Adendo de processamento de dados

Este Adendo de Tratamento de Dados ("DPA") integra o contrato entre a TNBI Internet, LLC ("TNBI" ou "Operadora") e o cliente que utiliza a Sofia Sales ("Cliente" ou "Controlador") quando a TNBI trata Dados Pessoais em nome do Cliente.

Este DPA aplica-se ao Tratamento de Dados Pessoais contidos no Conteúdo do Cliente quando o Cliente determina as finalidades e os meios do Tratamento e a TNBI Trata os dados para fornecer os Serviços.

Se este DPA conflitar com os Termos de Serviço quanto ao Tratamento de Dados Pessoais em nome do Cliente, este DPA prevalecerá. Um Formulário de Pedido assinado ou um acordo de tratamento de dados negociado poderá modificar este DPA.

"Legislação Aplicável de Proteção de Dados" significa a legislação de privacidade e proteção de dados aplicável ao Tratamento abrangido por este DPA, que pode incluir a Lei Geral de Proteção de Dados brasileira, Lei nº 13.709/2018 ("LGPD"), leis estaduais de privacidade aplicáveis dos Estados Unidos e outras leis de privacidade identificadas no contrato que rege a relação.

"Controlador", "Operador", "Titular", "Dados Pessoais", "Tratamento", "Incidente de Segurança" e termos semelhantes têm os significados atribuídos pela Legislação Aplicável de Proteção de Dados. Quando uma lei estadual dos Estados Unidos utilizar termos como "business", "service provider", "controller" ou "processor", aplica-se o papel legal correspondente.

"Suboperador" significa um terceiro contratado pela TNBI para Tratar Dados Pessoais em nome do Cliente na prestação dos Serviços.

O Cliente é o Controlador dos Dados Pessoais do Cliente e é responsável por determinar as finalidades e os meios lícitos do Tratamento.

A TNBI é Operadora dos Dados Pessoais do Cliente na medida em que Trata esses dados em nome do Cliente.

Cada parte é independentemente responsável pelo cumprimento das obrigações aplicáveis ao seu próprio papel.

A TNBI poderá atuar como Controladora independente de dados limitados tratados para sua própria administração de contas, cobrança, segurança, prevenção de fraudes, conformidade legal e operações empresariais, conforme descrito na Política de Privacidade. Esse tratamento como controladora independente está fora das obrigações de operadora deste DPA.

O Cliente instrui a TNBI a Tratar os Dados Pessoais do Cliente conforme necessário para:

O contrato, a configuração e o uso dos Serviços pelo Cliente, as solicitações de suporte e outras instruções documentadas constituem as instruções do Cliente.

A TNBI informará ao Cliente se, em sua opinião razoável, uma instrução violar a Legislação Aplicável de Proteção de Dados, salvo se a lei a proibir de fazê-lo.

• fornecer, operar, proteger, dar suporte e manter a Sofia Sales;
• habilitar agentes de IA, mensagens, automações, funis, análises, integrações e fluxos de trabalho configurados pelo Cliente;
• transmitir dados a integrações e canais de comunicação selecionados pelo Cliente;
• prevenir abusos, fraudes e ameaças à segurança;
• cumprir as instruções documentadas do Cliente; e
• cumprir a legislação aplicável à TNBI como Operadora.

O Cliente declara e garante que:

O Cliente é responsável por responder aos Titulares como Controlador, salvo se a lei atribuir responsabilidade diferente.

• possui base legal para o Tratamento e para fornecer Dados Pessoais à TNBI;
• forneceu os avisos legalmente exigidos;
• obteve os consentimentos, adesões expressas (opt-ins), permissões ou autorizações legalmente exigidos;
• suas instruções cumprem a Legislação Aplicável de Proteção de Dados e os requisitos das plataformas de terceiros;
• não instruirá a TNBI a Tratar Dados Pessoais de forma que viole a legislação; e
• usará os Serviços conforme a Política de Uso Aceitável e Mensagens.

A TNBI assegurará que o pessoal autorizado a Tratar Dados Pessoais do Cliente esteja sujeito a obrigações de confidencialidade ou a um dever legal adequado de confidencialidade e receba acesso apenas na medida razoavelmente necessária às suas responsabilidades.

A TNBI implementará e manterá medidas administrativas, técnicas e organizacionais razoáveis destinadas a proteger os Dados Pessoais do Cliente contra acesso, aquisição, divulgação, alteração, perda ou destruição não autorizados ou ilícitos, considerando a natureza do Tratamento, a tecnologia disponível, os custos de implementação e os riscos aos Titulares.

As medidas de segurança podem incluir, conforme apropriado ao sistema:

Este DPA não declara que cada controle listado é implementado de forma idêntica em todos os componentes ou integrações. A TNBI poderá atualizar as medidas de segurança desde que o nível geral de proteção não seja reduzido de forma relevante para o risco pertinente.

O Cliente é responsável por configurar com segurança seu ambiente, usuários, permissões, dispositivos, integrações, credenciais e fontes de dados.

• gestão de identidade e acesso;
• controles de autenticação e credenciais;
• acesso segundo o princípio do menor privilégio;
• registros de logs e monitoramento;
• práticas de desenvolvimento seguro de software e gestão de mudanças;
• processos de gestão de vulnerabilidades e atualizações de segurança;
• procedimentos de backup, continuidade e recuperação;
• processos de resposta a incidentes;
• controles de fornecedores e Suboperadores;
• controles de manuseio de dados e confidencialidade; e
• conscientização da equipe sobre segurança.

O Cliente fornece autorização geral para que a TNBI contrate Suboperadores para prestar os Serviços.

A TNBI imporá aos Suboperadores obrigações de proteção de dados adequadas aos serviços prestados e compatíveis com a Legislação Aplicável de Proteção de Dados.

A TNBI permanece responsável por seus Suboperadores na medida exigida pela Legislação Aplicável de Proteção de Dados e pelo contrato que rege a relação.

A TNBI poderá manter uma lista atualizada de Suboperadores ou fornecê-la mediante solicitação. Quando a Legislação Aplicável de Proteção de Dados exigir aviso sobre um novo Suboperador e oportunidade de oposição, a TNBI fornecerá esse mecanismo conforme exigido.

Uma oposição razoável deve estar relacionada a risco de proteção de dados. As partes trabalharão de boa-fé para resolver a preocupação. Se a TNBI não puder razoavelmente prestar o Serviço afetado sem o Suboperador, as partes poderão exercer qualquer direito de rescisão disponível no contrato que rege a relação para o Serviço afetado.

Um serviço que o Cliente selecione e autorize de forma independente, como seu próprio CRM, calendário, conta de publicidade ou provedor de mensagens, poderá atuar como terceiro independente, e não como Suboperador da TNBI.

O Cliente é responsável por avaliar e autorizar esses serviços de terceiros. Os dados trocados com eles também estão sujeitos aos seus termos e práticas de privacidade.

Considerando a natureza do Tratamento, a TNBI prestará assistência razoável ao Cliente, por meio das funcionalidades disponíveis do produto e de suporte razoável, para permitir que o Cliente responda a solicitações juridicamente válidas de Titulares.

Se a TNBI receber uma solicitação relativa a Dados Pessoais do Cliente dos quais o Cliente seja Controlador, poderá encaminhar o solicitante ao Cliente e, quando apropriado, notificá-lo, salvo se a lei proibir a notificação.

A TNBI não responderá de forma independente como Controladora a uma solicitação relativa a dados controlados pelo Cliente, exceto mediante instrução documentada do Cliente ou quando exigido por lei.

A TNBI notificará o Cliente sem demora indevida após confirmar um Incidente de Segurança envolvendo Dados Pessoais do Cliente cuja notificação ao Cliente seja exigida pela Legislação Aplicável de Proteção de Dados ou pelo contrato que rege a relação.

A notificação incluirá informações razoavelmente disponíveis à TNBI de que o Cliente precise para avaliar o incidente, que poderão incluir a natureza do incidente, os dados afetados, as consequências prováveis, medidas de mitigação e informações de contato.

A notificação de um incidente pela TNBI não constitui admissão de culpa ou responsabilidade.

O Cliente é responsável por notificações a Titulares, reguladores, parceiros comerciais ou outros quando tiver de realizá-las como Controlador. A TNBI prestará assistência razoável conforme exigido pela Legislação Aplicável de Proteção de Dados, considerando a natureza do Tratamento e as informações disponíveis à TNBI.

Considerando a natureza do Tratamento e as informações disponíveis à TNBI, a TNBI prestará assistência razoável nas avaliações de impacto à proteção de dados, avaliações de transferências ou consultas a reguladores legalmente exigidas do Cliente relativas ao Tratamento de Dados Pessoais do Cliente pela TNBI.

As partes cooperarão com as autoridades de fiscalização competentes na medida exigida pela Legislação Aplicável de Proteção de Dados.

No encerramento dos Serviços, a TNBI devolverá ou excluirá os Dados Pessoais do Cliente conforme o contrato que rege a relação, as funcionalidades do produto, as instruções do Cliente, a Política de Retenção e Exclusão de Dados e a Legislação Aplicável de Proteção de Dados.

A TNBI poderá reter Dados Pessoais quando e pelo tempo exigido pela legislação aplicável, por determinações de preservação para fins jurídicos, necessidades de prevenção de fraudes, obrigações de segurança ou ciclos legítimos de backup e recuperação de desastres, desde que os Dados Pessoais retidos permaneçam protegidos e não sejam utilizados para finalidades não relacionadas.

A TNBI poderá reter dados limitados de exclusão de listas de envio ou descadastramento quando necessário para respeitar as escolhas dos destinatários ou obrigações legais.

Mediante solicitação escrita razoável, a TNBI fornecerá informações razoavelmente necessárias para demonstrar conformidade com este DPA, que poderão incluir documentação de segurança, questionários, resumos de avaliações pertinentes ou outras evidências adequadas.

Se a Legislação Aplicável de Proteção de Dados exigir uma auditoria e a documentação disponível não for suficiente, o Cliente poderá solicitar uma auditoria adicional, sujeita a condições razoáveis de escopo, confidencialidade, segurança, frequência, prazo e custos acordadas pelas partes. As auditorias não devem expor dados de outros Clientes nem comprometer a segurança do sistema.

O Cliente reconhece que os Dados Pessoais do Cliente poderão ser Tratados nos Estados Unidos e em outros países onde a TNBI ou fornecedores autorizados operem.

Quando a Legislação Aplicável de Proteção de Dados restringir transferências internacionais, as partes utilizarão um mecanismo de transferência juridicamente válido.

Quando a LGPD se aplicar a uma transferência internacional e as partes se apoiarem nas cláusulas-padrão contratuais da ANPD como mecanismo de transferência, o exportador e o importador deverão celebrar as cláusulas oficiais aprovadas pela ANPD na forma integral e sem alterações exigida pela regulamentação aplicável da ANPD. Essas cláusulas oficiais poderão ser anexadas ou incorporadas a um contrato mais amplo na forma permitida pela ANPD.

Se outro mecanismo permitido pelo artigo 33 da LGPD e pela regulamentação aplicável da ANPD for validamente aplicável, as partes poderão utilizá-lo em substituição.

O Cliente é responsável pelas obrigações de transparência do Controlador, incluindo a publicação de informações sobre transferências internacionais exigidas pela ANPD, quando aplicável.

Quando outra jurisdição exigir cláusulas-padrão contratuais, decisões de adequação, certificações ou outras salvaguardas, as partes implementarão o mecanismo legalmente exigido, conforme aplicável à transferência pertinente.

Quando uma lei estadual de privacidade aplicável dos Estados Unidos tratar a TNBI como operadora ou prestadora de serviços, a TNBI deverá:

Disposições específicas de leis estaduais aplicam-se somente quando a lei pertinente se aplicar às partes e ao Tratamento.

• Tratar dados pessoais somente para as finalidades limitadas e específicas descritas no contrato e nas instruções documentadas do Cliente;
• não reter, usar ou divulgar dados pessoais fora das finalidades empresariais permitidas, exceto conforme autorizado pela legislação aplicável;
• fornecer o nível de proteção de privacidade exigido de operadores ou prestadores de serviços pela legislação aplicável;
• notificar o Cliente se a TNBI determinar que não pode mais cumprir uma obrigação legalmente exigida; e
• permitir que o Cliente adote medidas razoáveis e adequadas exigidas por lei para ajudar a assegurar a conformidade do Tratamento.

A responsabilidade decorrente deste DPA está sujeita às disposições de responsabilidade do contrato que rege a relação, salvo se a Legislação Aplicável de Proteção de Dados proibir essa alocação.

Fornecimento da Sofia Sales como plataforma multi-inquilino de IA conversacional, mensagens, automação de vendas, campanhas, funil, análises e integrações.

Durante a vigência dos Serviços e qualquer período limitado de retenção permitido ou exigido pelo contrato e pela legislação.

Coleta, importação, armazenamento, organização, recuperação, transmissão, geração, classificação, análise, exibição, sincronização, exclusão e outros Tratamentos necessários para fornecer os Serviços configurados pelo Cliente.

Podem incluir:

• empregados, prestadores de serviços e usuários autorizados do Cliente;
• leads e potenciais clientes do Cliente;
• clientes e contatos comerciais do Cliente;
• destinatários de mensagens do WhatsApp e de outros canais;
• pessoas incluídas nos registros de CRM ou funil do Cliente; e
• outras pessoas cujos Dados Pessoais o Cliente envie licitamente aos Serviços.

Podem incluir:

• nome e informações de contato profissional;
• números de telefone e identificadores de mensagens;
• endereços de e-mail;
• empresa, cargo e informações profissionais;
• campos de CRM e informações de funil;
• conteúdo de mensagens e conversas;
• anexos e mídias;
• metadados de entrega de mensagens, respostas e interações;
• informações de calendários e reuniões;
• dados de campanhas e fluxos de trabalho;
• prompts, instruções e respostas de IA;
• informações técnicas, de dispositivos, contas e logs; e
• outros dados que o Cliente decida enviar.

Os Serviços não se destinam a ser um repositório de dados pessoais sensíveis, salvo se o uso for necessário, lícito e adequado à finalidade empresarial documentada do Cliente. O Cliente não deve enviar dados sensíveis quando não forem necessários.

Se o Cliente pretender Tratar categorias sensíveis regulamentadas em escala, deverá entrar em contato com legal@sofiasales.com antes da implantação para que as partes possam avaliar salvaguardas contratuais, técnicas e legais adequadas.

Questões de proteção de dados relativas a este DPA podem ser enviadas a legal@sofiasales.com.