Acordo de tratamento de dados (operador)

1. Partes

Controlador ("o Cliente"): a empresa que contrata a Friolink, identificada na seção de assinaturas ou no contrato comercial.

Operador ("AREAINFO"): AREAINFO SAS, RUT 218998030010, com sede na Av. Italia 4663, apto. 103, Montevidéu, Uruguai, representada por Rafael Mauricio Favaro Eula. Contato: [email protected].

Este acordo faz parte dos Termos e condições do serviço e do contrato comercial, se houver. Se eles se contradisserem em matéria de dados pessoais, prevalece este acordo.

2. Objeto

A AREAINFO trata dados pessoais por conta do Cliente somente para lhe prestar o serviço Friolink de monitoramento da cadeia de frio: registrar leituras, enviar avisos de alarme, manter os registros de atendimento, assinaturas e auditoria, gerar relatórios e dar suporte. O detalhe está no Anexo I.

Este acordo é regido pela Lei 18.331 do Uruguai (proteção de dados pessoais), em especial seus artigos 10, 11 e 30, e por sua regulamentação. Quando o Cliente estiver na Argentina ou no Brasil, aplica-se também o indicado na cláusula 13.

3. Instruções do Cliente

A AREAINFO trata os dados somente conforme as instruções documentadas do Cliente. São instruções este acordo, o contrato e a configuração que o Cliente faz na plataforma (usuários, contatos, canais de aviso, retenção de leituras, integrações).

A AREAINFO não usa os dados para fins próprios nem os comunica a terceiros, salvo aos suboperadores da cláusula 6 ou quando uma lei o exigir; nesse caso, avisa o Cliente antes, se a lei permitir.

Se uma instrução lhe parecer contrária à lei, a AREAINFO informa o Cliente e pode suspender sua execução até que se esclareça.

O Cliente é responsável por ter uma base legal para os dados que carrega e por informar as pessoas afetadas.

4. Confidencialidade

A AREAINFO garante que as pessoas autorizadas a tratar os dados estão obrigadas a guardar sigilo (Lei 18.331, art. 11), que acessam somente o necessário para sua tarefa e que essa obrigação continua após o término de sua relação com a AREAINFO.

5. Segurança

A AREAINFO aplica medidas técnicas e organizacionais adequadas ao risco para proteger os dados contra perda, acesso não autorizado, alteração ou divulgação (Lei 18.331, art. 10). As principais estão no Anexo II.

A AREAINFO pode atualizar essas medidas desde que não reduzam o nível de proteção.

6. Suboperadores

O Cliente autoriza a AREAINFO a usar os suboperadores do Anexo III para prestar o serviço.

A AREAINFO avisa o Cliente por e-mail com 30 dias de antecedência antes de adicionar ou trocar um suboperador. O Cliente pode se opor por motivos razoáveis de proteção de dados; se não houver solução, pode cancelar o serviço afetado sem multa.

A AREAINFO escolhe suboperadores que oferecem garantias suficientes, impõe a eles por contrato obrigações de proteção equivalentes às deste acordo e responde perante o Cliente pelo cumprimento delas.

7. Transferências internacionais

Os dados são guardados em servidores da AREAINFO no Uruguai. Alguns suboperadores tratam dados em outros países (Anexo III). Essas transferências são feitas somente nos casos admitidos pelo artigo 23 da Lei 18.331 e com as garantias contratuais que cada suboperador oferece. Ao aceitar este acordo, o Cliente instrui a AREAINFO a fazer as transferências necessárias para prestar o serviço.

8. Ajuda com os direitos das pessoas

Se uma pessoa pedir à AREAINFO o acesso, a retificação, a atualização, a inclusão ou a supressão de dados que ela trata por conta do Cliente, a AREAINFO encaminha o pedido ao Cliente em até 2 dias úteis e não o responde por conta própria, salvo se o Cliente pedir.

A AREAINFO ajuda o Cliente a responder, com as funções da plataforma (perfil editável, exclusão de contas, exportações) ou com as informações necessárias.

9. Incidentes de segurança

Se a AREAINFO tomar conhecimento de um incidente de segurança que afete dados pessoais do Cliente, ela o comunica sem demora e no máximo em 48 horas após tomar conhecimento, para que o Cliente possa cumprir suas próprias obrigações de comunicação à URCDP e às pessoas afetadas (Lei 19.670, art. 38, e sua regulamentação).

A comunicação inclui, na medida em que forem conhecidos: o que aconteceu, quais dados e quantas pessoas podem estar afetados, as consequências prováveis, as medidas tomadas ou propostas e um contato. A AREAINFO completa as informações à medida que a investigação avança e documenta o incidente.

10. Devolução e exclusão ao término

Ao término do serviço, a AREAINFO entrega ao Cliente, se ele pedir, uma exportação completa de seus dados em formatos abertos (CSV e PDF) em até 15 dias úteis.

Depois, conserva os dados por 90 dias para permitir uma recuperação e então os exclui ou anonimiza, inclusive nas cópias de segurança quando são renovadas, salvo o que uma lei obrigue a conservar. A pedido do Cliente, a AREAINFO confirma a exclusão por escrito.

11. Informações e auditoria

A AREAINFO coloca à disposição do Cliente as informações necessárias para demonstrar que cumpre este acordo: a documentação de segurança, as respostas a questionários de segurança e o registro de mudanças.

O Cliente pode fazer, ou encarregar um auditor obrigado à confidencialidade de fazer, uma auditoria por ano, com 30 dias de aviso, em horário comercial e sem afetar o serviço nem os dados de outros clientes. Cada parte arca com seus custos. Pode-se fazer uma auditoria adicional após um incidente grave.

12. Responsabilidade e duração

Cada parte responde por seus próprios descumprimentos deste acordo e da lei, com os limites dos Termos e condições do serviço, na medida em que a lei permitir.

Este acordo vigora enquanto a AREAINFO tratar dados por conta do Cliente e até que a devolução e a exclusão sejam concluídas.

13. Argentina e Brasil

Argentina: quando o Cliente estiver na Argentina, a AREAINFO atua como prestadora de serviços de tratamento por conta de terceiros conforme o artigo 25 da Lei 25.326: usa os dados somente para o previsto neste acordo, não os cede a outros e os destrói ao término, salvo autorização expressa do Cliente para conservá-los. As medidas de segurança são as do Anexo II.

Brasil: quando se aplicar a LGPD (Lei 13.709/2018), o Cliente é controlador e a AREAINFO é operadora (art. 39); as transferências internacionais são feitas com as garantias do art. 33 e os incidentes são comunicados ao Cliente no prazo da cláusula 9 para que ele possa avisar a ANPD e os titulares.

14. Lei aplicável e foro

Este acordo é regido pelas leis da República Oriental do Uruguai e qualquer controvérsia é submetida aos tribunais da cidade de Montevidéu, salvo se uma norma que não possa ser afastada dispuser de outra forma.

Anexo I. Detalhe do tratamento

Anexo II. Medidas de segurança

• Criptografia em trânsito: HTTPS com TLS 1.2 ou superior, HSTS; os equipamentos se conectam por MQTT com TLS, com usuário e senha próprios por equipamento e permissões limitadas aos seus dados.
• Rede: os servidores não expõem a porta web à internet; o acesso passa pelo túnel e pelo firewall de aplicações da Cloudflare. A administração é feita somente por rede interna ou VPN.
• Acesso: senhas somente como hash; bloqueio após 5 tentativas falhas; verificação em duas etapas; aviso por e-mail de acessos a partir de dispositivos novos; sessões visíveis e revogáveis; sessão web em cookie HttpOnly, Secure e SameSite=Strict.
• Permissões: funções por módulo e alcance por local; um cliente nunca vê dados de outro; revisão periódica das rotas da API.
• Integridade: leituras às quais a aplicação só pode adicionar, selo diário encadeado com hash; registros de conformidade e auditoria que só permitem adicionar; assinaturas eletrônicas que voltam a pedir a senha.
• Disponibilidade: cópias de segurança diárias, réplica ao vivo em um segundo local no Uruguai e monitoramento do serviço a cada minuto.
• Segredos: fora do código, com permissões restritas; busca automática de chaves em cada mudança do código.
• Pessoal: acesso mínimo necessário e obrigação de confidencialidade.
• Incidentes: procedimento de resposta, registro e comunicação conforme a cláusula 9.

Anexo III. Suboperadores

Além disso, os serviços que o próprio Cliente conectar (por exemplo, sua central de monitoramento ou um webhook) recebem os dados dos avisos por instrução do Cliente e não são suboperadores da AREAINFO.