Acordo de tratamento de dados

Partes e escopo

Este acordo é celebrado entre a organização cliente (controladora) e a ExpertFusion Software and Marketplace L.L.C-FZ, operadora do PestLove (operador). Ele faz parte dos termos de serviço e se aplica automaticamente a todas as assinaturas, sem necessidade de assinatura física. Em caso de conflito com os termos quanto ao tratamento de dados pessoais, prevalece este acordo.

Ele abrange os dados pessoais que a organização e seus usuários inserem ou geram no PestLove. O tratamento próprio da operadora para contas, cobrança, segurança e site está descrito na política de privacidade.

Instruções e confidencialidade

Tratamos os dados pessoais do cliente apenas conforme as instruções documentadas da organização — os termos, este acordo e a configuração e o uso do serviço pela organização —, salvo quando a lei exigir outra coisa, caso em que avisamos a organização antes, sempre que permitido. Avisamos a organização se entendermos que uma instrução viola a lei de proteção de dados.

Todas as pessoas autorizadas a tratar dados pessoais do cliente estão sujeitas a confidencialidade, e o acesso se limita ao necessário para prestar, apoiar e proteger o serviço.

Medidas de segurança

Mantemos medidas técnicas e organizacionais adequadas, incluindo: isolamento entre organizações aplicado em cada requisição e chamada à API; permissões baseadas em funções e compartilhamento explícito entre organizações; conexões criptografadas (TLS); senhas com hash e limitação de tentativas de login; tokens de API com escopo definido; registros de auditoria operacional; acesso mínimo necessário aos sistemas de produção; versões controladas e testadas; e backups dos bancos de dados.

Podemos atualizar essas medidas desde que o nível geral de proteção não seja reduzido.

Suboperadores

A organização autoriza os seguintes suboperadores: Vultr (hospedagem, bancos de dados e armazenamento de arquivos, Amsterdã, Países Baixos; e nosso servidor de envio de e-mails, Madri, Espanha) e Expo / 650 Industries, Inc. (notificações push no celular, Estados Unidos). A Stripe trata os dados de pagamento como controladora independente.

Avisamos por e-mail com pelo menos 30 dias de antecedência antes de incluir ou substituir um suboperador. A organização pode se opor por motivos razoáveis de proteção de dados; se não for possível resolver a objeção, ela pode encerrar o serviço afetado e receber o reembolso proporcional dos valores pagos antecipadamente. Impomos obrigações de proteção de dados equivalentes a cada suboperador e continuamos responsáveis por eles.

Transferências internacionais

Os dados pessoais do cliente ficam hospedados nos Países Baixos. Quando são transferidos para fora do EEE, do Reino Unido ou da Suíça — inclusive para a operadora nos Emirados Árabes Unidos e para suboperadores nos Estados Unidos —, as Cláusulas Contratuais Padrão da Comissão Europeia (Decisão 2021/914, Módulo 2: controlador para operador, regidas pela lei irlandesa) ficam incorporadas a este acordo, junto com o Adendo de Transferência Internacional de Dados do Reino Unido e as adaptações suíças, quando aplicáveis.

Assistência, incidentes e auditorias

O serviço permite que a organização acesse, corrija, exporte e exclua seus dados. Encaminhamos à organização qualquer solicitação de um titular e ajudamos a responder, além de fornecer informações razoáveis para relatórios de impacto à proteção de dados.

Avisamos a organização sem demora injustificada, e sempre em até 48 horas depois de tomarmos conhecimento, sobre qualquer incidente de segurança com dados pessoais que afete seus dados, com as informações disponíveis no momento, e a manteremos informada conforme soubermos mais.

Disponibilizamos as informações necessárias para demonstrar o cumprimento deste acordo. A organização pode auditar nosso cumprimento uma vez por ano, com aviso por escrito de 30 dias, ou após um incidente, sob confidencialidade e às suas custas.

Devolução e exclusão

Durante a assinatura e por 30 dias após o seu término, a organização pode exportar seus dados. Depois disso, excluímos os dados pessoais do cliente dos sistemas ativos, e as cópias de backup são removidas quando expiram na rotação de backups, salvo se a lei exigir a sua retenção. Confirmamos a exclusão por escrito, se solicitado.

Descrição do tratamento

Objeto e finalidade: fornecimento do software PestLove para controle de pragas, segurança dos alimentos (APPCC/HACCP), auditorias, treinamentos e fluxos laboratoriais. Duração: o período da assinatura mais o período de exportação. Natureza: hospedagem, armazenamento, organização, exibição, transmissão por e-mail e notificação push, relatórios, exportação, backup e exclusão.

Titulares: usuários da organização, seus clientes e respectivos contatos, funcionários das instalações citados nos registros, treinandos e signatários. Categorias de dados: nomes, cargos, contatos profissionais, identificadores de conta, endereços das instalações, registros de serviço, inspeção e auditoria, leituras, fotos, assinaturas e registros de treinamento. Não se prevê o tratamento de dados pessoais sensíveis.

A responsabilidade prevista neste acordo está sujeita aos limites dos termos de serviço, exceto quando a lei de proteção de dados não permitir.