Adendo de Tratamento de Dados

Este Adendo de Tratamento de Dados (“DPA”) integra os Termos de Serviço entre você (“Cliente”, a controladora) e a Empire Luxury International Corporation (DBA Neuro Empire) (“NeuroCRM”, a operadora) e rege o tratamento de dados pessoais contidos no Conteúdo do Cliente. Em caso de conflito em matéria de proteção de dados, este DPA prevalece sobre os Termos.

1. Papéis e Escopo

Em relação ao Conteúdo do Cliente, o Cliente é a controladora (ou operadora agindo em nome de seus próprios clientes) e a NeuroCRM é a operadora (ou suboperadora). A NeuroCRM trata o Conteúdo do Cliente somente para fornecer o Serviço e conforme as instruções documentadas do Cliente, que incluem os Termos, este DPA e o uso dos recursos do Serviço. A NeuroCRM atua como controladora independente apenas em relação aos dados limitados de conta, faturamento e segurança descritos na Política de Privacidade.

2. Detalhes do Tratamento

Objeto: fornecimento do Serviço NeuroCRM. Duração: o prazo da assinatura do Cliente acrescido de qualquer período de encerramento. Natureza e finalidade: operações de hospedagem, armazenamento e tratamento necessárias para fornecer o Serviço conforme configurado pelo Cliente. Categorias de titulares de dados: os contatos, leads, clientes, colaboradores e demais indivíduos cujos dados o Cliente insere. Categorias de dados pessoais: conforme determinado pelo Cliente, tipicamente dados de identificação e contato, registros comerciais e comunicações; o Cliente não deve inserir dados de categorias especiais, salvo se acordado por escrito.

3. Instruções do Cliente e Conformidade

A NeuroCRM tratará o Conteúdo do Cliente somente conforme instruções documentadas, inclusive para transferências, salvo se exigido pela lei aplicável (caso em que a NeuroCRM informará o Cliente, a menos que isso seja proibido). A NeuroCRM notificará o Cliente se, em sua opinião, uma instrução violar a lei de proteção de dados aplicável. O Cliente é responsável pela licitude do Conteúdo do Cliente e por dispor de todos os avisos e consentimentos exigidos.

4. Confidencialidade do Pessoal

A NeuroCRM assegura que o pessoal autorizado a tratar o Conteúdo do Cliente esteja vinculado a obrigações de confidencialidade e trate os dados somente conforme instruído.

5. Medidas de Segurança

A NeuroCRM implementa medidas técnicas e organizacionais adequadas para assegurar um nível de segurança apropriado ao risco, incluindo criptografia em trânsito e de tokens de acesso em repouso, isolamento lógico de tenants, controles de acesso e registro (logging), resiliência e backup, e revisão periódica. Um resumo está disponível mediante solicitação e na Política de Privacidade.

6. Suboperadores

O Cliente concede autorização geral para que a NeuroCRM contrate suboperadores. Uma lista atual está em /legal/subprocessors. A NeuroCRM impõe a cada suboperador obrigações de proteção de dados não menos protetivas do que as deste DPA e permanece responsável por seu desempenho. A NeuroCRM dará aviso de pelo menos 30 dias sobre qualquer suboperador novo ou substituto; o Cliente pode apresentar objeção por motivos razoáveis de proteção de dados e, se as partes não conseguirem resolver a objeção, o Cliente pode rescindir o Serviço afetado e receber o reembolso das taxas pré-pagas não utilizadas.

7. Solicitações de Titulares de Dados e Assistência

Levando em conta a natureza do tratamento, a NeuroCRM, por meio de medidas adequadas e na medida comercialmente razoável, auxiliará o Cliente a responder às solicitações dos titulares de dados e a cumprir suas obrigações relativas a segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia. Se a NeuroCRM receber uma solicitação diretamente de um titular de dados, ela a encaminhará ao Cliente e não responderá, exceto conforme instruído ou exigido por lei.

8. Notificação de Violação de Dados Pessoais

A NeuroCRM notificará o Cliente sem demora indevida e, em qualquer caso, dentro de 24 horas a partir de quando tomar conhecimento de uma violação de dados pessoais confirmada ou razoavelmente suspeita que afete o Conteúdo do Cliente, e fornecerá as informações disponíveis para ajudar o Cliente a cumprir suas obrigações de notificação, com atualizações conforme a investigação avança. Tal notificação não constitui reconhecimento de culpa ou responsabilidade. Determinar se deve notificar reguladores ou titulares de dados, e realizar tais notificações, é responsabilidade do Cliente como controladora; a NeuroCRM presta cooperação razoável.

9. Transferências Internacionais

Quando o tratamento envolver uma transferência de dados pessoais para fora do EEE, do Reino Unido ou da Suíça para um país sem decisão de adequação, as partes incorporam as Cláusulas Contratuais Padrão da Comissão Europeia (2021/914), Módulo Dois (controladora para operadora), complementadas com as informações deste DPA, juntamente com o UK International Data Transfer Addendum e as adaptações suíças, conforme aplicável; alternativamente, a NeuroCRM pode basear-se no EU-US Data Privacy Framework quando certificada. A NeuroCRM aplica medidas suplementares conforme apropriado. Em caso de conflito, as SCCs prevalecem apenas na medida do necessário.

10. Contorno de Dados Russo (152-FZ)

Para dados pessoais de indivíduos na Federação Russa, a NeuroCRM mantém um contorno russo segregado, com registro e armazenamento primários em servidores localizados na Rússia, em conformidade com a Lei Federal nº 152-FZ, e trata tais dados por instrução do Cliente nos termos do Artigo 6(3) da 152-FZ. Esse contorno e seu fluxo de notificação de violações (preliminar em até 24 horas e resultados em até 72 horas ao Roskomnadzor) operam de forma independente da cadeia do GDPR. Consulte a Política de Tratamento de Dados Pessoais (Rússia).

11. Auditoria

A NeuroCRM disponibilizará as informações necessárias para demonstrar a conformidade com este DPA e permitirá auditorias. Para minimizar interrupções, a NeuroCRM pode atender às solicitações de auditoria fornecendo certificações ou relatórios atuais de terceiros (como ISO 27001 ou SOC 2 Type II), quando disponíveis. Auditorias presenciais ou detalhadas limitam-se a uma vez por ano (exceto após uma violação), exigem aviso de pelo menos 30 dias, escopo mutuamente acordado, confidencialidade, e são conduzidas em horário comercial sem interferência não razoável.

12. Devolução e Eliminação

Após a rescisão, conforme escolha do Cliente feita dentro de 30 dias, a NeuroCRM devolverá o Conteúdo do Cliente em um formato de uso comum ou o eliminará e, mediante solicitação, certificará a eliminação dentro de um prazo razoável, exceto na medida em que a retenção seja exigida por lei. Os backups de rotina são sobrescritos no ciclo padrão de rotação.

13. Responsabilidade e Prevalência

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações e exclusões dos Termos de Serviço, incluindo o limite ampliado para violações de proteção de dados. Este DPA, incluindo as SCCs nele incorporadas, prevalece sobre disposições conflitantes dos Termos em matéria de proteção de dados. O DPA é regido pela lei e pelas disposições de resolução de disputas dos Termos aplicáveis ao Cliente.