Acordo de Tratamento de Dados

As Partes. Este DPA é celebrado entre o Cliente ("Controlador"), entidade que contrata o serviço talyzr e determina as finalidades e meios do tratamento de Dados Pessoais; e a talyzr SpA, sociedade por ações constituída no Chile ("Operador" ou "talyzr"), que trata Dados Pessoais exclusivamente por conta do Controlador.

Para os fins deste DPA, entende-se por:

A talyzr trata Dados Pessoais única e exclusivamente para prestar o serviço talyzr ao Controlador conforme o Contrato Principal e as Instruções Documentadas. A talyzr não utilizará os Dados Pessoais para fins próprios, não os venderá, não os compartilhará com terceiros distintos dos Subprocessadores listados no Anexo B, nem os empregará para treinar modelos próprios de inteligência artificial.

O tratamento manter-se-á vigente enquanto durar a relação contratual entre o Controlador e a talyzr, acrescido de um período de retenção pós-cancelamento de 30 (trinta) dias corridos para permitir ao Controlador exportar seus dados, conforme regulado na seção "Devolução e destruição".

A descrição detalhada dos Dados Pessoais tratados, das categorias de Titulares, das finalidades, da frequência e da duração consta do Anexo A deste DPA.

Categorias sensíveis sob o GDPR Art. 9 / Lei 21.719 (dados especialmente protegidos): a talyzr não trata dados relativos a saúde, vida sexual ou orientação sexual, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, origem racial ou étnica, dados genéticos, dados biométricos para identificação unívoca, nem dados relativos a condenações ou infrações penais. O Controlador obriga-se a não incorporar tais dados ao serviço talyzr, salvo acordo prévio e por escrito com a talyzr que defina as salvaguardas adicionais aplicáveis.

Conforme o Artigo 28(3) do GDPR e disposições equivalentes da LGPD e da Lei 21.719, a talyzr obriga-se a:

A talyzr notificará o Controlador sobre qualquer Violação de Segurança que afete seus Dados Pessoais sem demora indevida e, em qualquer caso, dentro de 72 (setenta e duas) horas corridas a partir do conhecimento da violação pela talyzr.

A notificação conterá, no mínimo:

Se a informação completa não estiver disponível no momento da notificação inicial, a talyzr a entregará em fases à medida que for obtida, sem demoras injustificadas.

A notificação será enviada por correio eletrônico ao contato técnico-legal designado pelo Controlador no painel da talyzr. O Controlador é responsável por manter atualizada essa informação de contato.

O Controlador, em sua qualidade de Responsável pelo Tratamento, é quem deve efetuar as notificações às autoridades de controle e aos Titulares quando cabível. A talyzr prestará toda a assistência razoável para que o Controlador possa cumprir oportunamente tais notificações.

O Controlador, como Responsável pelo Tratamento, atende diretamente às solicitações dos Titulares relativas aos seus direitos de acesso, retificação, exclusão, oposição, portabilidade, limitação do tratamento e retirada do consentimento.

A talyzr assistirá o Controlador no atendimento dessas solicitações por meio de:

Se um Titular contatar a talyzr diretamente exercendo um direito, a talyzr encaminhará a solicitação ao Controlador sem processá-la, salvo instrução expressa do Controlador em contrário.

O Controlador autoriza de forma geral a talyzr a contratar Subprocessadores para o tratamento de Dados Pessoais, conforme as condições estabelecidas nesta seção e a lista atualizada do Anexo B.

A talyzr obriga-se a:

Direito de objeção: nos 30 dias posteriores à notificação de uma alteração de Subprocessador, o Controlador poderá objetar à alteração por motivos razoáveis relacionados à proteção de Dados Pessoais. Se a objeção não puder ser resolvida por meio de medidas técnicas ou organizativas adicionais, o Controlador poderá rescindir o Contrato Principal sem penalidade quanto ao serviço afetado, com direito à devolução proporcional dos valores pré-pagos não auferidos.

A infraestrutura principal da talyzr está hospedada na região AWS sa-east-1 (São Paulo, Brasil). Os dados dos clientes LATAM permanecem residentes nessa região.

Alguns Subprocessadores listados no Anexo B tratam dados fora da região principal (Estados Unidos, União Europeia, Reino Unido). Para essas transferências, aplicam-se os mecanismos legais a seguir:

A talyzr aplica medidas técnicas e organizativas adicionais para as transferências internacionais, incluindo criptografia em trânsito (TLS 1.2+) e em repouso, controles de acesso sob o princípio do menor privilégio e revisão periódica da adequação do destino conforme o critério Schrems II.

A talyzr implementa e mantém medidas técnicas e organizativas apropriadas para garantir um nível de segurança adequado ao risco, conforme o GDPR Art. 32 e normas equivalentes.

Medidas técnicas vigentes:

Medidas organizativas vigentes:

A talyzr disponibiliza ao Controlador as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações deste DPA, incluindo:

O Controlador poderá solicitar auditorias presenciais sob as seguintes condições cumulativas: (a) máximo uma vez por ano civil, (b) com aviso prévio por escrito de pelo menos 30 dias corridos, (c) durante o horário comercial chileno, (d) sujeitas à assinatura de um acordo de confidencialidade pelo auditor com a talyzr, (e) os custos do auditor e os custos razoáveis que o exercício do direito imponha à talyzr correrão por conta do Controlador, salvo se a auditoria revelar descumprimentos materiais por parte da talyzr.

Uma auditoria não poderá comprometer a confidencialidade ou segurança dos dados de outros clientes da talyzr. A talyzr poderá objetar fundamentadamente a um auditor concreto se tiver motivos razoáveis (por exemplo, conflito de interesse com um concorrente).

Ao término do Contrato Principal por qualquer causa, a talyzr disponibilizará ao Controlador a exportação dos Dados Pessoais em formato estruturado e legível por máquina por um período de 30 (trinta) dias corridos a partir da data efetiva do término.

Vencido o prazo de retenção, a talyzr procederá à exclusão irreversível dos Dados Pessoais do banco de dados produtivo, dos sistemas auxiliares (caches, filas, índices) e dos logs operativos, dentro de um prazo adicional de até 30 dias corridos.

Os backups que contenham Dados Pessoais são sobrescritos automaticamente dentro do ciclo de retenção de backups do provedor de banco de dados (point-in-time recovery até 30 dias). A talyzr não extrai nem segrega Dados Pessoais individuais a partir de backups; os dados sairão dos backups por seu ciclo natural de rotação.

A pedido do Controlador, a talyzr emitirá um certificado de destruição assinado por seu Representante Legal confirmando o cumprimento das obrigações desta seção.

O acima exposto não se aplica a Dados Pessoais que a talyzr deva conservar por mandado legal expresso (por exemplo, registros fiscais ou contábeis), os quais serão resguardados sob as mesmas medidas de segurança descritas neste DPA pelo prazo legal mínimo e posteriormente excluídos.

A responsabilidade das partes decorrente do descumprimento das obrigações deste DPA rege-se pelos limites e condições estabelecidos no Contrato Principal. As partes acordam que este DPA não amplia nem reduz os limites de responsabilidade ali pactuados, salvo no estritamente necessário para cumprir obrigações legais imperativas.

Prevalência de documentos. Em caso de contradição entre este DPA e o Contrato Principal, prevalecerá o disposto neste DPA exclusivamente quanto ao tratamento de Dados Pessoais.

Modificações. A talyzr poderá atualizar este DPA para refletir alterações regulatórias, incorporação de novas medidas de segurança ou ajustes na lista de Subprocessadores. As alterações materiais serão notificadas ao Controlador com pelo menos 30 dias corridos de antecedência. O Controlador poderá objetar às alterações materiais sob o mesmo procedimento aplicável a Subprocessadores.

Lei aplicável e jurisdição. Este DPA rege-se pelas leis da República do Chile e, no que couber, pela normativa de proteção de dados do local de estabelecimento do Controlador. As controvérsias serão submetidas à jurisdição acordada no Contrato Principal. Se o Contrato Principal nada dispuser, serão competentes os tribunais ordinários de justiça com sede na cidade de Santiago do Chile.