Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados (este "DPA") integra o contrato entre a Seferu e o Cliente que faz referência a este DPA (o "Contrato"). "Seferu" significa a Seferu Ltda, CNPJ 68.884.983/0001-00, para Clientes no Brasil, ou a Seferu LLC, para Clientes nos demais países. Os termos iniciados em maiúscula e não definidos neste DPA (ou em outro documento referido nele) têm o significado dado a eles no Contrato.

1. Tratamento, objeto e papéis

1.1 Tratamento de dados.

Ao prestar os Serviços ao Cliente nos termos do Contrato, a Seferu pode tratar Dados do Cliente que sejam "dados pessoais" ou termo equivalente segundo a lei aplicável ("Dados Pessoais do Cliente"), incluindo a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, "LGPD"), o Regulamento (UE) 2016/679 ("GDPR") e a UK GDPR (em conjunto, a "Lei de Proteção de Dados").

1.2 Objeto.

O objeto, a natureza e a finalidade do tratamento, os tipos de Dados Pessoais do Cliente e as categorias de titulares estão no Anexo I, que faz parte deste DPA.

1.3 Papéis.

O Cliente é o "Controlador" e nomeia a Seferu como "Operadora" (ou "Processor", nos termos da GDPR) dos Dados Pessoais do Cliente. Se o Cliente for operador em nome de um terceiro controlador (o "Controlador Terceiro"), a Seferu será suboperadora do Cliente.

2. Instruções de tratamento

A Seferu tratará os Dados Pessoais do Cliente em nome do Cliente e somente conforme as suas instruções documentadas, para as seguintes finalidades: (i) tratamento de acordo com este DPA, o Contrato e os pedidos aplicáveis; (ii) tratamento iniciado pelos usuários do Cliente ao usar os Serviços; e (iii) tratamento para cumprir outras instruções razoáveis do Cliente, por escrito, compatíveis com o Contrato. A Seferu avisará o Cliente se entender que uma instrução viola a Lei de Proteção de Dados.

3. Pessoal

A Seferu garantirá que todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estejam sujeitas a obrigação de confidencialidade.

4. Limites de tratamento (LGPD)

Salvo quando permitido pela Lei de Proteção de Dados ou por este DPA, a Seferu não poderá: (a) reter, usar ou divulgar Dados Pessoais do Cliente para qualquer finalidade que não seja prestar os Serviços e cumprir o Contrato; (b) vender ou compartilhar Dados Pessoais do Cliente; nem (c) combinar Dados Pessoais do Cliente com dados pessoais que a Seferu receba de terceiros ou colete por conta própria, exceto quando necessário para prestar os Serviços.

5. Segurança e incidentes de segurança

5.1 Segurança.

A Seferu adotará medidas técnicas e administrativas razoáveis e adequadas para garantir um nível de segurança compatível com os riscos do tratamento dos Dados Pessoais do Cliente, conforme o Anexo II.

5.2 Aviso de incidente de segurança.

A Seferu avisará o Cliente sem demora indevida e em até 72 horas depois de tomar conhecimento de qualquer acesso não autorizado, confirmado ou razoavelmente suspeito, ou de outro tratamento indevido dos Dados Pessoais do Cliente ("Incidente de Segurança"). Se não for possível dar todas as informações ao mesmo tempo, a Seferu as dará em etapas, sem demora indevida, para que o Cliente cumpra as suas obrigações, inclusive a comunicação à Autoridade Nacional de Proteção de Dados ("ANPD") e aos titulares.

5.3 Resposta a incidentes.

A Seferu tomará medidas razoáveis diante de um Incidente de Segurança, incluindo (i) medidas para mitigar o incidente e evitar que ele se repita, (ii) informações razoáveis sobre o incidente, como a natureza, os dados e os titulares afetados e as medidas adotadas, e (iii) a cooperação razoável com o Cliente.

5.4 Vulnerabilidades.

A Seferu mantém um programa público de divulgação de vulnerabilidades, descrito em seferu.com/security, e corrige as vulnerabilidades relatadas de acordo com a gravidade de cada uma.

5.5 Criptografia.

A Seferu criptografará os Dados Pessoais do Cliente em trânsito e em repouso, com padrões aceitos pelo mercado e protocolos de segurança atuais.

6. Suboperadores

6.1 Suboperadores.

O Cliente autoriza a Seferu a contratar operadores que tratem Dados Pessoais do Cliente em nome da Seferu ("Suboperadores"). A lista atual está no Anexo III.

6.2 Contratos com Suboperadores.

A Seferu firmará com cada Suboperador um contrato escrito com obrigações substancialmente equivalentes às deste DPA.

6.3 Mudanças de Suboperadores.

A Seferu avisará o Cliente antes de qualquer mudança pretendida nos Suboperadores. O Cliente pode se opor à inclusão de um Suboperador, com fundamento razoável de que ela resultará em violação relevante da Lei de Proteção de Dados, por escrito, em até 30 dias do aviso. Nesse caso, as partes discutirão de boa-fé uma solução; se não houver acordo, o Cliente poderá encerrar a parte afetada dos Serviços, com reembolso proporcional dos valores pagos antecipadamente.

7. Assistência

7.1 Assistência.

Considerando a natureza do tratamento e as informações disponíveis à Seferu, a Seferu prestará assistência razoável ao Cliente, inclusive na adoção de medidas técnicas e administrativas adequadas, para que o Cliente cumpra as suas obrigações de atender aos pedidos dos titulares (como acesso, correção, portabilidade e eliminação), de garantir a segurança do tratamento e de elaborar relatórios de impacto à proteção de dados pessoais, quando exigidos.

8. Auditoria

Mediante pedido escrito e razoável do Cliente, a Seferu permitirá que o Cliente, às suas custas, audite os controles aplicáveis da Seferu e o cumprimento deste DPA (uma "Auditoria"), desde que a Auditoria (a) seja feita pelo Cliente ou por auditor independente sujeito a confidencialidade, (b) ocorra no máximo uma vez a cada 12 meses, salvo exigência de autoridade ou após um Incidente de Segurança, (c) seja agendada com pelo menos 30 dias de antecedência e (d) não prejudique as operações da Seferu nem a confidencialidade dos dados de outros clientes. A Seferu pode cumprir esta cláusula fornecendo documentação ou relatórios de auditoria de terceiros, quando houver.

9. Transferências internacionais

9.1 Transferências a partir do Brasil.

O Cliente autoriza a Seferu a transferir Dados Pessoais do Cliente para fora do Brasil, inclusive para os Suboperadores do Anexo III, com base nos mecanismos do art. 33 da LGPD, em especial:

• para países ou organismos reconhecidos pela ANPD como de nível de proteção adequado;
• com base nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), que as partes incorporam a este DPA na medida em que se apliquem; ou
• com base em outro mecanismo admitido pela LGPD.

9.2 Transferências a partir da Europa.

Para Dados Pessoais do Cliente sujeitos à GDPR, o Cliente autoriza transferências internacionais (i) para países com decisão de adequação da Comissão Europeia, (ii) com base em regras corporativas vinculantes aprovadas ou (iii) para importadores com quem a Seferu tenha firmado cláusulas contratuais-padrão ("SCCs"). O Cliente e a Seferu celebram o Módulo 2 (controlador para operador) das SCCs e, se o Cliente for operador de um Controlador Terceiro, o Módulo 3 (operador para suboperador), incorporados a este DPA e completados com as informações dos Anexos I a III.

9.3 Transferências a partir do Reino Unido.

Para Dados Pessoais do Cliente sujeitos à UK GDPR, o Cliente autoriza transferências (i) para países com regulamento de adequação do governo do Reino Unido, (ii) com base em regras corporativas vinculantes aprovadas pelo Information Commissioner ou (iii) com base no adendo do Reino Unido às SCCs, que as partes incorporam a este DPA, sendo o Cliente o exportador e a Seferu a importadora.

10. Devolução e eliminação

Após o término ou a rescisão do Contrato, a Seferu devolverá ou eliminará, conforme escolha do Cliente, todos os Dados Pessoais do Cliente, em até 30 dias, salvo quando a lei exigir a sua conservação. Nesse caso, a Seferu manterá os dados protegidos por este DPA e apenas para a finalidade que exige a conservação.

Anexo I: Descrição do tratamento

A. Partes

• Exportador e controlador: o Cliente, que recebe os Serviços da Seferu nos termos do Contrato e fornece Dados Pessoais à Seferu nesse contexto. Papel: controlador, ou operador em nome de Controlador Terceiro.
• Importadora e operadora: a Seferu, que presta os Serviços ao Cliente e trata Dados Pessoais em seu nome. Papel: operadora do Cliente, ou suboperadora em nome de Controlador Terceiro.

B. Descrição do tratamento

• Categorias de titulares: os usuários, funcionários e prestadores do Cliente que usam os Serviços, e as pessoas cujos dados o Cliente inclui nos Serviços.
• Categorias de dados pessoais: nome, e-mail, foto de perfil, dados de acesso e de uso dos Serviços e os dados que o Cliente incluir em prompts, documentos e informações oficiais.
• Dados sensíveis: não se aplica. O Cliente não deve incluir dados pessoais sensíveis nos Serviços.
• Frequência: contínua, durante a vigência do Contrato.
• Natureza e finalidade: tratamento necessário para prestar os Serviços descritos no Contrato.
• Retenção: enquanto for necessário para a finalidade do tratamento e conforme a lei aplicável, inclusive prazos de prescrição, observada a seção 10.
• Transferências a Suboperadores: mesmo objeto, natureza e duração descritos neste Anexo, conforme o Anexo III.

C. Autoridade competente

• No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD).
• No Espaço Econômico Europeu, a autoridade de controle do Estado-Membro em que o Cliente estiver estabelecido ou, se não houver, a do Estado-Membro onde estiverem os titulares.
• No Reino Unido, o Information Commissioner's Office.
• Na Suíça, o Federal Data Protection and Information Commissioner.

Anexo II: Medidas técnicas e administrativas

A Seferu adota as seguintes medidas para proteger os Dados Pessoais do Cliente contra acesso, aquisição ou divulgação não autorizados, destruição, alteração, perda acidental, uso indevido ou dano:

• criptografia em trânsito (TLS) em todo o tráfego dos Serviços;
• criptografia em repouso dos bancos de dados e arquivos, pelos provedores de infraestrutura;
• verificação em duas etapas para as contas e acesso aos espaços de trabalho somente por convite, com papéis definidos pelo Cliente;
• chaves de API e de integrações guardadas criptografadas;
• acesso interno aos dados restrito às pessoas que precisam dele para prestar os Serviços, sujeitas a confidencialidade;
• monitoramento de erros e de disponibilidade dos Serviços;
• programa público de divulgação de vulnerabilidades (seferu.com/security);
• preparação para a auditoria SOC 2 Tipo II.

Anexo III: Lista de suboperadores

O Cliente autoriza a Seferu a contratar os seguintes Suboperadores:

Dúvidas sobre este DPA: support@seferu.com. Incidentes de segurança: security@seferu.com. Veja também a nossa Política de Privacidade.