and may stop following it until the matter is resolved between you.

If an instruction goes beyond what the service offers, it must be agreed in writing first.

If a law or an order from an authority requires Destrava to process the data in another way (for example, to hand it over to a court), Destrava tells you first, unless the law forbids it.

5. Confidentiality

Only the members of Destrava's team who need customer data to provide the service, give the support you asked for, keep things secure or comply with the law can access it.

These people have a duty of confidentiality, by contract or by law, and that duty continues after they leave.

Team access is recorded in the audit log, which shows who did what and when.

6. Security

Destrava maintains technical and organizational measures to protect customer data, in line with the risk and the state of the art. The current measures are in Annex 2.

Destrava may change these measures to improve security. A change cannot lower the overall level of protection.

You also have security responsibilities: protect access to your account, choose your team's roles and permissions carefully and remove access for people who leave.

7. Subprocessors

You authorize Destrava to use the subprocessors in Annex 3.

Destrava hires each subprocessor with data protection obligations consistent with this agreement. Destrava remains responsible to you for what the subprocessor does with customer data.

Changes to the list. Destrava notifies you by email and updates Annex 3 15 days before it starts using a new subprocessor. The notice gives the subprocessor's name, its country and what it does.

Right to object. Within those 15 days, you can object in writing, with a reason related to data protection. Destrava will look for a solution with you. If none is found, you can cancel the service through the normal cancellation process, without any penalty. The data is then handled as described in section 14.

Urgent changes. If a subprocessor has to be replaced quickly, for security reasons or because it stopped providing its service, Destrava tells you as soon as possible, and your right to object still applies.

8. International transfers

Some subprocessors process data outside Brazil and Argentina. Currently:

files (photos, videos and app files) are stored in Cloudflare R2, in the United States, and Cloudflare's network is global;
the content of AI actions goes through OpenRouter, in the United States, and through the provider of the model chosen for each action, in that provider's country;
the database is in Brazil (São Paulo). For data subject to Argentine law, this is also a transfer, because Brazil is not on Argentina's list of countries with adequate protection.

Destrava makes these transfers only in the ways the law allows:

Brazil: the mechanisms in Article 33 of the LGPD, such as the ANPD standard contractual clauses (Resolution CD/ANPD 19/2024);
Argentina: the mechanisms in Article 12 of Law 25,326, such as the model contracts of DNPDP Provision 60-E/2016 or the clauses of AAIP Resolution 198/2023.

If standard clauses apply between you and Destrava, they are part of this agreement.

You must tell data subjects, in your site's privacy notice, that their data may be transferred to other countries.

9. Artificial intelligence

When someone on your team uses an AI button, or an app uses AI, the content of that action goes to the model provider through OpenRouter, via Cloudflare's AI Gateway. This counts as your instruction.

The approximate price is shown before use, and the real cost is recorded afterwards.

Destrava does not use customer data to train its own AI models.

Model providers process the content under their own contracts with OpenRouter. For this reason, avoid putting personal data into an AI action when it is not needed for the result.

Destrava's AI actions are for writing, summarizing or reading content at a person's request. Destrava does not make automated decisions about data subjects on your behalf.

10. Apps from other companies and connections

The store may include apps from other companies, and you can connect outside apps through "Connect with Destrava".

When you install one of these apps or accept a connection, you authorize that company to process the data covered by the permissions you accepted. That company is not a Destrava subprocessor: it has its own terms and privacy policy, and it is responsible for its own service.

Destrava reviews these apps before publishing them and may suspend them. You can cut a connection at any time in the panel, under Apps → From other companies.

11. Data subject requests

Data subjects have rights over their data, such as access, correction, deletion and portability. Answering these requests is your responsibility, as the controller.

Destrava helps in these ways:

through the panel tools, where you can see contacts and each app's data;
when the panel is not enough, you write to contato@destrava.lat and Destrava helps you find, correct, export or delete the data, in time for you to meet the legal deadlines (for example, 15 days for full access in Brazil; 10 calendar days for access and 5 business days for correction or deletion in Argentina).

If a data subject contacts Destrava directly, Destrava does not respond to the request itself. It passes the request on to you within 2 business days and tells the data subject to contact you, unless the law says otherwise.

12. Security incidents

If Destrava confirms a security incident involving customer data, it tells you without undue delay and within 48 hours of confirming it.

The notice includes what is known at that point:

what happened and when;
what types of data and roughly how many data subjects were affected;
the risks to data subjects;
what Destrava has done and what it recommends you do;
who your contact at Destrava is.

If some information is not yet available, Destrava sends what it has and completes it later.

Destrava helps you notify the authority and the data subjects, where needed. The decision to notify and the notice itself are yours, as the controller.

Notifying an incident is not an admission of fault.

13. Impact assessments and consultations

If you need to prepare a data protection impact assessment or answer an authority about the processing Destrava does, Destrava gives you the reasonable information it has, such as the description of the processing, the security measures and the subprocessor list.

14. End of service: return and deletion

When the service ends, or when you close your account:

Destrava stops processing customer data, except to store, return or delete it;
for 30 days, you can ask for a copy of the customer data at contato@destrava.lat;
after those 30 days, Destrava deletes the customer data;
backups are deleted in the normal rotation cycle and, until then, remain protected and are not used.

When you uninstall an app, its data is kept for 30 days and then deleted.

Destrava keeps only what the law requires, for the period the law sets and only for that purpose. For example: access logs for 6 months (Brazil's Internet Civil Framework, art. 15) and audit and payment records for the period set by tax law.

For data subject to Argentine law, Destrava does not use the option to keep data for up to 2 years after the service ends (Law 25,326, art. 25), unless you expressly authorize it.

15. Audits and information

On request, Destrava gives you the information needed to show that it complies with this agreement. For example: answers to security questionnaires, the description of the measures and the subprocessor list. One request per year is free of charge.

An on-site or third-party audit takes place only when the law or an authority requires it, or after an incident involving your data. In those cases:

you give at least 30 days' notice and propose the scope;
the auditor signs a confidentiality commitment and cannot be a Destrava competitor;
the audit cannot put security or other clients' data at risk;
you bear the costs, unless the audit shows that Destrava materially breached this agreement.

16. Your obligations as controller

You agree to:

have a legal basis for all processing you ask Destrava to carry out;
have a privacy notice on your site that explains who processes the data, why, who it is shared with, that it may be transferred to other countries and how data subjects can exercise their rights;
in Argentina, show the information required by Article 6 of Law 25,326 and the AAIP notice wherever you collect data;
not collect data you do not need: ask only for what is necessary in forms and apps;
not upload sensitive data (health, religion, biometrics, racial or ethnic origin, political opinions or sex life, among others) or data about children and teenagers, unless you have a legal basis and a real need. The platform is not designed for this data and has no extra measures for it;
answer data subject requests and report incidents when the law requires it;
be responsible for the tools you add to your site yourself and for the services you connect.

17. Liability

Each party is liable for the damage it causes, under the LGPD (arts. 42 to 45), Law 25,326 and other applicable laws.

Destrava, as processor, is liable when it breaches data protection law or your lawful instructions.

The liability limits in the Terms of Use apply to this agreement only as far as the law allows. Nothing in this agreement limits data subjects' rights.

18. Duration, changes and order of precedence

This agreement applies as long as Destrava processes customer data, even after the service ends, until the deletion described in section 14.

Destrava may update this agreement, with a version number and date. Important changes are announced 15 days in advance and, when you sign in, the platform asks you to accept the new version. A change cannot reduce the protection of customer data, unless the law requires it.

If there is a conflict about processing personal data on your behalf:

this agreement prevails over the Terms of Use;
the standard clauses for international transfers, where they apply, prevail over this agreement on the matters they cover.

For everything else, the Terms of Use apply, including the rules on governing law and jurisdiction.

19. Contact

Questions about this agreement, requests for a copy or deletion, and notices: contato@destrava.lat.

Destrava's data protection officer (DPO) can be reached at the same address.

Annex 1. Description of the processing

Subject matter

Storing and processing the personal data that you and your visitors put on the platform, to provide Destrava's service: site, panel, apps and AI actions.

Duration

For as long as your account exists, and after that until the deletion described in section 14.

Nature

Collection through site forms and apps; storage; organization; viewing by your team in the panel; notifications to your team; AI processing when someone on your team asks for it; transfer to the services you connect; export and deletion.

Purpose

Providing the service you hired, following your instructions. No other purpose.

Data subjects

visitors to your site who fill in a form;
your customers and contacts that you or your team add to apps;
people who appear in the photos and videos you upload;
people who report something about your site, as far as it concerns your site.

Categories of data

identification and contact details: name, email, phone or WhatsApp, and other data the form or app asks for;
the content of messages sent through the site;
data stored by apps, such as customers, quotes, receipts, gift cards and amounts;
images of people in photos and videos (Destrava removes EXIF and GPS data from photos);
the content sent to an AI action and the response;
the date and time of each record and who on your team created it.

Sensitive data

Not intended. See section 16.

Frequency

Ongoing, while you use the service.

Annex 2. Security measures

Protected sign-in: people sign in with email and password (stored only as a hash), with Google or with a code sent by email.
Roles and permissions: owner, manager and staff, with permissions the owner turns on and off person by person.
Data separated by company: each app's data is stored separately for each company.
Isolated apps: apps run isolated in the browser (sandboxed iframe) and only access what you authorized.
Destrava's team: the internal panel requires Cloudflare Access and two-step verification (TOTP).
Audit log: a record of who did what and when.
Access logs: IP address, date and time, kept for 6 months.
Photos: Destrava removes EXIF data and location (GPS) from every photo.
Signed notifications: automatic notifications (webhooks) are signed, so the receiver can check where they come from.
Bot protection: Cloudflare's network filters automated traffic.
Payments: Destrava does not store card numbers.
Automatic cleanup: every day, the platform deletes expired items, such as sign-in codes and invitations.
Backups: made and replaced on a rotating basis.

Annex 3. Subprocessors

Supabase: database and account sign-in. São Paulo, Brazil (AWS sa-east-1).
Cloudflare: servers, network, published sites, files (R2), AI Gateway and Access. Files in the United States (ENAM region); global network.
Resend: sending emails. São Paulo, Brazil.
OpenRouter: routes each AI action to the model provider. United States.
AI model providers (for example, Google, Anthropic and OpenAI): receive the content of the AI action. In each provider's country.

These are not subprocessors under this agreement:

Google (sign-in with Google), Mercado Pago and Ualá Bis (payments): they process data about your account and your payments, not about your customers. They are covered in the Privacy Policy.
YouTube and Vimeo: only involved if you choose to add one of their videos to your site. The video loads in no-cookie mode until someone presses play.
Apps from other companies and connections: see section 10.