Acordo de Tratamento de Dados

1. Abrangência e partes

Este Acordo de Tratamento de Dados (o “DPA”) integra os Termos de Serviço entre o Pitempo e o Cliente e se aplica a todos os dados pessoais que o Pitempo trata em nome do Cliente ao prestar o Serviço (os “Dados Pessoais do Cliente”). O Cliente é o controlador (ou, quando atua em nome de outro controlador, operador) e o Pitempo é o operador (ou suboperador). Em caso de conflito, este DPA prevalece sobre os Termos no que se refere aos Dados Pessoais do Cliente.

2. Definições

“Legislação de Proteção de Dados” significa todas as leis sobre proteção de dados pessoais aplicáveis ao tratamento, incluindo, quando aplicável, o Regulamento (UE) 2016/679 (GDPR), o UK GDPR e o Data Protection Act 2018 do Reino Unido, a Lei Federal Suíça de Proteção de Dados (LPD), a Lei turca nº 6698 sobre a Proteção de Dados Pessoais (KVKK), a Lei Geral de Proteção de Dados Pessoais (LGPD) e as leis estaduais de privacidade dos EUA, como a California Consumer Privacy Act (CCPA). Termos como “controlador”, “operador”, “dados pessoais”, “tratamento”, “titular dos dados” e “violação de dados pessoais” têm o significado que lhes é atribuído pela Legislação de Proteção de Dados aplicável (no GDPR, por exemplo, o controlador corresponde ao “responsável pelo tratamento” e o operador ao “subcontratante”); segundo a KVKK, o controlador é o “veri sorumlusu” e o operador é o “veri işleyen”. Os demais termos iniciados por maiúscula têm o significado atribuído nos Termos.

3. Detalhes do tratamento

O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares estão descritos no Anexo 1.

4. Instruções

O Pitempo trata os Dados Pessoais do Cliente somente com base em instruções documentadas do Cliente, inclusive no que se refere a transferências para países terceiros, salvo se a lei o obrigar a fazê-lo; nesse caso, o Pitempo informa o Cliente sobre essa exigência legal antes do tratamento, salvo se a lei o proibir. Os Termos, este DPA e o uso e a configuração do Serviço pelo Cliente constituem as instruções documentadas do Cliente. O Pitempo informa imediatamente o Cliente se, na sua opinião, uma instrução violar a Legislação de Proteção de Dados.

5. Confidencialidade

O Pitempo garante que as pessoas autorizadas a tratar os Dados Pessoais do Cliente se comprometeram com a confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade, e que o acesso é limitado ao necessário.

6. Segurança

O Pitempo adota as medidas técnicas e organizacionais descritas no Anexo 2 para garantir um nível de segurança adequado ao risco. O Pitempo pode atualizar essas medidas, desde que o nível geral de segurança não seja reduzido.

7. Suboperadores

O Cliente concede ao Pitempo autorização geral para contratar suboperadores. O Pitempo disponibiliza ao Cliente, mediante solicitação pelo endereço privacy@pitempo.com, a lista atual de suboperadores, com a sua função e o local do tratamento. O Pitempo informa o Cliente sobre qualquer inclusão ou substituição pretendida de um suboperador com pelo menos 30 dias de antecedência, por e-mail ou no Serviço. O Cliente pode se opor por motivos razoáveis de proteção de dados dentro desse prazo; se as partes não conseguirem resolver a objeção, o Cliente poderá rescindir o Serviço afetado antes de a alteração entrar em vigor. O Pitempo impõe contratualmente a cada suboperador obrigações de proteção de dados que ofereçam pelo menos o mesmo nível de proteção deste DPA e continua responsável perante o Cliente pelo desempenho dos seus suboperadores.

Os serviços que o Cliente contrata diretamente e conecta ao Serviço, por exemplo a sua própria conta em um provedor de SMS, não são suboperadores do Pitempo; o Cliente instrui o Pitempo a transmitir a eles os dados necessários para o respectivo serviço.

8. Transferências internacionais

O Pitempo só transfere Dados Pessoais do Cliente para um país terceiro em conformidade com a Legislação de Proteção de Dados.

Na medida em que o tratamento envolva uma transferência sujeita ao Capítulo V do GDPR, aplicam-se as cláusulas contratuais-tipo adotadas pela Decisão de Execução (UE) 2021/914 da Comissão (as “CCT”), que são incorporadas a este DPA por referência, da seguinte forma: aplica-se o Módulo Dois quando o Cliente é controlador e o Módulo Três quando é operador; aplica-se a cláusula 7 (cláusula de adesão); na cláusula 9(a), aplica-se a opção 2 (autorização geral por escrito, com aviso prévio de 30 dias); não se aplica a redação opcional da cláusula 11; conforme a cláusula 17, as CCT são regidas pelo direito da Irlanda e, conforme a cláusula 18, os litígios são resolvidos pelos tribunais da Irlanda; a autoridade de controle competente é determinada de acordo com a cláusula 13; os Anexos I e II das CCT são preenchidos com as informações dos Anexos 1 e 2 deste DPA, sendo o Cliente o exportador de dados e o Pitempo o importador de dados.

Para transferências sujeitas ao UK GDPR, aplica-se também o International Data Transfer Addendum às cláusulas contratuais-tipo da Comissão Europeia, emitido pelo Information Commissioner do Reino Unido. Para transferências sujeitas à LPD, as CCT se aplicam com as adaptações exigidas pelo direito suíço, e o Comissário Federal de Proteção de Dados e Informação da Suíça é a autoridade de controle competente. Quando outra Legislação de Proteção de Dados, por exemplo a KVKK ou a LGPD, exigir um instrumento de transferência específico, as partes o celebrarão antes que a transferência ocorra.

9. Assistência

Levando em conta a natureza do tratamento e as informações de que dispõe, o Pitempo auxilia o Cliente, por meio de medidas técnicas e organizacionais adequadas, a responder às solicitações dos titulares e a cumprir as obrigações do Cliente relativas à segurança, às violações de dados pessoais, às avaliações de impacto sobre a proteção de dados e à consulta prévia às autoridades de controle. Se um titular contatar diretamente o Pitempo com uma solicitação relativa a Dados Pessoais do Cliente, o Pitempo encaminha a solicitação ao Cliente sem demora injustificada e não a responde por conta própria, salvo instrução do Cliente.

10. Violações de dados pessoais

O Pitempo notifica o Cliente sem demora injustificada e, quando possível, em até 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. Na medida em que as informações estiverem disponíveis, a notificação descreve a natureza da violação, as categorias e o número aproximado de titulares e de registros afetados, as consequências prováveis e as medidas adotadas ou propostas. O Pitempo adota medidas razoáveis para conter a violação e mitigar os seus efeitos. Cabe ao Cliente comunicar a violação às autoridades de controle e aos titulares quando exigido, por exemplo em até 72 horas segundo o GDPR e segundo as decisões do Conselho de Proteção de Dados Pessoais da Turquia.

11. Devolução e exclusão

Ao fim da prestação do Serviço, o Pitempo permite que o Cliente exporte os Dados Pessoais do Cliente conforme descrito na cláusula 14 dos Termos e, em seguida, os exclui em até 30 dias após o fim do prazo de recuperação, salvo se a lei exigir a sua guarda. As cópias existentes nos backups são sobrescritas no ciclo normal de backup e não são restauradas, exceto para recuperação de desastres. O Pitempo confirma a exclusão mediante solicitação.

12. Informações e auditorias

O Pitempo disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento deste DPA e do artigo 28 do GDPR e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor independente por ele contratado. As auditorias devem ser anunciadas com pelo menos 30 dias de antecedência, ocorrer em horário comercial normal sem perturbar as operações, estar sujeitas a confidencialidade e ser realizadas no máximo uma vez por ano, salvo se uma violação de dados pessoais ou uma solicitação de autoridade de controle justificar uma auditoria adicional. O Pitempo pode responder primeiro a um pedido de auditoria com informações e documentação por escrito. Cada parte arca com os próprios custos.

13. Leis estaduais de privacidade dos EUA

Na medida em que as leis estaduais de privacidade dos EUA se apliquem, o Pitempo atua como “service provider” ou “processor”. O Pitempo não vende nem compartilha os Dados Pessoais do Cliente; não os retém, usa ou divulga para nenhuma finalidade além da prestação do Serviço ao Cliente, inclusive para qualquer finalidade comercial além da prestação do Serviço, nem fora da relação comercial direta com o Cliente; e não os combina com dados pessoais recebidos de outras fontes, exceto quando permitido por lei. O Pitempo cumpre as obrigações que lhe cabem segundo essas leis, oferece o nível de proteção da privacidade que elas exigem e notifica o Cliente caso conclua que não consegue mais cumprir as suas obrigações. O Cliente pode tomar medidas razoáveis e adequadas para interromper e corrigir o uso não autorizado dos Dados Pessoais do Cliente. O Pitempo certifica que compreende essas restrições e que as cumprirá.

14. Obrigações do Cliente

O Cliente é responsável pela licitude do tratamento, o que inclui ter uma base legal, informar os titulares (por exemplo, os clientes cujos veículos atende) e obter os consentimentos necessários. O Cliente não deve armazenar no Serviço categorias especiais de dados pessoais nem dados relativos a condenações criminais.

15. Responsabilidade e vigência

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações previstas nos Termos, exceto na medida em que a Legislação de Proteção de Dados ou as CCT não permitam essa limitação. Este DPA permanece em vigor enquanto o Pitempo tratar Dados Pessoais do Cliente.

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas técnicas e organizacionais

• Criptografia em trânsito: todas as conexões com o Serviço usam HTTPS/TLS; os e-mails são enviados ao nosso provedor de e-mail por conexão criptografada (STARTTLS).
• Controle de acesso: acesso com senha e, opcionalmente, com chaves de acesso (passkeys); as senhas são armazenadas apenas como hash com salt; os códigos de verificação de uso único expiram após 5 minutos; limites de frequência protegem contra tentativas de força bruta; as sessões expiram.
• Separação de Clientes: os dados de cada Cliente são isolados no nível do banco de dados por políticas de segurança em nível de linha, de modo que um Cliente não pode acessar os dados de outro.
• Autorização: permissões baseadas em perfis em cada Conta; preços, custos e lucros só são visíveis para os perfis autorizados, e os campos que um perfil não pode ver nem sequer são enviados ao seu navegador.
• Rastreabilidade: registros de auditoria das alterações (quem, o quê, quando) e histórico de acessos com endereços IP mascarados.
• Acesso administrativo: acesso aos servidores somente com chaves SSH, com login por senha e login como root desativados; ferramentas de administração protegidas por controle de acesso adicional; princípio do menor privilégio.
• Credenciais de serviços conectados: as credenciais que o Cliente informa para serviços conectados, por exemplo contas de provedores de SMS, são armazenadas de forma criptografada.
• Disponibilidade: backups diários do banco de dados mantidos por 7 dias e um procedimento de restauração documentado.
• Minimização e retenção de dados: anonimização automática dos registros de mensagens após 12 meses; exclusão automática de notificações antigas, do histórico de acessos após 180 dias e dos dados temporários de importação após 30 dias.
• Desenvolvimento seguro: testes automatizados, incluindo testes de isolamento entre Clientes e de direitos de acesso, e auditorias de vulnerabilidades das dependências antes de cada versão; atualizações de segurança imediatas.
• Gestão de incidentes: um procedimento para detectar, avaliar, conter e comunicar violações de dados pessoais.