Anexo de Tratamento de Dados Pessoais (DPA)

1. Objeto

Este Anexo rege o tratamento de dados pessoais realizado pelo Operador por conta e ordem do Controlador na prestação dos serviços do CRM Hédiz, nos termos da Lei nº 13.709/2018.

2. Papéis

O Controlador determina as finalidades e os meios do tratamento dos dados que insere, importa ou recebe por integração na plataforma. O Operador trata esses dados exclusivamente conforme as instruções documentadas do Controlador, materializadas nas configurações e funcionalidades ativadas na plataforma.

O Operador atua como controlador autônomo apenas quanto a: dados cadastrais e de cobrança do próprio cliente, logs de segurança e auditoria, registros de suporte e comunicações comerciais da Hédiz.

3. Instruções

As instruções do Controlador são dadas por meio do uso da plataforma e das configurações escolhidas. O Operador informará ao Controlador se, na sua avaliação, uma instrução violar a legislação aplicável. O Operador não usará os dados do Controlador para finalidade própria, exceto na forma agregada e não identificável.

4. Confidencialidade

O Operador garante que todo pessoal autorizado a tratar os dados está sujeito a obrigação de confidencialidade e recebe treinamento em proteção de dados.

O acesso a dados do Controlador por pessoal do Operador segue os regimes da seção 3.3 da Política de Privacidade:

1. suporte pontual, temporário, motivado e registrado, que é o padrão;
2. acesso contínuo de consultoria, quando o Controlador contrata assessoria ou pede acompanhamento próximo, ativado por escolha dele e desligável por ele a qualquer tempo;
3. verificação de segurança e de bom uso, exercida sem aviso prévio por um grupo restrito de pessoas do Operador apenas diante de indício de violação dos Termos, de fraude, de risco à segurança da plataforma ou de terceiros, ou de determinação legal. Este regime não depende de autorização do Controlador, porque a apuração de uma violação não pode depender de quem está sendo apurado, é limitado ao necessário para verificar o indício e fica registrado em trilha de auditoria interna, disponível ao Controlador ao fim da apuração mediante pedido, salvo quando isso comprometer investigação em curso, direito de terceiro ou dever legal.

Em nenhum dos três o acesso é usado para finalidade comercial ou proveito próprio do Operador.

5. Segurança

O Operador adota as medidas descritas no Anexo II e as revisa periodicamente. O Controlador é responsável pelas configurações sob seu controle: papéis, permissões, visibilidade, política de senhas dos seus usuários e escolha do modo de conexão dos canais de mensageria.

6. Sub-operadores

O Controlador concede autorização geral para a contratação dos sub-operadores listados no Anexo III. Alterações são comunicadas com 15 dias de antecedência, período em que o Controlador pode se opor de forma fundamentada; persistindo a oposição, qualquer das partes pode rescindir sem multa a parcela do serviço afetada. O Operador impõe aos sub-operadores obrigações não menos protetivas que as deste Anexo e responde perante o Controlador pelos atos deles.

7. Direitos dos titulares

O Operador disponibiliza funcionalidades para que o Controlador atenda diretamente aos pedidos dos seus titulares (acesso, correção, portabilidade, eliminação). Quando um titular procurar o Operador, este o encaminhará ao Controlador em até 5 dias úteis, sem tratar o pedido no mérito. O Operador prestará auxílio razoável ao Controlador em até 10 dias úteis do pedido de auxílio.

8. Incidentes

O Operador comunicará ao Controlador qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares em até 48 horas do conhecimento, com as informações do art. 48, §1º da LGPD disponíveis no momento, e complementará conforme a apuração avançar. A comunicação à ANPD e aos titulares, quando cabível ao Controlador, é responsabilidade deste.

9. Auditoria

O Operador disponibilizará, mediante solicitação e no máximo uma vez por ano, documentação sobre suas medidas de segurança e relatórios de terceiros quando existirem. Auditorias presenciais ou testes de intrusão dependem de acordo prévio quanto a escopo, custo e janela, e não podem comprometer a segurança de outros clientes.

10. Transferência internacional

O Controlador reconhece e autoriza o armazenamento e o processamento fora do Brasil, notadamente nos Estados Unidos, conforme o Anexo III, com fundamento no art. 33 da LGPD e mediante cláusulas contratuais com os sub-operadores.

11. Devolução e eliminação

Encerrado o contrato, o Controlador dispõe de 30 dias em modo leitura para exportar seus dados. Após esse prazo, o Operador elimina ou anonimiza os dados em até 90 dias, ressalvadas as retenções obrigatórias descritas na Política de Privacidade. Mediante pedido, o Operador emite declaração de eliminação.

Independentemente do encerramento do contrato, a plataforma executa uma eliminação permanente por instrução do Controlador (item 3) quando um membro do workspace é desativado ou removido: o WhatsApp pessoal daquele membro é desconectado e as conversas daquela linha são eliminadas com as mídias, restando apenas o registro de que existiram e o motivo, sem conteúdo. A eliminação é irreversível e não alcança os canais do próprio Controlador (número oficial, Instagram e Facebook), cujo histórico permanece com ele.

12. Vigência

Este Anexo vigora enquanto durar o tratamento e prevalece sobre disposições conflitantes do contrato principal quanto à proteção de dados.

Anexo I. Escopo do tratamento

Anexo II. Medidas técnicas e organizacionais

Anexo III. Sub-operadores

A lista vigente, com finalidade, dados envolvidos e local de cada um, fica em /politicas/subprocessadores e é parte integrante deste Anexo.