Acordo de tratamento de dados

Para os fins deste Acordo de tratamento de dados ("DPA"):

• "Controlador" significa a pessoa física ou jurídica que determina as finalidades e os meios do Tratamento de Dados pessoais.
• "Operador" significa a pessoa física ou jurídica que Trata Dados pessoais em nome do Controlador.
• "Dados pessoais" significa qualquer informação relacionada a uma pessoa física identificada ou identificável.
• "Tratamento" significa qualquer operação realizada com Dados pessoais, incluindo coleta, armazenamento, uso, divulgação ou exclusão.
• "Titular" significa a pessoa física a quem os Dados pessoais se referem.
• "Suboperador" significa qualquer terceiro contratado pelo Chargezen para Tratar Dados pessoais.

Este DPA se aplica ao Tratamento de Dados pessoais pelo Chargezen (como Operador) em nome do Cliente (como Controlador) em conexão com os Serviços prestados sob os Termos de serviço.

O Chargezen Tratará Dados pessoais somente:

• Para a finalidade de prestar os Serviços
• Conforme necessário para cumprir a legislação aplicável
• Conforme outras instruções escritas do Cliente

O Cliente declara e garante que:

• Possui todos os direitos e consentimentos necessários para fornecer Dados pessoais ao Chargezen
• Cumprirá todas as leis de proteção de dados aplicáveis
• Suas instruções de Tratamento não violarão nenhuma lei aplicável
• É responsável pela exatidão, qualidade e legalidade dos Dados pessoais

O Chargezen concorda em:

• Tratar Dados pessoais somente de acordo com instruções documentadas do Cliente
• Garantir que o pessoal autorizado a Tratar Dados pessoais esteja sujeito a obrigações de confidencialidade
• Implementar medidas de segurança técnicas e organizacionais adequadas
• Auxiliar o Cliente a responder às solicitações dos Titulares
• Auxiliar o Cliente em avaliações de impacto à proteção de dados e consultas regulatórias
• Excluir ou devolver os Dados pessoais na rescisão, a critério do Cliente
• Disponibilizar as informações necessárias para demonstrar conformidade

O Chargezen mantém medidas abrangentes de segurança, incluindo:

• Criptografia: criptografia AES-256 em repouso e TLS 1.3 em trânsito
• Controle de acesso: acesso baseado em funções, MFA e suporte a SSO
• Monitoramento: monitoramento de segurança e detecção de ameaças 24 horas por dia, 7 dias por semana
• Infraestrutura: provedores de hospedagem certificados SOC 2 Tipo II
• Gestão de vulnerabilidades: testes de penetração e auditorias de segurança regulares
• Resposta a incidentes: procedimentos documentados de resposta a incidentes

O Cliente autoriza o Chargezen a contratar Suboperadores para atividades de Tratamento. O Chargezen:

• Manterá uma lista atualizada de Suboperadores (disponível mediante solicitação)
• Notificará o Cliente sobre quaisquer mudanças pretendidas nos Suboperadores
• Celebrará acordos escritos com Suboperadores que imponham obrigações equivalentes de proteção de dados
• Continuará responsável pelos atos e omissões de seus Suboperadores

O Cliente poderá se opor a um novo Suboperador dentro de 30 dias após a notificação. Se a objeção do Cliente não for resolvida, o Cliente poderá rescindir os Serviços afetados.

O Chargezen poderá transferir Dados pessoais para fora do Espaço Econômico Europeu (EEE) em conformidade com os requisitos do GDPR, utilizando:

• Cláusulas contratuais padrão (SCCs): cláusulas modelo aprovadas pela UE para transferências de dados
• Decisões de adequação: transferências para países com proteção adequada
• Salvaguardas adicionais: criptografia e controles de acesso como medidas complementares

Para transferências aos Estados Unidos, o Chargezen implementa medidas técnicas adicionais para proteção contra o acesso governamental.

O Chargezen auxiliará o Cliente a cumprir as obrigações de responder às solicitações dos Titulares, incluindo:

• Acesso aos Dados pessoais
• Retificação de dados inexatos
• Eliminação ("direito ao esquecimento")
• Restrição do Tratamento
• Portabilidade dos dados
• Oposição ao Tratamento

O Chargezen notificará prontamente o Cliente se receber uma solicitação de um Titular.

Em caso de violação de Dados pessoais, o Chargezen:

• Notificará o Cliente sem demora injustificada (dentro de 72 horas após tomar conhecimento)
• Fornecerá informações sobre a natureza da violação, as categorias de dados afetados e as consequências prováveis
• Descreverá as medidas tomadas ou propostas para tratar a violação
• Cooperará com a investigação e as obrigações de notificação do Cliente

O Cliente tem o direito de auditar a conformidade do Chargezen com este DPA. As auditorias poderão ser realizadas:

• Pelo Cliente ou por um auditor externo independente (sujeito à confidencialidade)
• Mediante aviso prévio razoável (mínimo de 30 dias)
• No máximo uma vez por ano (salvo exigência de autoridade regulatória)
• Às custas do Cliente (salvo se a auditoria revelar descumprimento relevante)

O Chargezen também fornecerá relatórios de auditoria (por exemplo, SOC 2 Tipo II) mediante solicitação e sob acordo de confidencialidade.

Este DPA permanece em vigor durante a vigência do Acordo de serviços. Na rescisão:

• O Chargezen cessará o Tratamento de Dados pessoais (exceto quando exigido por lei)
• A critério do Cliente, o Chargezen excluirá ou devolverá todos os Dados pessoais dentro de 30 dias
• O Chargezen certificará a exclusão por escrito mediante solicitação

A responsabilidade sob este DPA está sujeita às limitações do Acordo de serviços. Cada parte é responsável somente pelos danos causados por Tratamento que viole:

• Este DPA
• As leis de proteção de dados aplicáveis
• As instruções lícitas do Cliente