Acordo de Processamento de Dados

1Partes e escopo#

Este Acordo de Processamento de Dados (o "DPA") é entre o cliente que possui uma conta no CommentWatchDog (o "Cliente", "você") e a GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, Estados Unidos ("nós"), a operadora do Serviço descrito nos Termos de Serviço.

Ele se aplica sempre que processamos dados pessoais em seu nome e esse processamento estiver sujeito ao Regulamento Geral sobre a Proteção de Dados da UE (GDPR), ao GDPR do Reino Unido e à Lei de Proteção de Dados de 2018, à Lei Federal Suíça sobre Proteção de Dados (FADP) ou à Lei Geral de Proteção de Dados (LGPD) do Brasil. Sob essas leis, você é o controlador desses dados e nós somos o seu operador. Onde a LGPD usa as palavras controlador e operador, elas significam as mesmas funções.

"Dados Pessoais do Cliente" significa os dados pessoais nos comentários, mensagens e perfis de quem comenta que buscamos nas Páginas do Facebook e contas do Instagram que você conecta, as ações que você realiza neles e os dados pessoais dos membros da equipe que você convida, na medida em que os processamos seguindo suas instruções. Nosso próprio uso dos dados da sua conta e cobrança, e a medição de anúncios em nossos sites, são descritos na Política de privacidade, onde atuamos como controladores.

Este DPA é parte dos Termos de Serviço. Para o assunto que aborda, ele tem precedência sobre os Termos. Nenhuma assinatura é necessária: ele vincula a ambos a partir do momento em que você usa o Serviço.

2Detalhes do processamento#

Esta seção é a descrição do processamento que o GDPR exige e serve como Anexo I das cláusulas contratuais padrão na seção 6.

• Objeto: moderar e responder aos comentários e mensagens nas Páginas do Facebook e contas do Instagram que você conectar ao Serviço.
• Duração: pelo tempo que você mantiver uma conta e, posteriormente, até que a exclusão seja concluída conforme a seção 10.
• Natureza e finalidade: buscar comentários e mensagens por meio das APIs da Meta, armazená-los, classificá-los pelas regras que você definiu (por palavra e por significado através de um provedor de IA), ocultar, excluir, arquivar ou responder a eles conforme você configurar, mostrá-los à sua equipe em uma caixa de entrada e gerar contagens e estatísticas sobre eles.
• Categorias de indivíduos: pessoas que comentam ou enviam mensagens para suas páginas e contas, pessoas mencionadas nesses comentários e os membros da sua equipe.
• Categorias de dados: o texto de comentários e mensagens, o nome e a foto do perfil público de seu autor, os identificadores da Meta para o autor, a publicação e o comentário, registros de data e hora, os rótulos que nossas regras atribuem, as ações tomadas e por quem e, para membros da equipe, seu nome, endereço de e-mail e função.
• Categorias especiais de dados: nenhum é solicitado. Um comentário pode conter incidentalmente tais dados; nós os processamos apenas para moderar o comentário e para nada mais.
• Frequência: contínuo, conforme os comentários e mensagens chegam.
• Localização: servidores operados pela Hetzner Online GmbH na Alemanha, na União Europeia.

3Nossas obrigações como operador#

• Instruções. Processamos Dados Pessoais do Cliente apenas seguindo suas instruções documentadas. Suas instruções são os Termos de Serviço, este DPA, as regras, agentes e automações que você configura no Serviço e as ações que sua equipe realiza nele. Informaremos se acreditarmos que uma instrução viola a lei e poderemos pausar essa instrução até que seja resolvida.
• Confidencialidade. Apenas as pessoas que precisam de acesso para operar o Serviço o possuem, e cada uma delas está vinculada a um dever de confidencialidade.
• Segurança. Mantemos as medidas da seção 7 em vigor e as aprimoramos conforme o estado da arte evolui.
• Assistência. Nós ajudamos você a responder a solicitações de indivíduos (seção 8) e a realizar avaliações de impacto de proteção de dados e consultas com uma autoridade supervisora, na medida em que as informações estejam em nossas mãos.
• Exclusão. Nós excluímos ou devolvemos os Dados Pessoais do Cliente conforme descrito na seção 9.
• Registros e cooperação. Mantemos os registros de processamento que a lei exige, disponibilizamos a você as informações necessárias para demonstrar conformidade e cooperamos com sua autoridade supervisora quando solicitado.
• Nenhum outro uso. Nunca vendemos Dados Pessoais do Cliente, nunca os usamos para publicidade e nunca os usamos para treinar modelos de IA. Nossos provedores de IA os processam sob termos de API que excluem o treinamento em conteúdo de clientes.

4Suas obrigações como controlador#

• Você tem uma base legal para o processamento que instrui, e suas instruções cumprem a lei aplicável a você.
• As pessoas que comentam e enviam mensagens para suas páginas são informadas, da maneira que a sua lei exige, que você modera com uma ferramenta que age em seu nome.
• Você configura as regras, agentes e automações, e é responsável pelas decisões de moderação que eles executam.
• Você cumpre os termos da Meta para as páginas e contas que conectar.
• Você usa os controles no Serviço (funções, acesso a páginas, exclusão) para manter o processamento limitado ao que você precisa.

5Suboperadores#

Você nos dá autorização geral para usar os suboperadores listados em nossa página de Suboperadores. Essa página serve como o Anexo III das cláusulas contratuais padrão na seção 6. Ela nomeia cada empresa, o que ela faz por nós, quais dados ela trata e onde.

Mantemos essa página atualizada: um suboperador é adicionado a ela antes de tratar Dados Pessoais do Cliente, um que deixa de tratá-los é removido, e o registro de alterações na página grava ambos com a data. A página é o aviso de tais mudanças; verifique-a com a frequência que seu processo de conformidade exigir. Ao continuar a usar o Serviço após uma alteração, você aceita os suboperadores listados nela. Cada suboperador está vinculado por termos escritos que protegem os Dados Pessoais do Cliente pelo menos tão bem quanto este DPA.

6Transferências internacionais#

Os Dados Pessoais do Cliente são armazenados e processados na União Europeia. Como somos uma empresa nos Estados Unidos, e alguns suboperadores processam dados lá, as seguintes salvaguardas se aplicam a transferências para fora do EEE, do Reino Unido e da Suíça:

• EEE: as cláusulas contratuais padrão adotadas pela Comissão Europeia na Decisão (UE) 2021/914, Módulo Dois (controlador para operador), estão incorporadas a este DPA. Você é o exportador de dados e nós somos o importador de dados. A Cláusula 7 (a cláusula de adesão) se aplica; sob a cláusula 9, você concede a autorização geral na seção 5, e a página de Suboperadores contém o aviso de alterações; sob a cláusula 11, a resolução de disputas independente opcional não se aplica; sob a cláusula 13, a autoridade supervisora é a do estado-membro da UE onde você está estabelecido; sob a cláusula 17, as cláusulas são regidas pelas leis da Irlanda; sob a cláusula 18, as disputas vão para os tribunais da Irlanda. O Anexo I é a seção 2, o Anexo II é a seção 7 e o Anexo III é a página de Suboperadores.
• Reino Unido: o Adendo de Transferência Internacional de Dados às cláusulas contratuais padrão da UE emitido pelo Comissário de Informação do Reino Unido, em vigor desde 21 de março de 2022, está incorporado, com as tabelas preenchidas pelas mesmas seções. Qualquer uma das partes pode encerrar o Adendo conforme permitido por sua seção 19.
• Suíça: as cláusulas da UE se aplicam com as adaptações que o Comissário Federal Suíço de Proteção de Dados e Informação exige: as referências ao GDPR leem-se como referências à FADP, o Comissário é a autoridade competente e as cláusulas também protegem os dados de pessoas jurídicas na medida em que a FADP o faz.
• Brasil: onde a LGPD se aplica, as cláusulas da UE servem como salvaguarda contratual para transferências internacionais até que as próprias cláusulas padrão da ANPD as substituam.

Quando um suboperador processa dados fora desses territórios, a transferência se baseia nas mesmas cláusulas nos termos de processamento de dados desse suboperador, ou em uma decisão de adequação, conforme a página de Suboperadores indica para cada um deles.

7Medidas de segurança#

Estas são as medidas técnicas e organizacionais em vigor hoje, e servem como Anexo II das cláusulas na seção 6. A página de Segurança as explica em palavras simples.

• Hospedagem: todos os dados do Serviço residem em servidores operados pela Hetzner Online GmbH na Alemanha, em centros de dados certificados pela ISO 27001.
• Criptografia em trânsito: toda conexão usa TLS, e os navegadores são instruídos a usar apenas HTTPS.
• Credenciais: as senhas são criptografadas com bcrypt e nunca armazenadas em texto simples. Tokens de acesso a páginas são mantidos no servidor, nunca enviados para um navegador, e excluídos quando uma página ou conta do Facebook é desconectada. Uma redefinição de senha encerra todas as outras sessões.
• Controle de acesso: o acesso aos sistemas de produção é limitado às pessoas que operam o Serviço, via SSH baseado em chave. No Serviço, quatro funções e o acesso por página limitam o que cada membro da equipe pode ver, e a remoção de um membro encerra o acesso dele em todos os aparelhos de uma só vez.
• Backups e recuperação: backups do banco de dados são feitos diariamente, copiados para um segundo servidor e descartados após 14 dias.
• Mínimo de dados para terceiros: um provedor de IA recebe o texto de um comentário, o nome de exibição do autor quando uma regra exige e as notas da sua regra, nunca os detalhes da sua conta ou tokens de página. Nosso processador de pagamentos guarda os detalhes do cartão; nós nunca vemos o número completo.
• Monitoramento: o monitoramento de erros roda em nossos próprios servidores. Quando ele registra como uma tela se comportou durante um erro, todo texto é mascarado e toda imagem é bloqueada.
• Exclusão: você pode excluir uma página, sua conexão com o Facebook ou toda a sua conta a qualquer momento sem o nosso envolvimento, e as exclusões são confirmadas com um recibo.

8Solicitações de indivíduos#

Se alguém cujos dados estão no seu espaço de trabalho entrar em contato conosco para exercer um direito (acesso, correção, exclusão, restrição, objeção ou portabilidade), não responderemos sobre o mérito. Encaminharemos a solicitação ao proprietário do seu espaço de trabalho em até cinco dias úteis e ajudaremos você a responder dentro do prazo permitido pela sua lei, com as informações que estiverem em nossas mãos. A maior parte do que essa pessoa pode solicitar está disponível para você diretamente no Serviço: o comentário, seu autor, as ações tomadas e a opção de excluí-lo.

9Devolução e exclusão#

Durante a vigência, você pode exportar o que o Serviço oferece para exportação e excluir qualquer página, sua conexão com o Facebook ou toda a sua conta a qualquer momento, conforme a página de Exclusão de dados descreve. Antes de excluir sua conta, você pode nos solicitar por e-mail uma cópia dos Dados Pessoais do Cliente que mantemos, e nós a forneceremos em um formato comum legível por máquina.

Quando sua conta é excluída, ou quando o Serviço termina, excluímos todos os Dados Pessoais do Cliente de uma vez. Eles deixam o ciclo de backup em até 14 dias, e cada rastro desaparece em no máximo 30 dias. Mantemos apenas o que a lei nos exige manter, como faturas e registros de pagamento, e os recibos de exclusão descritos na Política de Privacidade, que contêm contagens e um código de confirmação, mas nunca o conteúdo.

10Auditorias#

A página de Segurança, a página de Subprocessadores e este DPA são nossa primeira resposta a qualquer pergunta sobre como protegemos seus dados. Além disso, uma vez por ano e sem custos, respondemos a um questionário de segurança por escrito razoável enviado por você.

Onde a sua lei ou a sua autoridade supervisora exigir uma auditoria, você ou um auditor independente vinculado por confidencialidade poderá realizar uma, no máximo uma vez por ano, a menos que uma autoridade exija o contrário, com pelo menos 30 dias de aviso prévio por escrito, durante o horário comercial, às suas custas e de uma forma que não interrompa o Serviço ou exponha dados de outros clientes.

11Responsabilidade#

Cada parte é responsável pelos danos que causar ao não cumprir este DPA ou a lei, conforme estabelecido no Artigo 82 do GDPR e nas disposições equivalentes das outras leis na seção 1. Os limites na seção de responsabilidade dos Termos de serviço se aplicam a este DPA, exceto onde a lei não permitir.

12Vigência e alterações#

Este DPA dura enquanto processarmos Dados Pessoais do Cliente para você, e seus deveres sobrevivem ao fim dos Termos até que a exclusão sob a seção 9 seja concluída.

Podemos atualizar este DPA quando a lei, nossos subprocessadores ou o Serviço mudarem. Para alterações materiais, notificamos o proprietário do seu espaço de trabalho por e-mail pelo menos 14 dias antes de entrarem em vigor. Cada versão traz sua data no topo, e versões anteriores estão disponíveis mediante solicitação.

13Cópia assinada e contato#

Se o seu processo de conformidade precisar de uma cópia assinada por ambas as partes, escreva para support@commentwatchdog.com a partir do e-mail da sua conta com o assunto "Signed DPA" e o nome jurídico e endereço da sua empresa. Devolveremos este DPA como um PDF assinado, com seus dados preenchidos, em até cinco dias úteis.

Dúvidas sobre este DPA: support@commentwatchdog.com, ou por correio para GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, Estados Unidos.