Adendo de Tratamento de Dados

011. Posição das partes

Quanto aos dados pessoais dos usuários finais do Cliente, o Cliente é o controlador e a nulvless é o operador. O Cliente decide as finalidades e os meios; nós agimos conforme instrução documentada dele.

As instruções do Cliente são: os Termos, este Adendo, a configuração definida no console e as chamadas feitas à API. Não trataremos os dados para nenhuma outra finalidade.

Se uma instrução, a nosso ver, violar a legislação de proteção de dados, comunicaremos o Cliente sem demora injustificada e poderemos suspender aquele tratamento.

Quanto aos dados pessoais do próprio Cliente — conta, cobrança, suporte — a nulvless é a controladora, e quem rege é a Política de Privacidade, não este Adendo.

022. Obrigações do operador

Assumimos os seguintes compromissos enquanto durar o Serviço:

• Tratar dados pessoais apenas conforme instrução documentada do Cliente, inclusive quanto a transferências, salvo exigência legal — caso em que informaremos o Cliente previamente, exceto se a lei proibir.
• Assegurar que todos os autorizados a tratar os dados estejam sujeitos a dever de confidencialidade.
• Implementar e manter as medidas técnicas e organizacionais descritas no Anexo 2.
• Observar as condições deste Adendo para contratar outro operador.
• Auxiliar o Cliente, por medidas adequadas, no atendimento a titulares que exerçam seus direitos.
• Auxiliar o Cliente em segurança, comunicação de incidentes e relatórios de impacto, considerando a natureza do tratamento e as informações de que dispomos.
• A critério do Cliente, eliminar ou devolver os dados pessoais ao fim do Serviço, e apagar as cópias existentes, salvo retenção exigida por lei.
• Disponibilizar as informações necessárias para demonstrar o cumprimento destas obrigações e permitir auditorias conforme abaixo.

033. Suboperadores

O Cliente concede autorização geral para que a nulvless contrate suboperadores. A lista vigente é publicada como parte deste Adendo e nomeia cada provedor, sua finalidade e sua localização.

Avisaremos com no mínimo trinta dias de antecedência antes de incluir ou substituir um suboperador. O Cliente pode se opor por motivo razoável de proteção de dados nesse prazo; não sendo resolvida a objeção, poderá rescindir a parte afetada do Serviço sem penalidade.

Cada suboperador está sujeito a termos escritos com proteção não inferior à deste Adendo. Permanecemos integralmente responsáveis perante o Cliente pela atuação deles.

Quando o Cliente configura provedor próprio de entrega — e-mail, SMS ou outro — aquele provedor é suboperador do Cliente, contratado sob acordo dele, e esta seção não se aplica.

Provedor de identidade para login social também está fora desta seção, por motivo diferente: ele decide as próprias finalidades e meios sobre os dados que mantém do usuário final, e atua como controlador independente perante a nulvless e perante o Cliente. Não é suboperador de nenhum dos dois.

044. Requisições de titulares

O Serviço dá ao Cliente os meios de acessar, corrigir, exportar e eliminar os dados de um usuário final diretamente, pelo console e pela API. O Cliente deve usá-los em primeiro lugar.

Se um titular nos procurar sobre dados que tratamos para o Cliente, não responderemos ao mérito. Vamos encaminhá-lo ao Cliente e comunicar o Cliente sem demora injustificada.

Quando o Cliente não puder atender o pedido pelo próprio Serviço, prestaremos auxílio razoável às custas dele, salvo se a lei exigir de outro modo.

055. Incidente de segurança

Comunicaremos o Cliente sem demora injustificada, e em qualquer hipótese em até setenta e duas horas, após tomarmos conhecimento de incidente que afete dados pessoais tratados para ele.

A comunicação descreverá a natureza do incidente, as categorias e o número aproximado de titulares e registros envolvidos, as consequências prováveis, as medidas adotadas ou propostas, e um ponto de contato. Não sendo possível fornecer tudo de uma vez, forneceremos em etapas sem demora injustificada.

Comunicar o Cliente não constitui admissão de culpa. Comunicar a autoridade e os titulares afetados é responsabilidade do Cliente, na condição de controlador.

066. Auditoria e registros

Mediante solicitação, disponibilizaremos as informações necessárias para demonstrar o cumprimento deste Adendo, incluindo nossa documentação de segurança vigente e eventuais relatórios de terceiros que tivermos.

O Cliente pode auditar no máximo uma vez a cada doze meses, com aviso por escrito de trinta dias, em horário comercial, sem prejudicar o Serviço nem os dados de outros clientes. A autoridade competente pode auditar quando a lei exigir.

Quando a auditoria for além das informações que já disponibilizamos, o custo razoável é do Cliente.

077. Transferências internacionais

As instalações principais de tratamento da nulvless ficam nos Estados Unidos. Ainda assim, a nulvless pode tratar dados pessoais em qualquer lugar onde ela ou seus suboperadores mantenham instalações, conforme identificado no Anexo 3. Parte do Serviço roda em rede de borda distribuída, na qual o local de processamento acompanha a origem da requisição.

Quando o Cliente indicar uma região determinada, a nulvless garante que os dados sejam armazenados e primariamente tratados nessa região, ressalvadas as funcionalidades que dependem da rede de borda.

Quando dados pessoais forem transferidos para fora do Espaço Econômico Europeu, da Suíça ou do Reino Unido, para país sem decisão de adequação, as partes aderem às Cláusulas Contratuais Padrão, módulo dois (controlador para operador), incorporadas por referência.

Para efeito dessas Cláusulas: o Cliente é o exportador, a nulvless é a importadora, o Anexo 1 fornece a descrição da transferência e o Anexo 2 as medidas técnicas e organizacionais.

Para transferências sujeitas à LGPD, as partes adotam o mecanismo permitido pelo artigo 33 que se aplicar à transferência em questão.

088. Pedidos de terceiros e de autoridades

Se recebermos pedido juridicamente vinculante de autoridade pública sobre dados pessoais que tratamos para o Cliente, comunicaremos o Cliente antes de responder, salvo proibição legal.

Impugnaremos pedido que aparente ser ilegal, divulgaremos apenas o mínimo exigido, e manteremos registro do que foi divulgado.

099. Eliminação e devolução

Encerrado o contrato, os dados pessoais ficam disponíveis para exportação por trinta dias. Depois disso, são eliminados dos sistemas de produção.

Os backups seguem o ciclo próprio de expiração, e a partir dele os dados também não estão mais lá. Até então permanecem sujeitos a este Adendo.

1010. Responsabilidade

Nossa responsabilidade sob este Adendo está sujeita aos limites previstos nos Termos, salvo quando a legislação de proteção de dados aplicável não permitir essa limitação.

Nada neste Adendo afasta as obrigações ou a responsabilidade própria de cada parte sob a legislação de proteção de dados aplicável.

11Anexo 1 — Descrição do tratamento

Objeto e duração: prestação do Serviço nos termos do contrato, enquanto a conta do Cliente estiver ativa, acrescido dos prazos de eliminação acima.

Natureza e finalidade: autenticar usuários finais, decidir o que podem acessar, entregar as mensagens transacionais que esses fluxos exigem, proteger contra abuso e manter a trilha de auditoria.

Categorias de titulares: usuários finais do Cliente e membros da organização do Cliente que usam o console.

Categorias de dados pessoais:

• Identificadores — e-mail, telefone, username e os campos de perfil que o Cliente optar por armazenar.
• Credenciais — senhas como hashes com sal, segredos de múltiplo fator, códigos de recuperação de uso único.
• Contas vinculadas — o identificador devolvido por provedor social de identidade.
• Registros de sessão — endereço IP, navegador e sistema operacional, fabricante, modelo e tipo de dispositivo, e hash derivado desses dados.
• Localização aproximada derivada do IP — cidade, região, país, coordenadas e fuso, a partir de tabela de consulta offline.
• Atividade — horários de login, métodos de autenticação usados e trilha de auditoria das alterações.
• Metadados personalizados que o Cliente optar por anexar.

Os Termos proíbem o Cliente de colocar números de cartão, documentos de identificação ou dados de saúde em metadados de usuário ou claims de token. Por concepção, não há tratamento de dados sensíveis.

Frequência: contínua, enquanto usuários finais interagirem com o produto do Cliente.

12Anexo 2 — Medidas técnicas e organizacionais

• Criptografia de dados pessoais em trânsito e em repouso.
• Senhas armazenadas como hashes com sal, por algoritmo adaptativo com fator de trabalho configurável — bcrypt ou PBKDF2, selecionável por projeto. Nunca recuperáveis em texto claro.
• Isolamento lógico entre projetos, e entre ambientes dentro de um projeto, cada um com dados e credenciais próprios.
• Acesso à produção restrito a pessoal que dele necessite, com registro de toda ação administrativa.
• Rate limiting e proteção contra bots nos endpoints de autenticação.
• Trilha de auditoria com autor, alvo, categoria e momento das alterações de configuração e de dados de identidade.
• Backups com ciclo de expiração definido e procedimentos documentados de restauração.
• Obrigação de confidencialidade para todo o pessoal com acesso.

Não possuímos hoje certificação SOC 2 ou ISO 27001. Este anexo será atualizado quando isso mudar, em vez de sugerir antes.

13Anexo 3 — Suboperadores

Os terceiros abaixo são contratados para prestar o Serviço. Mudanças são comunicadas conforme a seção 3.

Provedores que o Cliente configura com credenciais próprias — remetentes de e-mail e de SMS, e o provedor de proteção contra bots — não estão listados aqui. O Cliente os instrui diretamente, sob contrato próprio, o que os torna suboperadores do Cliente e não nossos. SMS não tem remetente de reserva: sem um provedor configurado pelo Cliente, nenhum SMS é enviado.

1411. Disposições gerais

Este Adendo passa a valer quando o Cliente aceita os Termos e permanece em vigor enquanto tratarmos dados pessoais para ele.

Nossa responsabilidade sob este Adendo está sujeita aos limites previstos nos Termos.

Este Adendo é regido pela mesma lei dos Termos, salvo quando a legislação de proteção de dados exigir de outro modo. Dúvidas devem ser enviadas para [email protected], ou para NULVLESS CLOUD LTDA, R. Amélia Rodrigues, Cond. Vila Olímpica 1, CEP 44.430-716, Santo Antônio de Jesus, BA, Brasil.