Este Acordo de Processamento de Dados (“DPA”) é firmado entre você, titular da conta do More.You (“você”, o controlador), e a LoadFocus LTD, 4 Grayscroft Road, Londres SW16 5UP, Reino Unido, número de registro da empresa 09554514 (“nós”, o operador). Ele vale quando tratamos dados pessoais em seu nome por meio do Serviço. Ele atende ao Artigo 28 do GDPR do Reino Unido e do GDPR da UE. Você o aceita ao aceitar os Termos. Não é preciso assinar nada.
1. Definições
“Lei de proteção de dados” significa o GDPR do Reino Unido, a Data Protection Act 2018 do Reino Unido, o GDPR da UE e qualquer outra lei de proteção de dados aplicável ao tratamento. “Dados pessoais”, “tratamento”, “controlador”, “operador”, “titular dos dados” e “violação de dados pessoais” têm os significados dessa lei. “Serviço” tem o significado dos Termos.
2. O que este DPA abrange
| Item | Detalhes |
|---|---|
| Finalidade | Operar sua página e mostrar as análises, aplicar suas regras de público, registrar pedidos feitos pela sua página e enviar eventos de visita à Meta quando você conecta a API de Conversões dela |
| Titulares dos dados | Visitantes das suas páginas e pessoas que compram de você ou dão gorjeta a você pelas suas páginas |
| Dados pessoais | Endereço IP e o país deduzido dele; dispositivo, navegador e app; a página e o post que levaram o visitante; cliques; e, no caso de compradores, e-mail, o que compraram e o valor |
| Dados de categoria especial | Nenhum. Não peça aos visitantes dados de saúde, religião ou similares pela sua página |
| Duração | Enquanto sua conta existir, depois como diz a seção 9 |
Este DPA não abrange os dados que usamos para nossos próprios fins, como dados da conta, cobrança, prevenção de fraudes e registros de pedidos que guardamos por exigência legal. Somos o controlador desses dados, e a Política de Privacidade os explica.
3. Suas responsabilidades
- Você decide por que os dados dos seus visitantes são tratados e garante que tem uma base legal para isso.
- Você informa seus visitantes e compradores sobre como usa os dados deles, por exemplo em um aviso de privacidade seu, com link na sua página.
- Você obtém o consentimento quando a lei exige, por exemplo antes de conectar a API de Conversões da Meta, se a lei do lugar onde estão seus visitantes exigir consentimento para isso.
- Você nos dá apenas instruções lícitas. Suas configurações no Serviço são suas instruções.
4. Nossas responsabilidades
- Tratamos os dados pessoais somente conforme suas instruções documentadas, que são estes Termos, este DPA e suas configurações, salvo se a lei exigir outra coisa. Se acharmos que uma instrução viola a lei, avisamos você.
- Todas as pessoas da LoadFocus LTD que podem acessar os dados são obrigadas a mantê-los em sigilo.
- Protegemos os dados com as medidas da seção 5.
- Usamos suboperadores somente como diz a seção 6.
- Ajudamos você a responder aos pedidos dos titulares dos dados (seção 7) e com seus deveres de segurança, avisos de violação e avaliações de impacto, até onde a natureza do tratamento permitir.
- Excluímos ou devolvemos os dados ao final do Serviço (seção 9).
- Damos a você as informações de que precisa para mostrar que cumprimos o Artigo 28, e permitimos auditorias como diz a seção 10.
5. Medidas de segurança
- Criptografia em trânsito: as páginas, o app e nossas APIs são servidos por HTTPS.
- Acesso: o banco de dados e o armazenamento de sessões só aceitam conexões dos nossos próprios servidores e exigem senha. Só a equipe que precisa para o trabalho acessa os sistemas de produção.
- Segredos: chaves e senhas ficam no AWS Systems Manager Parameter Store, nunca no nosso código.
- Contas: login pelo Google; qualquer senha armazenada passa por hash com bcrypt; as sessões usam cookies seguros e HTTP-only.
- Proteção contra abuso: limites de requisições no login e no cadastro, e verificações de que as requisições vêm do nosso próprio site.
- Minimização de dados: os endereços IP dos compradores são guardados apenas como um hash unidirecional encurtado; os identificadores de cartão de pagamentos que falharam ficam por até 48 horas.
Revisamos essas medidas quando o Serviço muda. A página de segurança explica como relatar uma vulnerabilidade.
6. Suboperadores
Você nos autoriza a usar estes suboperadores para os dados que este DPA abrange:
| Suboperador | Finalidade | Local |
|---|---|---|
| Amazon Web Services, Inc. | Hospedagem, banco de dados e armazenamento | Estados Unidos (us-east-1) |
| Stripe Payments Europe, Ltd. e Stripe, Inc. | Pagamentos feitos pela sua página | Irlanda e Estados Unidos |
| Cloudflare, Inc. | Verificações de robôs do Turnstile no checkout | Estados Unidos |
Cada suboperador está vinculado por contrato escrito, com termos de proteção de dados no mínimo tão protetores quanto este DPA. Continuamos responsáveis por eles.
Avisamos você por e-mail sobre um novo suboperador com pelo menos 30 dias de antecedência. Você pode se opor por e-mail nesse prazo, com seus motivos. Se não pudermos atender à sua objeção, você pode encerrar sua conta e reembolsamos as taxas pagas antecipadamente pelo tempo que você não usou.
7. Pedidos dos titulares dos dados
Se um visitante ou comprador pedir a nós acesso, correção ou exclusão dos dados dele, repassamos o pedido a você sem demora e não o respondemos por conta própria, salvo se a lei exigir. Você pode escrever para hello@more.you e ajudamos você a encontrar, exportar ou excluir os dados dessa pessoa.
8. Violações de dados pessoais
Se tomarmos conhecimento de uma violação de dados pessoais que afete dados sob este DPA, avisamos você sem demora injustificada e, em qualquer caso, em até 48 horas. Dizemos o que aconteceu, quais dados e quantas pessoas foram afetados, o que estamos fazendo e quem você pode contatar. Enviamos mais detalhes conforme os soubermos.
9. Exclusão ao final
Quando você encerra sua conta, suas páginas saem do ar e paramos de tratar os dados em seu nome. Excluímos os dados em até 90 dias, salvo se a lei exigir que os guardemos. Antes de encerrar a conta, você pode pedir em hello@more.you uma cópia das suas análises e pedidos.
10. Informações e auditorias
Sob pedido, respondemos a perguntas escritas razoáveis sobre como protegemos os dados. Se essas respostas não bastarem para mostrar que cumprimos este DPA, ou se uma autoridade reguladora pedir, você pode nos auditar uma vez por ano, com 30 dias de aviso, em horário comercial, por um auditor independente sujeito a sigilo. Você paga pela auditoria.
11. Transferências internacionais
Estamos no Reino Unido e nossos servidores estão nos Estados Unidos. Quando dados pessoais do Reino Unido ou do Espaço Econômico Europeu vão para um país sem decisão de adequação, usamos um mecanismo de transferência reconhecido pela lei: a Extensão do Reino Unido ao Data Privacy Framework UE-EUA, quando o destinatário é certificado, ou as cláusulas contratuais padrão da UE com o Adendo do Reino Unido.
Quando você estiver no Espaço Econômico Europeu e recebermos dados pessoais de você, as cláusulas contratuais padrão da UE (módulo 2, de controlador para operador, ou módulo 3 quando você mesmo for um operador) valem entre você e nós e fazem parte deste DPA. A cláusula 7 não se aplica, vale a opção 2 da cláusula 9 com o prazo de aviso da seção 6, o texto opcional da cláusula 11 não se aplica, e as cláusulas 17 e 18 escolhem a lei e os tribunais da Irlanda. Os anexos são as seções 2, 5 e 6 deste DPA.
12. Responsabilidade, ordem dos documentos e lei aplicável
Os limites de responsabilidade dos Termos valem para este DPA, exceto onde a lei de proteção de dados não os permitir. Se este DPA e os Termos divergirem sobre dados pessoais, vale este DPA. Se as cláusulas contratuais padrão e este DPA divergirem, valem as cláusulas.
Este DPA é regido pela mesma lei dos Termos, exceto onde a seção 11 ou a lei de proteção de dados disser outra coisa. Podemos atualizá-lo para seguir a lei ou mudanças no Serviço, e avisamos você por e-mail antes de uma mudança que reduza sua proteção.
13. Contato
Dúvidas sobre este DPA: hello@more.you.
