Acordo de tratamento de dados

O que este acordo cobre

Este acordo faz parte do Contrato de serviços, ou dos Termos de serviço no plano Free, e vale sempre que a easythings trata dados pessoais em nome de um cliente, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei n.º 13.709/2018). O cliente é o controlador desses dados e a easythings é a sua operadora, que trata os dados segundo as instruções do controlador, como determina o art. 39 da LGPD. Quanto aos dados que coletamos por este site e para gerir nossas próprias contas de clientes e cobrança, somos controladores, como explica a nossa Política de privacidade. Nosso Encarregado pode ser contatado pelos canais ao final desta página.

O que tratamos, conforme onde o serviço roda

Na nuvem que provisionamos, hospedamos as ferramentas do cliente e tratamos:

• dados das ferramentas: o que as ferramentas do cliente guardam e o que as pessoas que as usam inserem;
• dados da plataforma: nomes, emails profissionais e identificadores do provedor de identidade dos usuários, seus papéis, o registro de quem fez deploy ou rollback de quê e quando, e registros de acesso.

Em self-hosting, as ferramentas e seus dados ficam na conta de nuvem do próprio cliente, e a easythings não tem acesso a eles. Tratamos apenas dados da plataforma. O provedor de nuvem do cliente é operador do cliente, não nosso.

Características do tratamento

• Finalidade: hospedar as ferramentas do cliente, fazer o login das pessoas, aplicar os papéis e manter o registro de deploys.
• Titulares: os funcionários e prestadores do cliente que usam a easythings, e quem o cliente decidir incluir nas suas ferramentas.
• Duração: a vigência do contrato, mais o prazo de exclusão indicado abaixo.
• Dados pessoais sensíveis: apenas se o cliente os incluir em uma ferramenta e indicar isso no pedido.

Nossos compromissos

• Tratamos dados pessoais apenas segundo as instruções documentadas do cliente: este acordo, o pedido e a forma como ele configura o serviço. Avisamos o cliente se uma instrução nos parecer violar a lei.
• Todas as pessoas da easythings com acesso a dados pessoais estão sujeitas a dever de confidencialidade.
• Não vendemos dados pessoais nem usamos os dados das ferramentas para nada além de prestar o serviço.
• Ajudamos o cliente a atender aos pedidos dos titulares, a elaborar relatórios de impacto e a responder à Autoridade Nacional de Proteção de Dados (ANPD), quando o serviço sozinho não permitir.

Medidas de segurança

• Dados criptografados em trânsito com TLS 1.2 ou superior, e em repouso.
• As ferramentas e os dados de cada cliente isolados dos de todos os outros.
• Login apenas pelo provedor de identidade do próprio cliente, com papéis que separam quem traz uma ferramenta de quem a usa.
• Acesso da equipe à produção pelo princípio do menor privilégio, registrado e revisado.
• Um registro de cada deploy e rollback que o cliente pode consultar.

Suboperadores

O cliente nos autoriza a usar estes suboperadores no serviço na nuvem que provisionamos:

• Amazon Web Services EMEA SARL (Luxemburgo): hospedagem e armazenamento em nuvem, em uma região da União Europeia;
• DigitalOcean, LLC (Estados Unidos): hospedagem e armazenamento em nuvem, em data centers da União Europeia.

Cada um está obrigado por escrito a proteger os dados pessoais no mínimo como este acordo exige, e continuamos respondendo por eles. Anunciamos um novo suboperador com pelo menos 30 dias de antecedência. O cliente pode se opor nesse prazo por motivos razoáveis de proteção de dados; se não resolvermos a objeção, o cliente pode encerrar o serviço afetado e devolvemos os valores pagos antecipadamente pelo período não usado.

Onde ficam os dados

Na nuvem que provisionamos, os dados ficam armazenados na União Europeia, o que é uma transferência internacional para clientes no Brasil. Ela se apoia nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD n.º 19/2024), um dos mecanismos previstos no art. 33 da LGPD. Em self-hosting, os dados das ferramentas ficam onde a conta de nuvem do cliente os guardar.

Incidentes de segurança

Avisamos o cliente em até 48 horas depois de tomarmos conhecimento de um incidente que afete os seus dados pessoais, com o que soubermos naquele momento: o que aconteceu, os dados e as pessoas provavelmente afetados e o que estamos fazendo. Mantemos o cliente informado conforme soubermos mais, para que ele possa comunicar a ANPD e os titulares no prazo de três dias úteis do art. 48 da LGPD e do regulamento da ANPD.

Auditorias

Disponibilizamos a informação necessária para demonstrar o cumprimento deste acordo. Uma vez por ano, ou após um incidente, o cliente pode auditar esse cumprimento diretamente ou por meio de um auditor independente sujeito a confidencialidade, com 30 dias de aviso prévio e às suas custas.

Devolução e exclusão

O cliente pode exportar os seus dados a qualquer momento durante a vigência e até 30 dias após o fim. Depois, excluímos os dados pessoais que guardamos para o cliente em até 30 dias, a menos que a lei exija que os mantenhamos. Em self-hosting, não guardamos dados das ferramentas, então isso vale apenas para os dados da plataforma.

Responsabilidade e lei aplicável

A responsabilidade neste acordo segue os limites do Contrato de serviços, exceto quando a LGPD não os permitir. Este acordo é regido pela lei portuguesa, e o foro da comarca de Lisboa é o competente para qualquer disputa, sem prejuízo da aplicação da LGPD ao tratamento de dados de titulares no Brasil.

Contato

Dúvidas sobre este acordo? Fale conosco pelo WhatsApp.