Acordo de Processamento de Dados

Considerandos

CONSIDERANDO que o CONTRATANTE atua na qualidade de Controlador dos Dados Pessoais inseridos na plataforma Gepy, nos termos do art. 5º, VI, da Lei nº 13.709/2018 (LGPD);

CONSIDERANDO que a GEPY TECNOLOGIA LTDA - ME atua na qualidade de Operadora dos referidos Dados Pessoais, nos termos do art. 5º, VII, da LGPD, realizando o tratamento por conta e ordem do Controlador;

CONSIDERANDO a necessidade de formalizar as condições do tratamento em conformidade com o art. 39 da LGPD, as partes celebram o presente Acordo de Processamento de Dados.

1. Definições

Para os efeitos deste Acordo, adotam-se as definições do art. 5º da LGPD, em especial:

• Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável;
• Dados Pessoais Sensíveis: aqueles previstos no art. 5º, II, da LGPD;
• Tratamento: toda operação realizada com Dados Pessoais (art. 5º, X);
• Controlador: a quem competem as decisões referentes ao tratamento (art. 5º, VI);
• Operador: quem realiza o tratamento em nome do Controlador (art. 5º, VII);
• Titular: pessoa natural a quem se referem os Dados Pessoais (art. 5º, V);
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação (art. 5º, VIII).

2. Objeto

2.1. O presente Acordo regula o tratamento de Dados Pessoais realizado pela Operadora em decorrência da execução do Contrato de Adesão de Prestação de Serviços firmado entre as partes.

3. Natureza, finalidade e duração do tratamento

• Natureza: armazenamento, consulta, transmissão, edição, eliminação e demais operações necessárias ao funcionamento da plataforma SaaS contratada;
• Finalidade: prestação dos serviços contratados, em estrita conformidade com as instruções do Controlador;
• Duração: enquanto vigente o Contrato de Adesão, acrescida do período de retenção mínimo legal previsto na Política de Privacidade.

4. Categorias de Titulares e Dados Pessoais

• Titulares: clientes finais, prospects, colaboradores, fornecedores e demais pessoas naturais inseridas pelo Controlador na plataforma;
• Categorias de Dados: nome, endereço eletrônico, telefone, CPF/CNPJ, endereço, histórico de interações, conteúdo de mensagens, dados de pagamento (4 últimos dígitos), logs de acesso.

5. Obrigações da Operadora

5.1. A Operadora obriga-se a:

• Tratar os Dados Pessoais exclusivamente conforme instruções documentadas do Controlador;
• Garantir que pessoas autorizadas estejam vinculadas a obrigação de confidencialidade;
• Adotar todas as medidas de segurança técnicas e organizacionais previstas no art. 46 da LGPD;
• Auxiliar o Controlador, na medida do possível, no atendimento aos pedidos de exercício de direitos dos Titulares (arts. 18 e 19 da LGPD);
• Auxiliar o Controlador no cumprimento das obrigações dos arts. 46 a 49 da LGPD, considerando a natureza do tratamento e as informações disponíveis;
• Eliminar ou devolver os Dados Pessoais ao final da prestação dos serviços, conforme escolha do Controlador, ressalvadas hipóteses de guarda obrigatória;
• Colocar à disposição do Controlador todas as informações necessárias para demonstrar conformidade com as obrigações deste Acordo e da LGPD.

6. Suboperadores

6.1. A Operadora utiliza os seguintes Suboperadores no tratamento de Dados Pessoais:

• Supabase Inc. — banco de dados relacional, hospedagem (região sa-east-1);
• Stripe, Inc. — processamento de pagamentos (certificação PCI-DSS Level 1);
• Amazon Web Services, Inc. — hospedagem de infraestrutura, e-mail transacional (SES, região sa-east-1);
• Meta Platforms, Inc. — integração WhatsApp Business API.

6.2. Eventuais novos Suboperadores serão comunicados ao Controlador com antecedência mínima de 30 (trinta) dias, podendo o Controlador objetar fundamentadamente em até 15 (quinze) dias da comunicação.

7. Transferência internacional

7.1. A Operadora assegura que eventuais transferências internacionais de Dados Pessoais observarão os requisitos do art. 33 da LGPD, mediante: (i) adequação do país receptor; (ii) cláusulas contratuais-padrão aprovadas pela ANPD; ou (iii) consentimento específico e destacado do Titular.

8. Incidentes de segurança

8.1. A Operadora notificará o Controlador, em até 72 (setenta e duas) horas a partir do conhecimento, sobre qualquer incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, fornecendo as informações exigidas pelo art. 48, § 1º, da LGPD.

9. Auditoria

9.1. O Controlador poderá, mediante aviso prévio de 30 (trinta) dias e arcando com os custos envolvidos, realizar auditorias destinadas a verificar a conformidade da Operadora com este Acordo, observada a confidencialidade de informações de terceiros e o sigilo industrial.

10. Responsabilidade

10.1. A responsabilidade das partes em decorrência do tratamento de Dados Pessoais observará o disposto nos arts. 42 a 45 da LGPD, com responsabilidade solidária da Operadora apenas nas hipóteses de descumprimento de obrigações específicas previstas em lei ou de atuação em desconformidade com instruções lícitas do Controlador.

11. Vigência

11.1. O presente Acordo entrará em vigor concomitantemente ao Contrato de Adesão e vigorará enquanto persistir o tratamento de Dados Pessoais por força da relação contratual entre as partes.

12. Foro

12.1. Fica eleito o foro da Comarca de São Paulo/SP para dirimir controvérsias decorrentes deste Acordo, com renúncia a qualquer outro por mais privilegiado que seja.

Encarregado pela Proteção de Dados Pessoais (DPO): dpo@gepy.com.br