Acordo de Tratamento de Dados

1. Definições

Os termos em maiúscula não definidos aqui têm os significados atribuídos nos Termos. "GDPR" significa o Regulamento (UE) 2016/679. "UK GDPR" significa a versão retida na legislação da UE do GDPR conforme se aplica no Reino Unido. "Lei de Proteção de Dados Aplicável" significa o GDPR, o UK GDPR, a Swiss FADP, a California Consumer Privacy Act (conforme alterada) e qualquer outra lei de proteção de dados ou privacidade aplicável ao tratamento do Operador sob este DPA. "Dados Pessoais", "Controlador", "Operador", "Titular dos Dados" e "Tratamento" têm os significados atribuídos no GDPR.

2. Escopo, papéis e objeto

A ONTHEBIAS atua como Operador dos Dados Pessoais que o Controlador submete ou que são gerados em nome do Controlador quando o Controlador usa a plataforma ONTHEBIAS. O objeto do Tratamento é a prestação da plataforma de design, geração e marketplace da ONTHEBIAS sob os Termos. A duração é o prazo dos Termos mais qualquer período de encerramento descrito abaixo. A natureza e a finalidade do Tratamento estão descritas nos Termos e no Anexo 1. As categorias de Dados Pessoais e de Titulares dos Dados estão descritas no Anexo 1.

3. Obrigações do Operador

O Operador irá:

• tratar os Dados Pessoais apenas conforme as instruções documentadas do Controlador, inclusive quanto a transferências internacionais, salvo se exigido de outra forma pela lei aplicável (caso em que o Operador informará o Controlador, a menos que a lei proíba tal divulgação);
• garantir que as pessoas autorizadas a tratar os Dados Pessoais estejam sujeitas a um dever vinculante de confidencialidade;
• implementar medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais (consulte o Anexo 2);
• auxiliar o Controlador, levando em conta a natureza do Tratamento, no cumprimento da obrigação do Controlador de responder às solicitações dos Titulares dos Dados;
• auxiliar o Controlador com avaliações de impacto sobre a proteção de dados e consultas prévias às autoridades de supervisão;
• notificar o Controlador sem demora indevida (e, em qualquer caso, dentro de 72 horas) após tomar conhecimento de uma Violação de Dados Pessoais que afete os dados do Controlador;
• a critério do Controlador, excluir ou devolver todos os Dados Pessoais ao fim da prestação dos serviços, e excluir as cópias existentes, salvo se a retenção for exigida pela lei aplicável;
• disponibilizar ao Controlador todas as informações razoavelmente necessárias para demonstrar a conformidade com este DPA.

4. Suboperadores

O Controlador concede autorização geral para que o Operador contrate suboperadores, sujeito ao seguinte. O Operador manterá uma lista atualizada de suboperadores na página da Política de Privacidade e dará ao Controlador um aviso prévio de pelo menos 30 dias no aplicativo sobre qualquer adição ou substituição. O Controlador pode se opor a um novo suboperador por fundamentos razoáveis de proteção de dados dentro desse período de aviso; se o Operador não puder acomodar razoavelmente a objeção, o Controlador pode rescindir a parte afetada do serviço e receber um reembolso proporcional de qualquer período pré-pago não utilizado. O Operador imporá a cada suboperador obrigações de proteção de dados pelo menos tão protetivas quanto as deste DPA.

5. Transferências internacionais

Quando o Operador transfere Dados Pessoais de Titulares dos Dados no EEE, no Reino Unido ou na Suíça para fora dessas jurisdições, a um país que não se beneficie de uma decisão de adequação, a transferência é regida pelas Cláusulas Contratuais Padrão da Comissão Europeia (Módulo 2, Controlador para Operador, ou Módulo 3, Operador para Suboperador, conforme aplicável), pelo UK International Data Transfer Addendum e pelo instrumento suíço equivalente, cada um dos quais é incorporado a este DPA por referência e prevalece em caso de conflito. O Controlador e o Operador atuam, respectivamente, como exportador de dados e importador de dados, e aplicam-se as cláusulas opcionais apropriadas (incluindo Clause 7 docking, Clause 11 sem opção, Clause 17 Option 1 (lei de um Estado-Membro a ser acordada) e Clause 18(b) foro nesse Estado-Membro).

6. Solicitações dos titulares dos dados

Se o Operador receber uma solicitação de um Titular dos Dados relativa a Dados Pessoais tratados em nome do Controlador, o Operador não responderá diretamente (exceto para confirmar o recebimento) e encaminhará a solicitação ao Controlador sem demora indevida. O Operador auxiliará o Controlador a responder, levando em conta a natureza do Tratamento.

7. Auditorias

O Operador disponibilizará ao Controlador as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, incluindo resumos de auditorias independentes e certificações (quando o Operador as tiver obtido). Quando o Controlador razoavelmente exigir mais informações ou uma auditoria in loco, o Controlador pode auditar o Operador uma vez por ano, mediante aviso por escrito com pelo menos 60 dias de antecedência, durante o horário comercial, sujeito a restrições razoáveis de confidencialidade e segurança, e às custas do Controlador. Quando uma autoridade de supervisão exigir uma auditoria, o Operador cooperará conforme exigido por lei.

8. Vigência e rescisão

Este DPA entra em vigor na data indicada no topo, permanece em vigor durante a vigência dos Termos e é automaticamente rescindido com a rescisão dos Termos. Na rescisão, o Operador, a critério do Controlador, devolverá ou excluirá todos os Dados Pessoais no prazo de 30 dias, exceto quando a retenção for exigida pela lei aplicável (caso em que o Operador manterá a confidencialidade desses dados e os tratará apenas conforme exigido).

9. Responsabilidade e precedência

Os limites e exclusões de responsabilidade dos Termos aplicam-se a este DPA. Em caso de conflito entre este DPA e os Termos, este DPA prevalece para questões relativas ao Tratamento de Dados Pessoais. Em caso de conflito entre este DPA e as Cláusulas Contratuais Padrão, as Cláusulas Contratuais Padrão prevalecem.

10. Como contra-assinar

Ao aceitar os Termos, considera-se que o Controlador aceitou este DPA. Se for necessária uma via assinada para os registros do Controlador (por exemplo, para um dossiê de compras), baixe esta página em PDF, adicione blocos de assinatura e envie uma cópia assinada para privacy@onthebias.co. A ONTHEBIAS irá contra-assinar e devolvê-la no prazo de 10 dias úteis.

Anexo 1 - Descrição do Tratamento

Objeto. Prestação da plataforma de design, geração por IA e marketplace da ONTHEBIAS.

Duração. O prazo dos Termos mais até 30 dias para devolução ou exclusão.

Natureza e finalidade. Hospedagem, armazenamento, banco de dados, autenticação, geração por IA, entrega de e-mail, processamento de pagamentos, roteamento de marketplace, analytics, monitoramento de segurança.

Categorias de Dados Pessoais. Dados de conta (e-mail, nome, workspace), conteúdo de design, conteúdo de chat e RFQ, telemetria de uso, endereço IP, dados comerciais (assinatura, crédito, pedido, fatura) e (apenas com consentimento) preferências de marketing.

Categorias especiais. Nenhuma prevista. O Controlador não deve submeter Dados Pessoais de categoria especial (saúde, biométricos, opinião política, etc.) por meio do serviço, salvo se expressamente acordado em um aditivo por escrito separado.

Categorias de Titulares dos Dados. A força de trabalho do Controlador, contratados e quaisquer outros indivíduos cujos dados o Controlador submeta à plataforma.

Frequência. Contínua, enquanto o Controlador usar o serviço.

Destinatários. Suboperadores listados na Política de Privacidade, e autoridades policiais ou de supervisão quando legalmente exigido.

Anexo 2 - Medidas técnicas e organizacionais

O Operador implementa as seguintes medidas:

Criptografia. TLS 1.2 ou superior para dados em trânsito; AES-256 para dados em repouso no banco de dados primário e no armazenamento de arquivos.

Controle de acesso. Controle de acesso baseado em funções, SSO com MFA para funcionários, princípio do menor privilégio e segurança em nível de linha nos dados dos usuários.

Registro e monitoramento. Logs de auditoria para ações administrativas; monitoramento de erros e desempenho via Sentry; alertas sobre anomalias.

Hardening. Atualizações regulares de dependências, varredura de vulnerabilidades e revisão de código; segredos armazenados em um cofre de segredos gerenciado, não no controle de versão.

Backup e recuperação. Backups diários automatizados com armazenamento criptografado e restauração testada.

Resposta a incidentes. Procedimentos documentados para detecção, contenção, notificação e revisão pós-incidente.

Pessoal. Obrigações de confidencialidade em contratos de trabalho, verificação de antecedentes quando lícito e treinamento periódico de segurança.

Segurança física. A infraestrutura de hospedagem primária e dos suboperadores está localizada em data centers seguros operados por nossos suboperadores (consulte a Política de Privacidade para a lista atual); não operamos nosso próprio data center.