Adendo de Processamento de Dados

1. 1. Definições

“Lei de Proteção de Dados” significa todas as leis aplicáveis ao tratamento de Dados Pessoais nos termos deste DPA, incluindo o Regulamento Geral sobre a Proteção de Dados da UE (2016/679) (“GDPR da UE”), o GDPR do Reino Unido e a Data Protection Act 2018, a Lei Federal Suíça sobre Proteção de Dados e as leis estaduais de privacidade dos EUA, incluindo a CCPA, conforme alterada.

“Dados Pessoais” significa dados pessoais, informações pessoais ou o equivalente nos termos da Lei de Proteção de Dados, que a VERA trata em nome do Cliente nos termos dos Termos de Serviço. “Controlador”, “Operador”, “Titular dos Dados”, “Tratamento”, “Violação de Dados Pessoais” e “Autoridade de Controle” têm os significados atribuídos no GDPR da UE.

“Suboperador” significa um terceiro contratado pela VERA para tratar Dados Pessoais. “Cláusulas Contratuais Padrão” ou “SCCs” significa as cláusulas anexas à Decisão de Execução (UE) 2021/914 da Comissão. “Adendo do Reino Unido” significa o Adendo de Transferência Internacional de Dados emitido pelo Comissário de Informação do Reino Unido nos termos da seção 119A da Data Protection Act 2018.

2. 2. Funções e escopo

O Cliente é o Controlador e a VERA é o Operador em relação aos Dados Pessoais que o Cliente envia ao Serviço sobre seus próprios clientes, leads, contatos, funcionários e prestadores de serviço.

A VERA é uma Controladora independente com relação aos dados da conta do próprio Cliente, dados de faturamento, correspondência de suporte e dados de uso do produto. Esse tratamento é regido pela Política de Privacidade, e não por este DPA.

O objeto do tratamento é a prestação do Serviço. A duração corresponde à vigência dos Termos de Serviço, acrescida de qualquer período anterior à exclusão nos termos da seção 10. A natureza e a finalidade são hospedar, armazenar, organizar, gerar conteúdo a partir de, transmitir e exibir Dados Pessoais para que o Cliente possa operar seu negócio.

• Categorias de titulares de dados. Os clientes, potenciais clientes e leads do Cliente, contatos em organizações clientes, os funcionários, técnicos e equipes do Cliente e os destinatários das mensagens que o Cliente envia.
• Categorias de dados pessoais. Nomes, endereços de e-mail, números de telefone, endereços postais e de prestação de serviço, dados da empresa e dos serviços, horários de agendamentos, conteúdo de comunicações, incluindo o texto e as mídias de mensagens SMS e MMS, registros de consentimento e de cancelamento de mensagens, conteúdo de orçamentos e faturas, registros de despesas e imagens de recibos, registros de quilometragem e suas imagens comprobatórias, fotografias de instalações e locais de trabalho que podem incluir pessoas de forma incidental, assinaturas coletadas em orçamentos aceitos, conteúdo para redes sociais enviado para publicação e quaisquer outros dados que o Cliente decida inserir.
• Localização exata e de quem se trata. Quando o Cliente ou seu pessoal usam o registro de quilometragem, o Serviço processa leituras precisas de localização obtidas durante um trajeto registrado, bem como o início e o destino da viagem derivados delas. Trata-se de dados pessoais sensíveis sobre uma pessoa identificada, geralmente um funcionário do próprio Cliente, e o Cliente é o seu Controlador. O Cliente é responsável por ter uma base legal e por informar seu pessoal, incluindo qualquer comissão de trabalhadores ou consulta aos funcionários exigida pela legislação aplicável a ele. O Serviço coleta a localização somente durante um trajeto iniciado pela própria pessoa, oferece o registro manual de quilometragem como alternativa, não fornece nenhuma visualização de rastreamento em tempo real ou de monitoramento e permite que o Cliente configure a retenção das leituras brutas, inclusive desativando o seu armazenamento.
• Categorias especiais. O Serviço não foi projetado para tratar dados de categorias especiais nos termos do Artigo 9, nem dados relativos a condenações criminais. O Cliente não deve enviá-los. Se o Cliente o fizer mesmo assim, fará isso sob sua própria responsabilidade e garante que possui base legal para tanto.

3. 3. Tratamento mediante instruções documentadas

A VERA trata Dados Pessoais somente mediante instruções documentadas do Cliente, inclusive no que diz respeito a transferências internacionais, salvo se exigido de outra forma pela legislação à qual a VERA esteja sujeita; nesse caso, a VERA informará o Cliente antes do tratamento, a menos que essa legislação o proíba por motivos importantes de interesse público.

Os Termos de Serviço, este DPA, a configuração que o Cliente define no Serviço e as ações que o Cliente executa ou aprova no Serviço constituem, em conjunto, as instruções documentadas do Cliente. Instruções adicionais exigem acordo entre as partes e podem estar sujeitas a uma tarifa quando exigirem trabalho fora da funcionalidade habitual do Serviço.

A VERA informará o Cliente caso, em sua opinião, uma instrução viole a Legislação de Proteção de Dados.

A VERA não vende Dados Pessoais, não os compartilha para publicidade comportamental entre contextos e não os retém, usa ou divulga para nenhuma finalidade além da prestação do Serviço, conforme exigido pela CCPA. A VERA certifica que compreende essas restrições e que as cumprirá.

4. 4. Confidencialidade

A VERA garante que o pessoal autorizado a tratar Dados Pessoais esteja sujeito a uma obrigação adequada de confidencialidade e receba acesso somente quando necessário para desempenhar sua função.

O acesso aos dados de produção é limitado ao pessoal que precisa dele para operar e dar suporte ao Serviço. As ações administrativas realizadas por operadores da VERA são registradas em um log de auditoria administrativa somente de inclusão.

5. 5. Medidas de segurança

A VERA implementa medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais, levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento. As medidas adotadas estão descritas em detalhes na Política de Segurança e resumidas aqui:

• Criptografia em trânsito. HTTPS em todo o site, solicitações HTTP redirecionadas para HTTPS em produção e HTTP Strict Transport Security declarado com max-age de dois anos e includeSubDomains.
• Criptografia de credenciais em repouso. Tokens de conectores de terceiros e chaves de API criptografados com AES-256-GCM, usando uma chave dedicada cuja configuração é obrigatória em produção e que é separada do segredo de assinatura de sessão.
• Autenticação. Senhas criptografadas com hash bcrypt com fator de trabalho 12, verificação de e-mail obrigatória antes do login com senha, tokens de redefinição de uso único e com prazo limitado, e um contador de revogação de sessões que invalida todas as sessões emitidas de uma só vez.
• Controle de acesso. Toda consulta é restrita à conta autenticada. O acesso administrativo é restrito a uma lista explícita de operadores autorizados, configurada no ambiente.
• Proteção da aplicação. Uma Content Security Policy, bloqueio de exibição em frames, detecção de MIME desativada, uma política de referrer restritiva, uma Permissions-Policy de camera=(), microphone=(self), geolocation=(self), que bloqueia totalmente a câmera e restringe microfone e localização às páginas da própria VERA, para que nenhum terceiro incorporado possa solicitá-los, limitação de taxa persistente nos endpoints de autenticação e validação das requisições feitas pelo servidor contra faixas de rede privadas e internas.
• Integridade de eventos externos. Webhooks recebidos verificados de acordo com o esquema de assinatura de cada provedor e desduplicados pelo ID do evento, para que uma entrega reenviada não possa ser aplicada duas vezes.
• Auditabilidade. Um registro de auditoria somente de inclusão de cada proposta, aprovação, execução e evento de segurança da conta.
• Segurança da configuração. Validação na inicialização que se recusa a rodar em produção com um segredo de sessão padrão ou sem chave de criptografia.

6. 6. Suboperadores

O Cliente concede à VERA autorização geral para contratar Suboperadores. A lista atual, com a função e a localização de cada um, está publicada na página Lista de Suboperadores, que integra este DPA.

A VERA notificará o Cliente com pelo menos 30 dias de antecedência antes de adicionar ou substituir um Suboperador, atualizando essa página e notificando os titulares de conta. O Cliente poderá se opor, por motivos razoáveis de proteção de dados, dentro desse prazo. Se não conseguirmos resolver a objeção, o Cliente poderá rescindir a parte afetada do Serviço e receber um reembolso proporcional das taxas pagas antecipadamente referente ao restante não utilizado do prazo.

A VERA impõe a cada Subprocessador obrigações de proteção de dados não menos protetivas do que as previstas neste DPA e permanece integralmente responsável perante o Cliente pelo desempenho de um Subprocessador.

7. 7. Transferências internacionais

A VERA trata Dados Pessoais nos Estados Unidos. Quando o Cliente transferir para a VERA Dados Pessoais sujeitos ao GDPR da UE, ao GDPR do Reino Unido ou à legislação suíça, as partes concordam que as Cláusulas Contratuais Padrão são incorporadas a este DPA por referência e se aplicam conforme a seguir.

O Módulo Dois (controlador para operador) aplica-se quando o Cliente é controlador. O Módulo Três (operador para operador) aplica-se quando o próprio Cliente é operador. Na Cláusula 7, aplica-se a cláusula de adesão. Na Cláusula 9, aplica-se a Opção 2 (autorização geral por escrito), com o prazo de aviso prévio de 30 dias previsto na seção 6. Na Cláusula 11, o órgão independente opcional de resolução de litígios não é selecionado. Na Cláusula 17, as cláusulas são regidas pela legislação da Irlanda. Na Cláusula 18(b), os litígios são resolvidos perante os tribunais da Irlanda. O Anexo I é preenchido pela seção 2 deste DPA e pela Lista de Suboperadores; o Anexo II é preenchido pela seção 5.

Para transferências sujeitas ao UK GDPR, o Adendo do Reino Unido aplica-se às SCCs, com as Tabelas 1 a 3 preenchidas conforme acima e, na Tabela 4, nenhuma das partes poderá encerrar o Adendo conforme previsto na Seção 19. Para transferências sujeitas à legislação suíça, as referências ao GDPR devem ser lidas como referências à FADP suíça, a autoridade competente é o Comissário Federal Suíço de Proteção de Dados e Informação, e as cláusulas também protegem dados de pessoas jurídicas.

8. 8. Assistência ao Cliente

Considerando a natureza do tratamento, a VERA auxilia o Cliente por meio de medidas técnicas e organizacionais adequadas, na medida do possível, no cumprimento da obrigação do Cliente de responder às solicitações dos Titulares dos Dados nos termos do Capítulo III do GDPR e de leis equivalentes.

Na prática, o próprio Serviço oferece a maior parte desse recurso: o Cliente pode localizar, corrigir, exportar e excluir registros sobre um Titular dos Dados diretamente. Quando uma solicitação chegar à VERA, e não ao Cliente, a VERA não responderá a ela quanto ao mérito; informará ao Titular dos Dados que entre em contato com o Cliente e notificará o Cliente sem demora injustificada.

A VERA auxilia o Cliente no cumprimento dos Artigos 32 a 36, levando em conta as informações disponíveis para a VERA, inclusive com avaliações de impacto sobre a proteção de dados e consulta prévia a uma Autoridade de Supervisão.

9. 9. Violação de Dados Pessoais

A VERA notifica o Cliente sem demora injustificada e, em qualquer caso, em até 72 horas após tomar conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais tratados nos termos deste DPA.

A notificação descreverá a natureza da violação, as categorias e o número aproximado de Titulares dos Dados e de registros envolvidos, na medida em que forem conhecidos, as prováveis consequências, as medidas adotadas ou propostas e um ponto de contato para mais informações. Quando o quadro completo não estiver disponível de imediato, a VERA fornece as informações em etapas, sem demora indevida adicional.

A notificação da VERA não constitui reconhecimento de culpa ou responsabilidade. Notificar as Autoridades de Supervisão e os Titulares dos Dados é responsabilidade do Cliente, na qualidade de Controlador; a VERA prestará assistência razoável.

10. 10. Devolução e exclusão

O Cliente pode exportar seus dados e excluir sua conta a qualquer momento dentro do Serviço, o que remove permanentemente os Dados Pessoais do banco de dados ativo, conforme descrito na Política de Exclusão de Conta.

Com a rescisão ou o término dos Termos de Serviço, a VERA, à escolha do Cliente, excluirá ou devolverá os Dados Pessoais e excluirá as cópias existentes, a menos que uma lei à qual a VERA esteja sujeita exija a continuidade do armazenamento. Se o Cliente não fizer nenhuma escolha, a VERA reterá os dados enquanto a conta existir e os excluirá quando a conta for excluída.

Os registros limitados que permanecem após a exclusão da conta estão indicados na Política de Exclusão de Conta. Eles consistem em registros de cobrança mantidos pelo nosso processador de pagamentos, logs de responsabilização de operadores, contadores antiabuso, identificadores de repetição de webhooks, um cache de geocodificação indexado por hash e não por conta, registros de vínculo empregatício dentro de negócios de outros clientes, que são encerrados em vez de apagados, e logs e backups de infraestrutura que expiram em seu próprio ciclo: 30 dias para os backups diários do banco de dados da VERA e o cronograma do provedor para snapshots mantidos pelo provedor.

11. 11. Direitos de auditoria

A VERA disponibiliza ao Cliente as informações necessárias para demonstrar a conformidade com o Artigo 28 e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor por ele designado.

Em primeira instância, a VERA atenderá a uma solicitação de auditoria fornecendo este DPA, a Política de Segurança, a Lista de Subprocessadores e respostas por escrito a um questionário de segurança razoável. Atualmente, a VERA não possui um relatório SOC 2 ou ISO 27001 para oferecer em substituição.

Quando isso for comprovadamente insuficiente para demonstrar a conformidade, o Cliente poderá realizar uma auditoria presencial ou remota no máximo uma vez a cada período de 12 meses, mediante aviso prévio por escrito de pelo menos 30 dias, em horário comercial, sujeita a confidencialidade, sem perturbar de forma injustificada as operações da VERA e sem acesso aos dados de qualquer outro cliente nem aos detalhes internos da infraestrutura multilocatária da VERA além do que a auditoria exigir. O Cliente arca com seus próprios custos e com os custos razoáveis da VERA. Uma Autoridade de Supervisão poderá realizar auditorias a qualquer momento, conforme previsto em lei.

12. 12. Responsabilidade e vigência

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações e exclusões de responsabilidade previstas nos Termos de Serviço, na medida permitida pela Lei de Proteção de Dados. Nada neste DPA limita os direitos de um Titular dos Dados previstos nas Cláusulas Contratuais Padrão.

Este DPA entra em vigor quando o Cliente aceita os Termos de Serviço e permanece vigente até que o VERA deixe de tratar Dados Pessoais em nome do Cliente. As seções referentes a confidencialidade, exclusão e responsabilidade permanecem em vigor após o término.

Para solicitar uma cópia assinada por ambas as partes ou tirar dúvidas sobre este DPA, escreva para legal@meetmyvera.com.