Aditivo de tratamento de dados

1. Papéis e escopo

Este aditivo integra os Termos de serviço. O Cliente é o controlador e THEFOCUS LTD é o operador dos dados pessoais tratados no espaço de trabalho do cliente, nas contas de publicidade, nos gerenciadores de tags e nas ferramentas de analytics do Cliente, e nas exportações de CRM fornecidas a nós (“Dados Pessoais do Cliente”). O Anexo 1 descreve o tratamento. Quando o próprio Cliente for operador de outro controlador, atuamos como seu suboperador nas mesmas condições.

Este aditivo atende ao Artigo 28 do UK GDPR e, quando aplicáveis, ao Artigo 28 do GDPR da UE e às disposições sobre operadores de outras leis de proteção de dados nos mercados que atendemos.

2. As nossas obrigações como operador

• Tratar os Dados Pessoais do Cliente somente conforme as instruções documentadas do Cliente, incluindo o contrato e o uso do aplicativo pelo Cliente, salvo se a lei exigir o contrário. Nesse caso, informamos o Cliente antes do tratamento, a menos que a lei o proíba. Informamos o Cliente se entendermos que uma instrução viola a legislação de proteção de dados.
• Garantir que todas as pessoas autorizadas a tratá-los estejam sujeitas a confidencialidade.
• Aplicar as medidas técnicas e organizacionais do Anexo 2.
• Usar suboperadores somente conforme a seção 3.
• Auxiliar o Cliente, considerando a natureza do tratamento, com as solicitações dos titulares e com as suas obrigações relativas a segurança, notificação de incidentes, avaliações de impacto e consulta prévia aos órgãos reguladores.
• Notificar o Cliente sem demora injustificada, e em até 48 horas, após tomar conhecimento de um incidente de segurança com dados pessoais que afete os Dados Pessoais do Cliente, com as informações de que o Cliente precisa para cumprir os seus próprios deveres de comunicação.
• Ao término dos serviços, excluir ou devolver os Dados Pessoais do Cliente, à escolha do Cliente, em até 30 dias e excluir as cópias existentes, salvo se a lei exigir que as mantenhamos.
• Disponibilizar as informações necessárias para demonstrar a conformidade e permitir auditorias pelo Cliente ou por um auditor por ele designado, mediante aviso prévio de 30 dias, sob confidencialidade e no máximo uma vez por ano, salvo se um incidente ou um órgão regulador o exigir.

3. Suboperadores

O Cliente concede autorização geral aos suboperadores descritos na nossa página de Suboperadores; a lista nominal atual está disponível no painel do cliente e mediante solicitação. Avisamos com pelo menos 30 dias de antecedência, pelo aplicativo, sobre um novo suboperador. O Cliente pode se opor com base em motivos razoáveis de proteção de dados; se não conseguirmos resolver a objeção, o Cliente pode encerrar o serviço afetado sem penalidade. Impomos a cada suboperador cláusulas de proteção de dados não menos protetivas do que este aditivo e continuamos responsáveis pela atuação dele.

4. Transferências internacionais

Transferimos Dados Pessoais do Cliente para fora do Reino Unido somente com base nos regulamentos de adequação do Reino Unido, na UK Extension to the EU-US Data Privacy Framework, no ICO International Data Transfer Agreement ou no UK Addendum às Cláusulas Contratuais Padrão da UE.

Quando o Cliente estiver no EEE, as transferências para nós se baseiam na decisão de adequação da Comissão Europeia para o Reino Unido; se essa decisão deixar de se aplicar, as Cláusulas Contratuais Padrão da UE (módulo dois, ou módulo três quando o Cliente for operador) ficam incorporadas por referência, com a Irlanda como lei aplicável e foro apenas para essas cláusulas. Quando o Cliente estiver na Suíça, aplicam-se as mesmas cláusulas com as adaptações suíças. Para outros mercados, assinamos, mediante solicitação, as cláusulas de transferência exigidas pela lei do Cliente, como os contratos padrão previstos na KVKK da Turquia ou na PIPL da China.

5. Dados de categorias especiais e segmentação sensível

O Cliente não deve enviar ao aplicativo dados de categorias especiais (por exemplo, dados de saúde), dados relativos a infrações penais ou dados de crianças, nem instruir segmentação baseada em características sensíveis.

6. Responsabilidade e vigência

A responsabilidade nos termos deste aditivo está sujeita aos limites dos Termos de serviço. Este aditivo vigora enquanto tratarmos Dados Pessoais do Cliente.

Anexo 1: Descrição do tratamento

• Objeto e duração: prestação dos serviços durante a vigência do contrato e o período de saída de 30 dias.
• Natureza e finalidade: planejamento e operação de campanhas, sinais de otimização em tempo real para as campanhas do Cliente, configuração de mensuração e rastreamento, relatórios e suporte.
• Titulares: os usuários da equipe do Cliente e os seus potenciais clientes e clientes, conforme representados em dados de publicidade, analytics e CRM.
• Categorias de dados: nomes e dados de contato profissional dos usuários do Cliente; identificadores online, dados de contato com hash usados na correspondência de conversões das plataformas, métricas agregadas de campanhas e estágios de leads no CRM.
• Retenção: conforme o Aviso de privacidade e a seção 2.

Anexo 2: Medidas técnicas e organizacionais

• Autenticação multifator obrigatória para todas as contas, com códigos de recuperação de uso único armazenados apenas como hashes.
• Acesso da equipe baseado em funções e no menor privilégio, revisado quando as funções mudam.
• Isolamento entre os espaços de trabalho dos clientes aplicado no aplicativo e na camada de banco de dados.
• Criptografia em trânsito com TLS atualizado e criptografia em repouso para bancos de dados, arquivos e backups.
• Prestação de serviço distribuída e criptografada em mais de 125 países.
• Registros de auditoria somente de inclusão para ações relevantes para a segurança.
• Nenhum armazenamento de senhas de contas de publicidade; acesso apenas por permissões de usuário ou de parceiro das plataformas.
• Webhooks e ingestão de dados assinados e protegidos contra repetição.
• Varredura automatizada de segredos e testes antes de cada versão.
• Procedimento de resposta a incidentes com escalonamento definido e notificação ao cliente.