Acordo de Tratamento de Dados

Este acordo de tratamento de dados ("Acordo") faz parte dos Termos de Serviço entre APUAMA TECNOLOGIA LTDA, CNPJ 55.038.380/0001-45, Rua Deputado Lacerda Franco, 144, São Paulo/SP, 05418-000, Brasil ("Pingwell" ou "nós") e o cliente que usa o Pingwell para uma empresa ("você"). Ele se aplica aos dados pessoais que tratamos em seu nome ao prestar o Serviço e entra em vigor quando você aceita os termos. Termos como controlador, operador, dado pessoal e titular têm o sentido que lhes dá a lei de proteção de dados aplicável: a LGPD e, quando aplicáveis, o GDPR da União Europeia e do Reino Unido.

1. Papéis e escopo

• Você é o controlador dos dados pessoais que insere nos seus workspaces, ou um operador que atua para o seu próprio cliente; nós somos o seu operador. Para a sua conta, a cobrança e o nosso site somos controladores, como explica a nossaPolítica de Privacidade, e este Acordo não se aplica a esses dados.
• Objeto e duração: a prestação do Serviço conforme os termos, enquanto a sua conta existir e até que os dados sejam excluídos como descreve a seção 8.
• Natureza e finalidade: armazenar, executar e exibir o que você configura: verificações dos sistemas que você indica, pings de heartbeats, alertas aos destinatários que você escolhe, páginas de status e incidentes.
• Titulares: os membros dos seus workspaces, os destinatários dos seus alertas e qualquer pessoa cujos dados apareçam no que você monitora, envia ou publica.
• Dados pessoais: nomes e endereços de e-mail, identificadores de chat e de webhook, endereços IP e user agents de quem envia heartbeats, e o que você colocar nas configurações de monitores, nos corpos de heartbeats, nas páginas de status ou nos incidentes. O Serviço não se destina a dados pessoais sensíveis; não os envie.

2. Nossas obrigações

• Tratamos os dados pessoais somente conforme as suas instruções documentadas: os termos, este Acordo e o que você configura no Serviço. Se entendermos que uma instrução viola a lei, avisaremos você. Se uma lei aplicável a nós nos obrigar a tratar os dados de outra forma (para dados sujeitos ao GDPR da União Europeia ou do Reino Unido, só conta o direito da União Europeia, de um Estado-Membro ou do Reino Unido), avisaremos antes, salvo se essa lei o proibir.
• Todas as pessoas do Pingwell com acesso aos dados têm o dever de mantê-los em sigilo.
• Ajudamos você, pelos meios que o Serviço oferece e respondendo em [email protected], a atender às solicitações dos titulares, a manter os dados seguros e com relatórios de impacto à proteção de dados e consultas às autoridades sobre o tratamento. Uma solicitação que um titular nos envie sobre os seus dados, nós a encaminhamos a você, sem respondê-la diretamente.

3. Segurança

Mantemos medidas técnicas e administrativas adequadas ao risco, entre elas:

• HTTPS em toda conexão com o Serviço pela internet, e TLS nas conexões ao nosso banco de dados vindas de fora da sua rede privada;
• login com segundo fator obrigatório, e chaves de API armazenadas somente como hashes;
• acesso aos sistemas de produção restrito às pessoas que operam o Serviço;
• backups diários do banco de dados, criptografados em repouso no nosso provedor de armazenamento, mantidos por 14 dias;
• relatórios de erro dos quais removemos corpos de requisição, cookies e segredos conhecidos antes que saiam dos nossos servidores.

4. Suboperadores

Você autoriza os suboperadores abaixo. Cada um está vinculado por termos escritos que protegem os dados pelo menos como este Acordo, e continuamos responsáveis perante você pelo trabalho deles. A Stripe, que faz a nossa cobrança, trata os nossos próprios dados como controladora, não os seus, e não é um deles.

• Amazon Web Services: login, envio de e-mails e as próprias verificações (Estados Unidos, Alemanha, Brasil, Singapura, Austrália, Japão, Índia).
• Hetzner Online: servidores da aplicação e banco de dados (Ashburn, Virgínia, Estados Unidos).
• Cloudflare: DNS, proteção de rede, hospedagem das páginas de status e armazenamento de backups (rede global).
• Sentry: relatórios de erro (Estados Unidos).

Avisamos por e-mail os proprietários dos seus workspaces com pelo menos 30 dias de antecedência antes de incluir ou substituir um suboperador. Se você se opuser por motivos razoáveis de proteção de dados e não pudermos resolver a objeção, poderá encerrar o seu plano pago antes da mudança, e reembolsaremos a parte não utilizada do período.

5. Incidentes de segurança

Se um incidente de segurança afetar os seus dados pessoais, avisaremos os proprietários dos seus workspaces sem demora injustificada, e em até 48 horas depois de tomarmos conhecimento dele, com o que soubermos: a sua natureza, os dados e os titulares envolvidos, as consequências prováveis e o que estamos fazendo a respeito. Acrescentaremos detalhes conforme os apurarmos, e ajudaremos você a cumprir os seus próprios deveres de comunicação às autoridades e aos titulares.

6. Transferências internacionais

Os dados são tratados no Brasil, nos Estados Unidos e nos demais países listados na seção 4. Quando a lei exigir uma salvaguarda para essas transferências, as partes incorporam as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024, na íntegra, para dados sujeitos à LGPD; as cláusulas contratuais-tipo da União Europeia (Decisão de Execução (UE) 2021/914 da Comissão), para dados sujeitos ao GDPR da União Europeia, com o módulo dois quando você for controlador e o módulo três quando for operador, a cláusula 7 opcional, a opção 2 da cláusula 9 com o prazo de aviso da seção 4, a autoridade de controle indicada pela cláusula 13, e a lei e os tribunais da Irlanda para as cláusulas 17 e 18; e o International Data Transfer Addendum do Reino Unido, para dados sujeitos ao GDPR do Reino Unido, preenchido com essas mesmas cláusulas. Em todos esses conjuntos, as partes e os seus dados são os indicados no início deste Acordo, a descrição da transferência é a seção 1, as medidas de segurança são a seção 3 e os suboperadores são a seção 4. Se essas cláusulas conflitarem com este Acordo, prevalecem as cláusulas.

7. Auditorias

Disponibilizamos as informações necessárias para demonstrar que cumprimos este Acordo e respondemos a um questionário escrito razoável de segurança uma vez por ano. Uma inspeção nas nossas instalações ocorre somente quando uma autoridade a exigir ou quando as informações fornecidas não bastarem, com 30 dias de aviso prévio (ou o aviso mais curto que uma autoridade ou um incidente de segurança exigir), em horário comercial, às suas custas e sob sigilo.

8. Término do tratamento

Você pode obter os seus dados pela API a qualquer momento e, quando a sua conta for encerrada, pode optar por receber antes uma cópia de todos eles. Em até 30 dias após o encerramento, excluiremos os dados pessoais, exceto o que uma lei aplicável a nós nos obrigar a manter (para dados sujeitos ao GDPR da União Europeia ou do Reino Unido, o direito da União Europeia, de um Estado-Membro ou do Reino Unido); as cópias nos nossos backups são removidas à medida que esses backups expiram, em até 14 dias depois disso.

9. Disposições gerais

A responsabilidade de cada parte por este Acordo está sujeita aos limites previstos nos termos, na medida em que a lei permitir. Quanto à proteção de dados pessoais, este Acordo prevalece sobre os termos. Ele é regido pela lei e pelo foro que os termos indicam, exceto quando as cláusulas da seção 6 exigirem outra coisa. Podemos atualizar este Acordo como os termos permitem; uma mudança que reduza a proteção dos seus dados depende da sua concordância.