Acordo de Processamento de Dados

1. Partes e escopo

Este Acordo de Processamento de Dados ("DPA") é celebrado entre o cliente do Chativ ("Controlador") e FOP Herasymiuk Nataliia Borysivna, 78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine, RNOKPP 2871021324 ("Operador"), nos termos do Artigo 28 do GDPR. Ele integra os Termos de Serviço e é aceito no momento da criação da conta; não é necessária assinatura separada.

O DPA se aplica aos dados pessoais dos clientes do Controlador que o Operador trata ao prestar o Serviço.

2. Objeto, natureza e duração

Objeto: recebimento e envio de mensagens por meio dos canais conectados, geração de respostas de IA, armazenamento do histórico de conversas e dos leads. Duração: durante a vigência dos Termos de Serviço e até a exclusão dos dados nos termos da seção 9.

3. Categorias de dados e de titulares

Titulares dos dados: os clientes do Controlador e os visitantes do site que escrevem ao Controlador por meio dos canais conectados; a equipe do Controlador que utiliza o espaço de trabalho.

• Dados de contato: nome, nome de usuário, número de telefone, endereço de email — se fornecidos pelo titular ou pelo canal
• Conteúdo das mensagens e dos anexos
• Identificadores de canal (por exemplo, o ID de usuário do Instagram ou do Facebook) e dados técnicos do widget
• Dados de leads que o Controlador coleta por meio do agente de IA

4. Obrigações do Operador

• Tratar os dados apenas conforme as instruções documentadas do Controlador, que são os Termos, este DPA e as configurações feitas no espaço de trabalho
• Garantir que as pessoas com acesso aos dados estejam sujeitas a obrigações de confidencialidade
• Aplicar as medidas de segurança descritas na seção 6
• Auxiliar o Controlador no atendimento às solicitações dos titulares e no cumprimento de suas obrigações previstas nos Artigos 32 a 36 do GDPR
• Informar o Controlador caso, em sua opinião, uma instrução viole a legislação de proteção de dados

5. Suboperadores

O Controlador concede autorização geral para a contratação dos suboperadores listados na página Suboperadores. O Operador anunciará novos suboperadores nessa página e por email com pelo menos 30 dias de antecedência; o Controlador poderá se opor por motivos razoáveis e, caso não se encontre uma solução, rescindir o Serviço. O Operador impõe aos suboperadores obrigações de proteção de dados equivalentes às deste DPA e permanece responsável por eles.

6. Medidas de segurança

• Criptografia de todas as conexões (TLS)
• Hash das senhas; criptografia adicional das chaves de API e dos tokens de acesso dos canais no banco de dados
• Separação rigorosa dos dados entre espaços de trabalho; acesso apenas para usuários autorizados, com funções definidas
• Hospedagem na UE (Países Baixos)
• Acesso da equipe do Operador aos dados de produção apenas quando necessário para suporte ou manutenção

7. Violações de dados pessoais

O Operador notifica o Controlador sobre uma violação de dados pessoais sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento dela, fornecendo as informações disponíveis para a notificação do Controlador à autoridade de controle.

8. Transferências internacionais

Os dados são armazenados na UE. Quando suboperadores tratam dados fora do EEE (por exemplo, provedores de IA nos EUA), a transferência se baseia no Marco de Privacidade de Dados UE–EUA (EU–US Data Privacy Framework) ou nas Cláusulas Contratuais Padrão da Comissão Europeia.

9. Exclusão e devolução dos dados

Durante a vigência, o Controlador pode excluir leads no espaço de trabalho e solicitar a exportação ou exclusão de quaisquer outros dados pelo [email protected]; o Operador atende a essas solicitações em até 30 dias. Após o término do Serviço, o Operador exclui os dados do Controlador em até 30 dias, salvo se a lei exigir sua conservação, e, mediante solicitação, fornece uma exportação antes da exclusão.

10. Auditorias

Mediante solicitação, o Operador fornece as informações necessárias para demonstrar o cumprimento deste DPA. Auditorias presenciais são possíveis mediante aviso prévio de 30 dias, no máximo uma vez por ano, às custas do Controlador, salvo se tiver ocorrido uma violação.

11. Contato

Dúvidas sobre proteção de dados: [email protected].