Este Acordo de Tratamento de Dados (“DPA”) integra os Termos de Serviço do Adapty (conforme definidos abaixo) celebrados entre o Cliente e o Adapty, que regem o uso e o fornecimento dos serviços do Adapty pelo Cliente.
O Cliente e o Adapty são doravante denominados, em conjunto, as “Partes” e, individualmente, uma “Parte”. Os dados das Partes constam do Apêndice 1.
Em caso de conflito ou inconsistência com as disposições dos Termos de Serviço do Adapty, este DPA prevalecerá sobre as demais disposições dos Termos de Serviço do Adapty na medida desse conflito ou inconsistência.
Os termos iniciados em letra maiúscula que não estejam definidos de outra forma neste instrumento têm o significado que lhes é atribuído nos Termos de Serviço do Adapty.
Este DPA, incluindo todos os seus Apêndices, estabelece as obrigações das Partes em matéria de proteção de dados com relação aos Dados Pessoais tratados pelo Adapty em nome do Cliente, conforme descrito no Apêndice 1 deste DPA, de acordo com a Legislação de Privacidade Aplicável.
1. Definições
1.1. Termos de Serviço do Adapty significa os termos de serviço disponíveis em https://adapty.io/terms/ ou outro contrato escrito ou eletrônico celebrado entre o Cliente e o Adapty.
1.2. Legislação de Privacidade Aplicável significa todas as leis, estatutos, regulamentos, portarias, códigos, normas, diretrizes, ordens ou quaisquer outras obrigações legais emanadas de qualquer autoridade governamental que regulem a coleta, o uso, a transferência e a divulgação de Dados Pessoais.
1.3. Controlador de Dados significa a pessoa física ou organização que determina as finalidades e os meios do tratamento de Dados Pessoais ou que é, de outro modo, responsável pela tomada de decisões referentes ao tratamento de Dados Pessoais.
1.4. Operador de Dados significa a pessoa física ou jurídica ou outro organismo que trata Dados Pessoais em nome do Controlador.
1.5. Solicitação do Titular dos Dados terá o significado estabelecido no parágrafo 3.2 deste DPA.
1.6. Titular dos Dados significa a pessoa física, direta ou indiretamente identificada ou identificável, a quem os Dados Pessoais se referem.
1.7. GDPR significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE.
1.8. UK GDPR significa a versão mantida do Regulamento Geral sobre a Proteção de Dados da UE ((UE) 2016/679) (EU GDPR), tal como integra o direito da Inglaterra e do País de Gales, da Escócia e da Irlanda do Norte por força da seção 3 do European Union (Withdrawal) Act 2018 e conforme alterada pelo anexo 1 das Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Dados Pessoais significa qualquer informação relativa a uma pessoa física identificada ou identificável e regida pela Legislação de Privacidade Aplicável, fornecida pelo Cliente para tratamento, incluindo informações relativas a um indivíduo identificado ou identificável.
1.10. Violação de Dados Pessoais terá o significado de uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação não autorizada de Dados Pessoais ou o acesso não autorizado a eles.
1.11. Tratamento, trata e um tratamento significam qualquer atividade que envolva o uso de Dados Pessoais ou conforme possa ser estabelecido pela Legislação de Privacidade Aplicável com relação a tratamento, trata ou um tratamento. Isso inclui qualquer operação ou conjunto de operações efetuadas sobre Dados Pessoais ou sobre conjuntos de Dados Pessoais, por meios automatizados ou não, tais como a coleta, o registro, a organização, a estruturação, o armazenamento, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, o alinhamento ou combinação, a restrição, o apagamento ou a destruição. O Tratamento também inclui a transferência de Dados Pessoais a terceiros.
1.12. Cláusulas Contratuais Padrão (SCC) significa as cláusulas contratuais padrão aprovadas pela Comissão Europeia (conforme atualizadas, alteradas, substituídas ou revogadas pela Comissão Europeia ao longo do tempo). Caso a Comissão Europeia substitua as Cláusulas Contratuais Padrão por cláusulas contratuais padrão alteradas ou novas, então, na medida em que a autoridade de controle pertinente aprove o uso dessas cláusulas contratuais padrão alteradas ou novas, as referências neste instrumento a “Cláusulas Contratuais Padrão” serão interpretadas como referências a essas cláusulas contratuais padrão alteradas ou novas.
1.13. Suboperador significa um operador de dados terceiro contratado pelo Adapty que tenha recebido ou possa vir a ter acesso a Dados Pessoais, ou que os trate.
1.14. Notificação de Alteração de Suboperador terá o significado estabelecido na cláusula 4.1 deste DPA.
2. Tratamento de dados pessoais
2.1. Papéis das Partes
As Partes reconhecem e concordam que, com relação ao tratamento de dados pessoais, o Cliente é o controlador e o Adapty é o operador.
2.2. Detalhes do tratamento de dados
O objeto, a duração, a natureza e a(s) finalidade(s) do tratamento de dados pessoais, bem como o tipo de dados pessoais e as categorias de titulares dos dados, estão especificados no Anexo 1.
2.3. Escopo do Tratamento
O Adapty se absterá de tratar dados pessoais além das indicações razoáveis e usuais estabelecidas pelo Cliente, conforme especificado nos Termos de Serviço do Adapty ou neste DPA, salvo se tal tratamento for exigido pela legislação aplicável à qual o Adapty esteja sujeito.
2.4. Instruções do Cliente
As instruções do Cliente para o tratamento de dados pessoais devem estar em conformidade com a legislação de privacidade aplicável. O Cliente é o único responsável pela exatidão, qualidade e licitude dos dados pessoais, bem como pelos meios pelos quais obtém os dados pessoais. Sem limitação, o Cliente será o único responsável por assegurar a existência de base legal adequada e do direito de tratar dados pessoais de acordo com as disposições dos Termos de Serviço do Adapty e deste DPA. O Cliente reconhece e concorda especificamente que o uso que fizer dos Serviços não violará os direitos de qualquer titular dos dados.
2.5. Base Legal para o Tratamento
O Cliente reconhece e concorda que os Serviços do Adapty dependem de uma base legal demonstrada e nela se baseiam, a qual o Cliente deve obter e na qual o Adapty se apoia. O Cliente declara que tal base legal existe.
2.6. Privacidade de Crianças
Ao tratar dados pessoais de crianças (conforme descritos na legislação de privacidade aplicável), o Cliente é obrigado a cumprir requisitos adicionais estabelecidos por políticas de plataformas, regulamentos e pela legislação de privacidade aplicável destinados a proteger crianças. Algumas dessas leis são voltadas especificamente a crianças (como a COPPA), enquanto outras são mais amplas, mas incluem proteções especiais para crianças (como o GDPR e leis regionais semelhantes).
3. Solicitações dos Titulares dos Dados
3.1. Respostas às Solicitações dos Titulares dos Dados
O Cliente é o único responsável pelo cumprimento de quaisquer obrigações legais referentes a solicitações de exercício de direitos dos titulares dos dados nos termos da legislação de privacidade aplicável. As partes concordam e reconhecem que o Adapty não tem condições de responder a solicitações de titulares dos dados.
3.2. Solicitações dos Titulares dos Dados
Responsabilidade do Cliente e gestão das Solicitações dos Titulares dos Dados. O Cliente permanecerá como o único responsável pelo cumprimento de quaisquer obrigações legais referentes às Solicitações dos Titulares dos Dados nos termos da Legislação de Privacidade Aplicável. O Cliente autoriza o Adapty, agindo exclusivamente de acordo com as instruções documentadas do Cliente e na qualidade de Operador do Cliente, a processar automaticamente e efetivar as solicitações de cancelamento de inscrição e as oposições ao marketing direto recebidas diretamente dos Destinatários por meio dos mecanismos de cancelamento de inscrição disponibilizados nas Mensagens, inclusive adicionando o Destinatário em questão à lista de supressão do Cliente.
Exceto conforme expressamente previsto nesta cláusula, o Adapty não responderá quanto ao mérito das Solicitações dos Titulares dos Dados em nome do Cliente e, na medida em que for legalmente permitido, encaminhará o Titular dos Dados ao Cliente e/ou notificará o Cliente de acordo com esta cláusula.
3.3. Solicitação do Titular
Se o Cliente solicitar a assistência do Adapty para responder a uma solicitação, o Adapty, na medida do possível, envidará esforços comercialmente razoáveis para auxiliar o Cliente a responder a tal solicitação, na medida em que o Adapty tenha o direito legal de fazê-lo e a resposta a tal solicitação seja exigida pela legislação de privacidade aplicável.
3.4. Custos
Na medida permitida por lei, o Cliente é responsável por quaisquer custos incorridos em decorrência da prestação dessa assistência pelo Adapty, incluindo quaisquer taxas associadas ao fornecimento de funcionalidades adicionais. Nesses casos, o Adapty notificará o Cliente previamente sobre esses custos.
4. Subcontratação do tratamento
4.1. Nomeação de Suboperadores
O Cliente autoriza o Adapty a nomear suboperadores de acordo com esta seção e com quaisquer limitações previstas no DPA. O Cliente reconhece e concorda que o Adapty pode contratar suboperadores sem o consentimento prévio do Cliente. Constitui condição para permitir que um suboperador terceiro trate dados pessoais que o Adapty celebre com cada suboperador um contrato escrito contendo compromissos de proteção de dados que assegurem, no mínimo, o mesmo nível de proteção dos dados pessoais previsto neste DPA. O Adapty notificará o Cliente por escrito sobre quaisquer alterações propostas relativas à inclusão ou substituição de suboperadores antes de tais alterações de suboperadores (doravante denominada “Notificação de Alteração de Suboperador”). O Cliente poderá se opor a tais alterações de suboperadores de acordo com a Seção 4.2 deste DPA.
4.2. Lista Atual de Suboperadores
A lista atual dos suboperadores contratados pelo Adapty para o tratamento consta do Anexo 3 deste DPA. O Adapty atualizará a lista de suboperadores neste DPA no prazo de trinta (30) dias a contar de quaisquer alterações que envolvam a inclusão ou substituição de um suboperador.
4.3. Responsabilidade
Com relação a cada suboperador, o Adapty deverá: (i) adotar medidas razoáveis para assegurar que o suboperador esteja obrigado a garantir o nível de proteção de dados pessoais exigido pelo DPA, e (ii) permanecer integralmente responsável perante o Cliente pelo cumprimento, pelo suboperador, de suas obrigações de proteção de dados, caso o suboperador deixe de cumprir tais obrigações.
4.4. Direito de Oposição a Suboperadores
O Cliente poderá, de forma razoável, opor-se a qualquer alteração proposta que envolva a inclusão ou substituição de um suboperador (por exemplo, se o fornecimento de dados pessoais a um suboperador puder violar as leis de proteção de dados aplicáveis ou enfraquecer a proteção desses dados pessoais), notificando o Adapty prontamente, por escrito, no prazo de trinta (30) dias a contar do recebimento da notificação da alteração de suboperador. Essa notificação do Cliente deve expor os fundamentos razoáveis da oposição.
Caso o Cliente notifique o Adapty de tal oposição, as partes negociarão a questão de boa-fé com o objetivo de alcançar uma solução comercialmente razoável. Se tais oposições não puderem ser resolvidas no prazo de quinze (15) dias porque o tratamento não pode prosseguir adequadamente sem a participação desse suboperador, o Adapty terá o direito de recusar a continuidade do tratamento nos termos deste DPA e de rescindir os Termos de Serviço do Adapty sem responsabilidade por essa rescisão.
5. Transferência internacional de dados pessoais
5.1. Transferências a partir da UE
Na medida em que o tratamento de Dados Pessoais seja protegido pelo GDPR, as Partes concordam, por meio deste instrumento, que tais transferências estão sujeitas às SCC, que são incorporadas a este DPA por referência e constituem parte integrante deste DPA. As opções e os apêndices das SCC são considerados preenchidos com base no Anexo 4 deste DPA.
5.2. Transferências a partir da Suíça
Na medida em que o tratamento de Dados Pessoais seja protegido pela Lei Federal Suíça de Proteção de Dados, de 19 de junho de 1992 (“FADP”), as Partes concordam, por meio deste instrumento, que tais transferências estarão sujeitas às SCC com as adaptações necessárias para que as SCC estejam em conformidade com o direito suíço e sejam, assim, aptas a assegurar um nível de proteção adequado para a transferência de dados da Suíça para um país terceiro, nos termos do artigo 6, parágrafo 2, alínea a, da FADP. Uma lista de adaptações é apresentada no ponto 4.3. para transferências de dados pessoais para um país com nível inadequado de proteção de dados com base nas cláusulas contratuais padrão e nos contratos-modelo de 27 de agosto de 2021 do Comissário Federal de Proteção de Dados e Informação (disponível em https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Aplica-se o Exemplo 2 do Caso 2.
5.3. Transferências a partir do Reino Unido
Na medida em que o tratamento de Dados Pessoais seja protegido pelo UK GDPR, as Partes concordam, por meio deste instrumento, que tal transferência está sujeita ao Adendo Internacional às cláusulas contratuais padrão da Comissão Europeia para transferências internacionais de dados, disponível em https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, conforme adotado, alterado ou atualizado pelo Information Commissioner’s Office do Reino Unido, pelo Parlamento ou pelo Secretário de Estado.
6. Medidas técnicas e organizacionais
6.1. Medidas Técnicas e Organizacionais
O Adapty implementará e manterá medidas técnicas e organizacionais apropriadas para assegurar um nível adequado de segurança, confidencialidade e integridade dos Dados Pessoais, incluindo, quando pertinente e aplicável, as medidas previstas no artigo 32 do GDPR, conforme estabelecido no Anexo 2 deste DPA, para proteger os Dados Pessoais contra:
- destruição acidental ou ilícita, e
- perda, alteração, divulgação não autorizada de Dados Pessoais ou acesso não autorizado a eles (cada uma, uma “Violação de Dados Pessoais”).
6.2. Monitoramento da Conformidade
O Adapty monitora regularmente o cumprimento das medidas estabelecidas no Anexo 2 deste DPA.
6.3. Assistência para Assegurar a Conformidade
Considerando a natureza do Tratamento e os Dados Pessoais disponíveis para o Adapty, o Adapty auxilia o Cliente a assegurar o cumprimento das obrigações previstas nos artigos 32 a 36 do GDPR.
7. Violação de Dados Pessoais
7.1. Notificação de Violação de Dados Pessoais
Caso tome conhecimento de uma violação de dados pessoais, o Adapty deverá, na medida permitida por lei, notificar o Cliente sem demora injustificada, por e-mail, após o Adapty ou qualquer Suboperador tomar conhecimento da violação de dados pessoais que envolva os dados pessoais do Cliente, e fornecer informações razoáveis (na medida em que estejam razoavelmente ao alcance do conhecimento e/ou do controle do Adapty).
7.2. Cooperação
O Adapty prestará cooperação, levando em consideração a natureza do tratamento e as informações disponíveis para o Adapty, para auxiliar o Cliente no cumprimento de quaisquer obrigações de informar os titulares dos dados ou as autoridades de proteção de dados sobre uma violação de dados pessoais, de acordo com a Legislação de Privacidade Aplicável. O Adapty também adotará quaisquer providências e medidas razoavelmente necessárias para eliminar ou mitigar as consequências de uma violação de dados pessoais e manterá o Cliente informado sobre todos os desdobramentos relevantes relacionados à violação de dados pessoais.
8. Auditoria
8.1. Direito do Cliente de Realizar Auditorias
O Adapty fornecerá ao Cliente todas as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações estabelecidas neste DPA e facilitará auditorias, incluindo inspeções, conduzidas pelo Cliente ou por outro auditor autorizado pelo Cliente, relativas ao cumprimento das obrigações previstas neste DPA.
8.2. Cooperação do Adapty na Realização de uma Auditoria
O Adapty fornecerá ao Cliente todas as informações, sistemas e pessoal razoavelmente necessários para que o Cliente ou seus auditores terceiros realizem tal auditoria, desde que o Cliente:
8.2.1. notifique com quarenta e cinco (45) dias de antecedência da auditoria; e
8.2.2. realize a auditoria durante o horário comercial normal; e
8.2.3. adote todas as medidas razoáveis para evitar interrupções desnecessárias nas operações do Adapty. Tais auditorias devem limitar-se estritamente às informações relacionadas ao tratamento de dados pessoais.
8.3. Parâmetros da Auditoria
As partes definem de comum acordo o escopo, o cronograma e a duração da auditoria ou inspeção.
8.4. Confidencialidade
Todas as auditorias realizadas nos termos deste DPA estão sujeitas a obrigações de confidencialidade. O Cliente deve compartilhar o relatório de auditoria completo com o Adapty e não deve compartilhá-lo com terceiros além de seus contadores e assessores jurídicos, os quais são obrigados a manter sigilo. O Cliente não deve usar tal relatório de auditoria para nenhuma finalidade que não seja a avaliação do cumprimento deste DPA pelo Adapty.
8.5. Custos
O Cliente arcará com os custos dessa auditoria, salvo acordo em contrário entre as Partes.
8.6. Frequência das Auditorias
O Cliente não poderá exercer seus direitos de auditoria mais de uma vez em qualquer período de doze (12) meses corridos, exceto nos seguintes casos:
8.6.1. se e quando exigido por uma autoridade de proteção de dados competente; ou
8.6.2. se for necessário em conexão com uma violação de segurança de dados pessoais sofrida pelo Adapty e/ou por Suboperadores.
9. Confidencialidade
9.1. O Adapty adotará todas as medidas razoáveis para assegurar a confiabilidade de todo o pessoal autorizado a tratar dados pessoais e para assegurar que esse pessoal esteja sujeito a obrigações de confidencialidade apropriadas, e atuará, em todos os momentos, de acordo com a legislação de proteção de dados aplicável.
10. Exclusão ou Devolução de Informações Pessoais
10.1 Mediante (i) a rescisão deste DPA, ou (ii) solicitação escrita do Cliente, ou (iii) o fato de o Adapty não precisar mais tratar Dados Pessoais para cumprir as obrigações que lhe cabem segundo os Termos de Serviço do Adapty e este DPA, ou (iv) a recusa do Adapty em realizar o tratamento nos termos da Seção 4.4 deste DPA, o Adapty, a critério do Cliente, excluirá, destruirá ou devolverá ao Cliente todos os Dados Pessoais e destruirá ou devolverá quaisquer cópias existentes, salvo se o Adapty for obrigado pela Legislação de Privacidade Aplicável a reter uma cópia dos Dados Pessoais por um período de retenção determinado. Ao término desse período de retenção, o Adapty excluirá ou destruirá prontamente todos os Dados Pessoais remanescentes.
Para perfis de Destinatários do Adapty Mail, a exclusão é realizada por meio da desidentificação irreversível dos Dados Pessoais contidos no perfil e da marcação do perfil como excluído. O registro resultante não pode ser razoavelmente utilizado pelo Adapty, isoladamente ou em combinação com outras informações disponíveis para o Adapty, para identificar ou reidentificar o Destinatário em questão.
Os backups são mantidos e sobrescritos de acordo com o ciclo padrão de rotação de backups do Adapty.
10.2. Caso os Dados Pessoais tenham sido tratados por quaisquer Prestadores de Serviços, o Adapty assegurará que, nesses casos, tais Prestadores de Serviços também devolvam, excluam ou destruam todos os Dados Pessoais que detenham, de acordo com os termos estabelecidos nesta seção.
11. Direitos de Privacidade do Consumidor da Califórnia
11.1. “Informações Pessoais”, “Consumidor” e outros termos iniciados em letra maiúscula nesta Seção 11 terão os significados estabelecidos no California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., conforme alterado de tempos em tempos (“CCPA”).
11.2. Fica acordado, por meio deste instrumento, que qualquer troca de dados pessoais entre as Partes é realizada exclusivamente para atender a uma finalidade comercial, e o Adapty não recebe nem trata quaisquer dados pessoais como contrapartida pelos Serviços.
11.3. Portanto, o Cliente é o único responsável pelo cumprimento do CCPA com relação ao uso que faz dos Serviços. O Cliente é o único responsável e responde exclusivamente por assegurar que a troca ou transferência de dados pessoais de Titulares dos Dados durante a prestação dos Serviços não constitua uma Venda de Dados Pessoais.
11.4. O Adapty não armazenará, usará nem transferirá dados pessoais para fins comerciais que não sejam a prestação dos Serviços especificados nos Termos de Serviço do Adapty.
12. Vigência
12.1. Este DPA entra em vigor na data especificada nos Termos de Serviço do Adapty. Este DPA permanecerá em vigor enquanto os Termos de Serviço do Adapty permanecerem em vigor.
13. Independência das Disposições
13.1. Se qualquer disposição deste DPA for ou vier a ser considerada inválida, ineficaz ou inexequível, no todo ou em parte, a validade, a eficácia e a exequibilidade das demais disposições deste DPA não serão afetadas.
13.2. Qualquer disposição inválida, ineficaz ou inexequível será, na medida permitida por lei, considerada substituída pela disposição válida, eficaz e exequível que reflita da forma mais próxima a intenção e a finalidade econômicas da disposição inválida, ineficaz ou inexequível quanto ao seu objeto, tempo, lugar e âmbito de aplicação.
13.3. A referida regra aplica-se, mutatis mutandis, para suprir eventuais lacunas que venham a ser identificadas neste DPA.
14. Acordo Integral
14.1. As Partes declaram expressamente que este DPA (incluindo os anexos aqui referidos) e os documentos aqui referidos constituem o acordo integral entre as Partes e substituem quaisquer minutas, acordos, compromissos, entendimentos, condições e ajustes anteriores, independentemente de qualquer ordem de prioridade conflitante, de qualquer natureza, entre as Partes, escritos ou não, relativos ao objeto deste DPA.
15. Lei aplicável e jurisdição
15.1. O DPA é regido pela lei de acordo com os termos estabelecidos nos Termos de Serviço do Adapty.
15.2. As Partes submetem-se, por meio deste instrumento, à jurisdição escolhida prevista no DPA com relação a quaisquer controvérsias ou reivindicações, qualquer que seja sua origem, decorrentes deste DPA, incluindo controvérsias relativas à sua existência, validade ou rescisão e às consequências de sua invalidade.
16. Disposições Gerais
16.1. Em caso de conflito ou incerteza entre:
16.1.1 qualquer disposição do DPA e qualquer disposição dos Termos de Serviço do Adapty, prevalecerão as disposições do DPA;
16.1.2. qualquer disposição deste DPA e quaisquer SCC assinadas, prevalecerão as disposições das SCC assinadas.
Anexo 1. Parâmetros do Tratamento de Dados
Parte A. Lista das Partes
Controlador
| Nome | A identificação do Cliente conforme especificada no Contrato, no momento do cadastro ou em um Formulário de Pedido separado |
|---|---|
| Endereço | O endereço do Cliente especificado no Contrato, no momento do cadastro ou em um Formulário de Pedido separado |
| Número de registro oficial | O número de registro do Cliente especificado no Contrato ou em um Formulário de Pedido separado |
| Nome, cargo e dados de contato da pessoa de contato | O representante do Cliente especificado no Contrato ou em um Formulário de Pedido separado |
| Papel | Controlador |
Operador
| Nome | Adapty Tech Inc. |
|---|---|
| Endereço | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Nome, cargo e dados de contato da pessoa de contato | Kirill Potekhin, Diretor de Tecnologia, [email protected] |
| Papel | Operador |
Parte B. Descrição do Tratamento
| Categorias de titulares dos dados | Usuários finais do(s) aplicativo(s) móvel(is) do Cliente; visitantes e usuários dos sites, funis web e outras propriedades digitais do Cliente, bem como assinantes captados por meio deles; e outras pessoas físicas cujos dados de contato o Cliente forneça licitamente ao Adapty para fins de envio de Mensagens por meio do Adapty Mail. |
|---|---|
| Categorias de dados pessoais transferidos | As categorias de dados pessoais tratados pelo Operador no decorrer da prestação dos Serviços podem incluir as seguintes, dependendo da configuração e das instruções do Cliente: |
| i. Informações Técnicas | Esta categoria inclui dados técnicos relacionados ao dispositivo utilizado pelo Usuário Final para acessar os serviços digitais do Cliente, como jogos ou aplicativos móveis. Tais informações podem incluir, por exemplo, o endereço IP, o modelo do dispositivo, o sistema operacional e as configurações de idioma. |
| ii. Identificadores | Esta categoria inclui diversos identificadores associados ao dispositivo do Usuário Final ou à instância do aplicativo. Tais identificadores podem incluir, por exemplo, o Apple Identifier for Advertisers (IDFA), o Identifier for Vendors (IDFV), o Google Advertising ID e outros identificadores semelhantes. |
| iii. Dados de Uso | Esta categoria refere-se a informações sobre como os Usuários Finais interagem com os serviços do Cliente. Inclui, entre outros, eventos no aplicativo; ações do Usuário Final, como cliques nos anúncios do Cliente; visualizações (impressões) dos anúncios do Cliente; registros de data e hora de download e instalação do aplicativo; aberturas do aplicativo; compras no aplicativo, incluindo horário e valor da compra; e quaisquer eventos adicionais ou dados de interação que o Cliente opte por rastrear e analisar, dependendo das características de seus serviços. |
| iv. Informações de Contato | Esta categoria inclui dados pessoais que identificam diretamente um Usuário Final individual ou se referem a ele e que são necessários para a comunicação ou para funcionalidades específicas do usuário. Tais dados podem incluir, por exemplo, endereço de e-mail, nome, sobrenome e outras informações que o Cliente transmita intencionalmente ao Operador. |
| v. Dados de E-mail e Mensagens | Endereço de e-mail; nome; dados do remetente e do destinatário; conteúdo da mensagem; metadados da mensagem; status de inscrição e de consentimento; informações sobre cancelamentos de inscrição, reclamações, rejeições e supressões; dados de entrega, abertura, clique e engajamento; e outros atributos que o Cliente forneça para segmentação, personalização e entrega de Mensagens. |
| Transferência de dados sensíveis (se aplicável) e as restrições ou salvaguardas aplicadas que levem plenamente em consideração a natureza dos dados e os riscos a eles associados, como, por exemplo, restrições estritas de finalidade, restrições de acesso (incluindo acesso apenas por funcionários que tenham recebido treinamento especial), manutenção de registros de acesso aos dados, restrições a transferências ulteriores ou medidas de segurança adicionais | N/A |
| A natureza do tratamento (escopo do tratamento) | Recebimento, coleta, registro, organização, armazenamento, recuperação, consulta, uso, segmentação, personalização, supressão, restrição, exclusão e, mediante instruções documentadas do Cliente, transmissão de Mensagens e metadados relacionados aos Destinatários. |
| Finalidade(s) do tratamento de dados | Os Dados Pessoais somente poderão ser tratados para as seguintes finalidades: prestação dos Serviços de acordo com o Contrato. O Operador não venderá os Dados Pessoais do Cliente. |
| O período durante o qual os Dados Pessoais serão tratados ou, se isso não for possível, os critérios utilizados para determinar esse período | Os Dados Pessoais serão Tratados durante a vigência dos Termos de Serviço do Adapty e, posteriormente, apenas pelo período necessário para concluir a devolução ou exclusão nos termos da cláusula 10 deste DPA, cumprir a Legislação de Privacidade Aplicável, concluir os ciclos aplicáveis de retenção de backups ou reter informações anonimizadas que não identifiquem um Titular dos Dados nem permitam razoavelmente sua reidentificação. |
Anexo 2. Medidas Técnicas e Organizacionais, Incluindo Medidas Técnicas e Organizacionais para Garantir a Segurança dos Dados
| Medidas para | Ação adotada (S/N) | Em caso afirmativo, forneça detalhes específicos |
|---|---|---|
| Pseudonimização e criptografia de dados pessoais | S | Os Dados Pessoais são criptografados durante a transmissão. |
| Garantia da confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e serviços de tratamento de dados | S | Todos os dados são armazenados e tratados em uma rede interna fechada protegida por firewall. Os dados são replicados continuamente em vários data centers. São mantidos backups incrementais. |
| Garantia da capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais em tempo razoável em caso de incidente físico ou técnico | S | Os dados são replicados continuamente em vários data centers. São mantidos backups incrementais. |
| Processos para testar, verificar e avaliar regularmente a eficácia das medidas técnicas e organizacionais destinadas a garantir a segurança do tratamento | S | Todo o código implantado em produção é revisado. Testes automatizados, incluindo testes de segurança, fazem parte do processo de implantação. Os softwares de terceiros são atualizados regularmente para a versão estável mais recente, incluindo, entre outros, sistemas operacionais, bancos de dados, caches, IDEs e serviços de orquestração. |
| Identificação e autorização do Cliente | S | O Cliente é autorizado por meio de endereço de e-mail e senha. Todas as senhas são armazenadas de forma criptografada com o uso de um salt aleatório. |
| Proteção de dados durante a transmissão | S | Todos os dados são transmitidos de forma criptografada por meio de certificados SSL/TLS. |
| Proteção de dados durante o armazenamento | S | Todos os dados são armazenados e tratados em uma rede interna fechada protegida por firewall. |
| Garantia da segurança física dos locais onde os dados pessoais são tratados | S | São utilizados data centers Tier 1 para o armazenamento e o tratamento de dados. |
| Garantia do registro de eventos | S | É utilizado um sistema distribuído de registro de logs, que armazena os dados atrás do firewall. |
| Garantia da configuração do sistema, incluindo a configuração padrão | S | A configuração do sistema, incluindo a configuração padrão, é revisada e monitorada continuamente. As portas e senhas padrão são alteradas. |
| Gestão e governança de TI e segurança de TI | S | O Operador implementa diversas medidas de segurança de infraestrutura para proteger as informações do Cliente contra acesso não autorizado, perda, alteração, vírus, cavalos de Troia e outros códigos maliciosos semelhantes. Essas medidas incluem: • Atualização regular de sistemas operacionais, hardware e softwares de terceiros para corrigir vulnerabilidades de segurança. • Uso de firewalls e sistemas de prevenção de intrusão (IPS) para restringir o acesso aos servidores e protegê-los. • Garantia da segurança das comunicações de acesso remoto por meio de autenticação multifator. • Backup dos dados do Cliente em um cronograma rotativo diário. |
| Certificação/garantia de processos e produtos | S | Sim. O Adapty mantém uma atestação SOC 2 Type II que abrange a efetividade operacional de seus controles de segurança, disponibilidade e confidencialidade. O relatório SOC 2 Type II atual está disponível, mediante solicitação, para Clientes e potenciais Clientes, sob NDA. |
| Garantia da minimização de dados | S | A coleta de dados limita-se às informações pessoais necessárias para a prestação dos Serviços. As informações pessoais não são utilizadas para finalidades não especificadas no Acordo de Tratamento de Dados e no Contrato e são armazenadas somente pelo tempo necessário para cumprir tais finalidades. |
| Garantia da qualidade dos dados | S | O Cliente pode solicitar a modificação ou a exclusão de dados do Usuário Final. |
| Garantia de armazenamento limitado dos dados | S | Os Dados Pessoais são armazenados de acordo com os termos contratuais acordados com o Cliente e conforme exigido pela legislação aplicável. |
| Garantia da responsabilização | S | Os Dados Pessoais são associados logicamente a um Cliente específico e não são compartilhados entre clientes não relacionados. Eventos e logs de auditoria relacionados ao acesso à plataforma e aos sistemas são registrados, monitorados e revisados periodicamente. |
| Garantia da portabilidade e da exclusão de dados | S | O Operador oferece suporte à portabilidade e à exclusão de dados mediante solicitação escrita do Cliente, observados os termos do Contrato e a legislação aplicável. |
Anexo 3. Lista de Suboperadores
O Cliente autorizou o uso dos seguintes operadores adicionais:
| Nome | Endereço | Descrição do tratamento |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Infraestrutura de hospedagem em nuvem e infraestrutura de envio de e-mails, incluindo a transmissão de Mensagens de e-mail e o tratamento de metadados relacionados à entrega. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Infraestrutura de hospedagem em nuvem |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Infraestrutura de entrega de conteúdo e de cache |
Anexo 4. Condições das SCC
As disposições das Cláusulas Contratuais Padrão da UE constantes do Anexo da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 (as “SCC da UE”), serão incorporadas por referência ao Acordo de Tratamento de Dados da seguinte forma:
1. Módulo Aplicável
O módulo aplicável à transferência de Dados Pessoais do Controlador originados na UE nos termos do Contrato é o Módulo 2 – “Controlador para Operador”.
2. Opções Selecionadas
As seguintes opções são selecionadas nos casos em que a Decisão de Execução (UE) 2021/914 da Comissão permite a escolha de opções nas SCC da UE:
| Disposição das SCC | Opção selecionada / especificação |
|---|---|
| Item 7: Cláusula de Adesão | A cláusula de adesão opcional não se aplicará. |
| Item 9: Uso de suboperadores | Opção 2. O prazo será de 30 dias úteis. |
| Item 11: Vias de Recurso / Indenização | A disposição opcional não se aplicará. |
| Cláusula 17: Lei Aplicável | Opção 1. As leis da Irlanda. |
| Seção 18: Eleição de Foro e Jurisdição | Os tribunais da Irlanda. |
3. O Apêndice IA das SCC será considerado preenchido da seguinte forma:
- O exportador de dados é o Cliente, e os dados do exportador de dados são os mesmos especificados no Apêndice 1 (Parte A) do DPA.
As atividades relacionadas aos dados transferidos nos termos das SCC: a transferência de Dados Pessoais pelo exportador de dados ao importador de dados, a fim de permitir que o importador de dados trate esses Dados Pessoais em nome do exportador de dados e preste os Serviços de acordo com os Termos de Serviço do Adapty. - O importador de dados é o Adapty, e os dados do Adapty são os mesmos especificados no Apêndice 1 (Parte A) do DPA.
As atividades relacionadas aos dados transferidos nos termos das SCC são: o recebimento de Dados Pessoais do Exportador de Dados para fins de prestação dos Serviços de acordo com os Termos de Serviço do Adapty.
4. O Apêndice IB das SCC será o mesmo que o Anexo 1 do DPA e, adicionalmente, a seguinte informação é incluída para completar o Apêndice IB: a frequência de transmissão é contínua.
5. O Apêndice IC é preenchido da seguinte forma: Autoridade de Controle da República da Irlanda.
6. O Apêndice II das SCC será o mesmo que o Apêndice 2 do DPA.
7. O Apêndice III das SCC será o mesmo que o Apêndice 3 do DPA.
Última atualização:
