Acordo de tratamento de dados

Sumário

1. 1. Escopo, papéis e definições
2. 2. Detalhes do Tratamento
3. 3. Instruções do Cliente
4. 4. Confidencialidade das pessoas autorizadas
5. 5. Medidas de segurança
6. 6. Suboperadores
7. 7. Localização dos dados e transferências internacionais
8. 8. Assistência com as solicitações dos Titulares dos Dados
9. 9. Notificação de Violação de Dados Pessoais
10. 10. Avaliações de impacto e consulta aos órgãos reguladores
11. 11. Informações e auditorias
12. 12. Devolução e exclusão de dados
13. 13. Solicitações governamentais
14. 14. Responsabilidade
15. 15. Vigência e precedência
16. 16. Contato de proteção de dados e registro das operações de tratamento
17. Anexo 1: Detalhes do Tratamento
18. Anexo 2: Medidas técnicas e organizacionais
19. Anexo 3: Suboperadores

Versão: 1.2 · Publicado em: 16 de outubro de 2026 · Em vigor: na aceitação para novos Espaços de Trabalho; para os Espaços de Trabalho que aceitaram uma Versão anterior, na data que a STAK indicar em seu aviso nos termos da cláusula 20 dos Termos de Serviço do Cliente · Texto prevalecente: Inglês (cláusula 23.9 dos Termos de Serviço do Cliente)

Emitido por: STAK Global, LLC, sociedade de responsabilidade limitada constituída no Estado de Delaware, Estados Unidos da América (número de registro 10798493), que é titular da STAK (ستاك) e dos Serviços. Contato: [email protected].

1. Escopo, papéis e definições

1.1 Este Acordo de Tratamento de Dados faz parte integrante do Contrato nos termos da cláusula 3.1 dos Termos de Serviço do Cliente STAK (os “Termos”). Ele rege o Tratamento de Dados Pessoais do Cliente pela STAK. As expressões definidas nos Termos têm o mesmo significado neste Acordo de Tratamento de Dados.

1.2 O Cliente é o Controlador dos Dados Pessoais do Cliente, e a STAK é uma Operadora que os trata em nome do Cliente e conforme as suas instruções.

• Controlador e Operador significam seus equivalentes nos termos da Lei de Proteção de Dados Aplicável, como a entidade controladora e a entidade processadora no Reino da Arábia Saudita.
• Se o Cliente trata os dados como operador em nome de outro controlador, a STAK os trata como operadora atuando em nome do Cliente, e não é um Suboperador no sentido da cláusula 1.3. O Cliente garante que as suas instruções sejam compatíveis com as instruções desse controlador.
• A STAK trata os Dados da Conta como Controladora, conforme descrito na Política de Privacidade, e este Acordo de Tratamento de Dados não se aplica a eles. Nem esta referência nem a do Anexo 3 criam obrigações contratuais nos termos da cláusula 3.2 dos Termos.

1.3 As expressões a seguir têm os significados indicados ao lado de cada uma:

• Dados Pessoais do Cliente: Os Dados Pessoais contidos nos Dados do Cliente, incluindo dados sobre os Clientes Finais, empregados, fornecedores e Usuários do Cliente, exceto os Dados da Conta.
• Dados Pessoais Sensíveis: dados de saúde e clínicos, e quaisquer dados que a Lei de Proteção de Dados Aplicável classifique como sensíveis.
• Tratamento: qualquer operação realizada com Dados Pessoais, como coleta, registro, armazenamento, consulta, utilização, divulgação, transferência e eliminação.
• Suboperador: qualquer parte que a STAK contrata para tratar Dados Pessoais do Cliente com a finalidade de prestar os Serviços.
• Titular dos Dados: a pessoa natural a quem os Dados Pessoais se referem.
• Incidente de Segurança: qualquer evento que ameace, ou se suspeite que ameace, a confidencialidade, a integridade ou a disponibilidade dos Serviços.
• Violação de Dados Pessoais: qualquer violação de segurança que leve à destruição, perda ou alteração acidental ou ilícita de Dados Pessoais do Cliente, ou à divulgação ou ao acesso não autorizados a eles.
• Backup: qualquer cópia dos Dados do Cliente feita para fins de recuperação, nos termos da cláusula 12.3 e do Anexo 2.
• Ambiente de Produção: os sistemas e bancos de dados nos quais os Serviços são executados e que o Cliente utiliza, excluídos os Backups.
• Lei de Proteção de Dados Aplicável: a legislação de proteção de dados pessoais que se aplica ao Tratamento, cada uma conforme aplicável, incluindo a seguinte:
  • no Estado do Kuwait: a Lei n.º 20 de 2014 sobre Transações Eletrônicas, e o Regulamento de Proteção da Privacidade de Dados, o Marco Regulatório de Computação em Nuvem e a Política de Classificação de Dados emitidos pela Autoridade Reguladora de Comunicações e Tecnologia da Informação, cada um dentro de seu próprio escopo;
  • a Lei de Proteção de Dados Pessoais do Reino da Arábia Saudita, promulgada pelo Decreto Real n.º (M/19) de 9/2/1443 AH, com suas alterações, seu Regulamento de Execução e o Regulamento sobre a Transferência de Dados Pessoais para Fora do Reino;
  • nos Emirados Árabes Unidos: o Decreto-Lei Federal n.º (45) de 2021 sobre a Proteção de Dados Pessoais, a Lei Federal n.º (2) de 2019 sobre o Uso da Tecnologia da Informação e Comunicação nas Áreas da Saúde, e as leis de proteção de dados do Centro Financeiro Internacional de Dubai e do Abu Dhabi Global Market para os que estejam sujeitos a elas;
  • Lei n.º (30) de 2018 que promulga a Lei de Proteção de Dados Pessoais do Reino do Bahrein;
  • Lei n.º (13) de 2016 sobre a Proteção da Privacidade dos Dados Pessoais do Estado do Catar;
  • a Lei de Proteção de Dados Pessoais promulgada pelo Decreto Real n.º (6/2022) do Sultanato de Omã;
  • o Regulamento Geral sobre a Proteção de Dados da União Europeia (Regulamento (UE) 2016/679), quando se aplicar ao Cliente;
  • o Regulamento Geral sobre a Proteção de Dados do Reino Unido e a Data Protection Act 2018; a Lei Federal Suíça de Proteção de Dados; a California Consumer Privacy Act, conforme alterada, e as demais leis estaduais abrangentes de privacidade dos Estados Unidos da América; a Personal Information Protection and Electronic Documents Act do Canadá e as leis provinciais; a Lei Geral de Proteção de Dados do Brasil (Lei n.º 13.709/2018); a Digital Personal Data Protection Act, 2023 da Índia; a Lei n.º 6698 da Turquia sobre a Proteção de Dados Pessoais; a Lei n.º 151 de 2020 do Egito; a Protection of Personal Information Act, 2013 da África do Sul; a Personal Data Protection Act 2012 de Singapura; a Privacy Act 1988 da Austrália; e qualquer outra lei de proteção de dados pessoais que se aplique ao Tratamento.

2. Detalhes do Tratamento

O Anexo 1 estabelece o objeto, a duração, a natureza e a finalidade do Tratamento, as categorias de Titulares dos Dados e as categorias de Dados Pessoais.

3. Instruções do Cliente

3.1 A STAK trata os Dados Pessoais do Cliente apenas conforme as instruções documentadas do Cliente. Essas instruções são:

• o Contrato;
• as configurações do Espaço de Trabalho;
• as ações que os Usuários realizam dentro dos Serviços;
• quaisquer outras instruções escritas que as Partes acordem.

3.2 A STAK pode tratar os dados de forma diversa dessas instruções quando a Lei Aplicável o exigir. Ela notifica o Cliente com antecedência, a menos que a lei proíba a notificação.

3.3 A STAK notifica o Cliente se considerar que uma instrução viola a Lei de Proteção de Dados Aplicável. Ela pode se recusar a executar essa instrução até que o Cliente a altere para eliminar a violação, ou a confirme por escrito com uma declaração de sua base legal que a STAK aceite razoavelmente.

3.4 O Cliente é responsável pela licitude de suas instruções e por ter uma base legal para coletar e tratar Dados Pessoais do Cliente. Isso inclui informar os Titulares dos Dados e obter o consentimento deles quando necessário, inclusive o consentimento para a transferência de seus dados nos termos da cláusula 7.

4. Confidencialidade das pessoas autorizadas

A STAK limita o acesso aos Dados Pessoais do Cliente aos funcionários e prestadores que precisam deles para o seu trabalho, e os vincula à confidencialidade. Os funcionários e prestadores da STAK acessam os Dados do Cliente apenas nos seguintes casos, e o início de cada acesso desse tipo ao Ambiente de Produção é registrado:

• (a) para prestar o suporte solicitado pelo Cliente;
• (b) para operar e manter os Serviços e restaurá-los a partir dos Backups;
• (c) para investigar um Incidente de Segurança ou uma suspeita de violação da Política de Uso Aceitável;
• (d) quando a lei o exigir.

5. Medidas de segurança

5.1 A STAK aplica medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente, levando em conta a natureza e os riscos do Tratamento. Estas incluem, no mínimo, as medidas do Anexo 2.

5.2 A STAK pode atualizar estas medidas, desde que o nível geral de proteção não diminua.

5.3 O Cliente é responsável pelas medidas de segurança sob seu próprio controle, como gerenciar Usuários e permissões, ativar o login em duas etapas, proteger seus dispositivos e equipamentos e manter seguros os dados que exporta.

6. Suboperadores

6.1 O Cliente autoriza a STAK a contratar os Suboperadores listados no Anexo 3.

6.2 A STAK deve celebrar um contrato escrito com cada Suboperador. O contrato deve impor obrigações de proteção de dados que ofereçam um nível de proteção adequado ao Tratamento e substancialmente equivalente ao deste Acordo de Tratamento de Dados. A STAK continua responsável perante o Cliente pelo cumprimento das obrigações de seus Suboperadores.

6.3 A STAK notifica o Cliente sobre qualquer novo Suboperador pelo menos 30 dias antes de ele começar a tratar Dados Pessoais do Cliente, dentro dos Serviços ou por e-mail.

6.4 Durante o prazo de aviso, o Cliente pode se opor por escrito ao novo Suboperador por motivos razoáveis de proteção de dados. Se as Partes não chegarem a um acordo sobre uma solução, o Cliente pode rescindir a assinatura afetada, ou o Contrato, antes do início do Tratamento e receber o reembolso das Tarifas pagas antecipadamente relativas ao período restante.

6.5 Os Provedores Conectados que o Cliente conecta por meio de suas próprias contas não são Suboperadores da STAK. Entre eles estão os Provedores de Serviços de Pagamento, a Meta no que diz respeito à própria conta do WhatsApp Business do Cliente, e as plataformas de entrega. O envio de dados a eles por instrução do Cliente é uma transferência realizada por determinação do Cliente e em seu nome.

6.6 Os dados são enviados ao provedor dos Recursos de IA apenas quando um Usuário solicita um desses recursos, quando um Usuário envia um documento para que um deles o leia, como um recibo, ou quando uma automação que um Usuário configurou executa uma etapa que usa IA, e apenas os dados necessários para realizar essa solicitação ou etapa são enviados. O provedor não pode usá-los para treinar seus modelos. Os Dados Pessoais Sensíveis só são enviados a ele se a própria solicitação ou etapa os contiver.

7. Localização dos dados e transferências internacionais

7.1 Os Serviços são hospedados, e os Dados Pessoais do Cliente são armazenados principalmente, no Ambiente de Produção da Amazon Web Services na região de Frankfurt, na República Federal da Alemanha. Os Backups são mantidos na mesma região, e cópias deles são feitas em uma região separada da Amazon Web Services na República da Irlanda.

7.2 O Cliente reconhece o seguinte e autoriza expressamente as transferências dele decorrentes:

• (a) a hospedagem ocorre na União Europeia, que pode ficar fora do país em que o Cliente está estabelecido ou exerce suas atividades;
• (b) a Cloudflare trata o tráfego de rede por meio de sua rede global o tempo todo;
• (c) os demais Suboperadores listados no Anexo 3 tratam dados em outros países, incluindo os Estados Unidos da América, apenas quando o serviço em questão é utilizado;
• (d) os funcionários da STAK podem acessar os dados a partir do Estado do Kuwait, apenas nos casos previstos na cláusula 4.

7.3 Para as transferências de Dados Pessoais do Cliente para fora do país em que foram coletados, a STAK aplica as seguintes salvaguardas:

• (a) os contratos mencionados na cláusula 6.2, incluindo as cláusulas contratuais padrão que a STAK mantém com Suboperadores fora da União Europeia;
• (b) criptografia em trânsito e em repouso;
• (c) os mecanismos de transferência reconhecidos pela Lei de Proteção de Dados Aplicável quando esta os exigir, incluindo os da cláusula 7.6.

7.4 O Cliente deve obter qualquer consentimento ou autorização que a lei de seu país exija para transferir Dados Pessoais do Cliente para fora desse país, seja de um órgão regulador ou dos Titulares dos Dados. A STAK fornece as informações necessárias para isso mediante solicitação.

7.5 A STAK pode mover a hospedagem principal ou os Backups para outra região após notificar o Cliente com pelo menos 30 dias de antecedência, e o Cliente pode se opor nos termos da cláusula 6.4, com qualquer rescisão nos termos dessa cláusula produzindo efeitos antes da data da mudança. Executar temporariamente os Serviços a partir dos Backups na República da Irlanda após a perda da região de hospedagem principal não é uma mudança nos termos desta cláusula, e a STAK notifica o Cliente sem demora.

7.6 Mecanismos de transferência exigidos por lei: sem prejuízo da cláusula 7.4:

• (a) Quando o Regulamento Geral sobre a Proteção de Dados da União Europeia se aplica ao Cliente, as cláusulas contratuais padrão adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia (as “CCP da UE”) são incorporadas por referência a este Acordo de Tratamento de Dados: o Módulo Dois (de controlador para operador) quando o Cliente é um controlador, e o Módulo Três (de operador para operador) quando ele trata os dados em nome de outro controlador. O Cliente é o exportador de dados e a STAK, a importadora de dados. A Cláusula 7 (cláusula de adesão) se aplica. Nos termos da Cláusula 9(a), aplica-se a Opção 2 (autorização geral por escrito), com o prazo de aviso previsto na cláusula 6.3. O texto facultativo da Cláusula 11(a) não se aplica. Nos termos das Cláusulas 17 e 18, aplicam-se a lei e os tribunais da República da Irlanda. A autoridade de supervisão competente é determinada nos termos da Cláusula 13. Seus anexos são completados pelos Anexos 1, 2 e 3. Elas prevalecem sobre o Contrato em caso de conflito entre ambos.
• (b) Quando a Lei de Proteção de Dados Pessoais do Reino da Arábia Saudita se aplica ao Cliente, as Cláusulas Contratuais Padrão para Transferência de Dados Pessoais emitidas pela Autoridade Saudita de Dados e Inteligência Artificial, Segundo Modelo (de controlador para operador), são incorporadas por referência a este Acordo de Tratamento de Dados. O Cliente é o exportador de dados e a STAK, a importadora de dados, e seus apêndices são completados pelos Anexos 1, 2 e 3. A STAK fornece ao Cliente as informações de que ele precisa para a avaliação de risco da transferência que deve realizar nos termos do Regulamento sobre a Transferência de Dados Pessoais para Fora do Reino. Elas prevalecem sobre o Contrato em caso de conflito entre ambos.
• (c) Quando o Decreto-Lei Federal n.º (45) de 2021 dos Emirados Árabes Unidos se aplica ao Cliente, a STAK aplica aos dados transferidos as disposições, medidas e controles dessa lei, na medida em que se apliquem a um operador.
• (d) Quando o Regulamento Geral sobre a Proteção de Dados do Reino Unido se aplica ao Cliente, o Adendo de Transferência Internacional de Dados (International Data Transfer Addendum) às CCP da UE, emitido pelo Information Commissioner do Reino Unido (versão B1.0, em vigor desde 21 de março de 2022, conforme alterada posteriormente), é incorporado por referência. As Tabelas 1 a 3 são preenchidas com os dados das Partes constantes do Contrato e dos Anexos 1 a 3. Quanto à Tabela 4, qualquer das Partes pode encerrar o Adendo conforme permite a sua Seção 19.
• (e) Quando a Lei Federal Suíça de Proteção de Dados se aplica ao Cliente, as CCP da UE se aplicam com estas alterações: o Comissário Federal Suíço de Proteção de Dados e de Informação é a autoridade de supervisão competente para as transferências regidas por essa Lei; as referências ao GDPR incluem essa Lei; e “Estado-Membro” é entendido de modo que os titulares dos dados na Suíça possam apresentar reclamações na Suíça.
• (f) Quando outra Lei de Proteção de Dados Aplicável exige um instrumento de transferência específico, como as cláusulas contratuais padrão da autoridade nacional de proteção de dados do Brasil ou o contrato padrão previsto na Lei n.º 6698 da Turquia, a STAK assina ou incorpora esse instrumento a pedido do Cliente, com seus dados preenchidos a partir dos Anexos 1 a 3.
• (g) Quando a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act) ou uma lei estadual de privacidade semelhante dos Estados Unidos se aplica, a STAK atua como prestadora de serviços, contratada ou operadora do Cliente. A STAK não vende nem compartilha Dados Pessoais do Cliente. Ela não os retém, utiliza ou divulga para nenhuma finalidade diferente da prestação dos Serviços nos termos do Contrato, nem fora da relação comercial direta com o Cliente. Ela não os combina com informações pessoais de outras fontes, exceto na medida em que essas leis permitirem. Cumpre essas leis e oferece o mesmo nível de proteção de privacidade que elas exigem. Informa o Cliente se não puder mais cumprir essas obrigações. O Cliente pode tomar medidas razoáveis para interromper e corrigir qualquer uso não autorizado. A STAK certifica que compreende essas restrições.

7.7 Dados que devem permanecer em um país específico: o Cliente não deve manter nos Serviços dados que a Lei Aplicável exija que sejam armazenados ou tratados dentro de um país específico, a menos que os Serviços indiquem, nos termos da cláusula 9.5 dos Termos, que a hospedagem nesse país está disponível para o Aplicativo em questão. Isso decorre da cláusula 13.4 dos Termos e da cláusula 5.4 da Política de Uso Aceitável.

8. Assistência com as solicitações dos Titulares dos Dados

8.1 Os Serviços oferecem ao Cliente ferramentas para visualizar, exportar e corrigir os Dados Pessoais de seus Clientes Finais, uma ferramenta para eliminá-los substituindo a identidade deles por um pseudônimo e mantendo os registros que a lei exige que sejam mantidos, e ferramentas para visualizar e corrigir os dados de seus empregados. O Cliente utiliza essas ferramentas para responder às solicitações dos Titulares dos Dados, e a STAK presta assistência nos termos da cláusula 8.3 em tudo o que elas não cobrirem, incluindo a exportação e a exclusão de dados de empregados.

8.2 Se a STAK receber diretamente de um Titular dos Dados uma solicitação relativa a Dados Pessoais do Cliente, ela a encaminha ao Cliente sem demora e responde apenas conforme as instruções do Cliente.

8.3 A STAK presta ao Cliente assistência razoável em tudo o que as ferramentas disponíveis não cobrirem.

9. Notificação de Violação de Dados Pessoais

9.1 A STAK notifica o Cliente sem demora injustificada após tomar conhecimento de qualquer Violação de Dados Pessoais que afete Dados Pessoais do Cliente. Ela o faz em até 24 horas após tomar conhecimento, quando viável, e em qualquer caso em até 48 horas.

9.2 O aviso inclui, na medida em que as informações estejam disponíveis:

• (a) a natureza da violação;
• (b) as categorias de dados e de Titulares dos Dados e o seu número aproximado;
• (c) as prováveis consequências;
• (d) as medidas tomadas e propostas para tratar a violação;
• (e) um ponto de contato na STAK.

A STAK fornece informações adicionais assim que estiverem disponíveis.

9.3 A STAK adota imediatamente medidas razoáveis para conter a violação e limitar seus efeitos. Ela coopera com o Cliente na notificação a órgãos reguladores e a Titulares dos Dados quando o Cliente deva fazê-lo, levando em conta os prazos que a lei estabelece para o Cliente. Quando a Lei Aplicável exigir que a própria STAK notifique um órgão regulador sobre a violação, a STAK o faz dentro do prazo exigido e informa o Cliente.

9.4 O aviso de uma violação pela STAK, ou sua cooperação para lidar com ela, não constitui admissão de culpa ou responsabilidade.

10. Avaliações de impacto e consulta aos órgãos reguladores

A pedido do Cliente, a STAK fornece as informações razoáveis necessárias para realizar uma avaliação de impacto à proteção de dados ou para consultar um órgão regulador, na medida em que diga respeito aos Serviços.

11. Informações e auditorias

11.1 A pedido do Cliente, a STAK fornece as informações razoavelmente necessárias para demonstrar o seu cumprimento deste Acordo de Tratamento de Dados. Isso inclui documentação de segurança e respostas a um questionário de segurança por ano.

11.2 O Cliente pode, às suas próprias custas, realizar uma auditoria, ou fazer com que um auditor independente vinculado à confidencialidade a realize, nos seguintes casos:

• (a) quando um órgão regulador o exigir;
• (b) após uma Violação de Dados Pessoais que afete seus dados;
• (c) quando as informações fornecidas nos termos da cláusula 11.1 não forem suficientes.

A auditoria está sujeita a estas condições:

• O Cliente notifica a STAK sobre a auditoria com pelo menos 30 dias de antecedência.
• Ocorre durante o horário comercial nos Dias Úteis.
• Uma auditoria nos termos da alínea (c) ocorre no máximo uma vez por ano.
• Nenhuma auditoria se estende às instalações dos Suboperadores. Suas certificações e relatórios independentes bastam em seu lugar.
• Nenhuma auditoria inclui acesso aos dados de outros clientes ou a qualquer coisa que afete a segurança deles.

12. Devolução e exclusão de dados

12.1 O Cliente pode exportar os Dados Pessoais do Cliente a qualquer momento, e por 30 dias após o término do Contrato, nos termos da cláusula 19.5 dos Termos.

12.2 Após o período de exportação, a STAK exclui os Dados Pessoais do Cliente do Ambiente de Produção em até 30 dias, a menos que a Lei Aplicável exija sua manutenção, e sem prejuízo da retenção prevista na cláusula 19.5 dos Termos enquanto a STAK tiver sido notificada de um litígio judicial, de uma investigação ou de uma solicitação de autoridade competente.

12.3 Os Backups são mantidos pelos seguintes prazos de retenção:

• (a) a recuperação para um ponto no tempo e os Backups diários: 35 dias a partir da data em que cada Backup é feito;
• (b) Backups lógicos noturnos do banco de dados (dumps do banco de dados): 35 dias;
• (c) Backups mensais: 12 meses a partir da data em que cada Backup é feito;
• (d) versões anteriores de arquivos enviados: 90 dias a partir da data em que são substituídos ou excluídos.

Regras aplicáveis a esses Backups:

• Os Backups diários e mensais e suas cópias são mantidos em cofres de backup cuja política impede que qualquer pessoa, inclusive a própria equipe da STAK, exclua um Backup antes do fim do seu prazo de retenção ou altere esse prazo, e cujo bloqueio no modo de conformidade (compliance mode) do provedor de hospedagem impede a exclusão de qualquer Backup durante pelo menos os seus primeiros 35 dias.
• Os Backups lógicos noturnos são protegidos contra alteração e exclusão até o fim do seu prazo de retenção.
• A STAK não exclui nenhum Backup antes do fim do seu prazo de retenção, mesmo a pedido do Cliente.
• Todos os Backups são colocados fora de uso e são usados apenas para recuperação técnica, sem prejuízo da cláusula 12.4, ou quando a lei o exigir.
• Todos os Backups que contêm dados excluídos expiram ao fim desses prazos, isto é, em no máximo 12 meses, e os dados excluídos são então destruídos de forma permanente.
• Mediante solicitação, a STAK informa ao Cliente a data em que expira o último Backup que contém dados excluídos, para que o Cliente possa informar o Titular dos Dados.

12.4 Se a STAK restaurar um Backup durante esses prazos, ela reaplica, antes de os dados serem disponibilizados, as eliminações realizadas nos termos da cláusula 8.1 e as exclusões feitas nos termos da cláusula 12.2 após a data desse Backup, usando os registros que mantém dessas operações.

13. Solicitações governamentais

Se a STAK receber uma solicitação vinculante de uma autoridade governamental ou judicial para divulgar Dados Pessoais do Cliente, ela notifica o Cliente, a menos que a lei proíba a notificação. A STAK limita a divulgação ao mínimo exigido pela solicitação. Ela contesta as solicitações que considere razoavelmente ilícitas, pelos meios legais disponíveis.

14. Responsabilidade

A responsabilidade de cada Parte nos termos deste Acordo de Tratamento de Dados, incluindo sua responsabilidade perante a outra Parte nos termos das cláusulas contratuais padrão da cláusula 7.6, está sujeita às disposições de limitação de responsabilidade da cláusula 16 dos Termos, na medida em que essas cláusulas o permitam e sem afetar os direitos dos Titulares dos Dados nos termos delas.

15. Vigência e precedência

15.1 Este Acordo de Tratamento de Dados se aplica enquanto a STAK tratar Dados Pessoais do Cliente.

15.2 Em caso de conflito entre este Acordo de Tratamento de Dados e os Termos, ele prevalece nas matérias relativas aos Dados Pessoais do Cliente.

15.3 Quando a Lei de Proteção de Dados Aplicável impuser uma obrigação imperativa mais rigorosa do que a deste Acordo de Tratamento de Dados, essa obrigação se aplica dentro do seu escopo.

16. Contato de proteção de dados e registro das operações de tratamento

A STAK designou um contato de proteção de dados, que pode ser acionado por e-mail em [email protected]. A STAK mantém um registro das atividades de tratamento que realiza em nome dos clientes e o fornece ao órgão regulador competente quando a lei o exigir.

Anexo 1: Detalhes do Tratamento

• Objeto: prestar os Serviços ao Cliente nos termos dos Termos.
• Duração: a vigência do Contrato, o período de exportação e exclusão posterior nos termos da cláusula 12, os prazos de retenção dos Backups da cláusula 12.3 e os prazos de retenção dos Suboperadores estabelecidos no Anexo 3.
• Natureza e finalidade:
  • armazenar e hospedar os Dados do Cliente;
  • processar vendas, pedidos, reservas e faturas;
  • gerenciar estoque, contabilidade, recursos humanos e folha de pagamento;
  • enviar as mensagens que o Cliente solicita por meio de suas próprias contas junto a Provedores Conectados, ou por meio dos provedores de mensageria que a STAK utiliza assim que estiverem listados no Anexo 3;
  • prestar os Recursos de IA quando são utilizados;
  • Backups, segurança e Suporte.
• Categorias de Titulares dos Dados:
  • os Clientes Finais, hóspedes e pacientes do Cliente;
  • seus empregados e candidatos a emprego;
  • Usuários;
  • seus fornecedores e os contatos deles;
  • motoristas e entregadores.
• Categorias de Dados Pessoais:
  • dados de identidade e de contato, como nome, telefone, e-mail, endereço e local de entrega;
  • registros de transações, pedidos, reservas e faturas;
  • referências vinculadas a pagamentos, sem números de cartão completos;
  • dados de fidelidade, preferências e consentimentos;
  • dados dos empregados do Cliente, como número de identificação civil, dados de residência, salário, número internacional de conta bancária (IBAN), frequência e licenças;
  • fotos e documentos que o Cliente envia;
  • registros de mensagens e a trilha de auditoria.
• Dados Pessoais Sensíveis: dados de saúde e clínicos quando os Aplicativos para clínicas são utilizados, sem prejuízo da cláusula 7.7 e da cláusula 13.4 dos Termos, segundo a qual os recursos de prontuário de pacientes não devem ser usados para pacientes que recebam serviços de saúde no Estado do Kuwait ou nos Emirados Árabes Unidos; e dados de saúde em arquivos de recursos humanos, como atestados médicos. Os prontuários clínicos e os arquivos de recursos humanos são criptografados com chaves separadas, e esses dados só são visíveis para os Usuários que detêm as funções autorizadas a vê-los. Os códigos de diagnóstico e de procedimento em pedidos de reembolso de seguros e autorizações prévias, e as imagens de carteirinhas de seguro, são protegidos pela criptografia do banco de dados e do armazenamento descrita no Anexo 2.

Anexo 2: Medidas técnicas e organizacionais

1. Criptografia:
   • Os dados em trânsito são criptografados com TLS versão 1.2 ou posterior, e a identidade do servidor do banco de dados é verificada em cada conexão.
   • Os dados em repouso em bancos de dados, discos, arquivos, Backups e no armazenamento de segredos são criptografados com AES-256, usando chaves gerenciadas por meio do AWS Key Management Service (AWS KMS) ou pelo provedor de hospedagem.
   • Os arquivos de recursos humanos e os prontuários clínicos são criptografados adicionalmente dentro do aplicativo com chaves separadas, e os dados de conexão dos Provedores Conectados são mantidos em um armazenamento de segredos separado, criptografado com uma chave separada.
2. Isolamento dos dados de cada cliente: cada registro de Dados do Cliente traz o identificador do Negócio a que pertence. As políticas de segurança em nível de linha do banco de dados se aplicam à função do aplicativo, e a função do aplicativo não tem permissão para contorná-las. Restrições de chave composta impedem que registros de um Negócio sejam vinculados a registros de outro.
3. Controle de acesso:
   • O acesso é concedido com base no princípio do menor privilégio.
   • O acesso ao Ambiente de Produção é limitado a funcionários da STAK nomeados, exige autenticação multifator e o início de cada acesso é registrado.
   • O acesso administrativo aos servidores ocorre apenas por meio do AWS Systems Manager, sem login direto (SSH).
4. Segurança do login dos Usuários:
   • Para os Usuários, os Serviços oferecem passkeys, aplicativos autenticadores e códigos de verificação enviados a um telefone verificado.
   • Para o Cliente, oferecem funções e permissões personalizáveis, acesso restrito por Filial e, nos Planos que os incluem, regras de inatividade de sessão e alertas aos Proprietários sobre logins de novos dispositivos.
5. Trilha de auditoria: é mantida uma trilha de auditoria das alterações que nenhum Usuário pode alterar ou excluir. Ela registra o autor, o horário, a origem e o endereço IP. Quando o Cliente elimina os Dados Pessoais de um Cliente Final nos termos da cláusula 8.1, as entradas perdem os dados identificadores dessa pessoa, mas mantêm o que foi feito, por quem e quando. A trilha de auditoria é excluída junto com os Dados do Cliente nos termos da cláusula 12. Os lançamentos contábeis são encadeados de forma a revelar qualquer adulteração.
6. Backups e recuperação:
   • Backups contínuos e automatizados permitem a recuperação para um ponto no tempo dentro de 35 dias;
   • os Backups diários são mantidos por 35 dias e os mensais por 12 meses, e são copiados para uma região geográfica separada na República da Irlanda. A política dos cofres de backup impede a sua exclusão antes do fim do prazo de retenção ou qualquer alteração desse prazo, e um bloqueio em modo de conformidade (compliance mode) impede a exclusão de qualquer Backup durante pelo menos os seus primeiros 35 dias;
   • um Backup lógico do banco de dados é feito toda noite e mantido por 35 dias em armazenamento protegido contra alteração e exclusão;
   • a restauração do banco de dados a partir dos Backups é testada todos os meses.
7. Dados de pagamento: os Serviços são projetados para que a STAK não armazene números de cartão completos. Os pagamentos são feitos em páginas hospedadas pelos Provedores de Serviços de Pagamento ou em seus terminais e aplicativos certificados de aceitação de cartões. As telas dos Serviços não contêm campos para inserção de dados de cartão, e os Serviços permitem ao Cliente verificar os campos de texto livre em busca de números de cartão inseridos por engano para que possam ser removidos.
8. Rede e infraestrutura: os bancos de dados funcionam em redes privadas sem acesso público, atrás de firewalls. Um firewall de aplicações web e proteção contra ataques de negação de serviço são fornecidos por meio da Cloudflare.
9. Gerenciamento de vulnerabilidades e desenvolvimento seguro: o código é revisado e testes automatizados são executados antes de cada lançamento. As bibliotecas de software são verificadas e as atualizações de segurança são aplicadas sem demora.
10. Monitoramento e resposta a incidentes:
    • a infraestrutura em nuvem é monitorada automaticamente 24 horas por dia, com alertas imediatos;
    • cada ação administrativa na infraestrutura em nuvem é registrada, e ameaças e permissões excessivas são detectadas automaticamente por meio de serviços dedicados da Amazon (AWS CloudTrail, GuardDuty e IAM Access Analyzer);
    • aplicam-se procedimentos documentados para responder a Incidentes de Segurança e para a notificação nos termos da cláusula 9.
11. Continuidade de negócios: aplicam-se planos de continuidade e recuperação, em linha com os objetivos de recuperação do Acordo de Nível de Serviço.
12. Equipe: Os funcionários e prestadores da STAK são vinculados à confidencialidade e recebem treinamento de conscientização sobre segurança.
13. Exclusão segura: os dados são excluídos nos termos da cláusula 12, e o provedor de hospedagem destrói as mídias de acordo com seus padrões.

Anexo 3: Suboperadores

Provedores usados apenas quando ativados. A STAK tem os seguintes provedores configurados, mas hoje não os utiliza para tratar Dados Pessoais do Cliente. Só passa a utilizar algum deles depois de dar aviso nos termos da cláusula 6.3, com pelo menos 30 dias de antecedência, e o aviso indica onde o provedor trata os dados e por quanto tempo os mantém.

Quando a STAK ativar seu próprio número de WhatsApp, a Meta envia por meio dele códigos de login aos Usuários e códigos de verificação aos Clientes Finais que verificam seus números de telefone nas Páginas Públicas. Ao fazê-lo, ela trata dados que a STAK trata como Controladora nos termos da Política de Privacidade, e não Dados Pessoais do Cliente.

Além dos provedores acima, a STAK não utiliza provedores de mensagens de texto, notificações push, carteiras digitais, nem de consulta, verificação e mapeamento de endereços para tratar Dados Pessoais do Cliente.