Acordo de Processamento de Dados (DPA)

1. Escopo e aplicabilidade

Este Acordo de Processamento de Dados (“DPA”) faz parte dos Termos de Serviço entre Cemile Ceylan (“Processador”) e o cliente (“Controlador”) e aplica-se quando o Processador processa dados pessoais em nome do Controlador na prestação dos serviços da MobVex. Este DPA está em conformidade com o Artigo 28 do Regulamento Geral sobre a Proteção de Dados (GDPR).

Este DPA aplica-se a clientes corporativos e empresariais. Para formalizar este DPA, entre em contato conosco pelo endereço info@mobvex.io.

2. Definições

• Dados pessoais: qualquer informação relativa a uma pessoa natural identificada ou identificável.
• Processamento: qualquer operação realizada sobre dados pessoais (coleta, armazenamento, uso etc.).
• Controlador: o cliente que determina as finalidades e os meios do processamento.
• Processador: Cemile Ceylan, que processa dados em nome do Controlador.
• Titular dos dados: a pessoa natural cujos dados pessoais são processados.
• Subprocessador: um terceiro contratado pelo Processador para processar dados pessoais.

3. Natureza e finalidade do processamento

O Processador processa dados pessoais com a finalidade de fornecer o Serviço MobVex ao Controlador. As atividades de processamento incluem:

• Dados da conta: endereços de e-mail, nomes e tokens de autenticação para o gerenciamento das contas.
• Dados de cobrança: informações de pagamento processadas por meio da Paddle (subprocessador).
• Dados de uso: registros de uso das ferramentas, consumo de créditos e métricas de interação com os recursos.
• Inventário de aplicativos: nomes de pacotes e identificadores de aplicativos fornecidos pelo Controlador.
• Resultados de análise: relatórios, rankings de palavras-chave e análises de avaliações gerados para o Controlador.

4. Duração do processamento

O processamento continua durante toda a vigência da conta do Controlador e por até 30 dias após o encerramento da conta, salvo quando a lei exigir uma retenção mais prolongada.

5. Obrigações do Processador

O Processador compromete-se a:

• Processar os dados pessoais apenas seguindo instruções documentadas do Controlador, inclusive no que se refere às transferências.
• Garantir que as pessoas autorizadas a processar dados pessoais estejam sujeitas a obrigações de confidencialidade.
• Implementar medidas de segurança técnicas e organizacionais adequadas (ver Seção 7).
• Auxiliar o Controlador a responder às solicitações de exercício dos direitos dos titulares dos dados.
• Auxiliar o Controlador a cumprir as obrigações do GDPR relativas à segurança, à notificação de violações de dados e à avaliação de impacto sobre a proteção de dados (DPIA).
• Notificar o Controlador, sem atraso indevido e em qualquer caso no prazo de 72 horas, sobre qualquer violação de dados pessoais de que tenha conhecimento.
• Excluir ou devolver ao Controlador todos os dados pessoais ao término dos serviços.
• Colocar à disposição do Controlador todas as informações necessárias para demonstrar o cumprimento das obrigações.
• Permitir e contribuir para as auditorias realizadas pelo Controlador ou por um auditor autorizado.

6. Subprocessadores

O Controlador autoriza o Processador a recorrer aos seguintes subprocessadores:

O Processador informará o Controlador sobre qualquer alteração prevista relativa à contratação ou à substituição de subprocessadores, dando ao Controlador a oportunidade de se opor.

7. Medidas de segurança

O Processador implementa e mantém as seguintes medidas técnicas e organizacionais:

• Criptografia dos dados em trânsito (TLS 1.2+) e em repouso (AES-256)
• Firebase Authentication para o controle de acesso, com gerenciamento seguro de sessões
• Content Security Policy (CSP) e cabeçalhos de segurança (X-Frame-Options, proteção contra XSS)
• Atualizações de segurança periódicas e varredura de vulnerabilidades das dependências
• Firewall e proteção contra DDoS por meio da infraestrutura do Google Cloud
• Registro de acessos e monitoramento das ações administrativas
• Princípio do menor privilégio para o acesso interno aos sistemas de produção
• Dados armazenados exclusivamente na região us-central1, salvo indicação em contrário

8. Direitos dos titulares dos dados

O Processador auxiliará o Controlador, considerando a natureza do processamento, por meio de medidas técnicas e organizacionais adequadas, a cumprir a sua obrigação de responder às solicitações dos titulares dos dados nos termos do GDPR (Artigos 12 a 23).

As solicitações dos titulares dos dados devem ser dirigidas para info@mobvex.io.

9. Transferências internacionais de dados

Os dados pessoais são processados e armazenados nos Estados Unidos. Para as transferências do EEE para os Estados Unidos, o Processador baseia-se nas Cláusulas Contratuais Padrão (SCCs) e em medidas complementares quando aplicável. Os termos de processamento de dados em conformidade com o GDPR do Google Cloud Platform aplicam-se aos serviços do Firebase.

10. Responsabilidade

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações estabelecidas nos Termos de Serviço. Nada neste DPA limita a responsabilidade de qualquer das partes por violações de dados causadas por sua negligência ou conduta dolosa, nem nos casos em que a responsabilidade não possa ser limitada por lei.

11. Formalização

Este DPA é incorporado por referência aos Termos de Serviço para os clientes que atendam aos requisitos. Para um acordo assinado separadamente, os clientes corporativos podem entrar em contato conosco pelo endereço info@mobvex.io.

12. Contato