Anexo I — Tratamento de Dados (DPA)

Versão 1.0 — 19 de maio de 2026

Este Anexo integra de forma indivisível os Termos de Uso do CONDO+ e formaliza, nos termos do art. 39 da LGPD (Lei nº 13.709/2018), as condições sob as quais a UrbanWorks trata os dados pessoais de titulares vinculados ao Condomínio-Cliente.

1. Partes e papéis

Controlador: o Condomínio-Cliente, representado pelo síndico ou administradora contratante do CONDO+ (doravante "Cliente").

Operadora: URBANWORKS TECNOLOGIA LTDA, CNPJ 65.209.252/0001-70, com sede na Rua José Arzão, 85, APT 182 Bloco 2 — Vila Praia, São Paulo/SP — CEP 05750-260 (doravante "UrbanWorks").

O Cliente é o Controlador dos dados pessoais condominiais (moradores, dependentes, visitantes, prestadores, dados financeiros associados à cobrança condominial, registros de portaria etc.). A UrbanWorks é a Operadora desses dados — trata-os exclusivamente sob instrução documentada do Cliente, pela duração do contrato.

informação

Este DPA cobre apenas os dados em que a UrbanWorks atua como Operadora. Dados em que a UrbanWorks atua como Controladora (assinatura SaaS do síndico/administradora, leads de marketing, telemetria interna do produto, alertas operacionais) são regidos pela Política de Privacidade do CONDO+ e pela Política do site institucional, não por este DPA.

2. Objeto e finalidade do tratamento

A UrbanWorks tratará os dados pessoais condominiais com a única finalidade de prestar os serviços contratados pelo Cliente na plataforma CONDO+: gestão de moradores, financeiro (boletos, inadimplência), portaria, comunicação, votações, sorteios de vagas e funcionalidades correlatas, conforme as funcionalidades disponíveis ao Cliente em seu plano contratado.

A UrbanWorks não usa dados pessoais condominiais para finalidade própria distinta da prestação do serviço — não vende, não cede a terceiros para marketing, não treina modelos de IA com esses dados, não enriquece bases próprias.

3. Categorias de dados e titulares

Categoria de titular	Tipos de dados pessoais tratados
Moradores	Nome, CPF/RG, data de nascimento, foto de perfil, comprovante de residência, telefone, e-mail, vínculo com unidade
Dependentes	Nome, vínculo de parentesco, eventual data de nascimento
Visitantes	Nome, documento (CPF/RG), foto facial, registros de entrada/saída
Prestadores	Nome, documento, descrição do serviço, registros de acesso
Pessoas com deficiência (sorteio PCD)	Laudo médico armazenado em storage criptografado (categoria de dado pessoal sensível — art. 11 LGPD)
Inadimplentes e contribuintes financeiros	Dados financeiros das obrigações condominiais (boletos, multas, vencimentos)

4. Instruções do Controlador

A UrbanWorks tratará os dados pessoais condominiais exclusivamente conforme as instruções documentadas do Cliente, que se materializam em:

• A configuração ativa da conta do Cliente no CONDO+ (perfis de acesso, funcionalidades habilitadas, parâmetros de uso).
• As ações do síndico, administradora e dos demais usuários autorizados pelo Cliente dentro do produto.
• Eventuais ordens específicas comunicadas por escrito ao canal de contato indicado neste DPA.

Caso a UrbanWorks identifique que uma instrução do Cliente viola a LGPD ou normas correlatas, comunicará o Cliente imediatamente e poderá se recusar a executá-la, ressalvadas hipóteses legais que imponham o tratamento.

5. Medidas de segurança

A UrbanWorks adota as seguintes medidas técnicas e administrativas para proteger os dados condominiais (art. 46 LGPD):

Em trânsito:

• Toda comunicação entre o navegador/aplicativo e a plataforma é cifrada com TLS 1.2 ou superior.

Em repouso:

• Banco de dados primário em servidor dedicado com criptografia de disco no provedor de hospedagem.
• Arquivos de usuário (fotos, documentos, laudos médicos do sorteio PCD) armazenados em Cloudflare R2 (região ENAM — Estados Unidos) com criptografia gerenciada pelo provedor; transferência internacional coberta pelas salvaguardas do art. 33 II da LGPD (ver §9).
• Cópias de segurança (backups) do banco de dados também são armazenadas em Cloudflare R2 (região ENAM) com criptografia em repouso.

Controle de acesso:

• Autenticação por senha com hash bcrypt, sessões via JWT com revogação imediata por logout ou suspeita.
• Isolamento estrito multitenant: cada query backend filtra por condominiumId do usuário autenticado, impedindo acesso transversal entre condomínios distintos.
• Trilha de auditoria de ações privilegiadas (entidade AdminActivity no banco) — quem acessou o quê, quando, com IP e dispositivo.
• Acesso técnico interno da UrbanWorks à infraestrutura é restrito a colaboradores autorizados, registrado e revogável.

Resiliência:

• Backups periódicos automatizados do banco de dados (R2 ENAM, criptografados).
• Plano de continuidade testado em escala compatível com a base atual de clientes.

observação

A lista completa e atualizada de medidas técnicas é mantida internamente pela UrbanWorks e disponibilizada ao Cliente sob solicitação razoável (ver §10 — Direito de auditoria).

6. Suboperadores

A UrbanWorks utiliza um conjunto restrito de terceiros (suboperadores) para entregar funcionalidades do CONDO+ — especialmente storage de arquivos, e-mail transacional, gateways de boleto e proteção anti-bot. A lista nominal e atualizada desses terceiros, com sua finalidade, país de tratamento e salvaguarda jurídica aplicável, está em:

docs.urbanworks.com.br/suboperadores — fonte oficial e canônica.

O Cliente, ao aceitar os Termos do CONDO+ e este DPA, autoriza expressamente a UrbanWorks a utilizar os suboperadores listados nessa página, nas condições nela descritas.

Mudanças no quadro de suboperadores (inclusão, troca, exclusão) são registradas no Histórico de Mudanças da própria página de suboperadores, com a data e o motivo. Caso o Cliente tenha objeção fundamentada quanto a um suboperador novo, deverá manifestá-la em até 30 dias da publicação da alteração ao canal indicado neste DPA. Na ausência de objeção fundamentada nesse prazo, considera-se autorizada a mudança.

7. Direitos dos titulares (art. 18 LGPD)

O Cliente, na qualidade de Controlador, é o responsável primário pelo atendimento aos pedidos dos titulares (moradores, dependentes, visitantes, prestadores) quanto aos direitos do art. 18 da LGPD (acesso, retificação, anonimização, eliminação, portabilidade, oposição, revisão de decisão automatizada, informação sobre suboperadores).

A UrbanWorks, na qualidade de Operadora, prestará ao Cliente assistência razoável no atendimento desses pedidos:

• Disponibilizando ferramentas dentro do produto que permitem ao Cliente atender pedidos de acesso, retificação e portabilidade diretamente.
• Atendendo, sob solicitação do Cliente e mediante demonstração de pedido legítimo do titular, operações de eliminação de dados específicos quando estas não puderem ser realizadas pelo próprio Cliente via produto.
• Informando ao Cliente, em até 5 dias úteis, qualquer comunicação direta de titular recebida pela UrbanWorks relativa a dados condominiais do Cliente, sem agir unilateralmente sobre ela (exceto quando exigido por lei).

8. Devolução e eliminação de dados ao fim do contrato

Encerrado o contrato entre o Cliente e a UrbanWorks (por iniciativa de qualquer das partes), aplica-se o seguinte fluxo:

Etapa	Prazo a partir da rescisão	O que acontece
Devolução / exportação	30 dias corridos	O Cliente terá acesso ao produto em modo leitura/exportação, podendo gerar relatórios e exportações dos dados condominiais via funcionalidades existentes ou mediante solicitação formal.
Eliminação dos dados de produção	90 dias corridos após o fim da devolução	A UrbanWorks elimina os dados condominiais ativos do banco de produção.
Eliminação de backups	Até 180 dias após o fim da devolução	Backups gradualmente são sobrescritos e expurgados conforme o ciclo natural de retenção do storage.
Retenção legal residual	Conforme exigido por lei	Documentos com obrigação legal de retenção (ex.: logs de acesso por 6 meses — Marco Civil art. 15; documentos fiscais por 5 anos — CDC art. 27) são mantidos pelo prazo mínimo necessário, em armazenamento segregado e com acesso restrito.

observação

Os prazos detalhados por categoria específica de dado serão consolidados na Política de Retenção a ser publicada futuramente. Até a publicação da Política, aplicam-se os prazos da tabela acima.

A pedido expresso do Cliente, a UrbanWorks fornecerá declaração formal de eliminação ao final do processo, com a data efetiva da exclusão dos dados em ambiente de produção.

9. Transferência internacional de dados (art. 33 LGPD)

A operação do CONDO+ envolve transferência internacional de dados pessoais condominiais para os seguintes suboperadores (lista detalhada em docs.urbanworks.com.br/suboperadores):

• Cloudflare R2 — armazenamento de arquivos de usuário e backups do banco — Estados Unidos (região ENAM).
• Resend — e-mail transacional — Estados Unidos.

A transferência se enquadra no art. 33 II da LGPD — está protegida por cláusulas contratuais padrão equivalentes às SCCs da União Europeia, incorporadas aos DPAs públicos dos provedores (links na página /suboperadores).

10. Direito de auditoria

O Cliente tem direito a verificar o cumprimento deste DPA, nos seguintes termos:

• Relatórios sob solicitação: mediante solicitação razoável (não mais que uma vez por ano-calendário, salvo incidente), a UrbanWorks fornecerá ao Cliente documentação que evidencie o cumprimento das medidas de segurança e demais cláusulas deste DPA — incluindo, conforme aplicável: política interna de segurança, registro de versões aceitas dos suboperadores, relatórios de teste de continuidade.
• Auditoria específica: em caso de motivação fundamentada (suspeita de descumprimento, incidente confirmado), o Cliente pode realizar auditoria mediante aviso prévio de 30 dias, em horário comercial, no escritório/infraestrutura da UrbanWorks ou em modalidade remota equivalente, ao custo do Cliente. A UrbanWorks pode exigir confidencialidade e limitar o escopo da auditoria ao estritamente necessário para verificar conformidade.

11. Notificação de incidente de segurança

Em caso de incidente de segurança envolvendo dados pessoais condominiais do Cliente, a UrbanWorks notificará o Cliente em até 48 (quarenta e oito) horas úteis contadas da ciência do fato, indicando:

• A natureza do incidente.
• As categorias e quantidade aproximada de titulares afetados.
• As medidas adotadas para conter e mitigar o incidente.
• As recomendações ao Cliente, se aplicáveis.

A UrbanWorks não notifica diretamente a ANPD nem os titulares finais quando o Controlador é o Cliente — essa obrigação cabe ao Cliente, e a UrbanWorks prestará assistência razoável no cumprimento (art. 48 LGPD).

observação

Esse procedimento é detalhado no Runbook de Incidentes mantido internamente pela UrbanWorks.

12. Subcontratação adicional

A UrbanWorks só contratará suboperadores adicionais aos listados em docs.urbanworks.com.br/suboperadores mediante:

1. Avaliação prévia do nível de proteção oferecido pelo novo suboperador.
2. Vinculação contratual do novo suboperador a obrigações de proteção equivalentes às deste DPA.
3. Publicação da inclusão no Histórico de Mudanças da página /suboperadores, com a data e o motivo.

O Cliente terá direito de objetar à inclusão de novo suboperador, no prazo e nas condições do §6.

13. Confidencialidade

Os profissionais da UrbanWorks autorizados a tratar dados pessoais condominiais do Cliente firmaram termos de confidencialidade com a UrbanWorks. Essa obrigação subsiste por prazo indeterminado, ainda que cessem suas funções.

14. Vigência

Este DPA vigora enquanto vigorar o contrato principal entre a UrbanWorks e o Cliente (formalizado pela aceitação dos Termos do CONDO+ pelo síndico/administradora no momento do cadastro). Eventual encerramento do contrato principal extingue automaticamente este DPA, ressalvado o cumprimento das obrigações pós-rescisão (§8 — Devolução e eliminação; §11 — Notificação residual de incidente conhecido antes da rescisão; §13 — Confidencialidade permanente).

15. Aceitação eletrônica

O presente DPA é aceito eletronicamente pelo Cliente no mesmo ato em que aceita os Termos de Uso do CONDO+ (no cadastro inicial ou no aceite de nova versão dos Termos via modal no produto). O registro do aceite (versão do documento, identidade do aceitante, data, IP, agente) é armazenado pela UrbanWorks na tabela terms_acceptance e pode ser fornecido ao Cliente sob solicitação.

16. Lei aplicável e foro

Este DPA é regido pelas leis da República Federativa do Brasil — em particular, pela LGPD e pelo Marco Civil da Internet. O foro eleito para resolução de controvérsias é o da Comarca de São Paulo / SP, com renúncia a qualquer outro, por mais privilegiado que seja, ressalvadas hipóteses legais imperativas (Foro do consumidor, Justiça Federal etc.).

17. Histórico de mudanças

Data	Versão	Mudança	Motivo
2026-05-19	v1.0	Publicação inicial.	Formalização do art. 39 LGPD entre UrbanWorks (Operadora) e Condomínios-Cliente (Controlador).

---

URBANWORKS TECNOLOGIA LTDA CNPJ 65.209.252/0001-70 Rua José Arzão, 85, APT 182 Bloco 2 — Vila Praia, São Paulo/SP — CEP 05750-260 Encarregado de Dados (DPO): Natanael Vaz da Fonseca — admin@urbanworks.com.br Versão deste documento: v1.0 — 19 de maio de 2026