Acordo de Processamento de Dados (DPA) — Raix

Parte I — Objeto e Escopo

O presente instrumento regulamenta o tratamento de dados pessoais e técnicos no fornecimento da infraestrutura de roteamento do mensageiro privativo Raix, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e do Marco Civil da Internet (Lei nº 12.965/2014).

Parte II — Papéis e Responsabilidades

• Controladora dos dados técnicos de infraestrutura: CAT TECH CONSULTORIA LTDA, CNPJ 67.497.085/0001-36, Salvador-BA. Controlador do conteúdo das comunicações: o usuário ou o profissional liberal.
• Operadora: A CAT TECH CONSULTORIA LTDA, responsável pela disponibilização da infraestrutura lógica sem servidor (serverless) e dos canais técnicos efêmeros de entrega.
• Servidor que não lê o conteúdo (depósito cego): A Operadora opera como entidade cega em relação ao conteúdo: as mensagens são cifradas de ponta a ponta no dispositivo do usuário, e o servidor não detém capacidade de ler o conteúdo. A criptografia é de conteúdo — servidor que não lê o conteúdo (depósito cego) —, preservando-se, por exigência legal, a retenção mínima e protegida de metadados de acesso.

Parte III — Identificação das Partes e Qualificação

Parte IV — Medidas Técnicas e Segurança da Informação

A Operadora implementa as seguintes medidas técnicas de segurança:

• Criptografia em Repouso Transitório: Cifragem de envelopes via AES-256-GCM e envelopamento de chaves de sessão com Sealed-Box X25519 + HKDF-SHA256.
• Custódia Local de Chaves: As chaves criptográficas privadas e a frase de recuperação (12 palavras) permanecem custodiadas exclusivamente no dispositivo do Usuário, sob proteção do sistema operacional (DPAPI no Windows, KeyStore no Android).
• Registros de Acesso à Aplicação (MCI Art. 15): Os registros de acesso a aplicações necessários ao cumprimento do Marco Civil da Internet (art. 15) são retidos em ambiente isolado e controlado, com acesso restrito ao backend, pelo prazo legal de guarda (art. 15 do Marco Civil da Internet). O conteúdo das comunicações é armazenado de forma cifrada de ponta a ponta, em servidor que não lê o conteúdo (depósito cego), e não se correlaciona aos registros de acesso.
• Ausência de Logs Relacionais Persistentes: A aplicação não mantém logs relacionais persistentes; identificadores de roteamento (remetente/destinatário) existem apenas até a entrega ou no máximo 24 horas, sendo eliminados pela rotina automática de expurgo.
• Moderação e Denúncias: O canal padrão é o canal de denúncia comportamental (sem leitura de conteúdo). Em denúncias voluntárias com conteúdo (canal de denúncia com conteúdo voluntário), o material permanece retido por no máximo 90 dias após o encerramento da apuração, sendo em seguida submetido a exclusão definitiva (hard-delete). A sanção técnica é a revogação da chave pública Ed25519, vedando-se bloqueios de endereço IP.
• Segurança em Trânsito: Conexões restritas a TLS 1.2+ com preferência TLS 1.3.
• Sub-operadores Autorizados: Google Cloud Platform: Firestore, Cloud Functions, Firebase Auth, Firebase Cloud Messaging e Cloud Logging (us-central1). Cloudflare Inc.: resolução DNS do domínio raixtech.com.

Parte V — Transferência Internacional de Dados

A infraestrutura de servidores opera na região us-central1 (Estados Unidos) da Google Cloud Platform. A transferência internacional observa o art. 33 da LGPD, com cláusulas contratuais padrão.

Parte VI — Cooperação e Atendimento a Direitos (DSR)

A Operadora responderá a solicitações legítimas de confirmação e exclusão de identificadores públicos de roteamento no prazo legal de até 15 (quinze) dias através do canal contato@raixtech.com.