DPA

Este Acordo de Tratamento de Dados (DPA) é celebrado entre o Cliente e a ZOFITI SOLUCOES LTDA (Zofiti) e integra os Termos de Uso. Ele vigora quando a Zofiti trata Dados Pessoais do Cliente. Em conflito sobre tratamento, este DPA prevalece; cláusulas de transferência aplicáveis prevalecem para a transferência que regem.

Dados Pessoais do Cliente são dados pessoais no Conteúdo do Cliente tratados pela Zofiti para o Cliente. Controlador, operador, processador, tratamento e titular possuem o significado da lei de proteção de dados aplicável.

O Cliente é controlador e a Zofiti é operadora ou processadora dos Dados Pessoais do Cliente. Cada parte continua responsável pelos dados que controla para finalidades próprias.

A Zofiti tratará Dados Pessoais do Cliente somente para fornecer, proteger e apoiar o Sinalio; cumprir Termos e DPA; seguir configurações e instruções documentadas de suporte; ou cumprir a lei. Se a lei exigir tratamento além da instrução, a Zofiti avisará antes, salvo proibição.

Se entender que uma instrução viola a lei, informará o Cliente e poderá pausar o tratamento afetado enquanto as partes resolvem a questão.

O Cliente fornecerá instruções, avisos e base legal válidos; configurará o serviço para minimizar dados; manterá corretos o conteúdo, os controles de pessoa usuária e as permissões; responderá aos titulares; e não enviará dados proibidos ou desnecessários. O Cliente possui responsabilidade principal pelos Dados Pessoais do Cliente, pelos atos de seus usuários e por avaliar se o Sinalio atende seus requisitos jurídicos e regulatórios.

A Zofiti responde por operar e proteger a infraestrutura e as operações de tratamento sob seu controle. Limitará o acesso a pessoal autorizado sob confidencialidade; aplicará as medidas da seção 7; auxiliará razoavelmente em pedidos de titulares, incidentes, avaliações de impacto e consultas a autoridades; manterá registros exigidos de operador; e excluirá ou devolverá dados no fim do serviço.

O canal oficial para pedidos comuns de auxílio sob o DPA é joao.muller@zofiti.com.br. A Zofiti pode levar até sete dias corridos para dar uma resposta inicial, contados da última mensagem do Cliente naquela solicitação. O prazo pode reiniciar após nova mensagem, e a resposta pode pedir detalhes ou indicar próximos passos sem concluir o trabalho. Prazos legais, deveres de comunicação de incidente e níveis de serviço expressamente acordados prevalecem.

• fronteiras de tenant e ambiente impostas por identidade no servidor;
• acesso por privilégio mínimo e identidades administrativas separadas;
• TLS em trânsito e criptografia em repouso quando suportada pela hospedagem;
• validação, limites de requisição e controles de abuso nas interfaces públicas;
• registros de segurança, acesso e mudança com retenção controlada;
• backups criptografados, restauração e monitoramento de infraestrutura;
• manutenção de dependências, resposta a vulnerabilidades e incidentes;
• deveres de confidencialidade e remoção de acesso quando desnecessário.

A Zofiti pode atualizar medidas conforme a tecnologia evolui, sem reduzir materialmente a proteção geral.

O Cliente concede autorização geral aos suboperadores abaixo. A Zofiti permanece responsável por suas obrigações na extensão legal e impõe termos adequados ao tratamento. A Zofiti avisará com antecedência razoável antes de adicionar suboperador que trate materialmente Dados Pessoais do Cliente. O Cliente poderá objetar por motivo documentado de proteção de dados em 15 dias; as partes buscarão solução razoável e, se não houver, o Cliente poderá encerrar o workspace afetado.

Identidade Google ou Microsoft, checkout Stripe, Google Tag Manager e Google Analytics opcionais tratam principalmente dados de conta, cobrança ou site da Zofiti descritos na Política; não recebem automaticamente Conteúdo do Cliente e não aparecem aqui para esse papel separado.

Os Dados Pessoais do Cliente principais ficam hospedados no Brasil. Se suboperador ou instrução de suporte gerar transferência internacional, as partes utilizarão mecanismo válido. Quando esse mecanismo for exigido para uma transferência brasileira, as partes celebrarão e anexarão integralmente, sem alterações, as cláusulas-padrão da ANPD. Quando o Capítulo V do GDPR for aplicável, incorpora-se o módulo adequado das SCCs da Comissão Europeia, com o Cliente como exportador e a Zofiti como importadora, salvo arranjo exigido pela transferência.

As partes cooperarão em avaliações de impacto de transferência e salvaguardas suplementares proporcionais ao risco.

Se receber pedido relativo a Dados Pessoais do Cliente, a Zofiti direcionará a pessoa ao Cliente, salvo proibição, e não responderá de forma independente sem autorização. Considerada a natureza do tratamento, prestará auxílio técnico e organizacional razoável para o Cliente responder no prazo. Trabalho adicional ao serviço padrão poderá ser cobrado por valor razoável informado.

A Zofiti avisará o Cliente sem demora indevida após confirmar violação de segurança envolvendo Dados Pessoais do Cliente. O aviso trará informações disponíveis sobre natureza, consequências prováveis, dados afetados e medidas tomadas. A Zofiti investigará, mitigará e cooperará razoavelmente. O aviso não representa admissão de culpa. O Cliente continua responsável pelas notificações de controlador.

A Zofiti fornecerá informações razoavelmente necessárias para demonstrar conformidade. No máximo uma vez por ano, salvo incidente confirmado ou exigência de autoridade, o Cliente poderá pedir auditoria por profissional independente sob confidencialidade. A auditoria usará primeiro relatórios existentes, não acessará dados de outros clientes, ocorrerá em horário comercial com aviso razoável e não interromperá injustificadamente o serviço. O Cliente arca com o custo salvo não conformidade material.

Durante o serviço, o Cliente pode usar exportações disponíveis. Após encerramento, Dados Pessoais do Cliente ativos permanecem recuperáveis por até 30 dias e depois são excluídos ou anonimizados, salvo pedido anterior ou retenção legal. Backups criptografados expiram em até 90 dias e permanecem protegidos e indisponíveis para uso ordinário até sobrescritos.

A Zofiti avaliará a validade de pedidos governamentais, divulgará somente o exigido e avisará o Cliente antes quando permitido. Contestará pedidos excessivos ou ilegais quando razoável.

Cada parte responde por seus deveres na lei de proteção de dados. Responsabilidade e lei aplicável dos Termos regem o DPA, salvo exigência diferente da lei ou cláusula de transferência incorporada. Nada reduz direitos de titulares ou poderes de autoridades.