Adendo de Tratamento de Dados (DPA)

Os termos abaixo têm o significado da LGPD e, neste DPA, são usados assim:

Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável, tratada pela SMARTCON em nome do Cliente na prestação dos Serviços.

Controlador: o Cliente, a quem competem as decisões sobre o tratamento dos Dados Pessoais.

Operadora: a SMARTCON, que trata os Dados Pessoais em nome e por instrução do Cliente.

Suboperador: terceiro contratado pela SMARTCON que trata Dados Pessoais para viabilizar os Serviços.

Titular: pessoa natural a quem se referem os Dados Pessoais, como funcionários do Cliente e consumidores das lojas do Cliente.

Incidente de Segurança: evento confirmado que comprometa a confidencialidade, integridade ou disponibilidade dos Dados Pessoais.

Serviços: as soluções SMARTCON contratadas pelo Cliente, incluindo plataforma web, aplicativos, retaguarda e suporte.

2.1. O Cliente é o Controlador dos Dados Pessoais inseridos ou gerados nos Serviços e a SMARTCON é a Operadora, nos termos dos arts. 5º, VI e VII, e 39 da LGPD.

2.2. A SMARTCON tratará os Dados Pessoais somente para prestar os Serviços e conforme as instruções documentadas do Cliente. Constituem instruções o contrato, os Termos de Uso, este DPA, as configurações feitas pelo Cliente nos Serviços e as solicitações formais enviadas ao suporte.

2.3. A SMARTCON informará o Cliente se, a seu ver, uma instrução violar a LGPD ou outra norma aplicável, podendo suspender sua execução até que o Cliente a confirme ou altere.

2.4. A SMARTCON não venderá os Dados Pessoais nem os usará para finalidades próprias. A geração de dados agregados e anonimizados para melhoria da plataforma, prevista no item 7.5 dos Termos de Uso, só ocorre quando não for possível identificar Titulares, nos termos do art. 12 da LGPD.

A SMARTCON se compromete a:

• Tratar os Dados Pessoais apenas conforme a seção 2 e pelo tempo necessário à prestação dos Serviços;

• Manter as medidas de segurança descritas no Anexo II;

• Garantir que seus colaboradores com acesso aos Dados Pessoais estejam sujeitos a dever de confidencialidade e recebam orientação sobre proteção de dados;

• Limitar o acesso aos Dados Pessoais aos colaboradores que dele precisem para executar os Serviços, como suporte, implantação e manutenção;

• Manter registro das operações de tratamento que realizar, conforme o art. 37 da LGPD;

• Auxiliar o Cliente no atendimento aos Titulares, na elaboração de relatório de impacto à proteção de dados e nas comunicações com a ANPD, na medida das informações de que disponha;

• Comunicar Incidentes de Segurança conforme a seção 9;

• Devolver ou eliminar os Dados Pessoais ao término do contrato, conforme a seção 12.

O Cliente se compromete a:

• Definir as finalidades do tratamento e garantir que haja base legal adequada para cada uma, inclusive o consentimento dos Titulares quando exigido;

• Informar os Titulares sobre o tratamento, incluindo o uso de etiquetas RFID, a emissão de documentos fiscais com CPF e o rastreamento pelo aplicativo, quando aplicável;

• Inserir nos Serviços apenas os Dados Pessoais necessários às finalidades definidas, sem incluir dados pessoais sensíveis, salvo acordo escrito com a SMARTCON;

• Responder aos pedidos dos Titulares, com o apoio da SMARTCON previsto na seção 10;

• Gerenciar os usuários e perfis de acesso da sua instância, mantendo as credenciais em sigilo e removendo os acessos de quem deixar a empresa;

• Comunicar à ANPD e aos Titulares os Incidentes de Segurança, quando exigido, com base nas informações fornecidas pela SMARTCON.

5.1. A SMARTCON manterá os Dados Pessoais em sigilo e não os divulgará a terceiros, salvo aos Suboperadores da seção 7 ou por obrigação legal ou ordem judicial.

5.2. Se receber ordem de autoridade para fornecer Dados Pessoais, a SMARTCON avisará o Cliente antes de atendê-la, salvo se a lei ou a própria ordem o proibir, e fornecerá apenas o mínimo exigido.

5.3. O dever de confidencialidade permanece após o término do contrato.

6.1. A SMARTCON adota medidas técnicas e administrativas aptas a proteger os Dados Pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou divulgação, conforme o art. 46 da LGPD. As medidas vigentes estão no Anexo II.

6.2. A SMARTCON poderá atualizar essas medidas, desde que o nível de proteção não seja reduzido.

6.3. Nas instalações on-premise e nos computadores de caixa do SMARTCON Shop, a segurança física e lógica do ambiente do Cliente (servidores, rede, sistema operacional e equipamentos) é de responsabilidade do Cliente.

7.1. O Cliente autoriza a SMARTCON a contratar os Suboperadores listados no Anexo III.

7.2. A SMARTCON avisará o Cliente, por e-mail ou no painel, com antecedência mínima de 30 (trinta) dias antes de incluir ou substituir um Suboperador. O Cliente poderá se opor por motivo razoável ligado à proteção de dados nesse prazo. Sem solução alternativa, o Cliente poderá rescindir os Serviços afetados sem multa.

7.3. A SMARTCON exigirá de cada Suboperador, por contrato, obrigações de proteção de dados equivalentes às deste DPA e responde perante o Cliente pelo cumprimento dessas obrigações.

8.1. Os Dados Pessoais dos Serviços em nuvem são armazenados no Brasil, na região sa-east-1 (São Paulo) da Amazon Web Services.

8.2. Se algum Suboperador tratar Dados Pessoais fora do Brasil, a SMARTCON garantirá que a transferência observe o art. 33 da LGPD e a regulamentação da ANPD sobre transferência internacional, como as cláusulas-padrão contratuais, e indicará o país no Anexo III.

9.1. A SMARTCON comunicará ao Cliente qualquer Incidente de Segurança que afete os Dados Pessoais em até 48 (quarenta e oito) horas após tomar conhecimento dele, pelo e-mail do responsável cadastrado pelo Cliente. Se esse canal falhar, a comunicação sai pelo painel.

9.2. A comunicação informará, na medida do que for conhecido: a natureza e a data do incidente; as categorias e a quantidade aproximada de Titulares e de dados afetados; os riscos prováveis; e as medidas adotadas para conter e reduzir os efeitos. Informações ainda não disponíveis serão enviadas assim que apuradas. O conteúdo cobre o que o Controlador precisa para atender à Resolução CD/ANPD nº 15/2024.

9.3. Cabe ao Cliente, como Controlador, decidir sobre a comunicação à ANPD e aos Titulares no prazo da regulamentação. A SMARTCON não comunicará o incidente a terceiros em nome do Cliente sem sua autorização, salvo obrigação legal.

9.4. Os Suboperadores são obrigados a comunicar a SMARTCON em prazo não superior a 24 (vinte e quatro) horas.

10.1. Se um Titular procurar a SMARTCON diretamente sobre Dados Pessoais tratados em nome do Cliente, a SMARTCON encaminhará o pedido ao Cliente em até 5 (cinco) dias úteis e não o responderá por conta própria, salvo instrução do Cliente.

10.2. Os Serviços permitem ao Cliente consultar, corrigir, exportar e excluir Dados Pessoais. Quando isso não for possível pelas funcionalidades disponíveis, a SMARTCON apoiará o Cliente para que ele responda ao Titular nos prazos do art. 18 da LGPD.

11.1. A pedido do Cliente, no máximo uma vez a cada 12 (doze) meses, a SMARTCON fornecerá as informações necessárias para demonstrar o cumprimento deste DPA, como questionários de segurança respondidos, políticas internas e relatórios disponíveis.

11.2. Se essas informações não forem suficientes, ou após um Incidente de Segurança, ou por exigência da ANPD, o Cliente poderá realizar auditoria, por conta própria ou por auditor independente sujeito a confidencialidade. A auditoria será agendada com 30 (trinta) dias de antecedência, em horário comercial, sem acesso a dados de outros clientes e sem prejudicar a operação da SMARTCON.

11.3. Os custos da auditoria são do Cliente, salvo se ela revelar descumprimento relevante deste DPA pela SMARTCON.

12.1. Após o término do contrato, o Cliente terá 30 (trinta) dias para exportar seus dados, em formato legível (como CSV ou JSON), conforme os Termos de Uso.

12.2. Encerrado esse prazo, a SMARTCON eliminará os Dados Pessoais dos ambientes de produção. As cópias de segurança serão eliminadas no ciclo normal de expiração, em até 30 (trinta) dias, permanecendo protegidas por este DPA até lá.

12.3. A SMARTCON poderá manter apenas os dados que a lei a obrigar a guardar, pelo prazo legal, e confirmará a eliminação por escrito, se o Cliente pedir.

12.4. Nas instalações on-premise e nos caixas do SMARTCON Shop, a eliminação dos dados armazenados nos equipamentos do Cliente é de responsabilidade do Cliente.

13.1. Cada parte responde pelos danos que causar ao descumprir a LGPD ou este DPA, nos termos dos arts. 42 a 45 da LGPD. A SMARTCON responde solidariamente apenas quando descumprir a legislação de proteção de dados ou deixar de seguir as instruções lícitas do Cliente.

13.2. Aplica-se a este DPA a limitação de responsabilidade da seção 6 dos Termos de Uso, salvo quando a lei não permitir limitação, como em danos causados por dolo.

14.1. Este DPA vigora enquanto a SMARTCON tratar Dados Pessoais em nome do Cliente.

14.2. Em caso de conflito sobre proteção de dados pessoais, este DPA prevalece sobre os Termos de Uso e o contrato principal.

14.3. A SMARTCON poderá atualizar este DPA para refletir mudanças legais ou nos Serviços, avisando o Cliente com 30 (trinta) dias de antecedência. Alterações que reduzam a proteção dos Dados Pessoais dependem de concordância do Cliente.

14.4. Este DPA é regido pelas leis brasileiras. Fica eleito o foro da Comarca de Igrejinha/RS, após tentativa de mediação amigável, como nos Termos de Uso.

14.5. Dúvidas sobre este DPA: Encarregado de Proteção de Dados (DPO) da SMARTCON, pelo e-mail smartcon@smartcon.mobi.

O tratamento consiste em coletar, armazenar, organizar, consultar, transmitir e eliminar Dados Pessoais, de forma contínua, durante a vigência do contrato.

Dados pessoais sensíveis não são necessários aos Serviços e não devem ser inseridos pelo Cliente.

A SMARTCON mantém, nos Serviços em nuvem:

• cifragem em trânsito (TLS) e em repouso;

• controle de acesso por perfil e menor privilégio;

• registro de acessos administrativos;

• segregação lógica entre clientes;

• cópias de segurança com prazo de retenção definido no item 12.2;

• gestão de vulnerabilidades;

• dever de confidencialidade dos colaboradores com acesso.

A infraestrutura é da Amazon Web Services, região sa-east-1, no modelo de responsabilidade compartilhada.

No on-premise e no caixa do SMARTCON Shop, servidor, rede, sistema operacional e equipamento são do Cliente.

Amazon Web Services, Inc. — hospedagem e armazenamento — Brasil (sa-east-1) — dados pessoais inseridos nos Serviços em nuvem. Transferência internacional: não, salvo acesso de suporte fora do Brasil, hipótese em que se aplicam as cláusulas-padrão da Resolução CD/ANPD nº 19/2024.

A Cielo processa os pagamentos da assinatura do Cliente com a SMARTCON. Ela trata dados do Cliente para a SMARTCON, como Controladora, e não dados tratados em nome do Cliente, por isso não é Suboperadora neste DPA.