Solicitações dos titulares dos dados e assistência
O Serviço oferece ao Controlador funcionalidades para acessar, corrigir, exportar e excluir Dados Pessoais do Cliente. Se o Controlador não puder atender a uma solicitação de um titular de dados por meio dessas funcionalidades, o Operador prestará assistência razoável, às custas do Controlador, para atividades que excedam as habituais.
Se o Operador receber diretamente de um titular de dados uma solicitação relativa a Dados Pessoais do Cliente, não responderá quanto ao mérito e encaminhará a solicitação ao Controlador sem demora indevida.
O Operador prestará assistência razoável na realização de avaliações de impacto à proteção de dados e de consultas prévias às autoridades de supervisão, na medida em que o Controlador não consiga obter as informações necessárias na documentação publicada pelo Operador.
Auditorias e comprovação da conformidade
O Operador disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, incluindo sua Visão Geral de Segurança, a Lista de Suboperadores e quaisquer relatórios de auditoria de terceiros ou certificações de que disponha.
Se essa documentação for insuficiente, o Controlador poderá auditar a conformidade do Operador no máximo uma vez a cada período de doze meses, mediante aviso por escrito com antecedência mínima de trinta dias, durante o horário comercial, sob obrigação de confidencialidade, sem acessar dados de outros clientes e às custas do Controlador. Uma autoridade de supervisão poderá realizar auditorias conforme exigido por lei.
Notificação de violação de dados pessoais
O Operador notificará o Controlador sem demora indevida e, em qualquer caso, no prazo de setenta e duas horas após tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente. A notificação será enviada ao contato de segurança cadastrado na conta do Controlador.
A notificação descreverá a natureza da violação, as categorias e o volume aproximado dos dados afetados, as categorias e o número aproximado de titulares afetados, as prováveis consequências e as medidas adotadas ou propostas. Se nem todas as informações estiverem disponíveis de uma só vez, serão fornecidas em etapas, sem demora indevida adicional.
O Operador não adiará a notificação para concluir sua investigação e cooperará com o Controlador no cumprimento das obrigações deste de notificar as autoridades reguladoras. A notificação não constitui reconhecimento de culpa ou responsabilidade.
Confidencialidade e pessoal
O Operador garante que o pessoal autorizado a tratar Dados Pessoais do Cliente esteja sujeito a obrigações de confidencialidade por escrito que subsistam após o término do vínculo, receba treinamento adequado em proteção de dados e acesse os dados apenas quando necessário para o desempenho de suas funções, sob controles de privilégio mínimo.
Contato e formalização
Eyeleven Inc. — Privacidade e Conformidade. Para solicitar uma cópia deste DPA assinada por ambas as partes, cadastrar-se para receber notificações sobre alterações de suboperadores ou tratar de assuntos relacionados à proteção de dados, entre em contato pelo endereço [email protected].
Definições
- “Dados Pessoais do Cliente” são os dados pessoais contidos nos Dados do Cliente que o Operador trata em nome do Controlador
- “Titular dos Dados”, “tratamento”, “controlador”, “operador” e “violação de dados pessoais” têm os significados atribuídos pelo GDPR
- “Suboperador” é um terceiro contratado pelo Operador para tratar Dados Pessoais do Cliente
- “SCCs” são as Cláusulas Contratuais Padrão aprovadas pela Decisão 2021/914 da Comissão Europeia
- “Legislação Aplicável de Proteção de Dados” compreende o GDPR, o UK GDPR, a Lei Federal Suíça de Proteção de Dados (FADP) e as leis estaduais de privacidade aplicáveis dos Estados Unidos
Instruções de tratamento
Os Termos de Serviço, este DPA, a configuração do Serviço pelo Controlador e suas solicitações documentadas constituem a totalidade das instruções do Controlador. O Operador não tratará os Dados Pessoais do Cliente para nenhuma outra finalidade.
O Operador informará o Controlador se, em sua opinião, uma instrução violar a Legislação Aplicável de Proteção de Dados e poderá suspender seu cumprimento até que ela seja alterada ou confirmada. O Operador não é obrigado a fornecer uma avaliação jurídica das instruções do Controlador.
Responsabilidade
A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações e exclusões previstas nos Termos de Serviço. Nada neste DPA limita os direitos de um titular de dados nos termos da Legislação Aplicável de Proteção de Dados ou a responsabilidade de qualquer das partes perante uma autoridade de supervisão.
Detalhes do tratamento
- Objeto: fornecimento da plataforma de força de trabalho de IA Eyeleven OS
- Duração: o período da assinatura, acrescido dos prazos de exclusão previstos neste DPA
- Natureza e finalidade: hospedagem, armazenamento, transmissão, recuperação e tratamento de mensagens e registros comerciais com auxílio de IA para operar os agentes configurados pelo Controlador
- Categorias de titulares dos dados: integrantes da equipe, clientes, potenciais clientes e outros contatos do Controlador que se comunicam com ele
- Categorias de dados pessoais: identificadores, dados de contato, conteúdo e metadados de mensagens, dados de contas e configurações, dados de uso e dados técnicos
- Categorias especiais: não solicitadas nem necessárias; o Controlador não deve fornecer dados de categorias especiais, salvo se houver acordo expresso por escrito, e o Serviço não está configurado para tratá-los
- Frequência: contínua, durante o período da assinatura
Devolução e exclusão
Em caso de rescisão ou término da vigência, o Operador disponibilizará os Dados Pessoais do Cliente para exportação por trinta dias. Após esse período, excluirá os Dados Pessoais do Cliente dos sistemas ativos em até trinta dias e dos backups em até noventa dias adicionais, conforme o ciclo de renovação dos backups.
O Operador poderá reter Dados Pessoais do Cliente na medida exigida por lei e continuará a protegê-los nos termos deste DPA enquanto os mantiver. Mediante solicitação, o Operador atestará a exclusão por escrito.
Papéis das partes
O Controlador determina as finalidades e os meios do tratamento dos Dados Pessoais do Cliente e é responsável pela legalidade das instruções que fornece, inclusive por ter uma base legal válida e obter qualquer consentimento prévio exigido para enviar mensagens aos titulares cujos dados fornece.
O Operador trata os Dados Pessoais do Cliente apenas na qualidade de operador, conforme as instruções documentadas do Controlador. Para suas próprias finalidades comerciais — como administração de contas, faturamento e proteção do Serviço — o Operador atua como controlador nos termos de sua Política de Privacidade.
Quando se aplicar uma lei estadual de privacidade dos Estados Unidos, o Operador atuará como “prestador de serviços” ou “operador” e não venderá os Dados Pessoais do Cliente, não os compartilhará para publicidade comportamental entre diferentes contextos, não os conservará nem utilizará fora da relação comercial direta e não os combinará com dados de outras fontes, salvo conforme permitido por lei.
Âmbito e incorporação
Este Aditivo de Tratamento de Dados (“DPA”) integra os Termos de Serviço celebrados entre o cliente (“Controlador”) e a Eyeleven Inc. (“Operador”) e aplica-se na medida em que o Operador trate Dados Pessoais do Cliente em nome do Controlador.
Quando o GDPR, o UK GDPR, a Lei Federal Suíça de Proteção de Dados (FADP) ou uma lei estadual de privacidade dos Estados Unidos se aplicar a esse tratamento, este DPA o regerá. Em caso de conflito relativo ao tratamento de dados pessoais, este DPA prevalecerá sobre os Termos de Serviço.
Este DPA é celebrado mediante a aceitação dos Termos de Serviço pelas partes; uma cópia assinada separadamente está disponível mediante solicitação para fins de contratação.
Medidas de segurança
O Operador implementa e mantém as medidas técnicas e organizacionais descritas na Visão Geral de Segurança, incorporada a este DPA como Anexo II. Essas medidas incluem criptografia em trânsito e em repouso, controle de acesso baseado em funções e no princípio do privilégio mínimo, isolamento de rede, registros de auditoria, monitoramento de relatórios de erros, práticas de desenvolvimento seguro e um processo documentado de resposta a incidentes.
O Operador poderá atualizar suas medidas ao longo do tempo, desde que o nível geral de segurança não seja substancialmente reduzido.
Suboperadores
O Controlador concede autorização geral por escrito para que o Operador contrate Suboperadores. Os Suboperadores atuais constam da Lista de Suboperadores, que integra este DPA.
O Operador notificará a inclusão ou substituição de um Suboperador com pelo menos trinta dias de antecedência, mediante atualização dessa lista e, para os clientes inscritos para receber notificações, por e-mail. O Controlador poderá apresentar objeção por motivos razoáveis de proteção de dados dentro desse prazo; se a objeção não puder ser resolvida, o Controlador poderá rescindir a assinatura afetada e receber o reembolso proporcional dos valores pagos antecipadamente pelos serviços não utilizados.
O Operador impõe a cada Suboperador obrigações de proteção de dados que ofereçam proteção não inferior à prevista neste DPA e permanece responsável pela atuação de seus Suboperadores.
Transferências internacionais
O Operador está localizado nos Estados Unidos. Se a transferência de Dados Pessoais do Cliente do EEE, do Reino Unido ou da Suíça pelo Controlador ao Operador exigir um mecanismo de transferência, as partes concordam que as SCCs se aplicam e ficam incorporadas por referência.
O Módulo Dois (controlador para operador) aplica-se quando o Controlador atuar como controlador, e o Módulo Três (operador para operador) aplica-se quando o próprio Controlador atuar como operador. A Cláusula 7 (adesão) aplica-se; a opção da Cláusula 9(a) é a Opção 2, autorização geral por escrito, com o prazo de notificação de trinta dias estabelecido neste DPA; a opção de resolução independente de litígios da Cláusula 11 não foi selecionada; a Cláusula 17 é regida pela legislação da Irlanda; e a Cláusula 18(b) designa os tribunais da Irlanda.
Para transferências do Reino Unido, o Aditamento do Reino Unido sobre Transferência Internacional de Dados aplica-se às SCCs. Para transferências da Suíça, as referências ao GDPR devem ser interpretadas como referências à FADP, e o Comissário Federal de Proteção de Dados e Informação da Suíça é a autoridade competente.
O Operador pretende obter certificação no âmbito do Quadro de Privacidade de Dados UE–EUA; até que a certificação seja confirmada por escrito, as SCCs continuarão sendo o mecanismo aplicável.