Última atualização: 1 de novembro de 2026
Este Acordo de Tratamento de Dados (“DPA”) faz parte dos Termos e Condições entre o cliente (“Cliente”, controlador) e a We Are Content LLC (“Hepteon”, operador), e regula o tratamento dos dados pessoais de terceiros que o Cliente carrega ou conecta à plataforma. Em caso de conflito com os Termos quanto a esse tratamento, prevalece este DPA.
1. Definições e papéis
Os termos “dados pessoais”, “tratamento”, “controlador”, “operador”, “titular” e “incidente de segurança” têm o significado do RGPD (UE) 2016/679 e das normas equivalentes. Quanto aos dados de terceiros que o Cliente incorpora ao Serviço, o Cliente atua como controlador e a Hepteon como operador, tratando-os unicamente por conta do Cliente.
2. Objeto, duração e finalidade
A Hepteon tratará os dados pessoais apenas para prestar o serviço contratado (plataforma SaaS de marketing com inteligência artificial: auditoria, pesquisa de palavras-chave, geração de conteúdo e a publicação, edição e gestão de conteúdo nas contas que o Cliente conectar, como Google (incluído o Perfil da Empresa), redes sociais, CMS e plataformas de e-commerce), durante a vigência dos Termos e até a devolução ou exclusão dos dados conforme a cláusula 11.
3. Instruções do Cliente
A Hepteon tratará os dados apenas seguindo as instruções documentadas do Cliente, incluídas as dadas por meio da configuração e do uso da plataforma. Se a Hepteon considerar que uma instrução infringe a legislação aplicável, informará o Cliente.
4. Tipos de dados e categorias de titulares
Tipos de dados: dados de identificação e contato, credenciais, URLs e conteúdos de sites, dados de contas conectadas (por exemplo, serviços do Google) e qualquer outro dado pessoal que o Cliente decida incluir. Categorias de titulares: os clientes finais, usuários e contatos do Cliente. O Cliente é responsável pela licitude dos dados que incorpora e por dispor de base legal para o seu tratamento.
5. Confidencialidade
A Hepteon garante que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a confidencialidade.
6. Segurança
A Hepteon aplica medidas técnicas e organizacionais apropriadas (art. 32 do RGPD), incluindo criptografia em trânsito, controle de acessos, registro de atividade e práticas de segurança razoáveis adequadas ao risco.
7. Suboperadores
O Cliente autoriza a Hepteon a recorrer aos suboperadores listados no Anexo A. A Hepteon impõe a cada suboperador, por contrato, obrigações de proteção de dados equivalentes às deste DPA. A Hepteon informará a inclusão ou substituição de suboperadores com antecedência razoável, e o Cliente poderá se opor por motivos legítimos.
8. Assistência ao Cliente
Levando em conta a natureza do tratamento, a Hepteon assistirá o Cliente, na medida do possível, para responder às solicitações de exercício de direitos dos titulares (arts. 15 a 22 do RGPD) e para cumprir suas obrigações de segurança, notificação de incidentes, avaliações de impacto e consultas prévias (arts. 32 a 36 do RGPD).
9. Incidentes de segurança
A Hepteon notificará o Cliente sem demora indevida após tomar conhecimento de um incidente de segurança que afete os dados tratados por sua conta, fornecendo as informações razoavelmente disponíveis para que o Cliente cumpra suas obrigações.
10. Transferências internacionais
Quando o tratamento envolver transferências internacionais, aplicar-se-ão as garantias descritas na Política de Privacidade (Cláusulas Contratuais-Padrão da UE, o Adendo/IDTA do Reino Unido e, quando aplicável, o EU-US Data Privacy Framework).
11. Devolução ou exclusão
Ao término do serviço, e à escolha do Cliente, a Hepteon devolverá ou excluirá os dados pessoais tratados por sua conta, salvo obrigação legal de conservação.
12. Auditoria
A Hepteon disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA e permitirá auditorias, incluídas inspeções, em termos razoáveis, com aviso prévio e respeitando a confidencialidade e a segurança.
13. Lei aplicável
Este DPA é regido pela lei indicada nos Termos (Estado de Delaware, EUA), sem prejuízo das normas imperativas de proteção de dados aplicáveis ao Cliente ou aos titulares, que prevalecem.
Anexo A — Lista de suboperadores
Para lhe prestar o serviço, a Hepteon apoia-se nos fornecedores abaixo (suboperadores, art. 28.º-2 do RGPD). Esta lista é gerada a partir do código da plataforma: se amanhã entrar um fornecedor novo, uma verificação automática impede publicá-lo sem o acrescentar aqui.
| Fornecedor | Onde está | O que recebe de você | Para quê |
|---|---|---|---|
| ⚠️ Anthropic | Estados Unidos | O conteúdo do seu site e os textos que são escritos para você | Redigir, corrigir e avaliar os artigos e as publicações que a plataforma produz |
| ⚠️ Google | Estados Unidos | Seu domínio, suas páginas, seus dados do Search Console e do Analytics, e as imagens que são geradas | Medir sua visibilidade, seu tráfego e sua velocidade, e publicar a medição no seu site |
| DataForSEO | Estados Unidos | Seu domínio e suas palavras-chave | Calcular seu Hepteon Rating, os links que você recebe, seus concorrentes e o volume de busca |
| SE Ranking | |||
| SerpApi | EUA | Suas palavras-chave | Consultar quem aparece hoje no Google por essas buscas, quando nosso provedor habitual não responde |
| TypeSafe | EUA | Pares de dicas de SEO do conhecimento geral da plataforma, sem as que são de um cliente específico | Descartar, a baixo custo, os pares de dicas que não se contradizem, antes de revisá-los a fundo | Estados Unidos | Seu domínio e suas palavras-chave | Autoridade de domínio e análise da concorrência, como respaldo do anterior |
| ⚠️ GPTZero | Estados Unidos | O texto dos artigos que são escritos para você | Verificar que o que se publica em seu nome não parece escrito por uma máquina |
| Moz | Estados Unidos | Seu domínio, e nada além do seu domínio | Segunda leitura da autoridade do domínio, para não depender de uma única fonte |
| Ahrefs | Singapura | Seu domínio, e nada além do seu domínio | Terceira leitura da autoridade do domínio e dos links que você recebe |
| Microsoft (Bing) | Estados Unidos | Seu domínio e suas páginas | Enviar suas páginas ao Bing e ler como o buscador dele enxerga você |
| Cloudflare | Estados Unidos | O tráfego da plataforma, a verificação de que você não é um robô ao se cadastrar, e — se você conectar — a configuração do seu domínio | Servir a plataforma, protegê-la de abuso automatizado e aplicar mudanças técnicas no seu site se você nos autorizar |
| ⚠️ DigitalOcean | Estados Unidos | Tudo o que a plataforma guarda sobre você | É onde vive o servidor da Hepteon |
| Stripe | Estados Unidos | Seu nome, seu e-mail e os dados do seu pagamento e, se você contratar links em veículos, o veículo que você paga e as referências do pedido | Cobrar sua assinatura e cada link que você contratar, fazer as devoluções e pagar o veículo (Stripe Connect). A Hepteon nunca vê nem guarda seu cartão |
| Resend (Amazon SES) | Estados Unidos | Seu e-mail e o conteúdo dos avisos e relatórios que enviamos | Enviar os e-mails da plataforma |
| ⚠️ LinkedIn, Meta (Facebook e Instagram) | Estados Unidos | As publicações que você aprova e as credenciais das contas que conectar | Publicar nas suas redes, apenas nas que você conectar e aprovar |
| HubSpot | Estados Unidos | Os contatos que você decidir sincronizar | Levar ao seu CRM os contatos que seu site capta, apenas se você conectar o HubSpot |
Os marcados com ⚠️ recebem CONTEÚDO seu (os textos escritos para você, ou o que você guarda na plataforma), não apenas o seu domínio. São os que mais lhe interessa ver.
Pode opor-se a um suboperador concreto escrevendo para contact@hepteon.com. Se isso impedir a prestação do serviço, dir-lho-emos antes de lhe cobrar seja o que for. Todos tratam os seus dados apenas por instrução nossa e sob contrato.
Esclarecimento ao Anexo A — base de dados gerenciada (agosto 2026)
É incorporada como subencarregada a base de dados gerenciada da DigitalOcean nos Estados Unidos (Nova York), onde são armazenados os dados de conta e de projeto. Aplica-se o mesmo regime do Anexo A: Cláusulas Contratuais Padrão (art. 28.2 e 44-49 do RGPD) e as garantias de transferência já descritas. O Cliente pode se opor por motivos legítimos escrevendo para contact@hepteon.com; se isso impedir a prestação do serviço, será informado antes de qualquer cobrança.
Última atualização desta seção: 23 de agosto de 2026.
Esclarecimento ao Anexo A — links em veículos de terceiros e Stripe Connect (novembro de 2026)
O que o veículo recebe. Se você contratar links em veículos de terceiros (seção 20 dos Termos), para cada veículo que você aprova a Hepteon entrega: o endereço da página de destino, a palavra-chave ou o tema, o texto do link (que pode ser a palavra-chave, o título do artigo ou a sua marca), o idioma e os domínios dos seus concorrentes para os quais ele não deve criar links. Não entregamos o seu nome, o seu e-mail, os dados da sua conta nem dados dos seus clientes. Se a sua marca ou o endereço de destino tiverem o nome de uma pessoa, esse nome chega ao veículo.
Por que o veículo não é um suboperador. O veículo não trata esses dados por conta da Hepteon nem do Cliente: decide por si mesmo o que publica e como, como terceiro independente e controlador do próprio tratamento. Ele recebe os dados porque o Cliente pede isso expressamente, veículo por veículo, ao aprová-lo depois de ver o domínio dele. Por isso não consta no Anexo A. O veículo pode estar em qualquer país. O Cliente é responsável pela licitude dessa comunicação e por não incluir no pedido dados pessoais que não deva compartilhar.
Stripe. A Stripe, já incluída no Anexo A, recebe também, para cada veículo que você paga, o seu e-mail, o domínio do veículo e as referências internas do pedido, para cobrar você e fazer as devoluções. Para pagar o veículo é usado o Stripe Connect, apenas com as referências internas do pedido, sem o seu e-mail.
Resend. Os avisos do pedido enviados ao veículo, com os dados acima, saem pela Resend (Amazon SES), já incluída no Anexo A.
Última atualização desta seção: 1 de novembro de 2026.