Acordo de tratamento de dados

Partes e escopo

Este Acordo de tratamento de dados (“Acordo”) é celebrado entre o cliente que aceitou os nossos Termos de serviço (“Cliente”, o controlador) e a IGP Global Solutions FZ-LLC (a “IGP one”, o operador). Ele se aplica quando a IGP one trata dados pessoais em nome do Cliente na prestação do Serviço (“Dados Pessoais do Cliente”).

Este Acordo faz parte dos Termos de serviço e é aceito quando o Cliente aceita esses Termos. Em caso de conflito entre este Acordo e os Termos em matéria de proteção de dados, prevalece este Acordo. Para obter uma cópia assinada por ambas as partes, escreva para [email protected].

Detalhes do tratamento (Anexo I)

Objeto e finalidade: prestação do Serviço IGP one, incluindo o agente de IA (no chat e no modo de voz), a criação de conteúdo, a publicação, o gerenciamento de comentários, mensagens e respostas a stories, os fluxos de comentário para DM, a automação de respostas a stories, a captação de leads, as notificações e os relatórios.

Natureza do tratamento: coleta por meio de contas conectadas, armazenamento, organização, análise por modelos de IA, geração de respostas e conteúdo, transmissão para plataformas conectadas e exclusão.

Duração: a vigência da assinatura do Cliente e o prazo de exclusão indicado abaixo.

Titulares dos dados: pessoas que interagem com a conta do Instagram conectada pelo Cliente (como autores de comentários, remetentes de mensagens, pessoas que respondem aos stories da conta e leads) e os membros da equipe do Cliente.

Categorias de dados: nomes de usuário, nomes e fotos de perfil, IDs de plataforma, conteúdo de mensagens, comentários e respostas a stories, dados de contato e solicitações que as pessoas compartilham, anotações e etiquetas de leads, nomes e e-mails dos membros da equipe e o histórico de chat do espaço de trabalho (incluindo transcrições de conversas por voz; o áudio de voz é processado em tempo real e não é armazenado).

Categorias especiais: não previstas. O Cliente não deve usar o Serviço para coletar dados de categorias especiais (dados pessoais sensíveis), dados de saúde, dados de cartão de pagamento ou números de documentos de identificação.

Frequência da transferência: contínua, enquanto o Serviço for utilizado. Retenção: conforme descrito em “Exclusão e devolução”. Autoridade de controle competente para as cláusulas contratuais padrão: a determinada nos termos da Cláusula 13 em relação ao Cliente. Suboperadores (Anexo III): os listados na nossa página de Suboperadores.

Instruções do Cliente

A IGP one trata os Dados Pessoais do Cliente somente de acordo com as instruções documentadas do Cliente, inclusive no que se refere a transferências internacionais, salvo se a lei exigir o contrário; nesse caso, a IGP one informa o Cliente antes do tratamento, a menos que a lei o proíba. Os Termos, este Acordo e a configuração e o uso do Serviço pelo Cliente constituem essas instruções. A IGP one informará o Cliente se considerar que uma instrução viola a legislação de proteção de dados.

O Cliente é responsável por ter uma base legal e por fornecer aos titulares dos dados as informações exigidas, incluindo o uso de respostas automatizadas e assistidas por IA.

Confidencialidade

A IGP one garante que todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estejam sujeitas a dever de confidencialidade e só os acessem na medida necessária para prestar e dar suporte ao Serviço.

Segurança (Anexo II)

A IGP one implementa medidas técnicas e organizacionais adequadas, incluindo: criptografia em trânsito e em repouso; armazenamento principal dos Dados Pessoais do Cliente na União Europeia; isolamento lógico entre clientes com segurança em nível de linha (row-level security); criptografia em nível de campo dos tokens de acesso às redes sociais, guardados em um cofre; acesso baseado em funções; login único (SSO) e controles de acesso para ferramentas internas; logs de auditoria; backups diários com restauração testada; e monitoramento contínuo de erros e de disponibilidade. Os logs do serviço, que não contêm o conteúdo de mensagens, são mantidos pela Better Stack nos Estados Unidos. Nossa página de Segurança descreve essas medidas, que podem ser atualizadas, desde que o nível geral de proteção não seja reduzido.

Suboperadores

O Cliente concede à IGP one autorização geral para usar os suboperadores listados na nossa página de Suboperadores.

A IGP one avisa com pelo menos 30 dias de antecedência antes de adicionar ou substituir um suboperador que trate Dados Pessoais do Cliente, atualizando essa página e enviando e-mail aos titulares das contas. O Cliente pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo. Se não conseguirmos atender razoavelmente à objeção, o Cliente pode rescindir a parte afetada do Serviço e receber o reembolso dos valores pagos antecipadamente por ela.

A IGP one impõe a cada suboperador obrigações de proteção de dados que não sejam menos protetivas do que as deste Acordo e continua responsável pelos seus suboperadores.

Transferências internacionais

Os Dados Pessoais do Cliente são armazenados na UE. Podem ser acessados pela IGP one a partir dos Emirados Árabes Unidos e tratados nos Estados Unidos por fornecedores de IA e outros suboperadores.

Para transferências de dados pessoais sujeitos ao GDPR para um país sem decisão de adequação, as partes adotam as cláusulas contratuais padrão aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão: o Módulo Dois (de controlador para operador) entre o Cliente e a IGP one e, quando necessário, o Módulo Três (de operador para operador) entre a IGP one e os seus suboperadores. Aplica-se a Cláusula 7 (cláusula de adesão); a opção da Cláusula 9(a) é a autorização geral, com o prazo de aviso indicado acima; a redação opcional da Cláusula 11 não se aplica; as Cláusulas 17 e 18 são regidas pela lei da Irlanda e submetidas aos tribunais da Irlanda. Os Anexos I e II correspondem às seções acima.

Para dados do Reino Unido, aplica-se o International Data Transfer Addendum às cláusulas contratuais padrão da UE, emitido pelo Information Commissioner do Reino Unido, com as Tabelas 1 a 3 preenchidas com base neste Acordo e nas cláusulas contratuais padrão. Para dados da Suíça, aplicam-se as cláusulas contratuais padrão, com as referências entendidas como referências à Lei Federal Suíça de Proteção de Dados, e o Comissário Federal Suíço de Proteção de Dados e Informação é uma autoridade competente.

Quando um suboperador for certificado no EU-U.S. Data Privacy Framework, esse mecanismo poderá ser usado em seu lugar.

As transferências sujeitas à PDPL dos Emirados Árabes Unidos ou à legislação de Israel são feitas de acordo com as regras de transferência dessas leis, incluindo salvaguardas contratuais.

Se a IGP one receber de uma autoridade pública uma solicitação juridicamente vinculante de acesso a Dados Pessoais do Cliente, ela notifica o Cliente quando a lei permitir, contesta a solicitação quando houver motivos razoáveis para isso e divulga apenas o mínimo exigido.

Assistência ao Cliente

A IGP one ajuda o Cliente a responder às solicitações dos titulares dos dados, principalmente por meio de ferramentas de autoatendimento para acesso, exportação, correção e exclusão. Se a IGP one receber uma solicitação diretamente, ela a encaminha ao Cliente sem demora injustificada e não responde, salvo conforme instruído ou exigido por lei.

A IGP one presta assistência razoável ao Cliente no cumprimento das suas obrigações relativas a segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia às autoridades (artigos 32 a 36 do GDPR), com base nas informações de que dispõe, e mantém registro das operações de tratamento que realiza para o Cliente.

Incidentes de segurança com dados pessoais

A IGP one notifica o Cliente sem demora injustificada e, em qualquer caso, em até 48 horas após tomar conhecimento de um incidente de segurança que afete Dados Pessoais do Cliente. A notificação descreve o que aconteceu, os dados e as pessoas afetados, as consequências prováveis e as medidas adotadas ou propostas, e é atualizada à medida que surgem novas informações.

A IGP one não notifica autoridades nem titulares dos dados em nome do Cliente, a menos que o Cliente solicite ou a lei exija.

Exclusão e devolução

O Cliente pode exportar os Dados Pessoais do Cliente a qualquer momento durante a assinatura e por 30 dias após o seu término. À escolha do Cliente, os dados são devolvidos por meio da exportação ou excluídos: depois que o Cliente exclui a conta, ou 30 dias após a rescisão, a IGP one exclui os Dados Pessoais do Cliente, que saem dos backups rotativos em até mais 35 dias, salvo se a lei exigir retenção por mais tempo.

Enquanto o Instagram estiver conectado, mensagens e comentários são mantidos por 12 meses após a última atividade na conversa, e os registros de leads enquanto a conta do Cliente existir e o Instagram continuar conectado. Quando o Cliente desconecta o Instagram, o token de acesso é excluído imediatamente, e os dados recebidos por essa conexão são excluídos em até 30 dias, a menos que a conta seja reconectada nesse prazo.

Auditorias

A IGP one disponibiliza as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo, incluindo respostas por escrito a questionários de segurança uma vez por ano. Se isso não for suficiente, ou se uma autoridade exigir, o Cliente pode realizar uma auditoria uma vez por ano, com aviso prévio de 30 dias, em horário comercial, por meio de um auditor independente sujeito a confidencialidade, às custas do Cliente.

Leis estaduais de privacidade dos EUA

Para fins da CCPA/CPRA e de leis estaduais semelhantes dos EUA, a IGP one atua como prestadora de serviços (service provider) ou operadora (processor). Ela não venderá nem compartilhará os Dados Pessoais do Cliente; não os reterá, usará ou divulgará fora da relação comercial direta nem para qualquer finalidade que não seja a prestação do Serviço; não os combinará com outros dados, exceto quando essas leis permitirem; e notificará o Cliente se não puder mais cumprir essas obrigações. A IGP one declara que compreende essas restrições e que as cumprirá.

Emirados Árabes Unidos e Israel

Para os Dados Pessoais do Cliente sujeitos à PDPL dos Emirados Árabes Unidos, a IGP one os trata somente conforme as instruções, mantém sua confidencialidade e segurança, notifica incidentes como indicado acima e os exclui ao fim do tratamento. Para os dados sujeitos à Lei de Proteção da Privacidade de Israel e ao seu Regulamento de Segurança de Dados, a IGP one cumpre as obrigações de um detentor (holder) que trata dados para o Cliente, incluindo medidas de segurança, confidencialidade, comunicação de incidentes ao Cliente e devolução ou exclusão ao fim da contratação.

Responsabilidade e vigência

A responsabilidade de cada parte nos termos deste Acordo está sujeita às limitações previstas nos Termos, exceto quando a lei ou as cláusulas contratuais padrão não o permitirem. Este Acordo vigora enquanto a IGP one tratar Dados Pessoais do Cliente.

Contato

Dúvidas sobre proteção de dados: [email protected]. Cópias assinadas e notificações jurídicas: [email protected].