Anexo de Tratamento de Dados Pessoais (DPA)

1. Objeto

Este Anexo rege o tratamento de dados pessoais realizado pelo Operador por conta e ordem do Controlador na prestação dos serviços do CRM Hédiz, nos termos da Lei nº 13.709/2018.

2. Papéis

O Controlador determina as finalidades e os meios do tratamento dos dados que insere, importa ou recebe por integração na plataforma. O Operador trata esses dados exclusivamente conforme as instruções documentadas do Controlador, materializadas nas configurações e funcionalidades ativadas na plataforma.

O Operador atua como controlador autônomo apenas quanto a: dados cadastrais e de cobrança do próprio cliente, logs de segurança e auditoria, registros de suporte e comunicações comerciais da Hédiz.

3. Instruções

As instruções do Controlador são dadas por meio do uso da plataforma e das configurações escolhidas. O Operador informará ao Controlador se, na sua avaliação, uma instrução violar a legislação aplicável. O Operador não usará os dados do Controlador para finalidade própria, exceto na forma agregada e não identificável.

4. Confidencialidade

O Operador garante que todo pessoal autorizado a tratar os dados está sujeito a obrigação de confidencialidade e recebe treinamento em proteção de dados. O acesso a dados do Controlador por pessoal do Operador é temporário, motivado e registrado, ressalvadas hipóteses de determinação legal.

5. Segurança

O Operador adota as medidas descritas no Anexo II e as revisa periodicamente. O Controlador é responsável pelas configurações sob seu controle: papéis, permissões, visibilidade, política de senhas dos seus usuários e escolha do modo de conexão dos canais de mensageria.

6. Sub-operadores

O Controlador concede autorização geral para a contratação dos sub-operadores listados no Anexo III. Alterações são comunicadas com 15 dias de antecedência, período em que o Controlador pode se opor de forma fundamentada; persistindo a oposição, qualquer das partes pode rescindir sem multa a parcela do serviço afetada. O Operador impõe aos sub-operadores obrigações não menos protetivas que as deste Anexo e responde perante o Controlador pelos atos deles.

7. Direitos dos titulares

O Operador disponibiliza funcionalidades para que o Controlador atenda diretamente aos pedidos dos seus titulares (acesso, correção, portabilidade, eliminação). Quando um titular procurar o Operador, este o encaminhará ao Controlador em até 5 dias úteis, sem tratar o pedido no mérito. O Operador prestará auxílio razoável ao Controlador em até 10 dias úteis do pedido de auxílio.

8. Incidentes

O Operador comunicará ao Controlador qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares em até 48 horas do conhecimento, com as informações do art. 48, §1º da LGPD disponíveis no momento, e complementará conforme a apuração avançar. A comunicação à ANPD e aos titulares, quando cabível ao Controlador, é responsabilidade deste.

9. Auditoria

O Operador disponibilizará, mediante solicitação e no máximo uma vez por ano, documentação sobre suas medidas de segurança e relatórios de terceiros quando existirem. Auditorias presenciais ou testes de intrusão dependem de acordo prévio quanto a escopo, custo e janela, e não podem comprometer a segurança de outros clientes.

10. Transferência internacional

O Controlador reconhece e autoriza o armazenamento e o processamento fora do Brasil, notadamente nos Estados Unidos, conforme o Anexo III, com fundamento no art. 33 da LGPD e mediante cláusulas contratuais com os sub-operadores.

11. Devolução e eliminação

Encerrado o contrato, o Controlador dispõe de 30 dias em modo leitura para exportar seus dados. Após esse prazo, o Operador elimina ou anonimiza os dados em até 90 dias, ressalvadas as retenções obrigatórias descritas na Política de Privacidade. Mediante pedido, o Operador emite declaração de eliminação.

12. Vigência

Este Anexo vigora enquanto durar o tratamento e prevalece sobre disposições conflitantes do contrato principal quanto à proteção de dados.

Anexo I. Escopo do tratamento

Anexo II. Medidas técnicas e organizacionais

Anexo III. Sub-operadores

A lista vigente, com finalidade, dados envolvidos e local de cada um, fica em /politicas/subprocessadores e é parte integrante deste Anexo.