Versão 1.0 — vigente a partir de 4 de julho de 2026.

Este Acordo de Tratamento de Dados Pessoais ("DPA") integra e complementa o contrato principal ("Contrato") celebrado entre ECOMILHAS TECNOLOGIA LTDA (CNPJ nº 46.740.714/0001-37 — "ECOMILHAS") e o cliente corporativo ("Cliente") que contrata o programa de remuneração variável por metas ESG e demais serviços corporativos (os "Serviços"). Aplica-se sempre que a ECOMILHAS tratar dados pessoais em nome do Cliente, observadas a LGPD, o GDPR, o UK GDPR, a APPI, o CCPA/CPRA e demais leis de proteção de dados aplicáveis.

Em caso de conflito quanto à proteção de dados, prevalece este DPA sobre o Contrato.

1. Papéis das partes

Para os dados dos colaboradores do Cliente tratados no âmbito dos Serviços, o Cliente é o Controlador (ou controlador principal) e a ECOMILHAS atua como Operadora/Processadora, seguindo as instruções documentadas do Cliente. Quando a ECOMILHAS determinar finalidades e meios próprios (ex.: prevenção a fraude, cumprimento legal, geração de créditos de carbono a partir de trajetos), atuará como Controladora independente, conforme a Política de Privacidade.

2. Objeto, natureza e finalidade

• Objeto: tratamento de dados pessoais necessário à prestação dos Serviços.
• Natureza: coleta, registro, organização, armazenamento, uso, compartilhamento com sub-operadores, eliminação.
• Finalidade: habilitar benefícios ESG, validar trajetos, apurar recompensas e produzir relatórios de descarbonização.
• Duração: vigência do Contrato, mais os prazos legais de guarda.

3. Categorias de titulares e de dados (Anexo I)

• Titulares: colaboradores e representantes indicados pelo Cliente.
• Dados: identificação (nome, e-mail corporativo, identificador interno), vínculo empregatício, dados de trajeto e mobilidade, geolocalização, ecomilhas e recompensas. Não se destina ao tratamento de dados sensíveis; o Cliente não deve inseri-los.

4. Obrigações da ECOMILHAS (Operadora)

A ECOMILHAS: (a) tratará dados apenas conforme instruções documentadas do Cliente e a lei; (b) garantirá confidencialidade das pessoas autorizadas; (c) adotará as medidas de segurança do Anexo II; (d) auxiliará o Cliente, na medida do possível, no atendimento a titulares e em avaliações de impacto e consultas às autoridades; (e) notificará o Cliente sobre incidentes de segurança sem demora injustificada após tomar conhecimento; (f) ao término, eliminará ou devolverá os dados, salvo guarda obrigatória; (g) disponibilizará informações para demonstrar conformidade e permitirá auditorias conforme a seção 8.

5. Obrigações do Cliente (Controlador)

O Cliente garante que possui base legal para o tratamento e para o fornecimento dos dados à ECOMILHAS, que suas instruções são lícitas, que informou seus colaboradores conforme a lei e que obteve os consentimentos exigíveis (inclusive para geolocalização em segundo plano, quando aplicável).

6. Sub-operadores

O Cliente autoriza a ECOMILHAS a contratar sub-operadores (ex.: provedores de nuvem, processadores de pagamento/Mastercard, PIX, analytics e comunicação), mediante contrato com obrigações de proteção equivalentes às deste DPA. A ECOMILHAS mantém lista de sub-operadores disponível mediante solicitação e informará alterações relevantes com antecedência razoável, cabendo objeção fundamentada do Cliente.

7. Transferência internacional