Adenda de tratamento de dados

Esta Adenda de tratamento de dados ("Adenda") faz parte dos Termos de serviço ou de outro acordo escrito (o "Acordo") entre a Shopxare, LLC ("Shopxare", "Subcontratante") e o cliente ("Cliente", "Responsável"). Aplica-se automaticamente quando a Shopxare trata Dados pessoais do cliente. Os clientes que precisem de uma cópia assinada podem pedi-la através do formulário de pedido do DPA.

1. Definições

"Legislação de proteção de dados" são todas as leis sobre tratamento de dados pessoais aplicáveis a uma parte, incluindo o Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 ("RGPD"), o UK GDPR e o Data Protection Act 2018, a Lei Federal suíça de Proteção de Dados, a California Consumer Privacy Act na versão alterada ("CCPA"), outras leis estaduais de privacidade dos EUA e a Lei turca n.º 6698 de Proteção de Dados Pessoais ("KVKK"). "Dados pessoais do cliente" são os dados pessoais incluídos nos Dados do cliente que a Shopxare trata por conta do Cliente. "Responsável", "subcontratante", "titular dos dados", "violação de dados pessoais", "tratamento" e "autoridade de controlo" têm o significado do RGPD. "Subcontratante ulterior" é um terceiro contratado pela Shopxare para tratar Dados pessoais do cliente.

2. Papéis e âmbito

2.1 Quanto aos Dados pessoais do cliente, o Cliente é o responsável (ou subcontratante por conta do seu próprio responsável) e a Shopxare é o subcontratante (ou subcontratante ulterior).

2.2 A Shopxare é responsável independente pelos dados de conta, faturação e site descritos na Política de privacidade; esta Adenda não se aplica a esses dados.

2.3 O objeto, a natureza, a finalidade e a duração do tratamento, os tipos de dados e as categorias de titulares estão descritos no Apêndice I.

3. Obrigações do Cliente

O Cliente: (a) só dará instruções lícitas; (b) terá fundamento jurídico e prestará as informações necessárias, incluindo para os cookies e o armazenamento local do Messenger nos seus sites; (c) não instruirá a Shopxare a tratar categorias especiais de dados salvo o permitido pela Política de utilização aceitável; e (d) será responsável pela exatidão dos Dados pessoais do cliente.

4. Obrigações da Shopxare

A Shopxare:

4.1 tratará os Dados pessoais do cliente apenas segundo instruções documentadas do Cliente, que são o Acordo, esta Adenda e a configuração e utilização dos Serviços pelo Cliente, salvo se a lei exigir outra coisa (caso em que informará o Cliente, se a lei não o proibir), e avisará o Cliente se considerar que uma instrução viola a Legislação de proteção de dados;

4.2 garantirá que as pessoas autorizadas a tratar os dados estão sujeitas a confidencialidade;

4.3 aplicará as medidas técnicas e organizativas do Apêndice II;

4.4 respeitará as condições para contratar Subcontratantes ulteriores do ponto 6;

4.5 tendo em conta a natureza do tratamento, ajudará o Cliente com medidas adequadas a responder aos pedidos dos titulares (ponto 7);

4.6 ajudará o Cliente em matéria de segurança, notificação de violações, avaliações de impacto e consultas prévias, tendo em conta a informação de que dispõe;

4.7 apagará ou devolverá os Dados pessoais do cliente no fim dos Serviços (ponto 9); e

4.8 disponibilizará a informação necessária para demonstrar o cumprimento e permitirá auditorias (ponto 10).

5. Segurança e confidencialidade

A Shopxare mantém as medidas do Apêndice II e pode atualizá-las desde que o nível geral de proteção não diminua.

6. Subcontratantes ulteriores

6.1 O Cliente autoriza de forma geral a Shopxare a contratar Subcontratantes ulteriores. A lista atual está na página Subcontratantes (Apêndice III).

6.2 A Shopxare avisará o Cliente pelo menos 30 dias antes de um novo Subcontratante ulterior começar a tratar Dados pessoais do cliente, atualizando a página e enviando email aos clientes que subscreveram as atualizações ou assinaram esta Adenda. O Cliente pode opor-se nesse prazo por motivos razoáveis de proteção de dados. As partes discutirão a objeção de boa-fé; se não for resolvida, o Cliente pode resolver os Serviços afetados e receber o reembolso do valor pré-pago pelo período restante.

6.3 A Shopxare imporá a cada Subcontratante ulterior obrigações de proteção de dados não menos protetoras do que esta Adenda e continua responsável pela sua atuação.

6.4 Os serviços que o Cliente decida ligar (por exemplo Telegram, um fornecedor de IA com a chave API do Cliente, WooCommerce ou Shopify) não são Subcontratantes ulteriores da Shopxare; a relação do Cliente com eles rege-se pelos respetivos termos.

7. Pedidos dos titulares

O Cliente pode aceder, retificar, exportar e apagar por si a maioria dos Dados pessoais do cliente nos Serviços. Se a Shopxare receber um pedido de um titular relativo a Dados pessoais do cliente, encaminhá-lo-á ao Cliente sem demora injustificada e não responderá diretamente, exceto para remeter o titular para o Cliente ou quando a lei o exija.

8. Violações de dados pessoais

8.1 A Shopxare notificará o Cliente sem demora injustificada e, em qualquer caso, no prazo de 72 horas após ter conhecimento de uma violação que afete Dados pessoais do cliente.

8.2 A notificação descreverá, na medida do conhecido, a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas tomadas ou propostas. A Shopxare prestará mais informação à medida que a obtiver e tomará medidas razoáveis para conter e remediar a violação.

8.3 A notificação não implica reconhecimento de culpa.

9. Eliminação e devolução

Durante os Serviços, o Cliente pode exportar os Dados pessoais do cliente. Nos 30 dias seguintes ao fim dos Serviços, a Shopxare apagá-los-á dos sistemas ativos; as cópias de segurança são eliminadas no ciclo de cópias (35 dias) e protegidas até lá. A Shopxare pode conservar dados quando a lei o exija, nos termos desta Adenda.

10. Auditorias

10.1 A pedido, e no máximo uma vez por ano (salvo exigência de uma autoridade de controlo ou após uma violação), a Shopxare responderá a um questionário de segurança razoável e fornecerá a sua documentação de segurança atual.

10.2 Se tal não bastar para demonstrar o cumprimento, o Cliente pode realizar uma auditoria com pré-aviso escrito de pelo menos 30 dias, em horário laboral, sem perturbar de forma irrazoável a atividade da Shopxare, com acordo de confidencialidade e a expensas próprias. As auditorias a Subcontratantes ulteriores baseiam-se nos seus relatórios e certificações.

11. Transferências internacionais

11.1 Os Dados pessoais do cliente são guardados em servidores na Turquia e podem ser tratados nos Estados Unidos e noutros países onde operem a Shopxare ou os seus Subcontratantes ulteriores.

11.2 EEE. Na medida em que Dados pessoais do cliente sujeitos ao RGPD sejam transferidos para um país sem decisão de adequação, as partes incorporam as Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 ("CCT"): o Módulo Dois (de responsável para subcontratante) quando o Cliente é responsável e o Módulo Três (de subcontratante para subcontratante) quando é subcontratante. Para as CCT: aplica-se a cláusula 7 (cláusula de adesão); nos termos da cláusula 9, aplica-se a opção 2 (autorização geral) com o prazo do ponto 6.2; não se aplica a redação facultativa da cláusula 11; nos termos das cláusulas 17 e 18, aplicam-se a lei e os tribunais da Irlanda; os Anexos I a III das CCT são preenchidos pelos Apêndices I a III desta Adenda.

11.3 Reino Unido. Para transferências sujeitas ao UK GDPR aplica-se a International Data Transfer Addendum às CCT emitida pelo Information Commissioner; a Tabela 1 é preenchida pelo Apêndice I, a Tabela 2 pelo ponto 11.2, a Tabela 3 pelos Apêndices I a III, e a Tabela 4 permite a qualquer parte pôr-lhe termo.

11.4 Suíça. Para transferências sujeitas à lei suíça aplicam-se as CCT, com o Comissário Federal para a Proteção de Dados e a Informação como autoridade competente e entendendo-se as referências ao RGPD como referências à lei suíça.

11.5 Turquia. Para transferências sujeitas à KVKK, as partes usarão, quando necessário, o contrato-tipo publicado pela Autoridade turca de Proteção de Dados Pessoais, e o Cliente fará a notificação exigida à Autoridade.

11.6 Se um mecanismo de transferência for invalidado, as partes cooperarão para adotar uma alternativa.

12. Leis de privacidade dos EUA

Na medida em que se apliquem a CCPA ou leis estaduais semelhantes, a Shopxare atua como "service provider" ou "processor". A Shopxare não: (a) venderá nem partilhará os Dados pessoais do cliente; (b) os conservará, usará ou divulgará para fins diferentes da prestação dos Serviços nem fora da relação comercial direta com o Cliente; (c) os combinará com dados pessoais de outras fontes, salvo o permitido por lei; e cumprirá as obrigações aplicáveis dessas leis, oferecerá o nível de proteção que exigem e avisará o Cliente se deixar de as poder cumprir. O Cliente pode tomar medidas razoáveis para impedir e corrigir utilizações não autorizadas. A Shopxare declara compreender estas restrições.

13. Responsabilidade e prevalência

A responsabilidade de cada parte ao abrigo desta Adenda está sujeita aos limites do Acordo, salvo se a Legislação de proteção de dados ou as CCT não o permitirem. Se esta Adenda contrariar o Acordo, prevalece esta Adenda quanto ao tratamento de Dados pessoais do cliente; se contrariar as CCT, prevalecem as CCT.

---

Apêndice I — Descrição do tratamento

Exportador: o Cliente identificado no Acordo ou no seu Espaço de trabalho; contacto: o proprietário do Espaço de trabalho. Papel: responsável ou subcontratante. Atividades: utilização dos Serviços.

Importador: Shopxare, LLC, 2318 Garden Rd, Shopxare Park, Monterey, CA 93940, Estados Unidos; [email protected]. Papel: subcontratante. Atividades: prestação dos Serviços.

Categorias de titulares: Utilizadores finais do Cliente (visitantes do site, clientes, potenciais clientes e outras pessoas que contactam o Cliente) e Utilizadores do Cliente (membros da equipa).

Categorias de dados pessoais: nomes, emails, telefones, identificadores de utilizador e atributos enviados pelo Cliente; conteúdo de mensagens e ficheiros; identificadores de Telegram e email; visitas a páginas, eventos, dispositivo, navegador, idioma e localização aproximada (derivada do IP); dados de sinalização de chamadas (as chamadas não são gravadas); avaliações de conversas; nomes, fotos e cargos dos membros da equipa.

Categorias especiais: não previstas; só surgem se os Utilizadores finais as incluírem em mensagens, aplicando-se então as medidas do Apêndice II.

Frequência: contínua.

Natureza e finalidade: alojamento, armazenamento, transmissão, apresentação, pesquisa, análise (incluindo funcionalidades de IA ativadas pelo Cliente), tradução e eliminação, para prestar os Serviços ao Cliente.

Conservação: durante o Acordo e depois conforme o ponto 9.

Transferências para Subcontratantes ulteriores: conforme o Apêndice III e para os fins aí indicados.

Autoridade de controlo competente: a determinada nos termos da cláusula 13 das CCT.

Apêndice II — Medidas técnicas e organizativas

As medidas estão descritas na página de Segurança e incluem: cifragem dos dados em trânsito (TLS 1.2+); cifragem de credenciais guardadas, como tokens de integração e chaves API; hash de palavras-passe com salt; verificação em dois passos e aprovação de inícios de sessão para membros da equipa; controlo de acessos por funções e isolamento entre espaços de trabalho na aplicação; registos de auditoria; acesso aos sistemas de produção limitado a pessoal autorizado da Shopxare; proteção de rede e mitigação de DDoS através da Cloudflare; limitação de pedidos; webhooks assinados; verificação de identidade (HMAC) para utilizadores do Messenger; cópias de segurança diárias conservadas 35 dias; monitorização e página de estado pública; procedimentos de resposta a incidentes; práticas de desenvolvimento seguro com testes automáticos antes de cada versão; e obrigações de confidencialidade do pessoal.

Apêndice III — Subcontratantes ulteriores

Ver a página Subcontratantes, que faz parte desta Adenda.