Termos e Políticas de Privacidade

1. OBJETO

O presente Acordo de Tratamento de Dados Pessoais (“DPA”) estabelece as condições pelas quais a IRTHEC TECNOLOGIA LTDA (“OPERADORA”) realizará o tratamento de dados pessoais em nome do usuário profissional (“CONTROLADOR”), no contexto da utilização da plataforma IRTHEC e nos termos do contrato principal celebrado entre as partes.

O tratamento de dados pessoais será realizado exclusivamente para viabilizar a prestação dos serviços disponibilizados pela plataforma, conforme suas funcionalidades e de acordo com as instruções do CONTROLADOR, observada a legislação aplicável, especialmente a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).

2. DEFINIÇÕES

Para os fins deste DPA, consideram-se:

Dados pessoais: informação relacionada a pessoa natural identificada ou identificável;
Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, saúde, entre outros definidos pela LGPD;
Controlador: usuário profissional que insere e gerencia dados pessoais de seus clientes na plataforma;
Operadora: IRTHEC TECNOLOGIA LTDA, que realiza o tratamento de dados em nome do Controlador;
Suboperadores: terceiros contratados pela OPERADORA para auxiliar na prestação dos serviços e que realizam o tratamento de dados pessoais em nome da OPERADORA;
Tratamento: qualquer operação realizada com dados pessoais;
Titular: pessoa natural a quem se referem os dados pessoais tratados.

3. PAPEL DAS PARTES

3.1. Atuação do CONTROLADOR

O CONTROLADOR é o único e exclusivo responsável pelo tratamento de dados pessoais realizado por meio da plataforma, incluindo, mas não se limitando a:

definir as finalidades e os meios do tratamento de dados pessoais;
determinar a base legal aplicável;
assegurar a licitude da coleta e do tratamento dos dados pessoais;
garantir que possui autorização ou fundamento legal para o tratamento de dados pessoais de terceiros;
fornecer informações claras, adequadas e atualizadas aos titulares;
assegurar a qualidade, exatidão e atualização dos dados pessoais inseridos na plataforma;
cumprir integralmente a legislação aplicável, incluindo a LGPD.

O CONTROLADOR declara que os dados pessoais inseridos na plataforma são tratados sob sua exclusiva responsabilidade, inclusive quando relativos a terceiros, não cabendo à OPERADORA qualquer ingerência sobre tais decisões.

3.2. Atuação da OPERADORA

A OPERADORA realizará o tratamento de dados pessoais exclusivamente em nome do CONTROLADOR, de forma limitada às funcionalidades da plataforma e de acordo com as instruções fornecidas pelo CONTROLADOR.

A OPERADORA não determinará as finalidades ou os meios do tratamento de dados pessoais.

A OPERADORA não será considerada controladora conjunta em relação aos dados pessoais tratados pelo CONTROLADOR no âmbito deste Acordo.

3.3. Limitação de responsabilidade da OPERADORA

A OPERADORA não será responsável por decisões relativas ao tratamento de dados pessoais realizadas pelo CONTROLADOR, incluindo:

definição de finalidades;
escolha de bases legais;
legitimidade da coleta de dados pessoais;
inserção, utilização ou compartilhamento indevido de dados pessoais pelo CONTROLADOR;
tratamento de dados pessoais de terceiros sem fundamento legal válido.

4. INSTRUÇÕES DE TRATAMENTO

4.1. Tratamento conforme instruções

A OPERADORA tratará os dados pessoais exclusivamente conforme as instruções do CONTROLADOR, observadas as funcionalidades da plataforma.

4.2. Natureza das instruções

Para os fins deste Acordo, consideram-se instruções do CONTROLADOR todas as ações realizadas por meio da utilização da plataforma, incluindo, mas não se limitando a:

inserção de dados pessoais;
organização, classificação e armazenamento de informações;
gestão de documentos e registros;
utilização das funcionalidades disponibilizadas pela plataforma.

4.3. Limitação de uso

A OPERADORA não utilizará os dados pessoais para finalidades próprias, salvo quando:

necessário para cumprimento de obrigação legal ou regulatória; ou
autorizado neste Acordo ou em documento correlato.

4.4. Responsabilidade do CONTROLADOR

O CONTROLADOR declara que as instruções fornecidas, inclusive aquelas decorrentes do uso da plataforma, são lícitas e compatíveis com a legislação aplicável.

4.5. Recusa de instruções ilícitas

A OPERADORA poderá recusar o cumprimento de instruções que considere manifestamente ilegais, informando o CONTROLADOR, quando possível.

4.6. Limitação de responsabilidade pela utilização da plataforma

A OPERADORA não será responsável pela forma como o CONTROLADOR utiliza a plataforma, desde que atue de acordo com as funcionalidades disponibilizadas.

5. OBRIGAÇÕES DA OPERADORA

A OPERADORA obriga-se a:

tratar os dados pessoais apenas conforme as instruções do CONTROLADOR e nos limites das funcionalidades da plataforma;
adotar medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, perda, alteração, divulgação ou destruição indevida;
garantir a confidencialidade das informações e assegurar que pessoas autorizadas a tratar dados pessoais estejam sujeitas a obrigações de sigilo;
restringir o acesso aos dados pessoais ao mínimo necessário para o desempenho de suas funções;
auxiliar o CONTROLADOR, quando tecnicamente possível, no atendimento aos direitos dos titulares;
manter registros das operações de tratamento, quando aplicável;
adotar medidas compatíveis com o nível de risco do tratamento, inclusive quando envolver dados pessoais sensíveis.

A OPERADORA poderá acessar dados pessoais armazenados na plataforma quando necessário para:

prestação de suporte técnico;
manutenção, melhoria e funcionamento da plataforma, desde que tais atividades não impliquem utilização dos dados pessoais para finalidades próprias da OPERADORA;
diagnóstico e resolução de falhas ou incidentes.

Tais acessos serão realizados de forma restrita, limitada ao necessário e mediante observância de medidas de segurança e confidencialidade adequadas.

6. OBRIGAÇÕES DO CONTROLADOR

O CONTROLADOR é integralmente responsável pelo tratamento de dados pessoais realizado por meio da plataforma, obrigando-se a:

garantir que o tratamento de dados pessoais possua base legal válida;
obter, quando necessário, o consentimento dos titulares;
fornecer informações claras, adequadas e atualizadas aos titulares;
assegurar a qualidade, veracidade e atualização dos dados pessoais inseridos na plataforma;
responder diretamente aos titulares e às autoridades competentes;
cumprir integralmente a legislação aplicável, incluindo a Lei Geral de Proteção de Dados Pessoais (LGPD);
garantir que possui autorização ou fundamento legal para o tratamento de dados pessoais de terceiros inseridos na plataforma;
não inserir dados pessoais em desconformidade com a legislação aplicável;
observar as exigências legais específicas aplicáveis ao tratamento de dados pessoais sensíveis;
adotar boas práticas de segurança no uso da plataforma;
utilizar a plataforma de forma adequada, abstendo-se de realizar qualquer tratamento ilícito, abusivo ou em desconformidade com este Acordo.

A OPERADORA não será responsável pelo descumprimento de obrigações legais atribuídas ao CONTROLADOR, nem pelo tratamento indevido de dados pessoais realizado por este, inclusive após eventual exportação, compartilhamento ou uso externo dos dados.

7. SUBOPERADORES

7.1. Autorização

O CONTROLADOR autoriza, de forma geral, a OPERADORA a contratar terceiros para auxiliar na prestação dos serviços, incluindo provedores de infraestrutura, armazenamento, processamento e tecnologia ("Suboperadores").

7.2. Seleção e obrigações dos suboperadores

A OPERADORA compromete-se a selecionar Suboperadores que adotem padrões adequados de segurança e proteção de dados pessoais, bem como a celebrar instrumentos contratuais que imponham obrigações compatíveis com este Acordo e com a legislação aplicável.

Incluem-se como Suboperadores, exemplificativamente, provedores de infraestrutura em nuvem, serviços de notificações, serviços de autenticação e provedores de pagamento.

7.3. Responsabilidade

A OPERADORA permanecerá responsável pelos atos dos Suboperadores no âmbito das atividades de tratamento realizadas em nome do CONTROLADOR, nos limites da legislação aplicável.

7.4. Transparência

Sempre que razoavelmente possível, a OPERADORA poderá disponibilizar informações gerais sobre os Suboperadores utilizados, mediante solicitação do CONTROLADOR.

8. SEGURANÇA DA INFORMAÇÃO

A OPERADORA adotará medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, perda, alteração, divulgação ou destruição indevida, observando:

o estado da técnica;
os custos de implementação;
a natureza dos dados tratados;
os riscos envolvidos nas atividades de tratamento.

A OPERADORA compromete-se a adotar práticas de segurança da informação compatíveis com o nível de risco do tratamento, incluindo medidas de governança, controle de acesso, criptografia, monitoramento e prevenção de incidentes.

A OPERADORA assegurará que o acesso aos dados pessoais seja restrito a pessoas autorizadas, sujeitas a deveres de confidencialidade.

As medidas de segurança adotadas considerarão, quando aplicável, o tratamento de dados pessoais sensíveis, observando padrões de proteção mais rigorosos compatíveis com esse tipo de dado.

9. INCIDENTES DE SEGURANÇA

9.1. Notificação

A OPERADORA notificará o CONTROLADOR sobre incidentes de segurança que possam acarretar risco ou dano relevante aos dados pessoais tratados em seu nome, no menor prazo possível, após a ciência do incidente e desde que disponha de informações suficientes para sua adequada caracterização, podendo a notificação ocorrer de forma progressiva, à medida que novas informações se tornem disponíveis.

A notificação não implicará reconhecimento de falha ou responsabilidade por parte da OPERADORA.

9.2. Informações sobre o incidente

Sempre que possível, a OPERADORA fornecerá ao CONTROLADOR informações relevantes sobre o incidente, incluindo:

a natureza do incidente;
os dados pessoais afetados;
as medidas técnicas e de segurança adotadas;
as medidas adotadas para mitigar ou reverter os efeitos do incidente.

9.3. Cooperação

A OPERADORA cooperará com o CONTROLADOR, fornecendo as informações necessárias para que este possa cumprir suas obrigações legais, inclusive perante titulares e autoridades competentes.

9.4. Responsabilidade pela comunicação

A avaliação quanto à necessidade de comunicação aos titulares e à Autoridade Nacional de Proteção de Dados (ANPD), bem como a realização de tais comunicações, será de responsabilidade exclusiva do CONTROLADOR, salvo disposição legal em contrário.

10. DIREITOS DOS TITULARES

A OPERADORA auxiliará o CONTROLADOR, quando tecnicamente possível e mediante solicitação deste, no atendimento às requisições dos titulares de dados pessoais.

O CONTROLADOR é o único responsável por analisar, processar e responder às solicitações dos titulares, nos termos da legislação aplicável.

Caso a OPERADORA receba diretamente solicitações de titulares relacionadas a dados tratados em nome do CONTROLADOR, poderá:

orientar o titular a direcionar sua solicitação ao CONTROLADOR; ou
encaminhar a solicitação ao CONTROLADOR, quando possível.

A atuação da OPERADORA no atendimento aos direitos dos titulares limitar-se-á às suas capacidades técnicas e às instruções do CONTROLADOR, não lhe cabendo qualquer responsabilidade pelas decisões adotadas em relação às solicitações.

11. TRANSFERÊNCIA INTERNACIONAL DE DADOS

A OPERADORA poderá realizar transferências internacionais de dados pessoais, inclusive por meio da utilização de suboperadores e provedores de infraestrutura tecnológica localizados no exterior, quando necessário para a execução dos serviços e conforme as funcionalidades da plataforma.

Tais transferências serão realizadas em conformidade com a legislação aplicável, especialmente a Lei Geral de Proteção de Dados Pessoais (LGPD), mediante a adoção de medidas apropriadas para assegurar a proteção dos dados pessoais, incluindo, quando aplicável:

a utilização de provedores que adotem padrões adequados de segurança e proteção de dados;
a celebração de instrumentos contratuais que assegurem o cumprimento das obrigações de proteção de dados pessoais;
a adoção de práticas de governança compatíveis com o nível de risco do tratamento.

O CONTROLADOR declara estar ciente de que a utilização da plataforma poderá envolver a transferência internacional de dados pessoais, nos termos desta cláusula.

12. RETENÇÃO E ELIMINAÇÃO

Os dados pessoais serão tratados pela OPERADORA pelo período necessário para a prestação dos serviços, conforme as funcionalidades da plataforma e as instruções do CONTROLADOR.

A OPERADORA poderá manter os dados pessoais por período superior ao estritamente necessário para a execução dos serviços, quando houver fundamento legal ou necessidade técnica, incluindo:

cumprimento de obrigações legais ou regulatórias;
exercício regular de direitos em processos judiciais, administrativos ou arbitrais;
prevenção a fraudes e garantia da segurança da plataforma;
manutenção de backups e mecanismos de recuperação de dados.

Após solicitação de exclusão ou término da relação entre as partes, os dados pessoais poderão permanecer armazenados por período limitado, necessário à eliminação segura dos dados e à descontinuação completa de sua utilização, inclusive em sistemas de backup.

A eliminação dos dados será realizada de forma definitiva após o término desse período, ressalvadas as hipóteses legais de retenção.

A OPERADORA não será responsável pelo tratamento de dados pessoais realizado pelo CONTROLADOR após a exclusão, exportação ou qualquer outra forma de disponibilização dos dados fora da plataforma.

13. RESPONSABILIDADE

13.1. Responsabilidade das partes

Cada parte será responsável pelos danos que causar em decorrência do descumprimento da legislação aplicável ou das obrigações previstas neste Acordo, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD).

13.2. Limitação de responsabilidade da OPERADORA

A OPERADORA não será responsável por:

decisões do CONTROLADOR quanto ao tratamento de dados pessoais;
coleta indevida de dados pessoais;
ausência de base legal para o tratamento;
inserção, utilização ou compartilhamento indevido de dados pessoais pelo CONTROLADOR;
tratamento de dados pessoais de terceiros sem fundamento legal válido;
uso indevido da plataforma pelo CONTROLADOR;
tratamento de dados realizado fora da plataforma, incluindo dados exportados, baixados ou compartilhados pelo CONTROLADOR.

13.3. Indenização

O CONTROLADOR deverá indenizar, defender e manter indene a OPERADORA em relação a quaisquer danos, prejuízos, custos, despesas, condenações, multas, sanções administrativas ou indenizações decorrentes:

do tratamento irregular de dados pessoais sob sua responsabilidade;
do descumprimento da legislação aplicável;
de reclamações, ações judiciais ou processos administrativos relacionados aos dados tratados pelo CONTROLADOR.

13.4. Limitação de responsabilidade

Sem prejuízo do disposto acima, a responsabilidade da OPERADORA, quando aplicável, será limitada ao valor total pago pelo CONTROLADOR à OPERADORA nos últimos 12 (doze) meses anteriores ao evento que deu causa ao dano, exceto nos casos de dolo, fraude ou violação intencional da legislação aplicável.

14. VIGÊNCIA E TÉRMINO

O presente Acordo vigorará enquanto perdurar a relação contratual entre as partes, especialmente no âmbito da utilização da plataforma IRTHEC, estando vinculado ao contrato principal celebrado entre as partes.

O término do contrato principal implicará o encerramento deste Acordo, sem prejuízo da aplicação das disposições que, por sua natureza, devam subsistir após o seu término.

Permanecerão em vigor, após o término deste Acordo, as obrigações relacionadas à proteção de dados pessoais, incluindo, mas não se limitando a:

confidencialidade;
segurança da informação;
retenção e eliminação de dados;
responsabilidade e indenização.

Tais obrigações permanecerão válidas pelo período necessário ao cumprimento da legislação aplicável e à proteção dos direitos das partes.