Acordo de Tratamento de Dados (DPA)

Tradução de cortesia. A versão juridicamente vinculante quanto ao mérito do presente DPA é a versão em inglês publicada em gethokku.com/dpa. Em caso de divergência substantiva entre esta versão em português brasileiro e a versão em inglês, prevalece a versão em inglês, com a exceção documentada na cláusula §13.3.

Resumos em linguagem clara aparecem em itálico ao longo do documento, para facilitar a leitura. Não têm valor contratual. Apenas os parágrafos numerados vinculam as partes.

O presente Acordo de Tratamento de Dados (o “DPA”) integra os Termos do Hokku e rege a maneira como a H-MOON Digital (o “Operador”) trata dados pessoais por conta do lojista Shopify (o “Controlador”, “Lojista”) dentro do aplicativo Hokku.

Ao instalar ou utilizar o Hokku, o Lojista aceita o presente DPA. Não se exige assinatura separada.

Onde se situa este DPA. O Hokku é distribuído por meio da Shopify App Store. A Shopify atua como operador distinto do Lojista, sob o Shopify Data Processing Addendum, que cobre tudo o que a Shopify trata diretamente. O presente DPA cobre apenas o que a H-MOON Digital trata diretamente dentro do aplicativo Hokku — uma relação de tratamento distinta da da Shopify. Os dados coletados no site de marketing gethokku.com são cobertos separadamente na Política de privacidade.

1. Funções e âmbito

Em resumo: sua loja é o controlador do tratamento. O Hokku é o operador que atua seguindo suas instruções.

1.1. O Lojista atua como Controlador do tratamento dos dados pessoais relativos à sua clientela, seus prospects, seu pessoal e à atividade em nível de loja, incluindo os dados que chegam ao Hokku por meio da loja e do admin Shopify.

1.2. A H-MOON Digital atua como Operador do tratamento dos dados pessoais que o Lojista envia ou gera por meio do Hokku, tratando-os unicamente seguindo as instruções documentadas do Controlador, materializadas nos Termos do Hokku, no presente DPA e na interface de usuário do Hokku.

1.3. Âmbito. O presente DPA aplica-se ao tratamento efetuado pela H-MOON Digital dentro do aplicativo Hokku e de sua infraestrutura de suporte. Não se aplica (a) ao tratamento efetuado pela Shopify sob o DPA Shopify, (b) ao tratamento efetuado no site de marketing gethokku.com, nem (c) ao tratamento efetuado pelo Lojista fora do Hokku.

2. Categorias de dados pessoais e de titulares

Em resumo: o mínimo necessário para que o Hokku funcione na sua loja. Sem dados publicitários. Sem rastreamento além do indispensável.

2.1. Categorias de titulares.

• A clientela e os prospects do Lojista (usuários finais da loja).

• O pessoal e os colaboradores do Lojista com acesso ao admin Hokku.

• O próprio Lojista, quando é trabalhador autônomo individual.

  2.2. Categorias de dados pessoais tratados dentro do Hokku.

• Lado cliente (loja do Lojista): identificadores pseudônimos (token de carrinho Shopify), referências de produtos vistos ou adicionados ao carrinho, URL da página onde se exibe um widget Hokku. Nenhum campo identificador de cliente é tratado — nem nome, nem endereço de e-mail, nem número de telefone, nem endereço de cobrança ou de entrega, nem identificador de cliente. Sem rastreamento de terceiros, sem identificadores publicitários, sem elaboração de perfis comportamentais.

• Lado pedido (pós-compra): identificador de pedido, data de criação, moeda, total do pedido, total de descontos, total de impostos, marcação de teste e canal de origem; para cada linha: identificador de linha, identificador de produto, identificador de variante, quantidade e preço; linhas de entrega — apenas o preço delas, para detectar o frete grátis; códigos de desconto aplicados e seu valor. Utilizado para atribuir o incremento de receita a ofertas Hokku específicas (análises avançadas — plano Starter em diante) e para contar o volume mensal de pedidos que determina o plano de assinatura. Não são lidos nem a transportadora, nem o endereço de entrega, nem o prazo de entrega.

• Lado lojista (admin): URL da loja Shopify, endereço de e-mail do proprietário da loja, identificadores de usuários admin Hokku, endereço IP e agente de usuário para os registros de segurança.

  2.3. Categorias de dados que explicitamente NÃO são tratadas.

• Nomes, endereços de e-mail, números de telefone e endereços de cobrança ou de entrega da clientela — nunca; as consultas do Hokku à Shopify Admin API não selecionam o objeto cliente, e os webhooks de pedido são analisados sem ler nenhum campo identificador de cliente.

• Dados de cartão bancário — nunca (o Shopify Billing gerencia todo o tratamento de pagamentos das tarifas de assinatura Hokku).

• Senhas ou credenciais de clientela — nunca.

• Dados de saúde, dados biométricos, dados religiosos, políticos ou de orientação sexual — nunca; se tais dados forem enviados inadvertidamente por um Lojista por meio de campos personalizados Hokku, o Lojista é o único responsável.

  2.4. Medição de audiência na loja do Lojista.

O Hokku registra um identificador técnico no navegador de quem visita a loja do Lojista, a fim de contar as exibições e os cliques nas ofertas sem contar duas vezes a mesma pessoa, e de vincular uma venda à oferta que a desencadeou. Esse identificador é próprio da loja do Lojista, não contém nenhum dado pessoal (nem nome, nem endereço de e-mail, nem endereço IP) e é renovado após treze (13) meses.

Nas linhas brutas de exibições e cliques, o identificador de visitante é apagado após vinte e quatro (24) horas por uma rotina diária — sua utilidade aplicativa dura trinta minutos.

O que se conserva nas linhas de conversão é o identificador de pedido, por necessidade: é a chave pela qual a H-MOON Digital atende a uma solicitação customers/redact. Não se pode anonimizar aquilo que deve permanecer eliminável mediante solicitação.

3. Finalidades do tratamento e base legal

Em resumo: tratamos os dados unicamente para fazer o Hokku funcionar, dar suporte e melhorar o serviço. Sua base LGPD é “execução de contrato”.

3.1. Finalidades. A H-MOON Digital trata os dados pessoais dentro do Hokku exclusivamente para:

• (a) exibir as ofertas Hokku (bundles, upsells, cross-sells, etc.) na loja e no admin do Lojista;

• (b) atribuir o incremento de receita às ofertas Hokku para o painel do Lojista;

• (c) contar o volume mensal de pedidos do Lojista, que determina o plano de assinatura Hokku aplicável;

• (d) prestar suporte ao Lojista quando solicitado;

• (e) manter a segurança e a integridade do Serviço (limitação de taxa, detecção de abusos, registros de auditoria);

• (f) melhorar o Serviço (estatísticas agregadas não identificativas, testes A/B de alterações de interface);

• (g) cumprir as obrigações legais (faturamento fiscal via Shopify, respostas a webhooks GDPR, decisões judiciais).

  3.2. Base legal. O Controlador é responsável por estabelecer uma base legal nos termos do art. 7 da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) para o tratamento subjacente dos dados de sua clientela, bem como pelo cumprimento das obrigações decorrentes do Marco Civil da Internet (Lei 12.965/2014) quando cabível. A H-MOON Digital, como Operador, trata os dados seguindo instruções documentadas do Controlador, principalmente com base na “execução de contrato” (art. 7-V LGPD) entre o Controlador e a H-MOON Digital, e no “legítimo interesse” (art. 7-IX LGPD) para os registros de segurança.

4. Sub-operadores

Em resumo: uma lista curta de provedores priorizados europeus. 30 dias de aviso prévio antes de adicionar um novo.

4.1. Sub-operadores autorizados em 27 de junho de 2026.

4.2. A lista atualizada de Sub-operadores também é publicada em gethokku.com/sub-processors.

4.3. Aviso de novos sub-operadores. A H-MOON Digital notificará o Lojista por e-mail e por meio de atualização de /sub-processors com pelo menos trinta (30) dias de antecedência antes de adicionar um novo sub-operador que afete de forma substancial o tratamento de dados pessoais. O Lojista poderá opor-se por escrito nesse prazo de 30 dias. Se a H-MOON Digital e o Lojista não acordarem uma alternativa, o único recurso do Lojista será rescindir a assinatura Hokku antes que o novo sub-operador comece a tratar.

4.4. Obrigações dos sub-operadores. Cada sub-operador fica vinculado por obrigações de proteção de dados não menos protetoras que as do presente DPA.

4.5. Assistente de IA. Quando o Lojista ativa o Hokku Assistant opcional — um chat de suporte com IA integrado ao aplicativo (veja os Termos §14) —, o conteúdo das conversas (as mensagens do Lojista e as respostas geradas) é tratado pela Anthropic unicamente para produzir respostas. Esse conteúdo é conservado por trinta (30) dias e, em seguida, eliminado. O Lojista é convidado a não enviar dados sensíveis ao Assistente.

5. Transferências internacionais

Em resumo: priorizamos infraestrutura UE. Quando os dados saem da UE, são cobertos por mecanismos legais padrão reconhecidos pela LGPD e pela UE.

5.1. Os dados pessoais tratados pela H-MOON Digital são armazenados principalmente na União Europeia (Supabase Frankfurt para os dados do aplicativo; Sentry UE para o monitoramento de erros).

5.2. Quando uma transferência fora do Espaço Econômico Europeu (EEE) é necessária (Vercel, sociedade constituída nos Estados Unidos — seu acesso aos dados constitui uma transferência ainda que o admin Hokku rode em computação na UE, em Frankfurt; Resend multirregião para a entrega de e-mails, Anthropic EUA para o assistente de IA opcional), a H-MOON Digital baseia-se em:

• (a) as Cláusulas Contratuais Padrão de 2021 (Decisão (UE) 2021/914) para os fluxos não abrangidos pelo EU-US Data Privacy Framework (Resend, Anthropic) e, para fluxos abrangidos pelo escopo LGPD, as salvaguardas adequadas previstas no art. 33 da LGPD (Lei 13.709/2018), incluindo cláusulas contratuais específicas e garantias de nível de proteção equivalente;

• (b) o EU-US Data Privacy Framework (Decisão (UE) 2023/1795) para os fluxos UE→destinatários estadunidenses certificados (Vercel).

  5.3. O Lojista aceita que a H-MOON Digital assine Cláusulas Contratuais Padrão com sub-operadores por conta do Lojista, na medida necessária para a prestação do Serviço, e que sejam adotadas as salvaguardas equivalentes exigidas pela LGPD para transferências internacionais a partir do Brasil quando cabíveis.

6. Webhooks GDPR impostos pela Shopify

Em resumo: quando uma pessoa cliente ou uma loja pede à Shopify que apague seus dados, a Shopify nos repassa a solicitação. Nós a executamos de imediato, sem usar o prazo que nos é concedido.

6.1. Conforme as obrigações da Shopify em matéria de webhooks GDPR, a H-MOON Digital implementa os três webhooks GDPR obrigatórios e os processa segundo o seguinte calendário:

6.2. Os recebimentos de webhook são registrados para fins de auditoria. O Lojista poderá solicitar um registro das ações webhook que afetem sua loja enviando um e-mail para hello@gethokku.com.

7. Medidas de segurança

Em resumo: criptografia, controle de acesso, registros de auditoria. Coisas padrão, feitas a sério.

7.1. A H-MOON Digital aplica as medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, incluindo:

• Criptografia em trânsito — TLS 1.3 para todo o tráfego Hokku.

• Criptografia em repouso — AES-256 sobre o banco Supabase Frankfurt e todos os backups.

• Controle de acesso — acesso de privilégio mínimo aos dados de produção, restrito ao pessoal e aos contratados da H-MOON Digital vinculados por confidencialidade, com autenticação multifator obrigatória.

• Registros de auditoria — todas as ações administrativas sobre dados de produção são registradas com ator, marca de tempo e alvo, conservados durante doze (12) meses.

• Gestão de vulnerabilidades — análise automatizada de dependências (OSV-Scanner) e aplicação de patches de segurança em prazos razoáveis após sua divulgação.

• Isolamento de rede — os sistemas de produção estão isolados dos ambientes de desenvolvimento e pré-produção.

  7.2. A lista de medidas técnicas e organizacionais pode evoluir; a versão vigente reflete-se no presente DPA, alinhada com os padrões do setor.

8. Notificação de violação de dados pessoais

Em resumo: se algo der errado com seus dados, avisamos você em 24 horas.

8.1. A H-MOON Digital notificará o Lojista afetado por e-mail no prazo de vinte e quatro (24) horas a partir da tomada de conhecimento de uma violação de dados pessoais que afete os dados do Lojista, com as informações relevantes (natureza da violação, categorias e número aproximado de titulares afetados, consequências prováveis, medidas tomadas ou propostas).

8.2. Este compromisso de notificação em 24 horas alinha-se com a obrigação do Shopify Partner Program Agreement § 9.14.2(vi) e excede o mínimo de prazo razoável previsto no art. 48 da LGPD para comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados.

8.3. O Lojista permanece o único responsável por qualquer notificação devida aos titulares ou à Autoridade Nacional de Proteção de Dados (ANPD), conforme o art. 48 da LGPD, ou a qualquer outra autoridade de controle competente; a H-MOON Digital prestará cooperação razoável, a pedido do Lojista e com seus custos razoáveis.

9. Assistência para os direitos dos titulares

Em resumo: quando sua clientela exerce seus direitos LGPD, ajudamos você a responder.

9.1. A H-MOON Digital, considerando a natureza do tratamento, assiste o Lojista com medidas técnicas e organizacionais apropriadas, na medida do possível, para cumprir sua obrigação de responder às solicitações de exercício dos direitos dos titulares previstos no art. 18 da LGPD (confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, oposição, revisão de decisões automatizadas).

9.2. As solicitações recebidas diretamente pela H-MOON Digital que se refiram a titulares do Lojista serão reencaminhadas ao Lojista sem demora injustificada.

10. Direito de auditoria

Em resumo: você pode nos perguntar sobre nossa segurança e práticas. Respondemos de boa-fé.

10.1. A H-MOON Digital, a pedido escrito razoável do Lojista e no máximo uma vez a cada doze meses (salvo em caso de incidente documentado), porá à disposição do Lojista todas as informações necessárias para demonstrar o cumprimento do presente DPA, incluindo um resumo escrito de suas medidas de segurança, a lista de sub-operadores e a posição quanto às CCP e ao EU-US Data Privacy Framework.

10.2. Para os lojistas com uma preocupação específica e documentada, a H-MOON Digital responderá a um questionário de auditoria documentado no prazo de trinta (30) dias. Não se oferecem auditorias in loco para os planos de autoatendimento; para os acordos enterprise, as modalidades de auditoria poderão ser acordadas separadamente por escrito.

11. Restituição e eliminação de dados na rescisão

Em resumo: seus dados vivem enquanto você usa o Hokku — exceto suas interações com nossa equipe de suporte e com o Hokku Assistant, que se apagam sozinhas, no próprio ritmo, sem esperar uma desinstalação. Ao desinstalar, apagamos de imediato tudo o que identifica uma pessoa e conservamos suas ofertas e suas estatísticas por 60 dias caso você volte — depois apagamos essas também.

11.1. Enquanto o aplicativo está instalado. A H-MOON Digital conserva os Dados do Lojista por todo o tempo em que o Lojista usar o Hokku, porque as estatísticas do próprio Lojista — incluindo os números desde o início — são construídas a partir deles.

As interações com nossa equipe de suporte e com o Hokku Assistant têm prazos de conservação próprios, mesmo enquanto o aplicativo está instalado: a H-MOON Digital elimina cada ticket de suporte doze (12) meses após o envio e apaga o endereço de e-mail de resposta que ele contém após noventa (90) dias; a mesma regra de noventa (90) dias se aplica às mensagens recebidas em support@gethokku.com. As conversas com o Hokku Assistant são eliminadas após trinta (30) dias. O Lojista também pode solicitar a qualquer momento, em Configurações, a eliminação imediata de seus dados, o que inclui seus tickets de suporte e suas conversas com o Hokku Assistant.

11.2. Após a desinstalação — o que é apagado de imediato. A Shopify notifica a H-MOON Digital por meio do webhook shop/redact 48 horas após a desinstalação. Ao recebê-lo, a H-MOON Digital apaga dos sistemas Hokku ativos os dados que identificam uma pessoa — tokens de acesso, tickets de suporte e conversas com o Hokku Assistant — e anonimiza os identificadores de pedido conservados nos registros de estatísticas, sem atraso adicional. Nenhum dado pessoal de quem compra é conservado além desse ponto.

11.3. Após a desinstalação — o que é conservado, e por quanto tempo. A configuração própria do Lojista (ofertas e ajustes) e suas estatísticas agregadas são conservadas nos sistemas ativos por sessenta (60) dias a contar da desinstalação, para que o Lojista que reinstalar dentro desse prazo recupere seu trabalho. A veiculação das ofertas para em todos os casos na desinstalação. No fim desse prazo, uma limpeza automática elimina esses dados definitivamente; a mesma limpeza se aplica caso o webhook shop/redact nunca seja entregue.

11.4. Cópias de segurança. As cópias de segurança criptografadas do nosso provedor de hospedagem são limpas conforme os ciclos rotativos de backup, com a limpeza completa concluída em trinta (30) dias adicionais; os dados eliminados nos termos dos §11.2 ou §11.3 desaparecem delas no mesmo prazo.

11.5. Mediante solicitação por escrito, a qualquer momento enquanto o aplicativo estiver instalado, a H-MOON Digital fornece uma exportação estruturada dos Dados do Lojista em formato de uso corrente e legível por máquina. Como o acesso do Lojista termina na desinstalação e os dados conservados são eliminados sessenta (60) dias depois, o Lojista deve solicitar qualquer exportação antes de desinstalar.

11.6. A H-MOON Digital só pode conservar dados após a rescisão na medida exigida pela lei aplicável (contabilidade, obrigações fiscais), caso em que a conservação se limita à duração legal mínima e os dados são separados do tratamento ativo.

12. Duração e sobrevivência

Em resumo: este DPA dura tanto quanto sua assinatura Hokku. As obrigações sobre dados sobrevivem depois.

12.1. O presente DPA entra em vigor com a primeira instalação do Hokku e permanece em vigor enquanto a H-MOON Digital tratar dados pessoais por conta do Lojista.

12.2. As seções 5 (Transferências), 7 (Segurança), 8 (Notificação de violação), 10 (Auditoria), 11 (Restituição e eliminação) e 13 (Disposições diversas) sobrevivem à rescisão na medida necessária para executar as obrigações de eliminação e cooperação.

13. Disposições diversas

13.1. Direito aplicável e jurisdição. O presente DPA rege-se pelo mesmo direito e submete-se à mesma jurisdição que os Termos (direito francês, competência exclusiva dos tribunais de Paris — veja Termos §12), sem prejuízo das disposições imperativas da LGPD que se apliquem ao Lojista estabelecido no Brasil.

13.2. Ordem de prevalência. Em caso de conflito entre o presente DPA e os Termos quanto ao tratamento de dados pessoais, prevalece o presente DPA.

13.3. Traduções. O presente DPA é publicado em inglês (versão canônica) com traduções de cortesia em outros idiomas. Em caso de divergência substantiva entre a versão em inglês e uma tradução, prevalece a versão em inglês disponível em gethokku.com/dpa. Exceção — quando uma tradução incluir cláusulas ou esclarecimentos exigidos pelo direito imperativo local da jurisdição dessa tradução (por exemplo, referências à LGPD, à ANPD ou ao Marco Civil da Internet no Brasil), tais disposições impostas localmente aplicar-se-ão dentro dessa jurisdição e não constituirão uma “divergência” no sentido da presente cláusula. Os idiomas disponíveis listam-se no rodapé do presente documento.

13.4. Modificações. As modificações substanciais do presente DPA são notificadas aos lojistas nas mesmas condições que as modificações dos Termos (veja Termos §11).

13.5. Contato. Consultas de proteção de dados, oposições a sub-operador, solicitações de titular, pedidos de auditoria e notificações de violação: hello@gethokku.com. Agradecemos o assunto [DPA] para encaminhar a mensagem.

Última atualização: 5 de agosto de 2026.