Acordo de tratamento de dados (DPA)

Este Acordo de tratamento de dados pessoais ("DPA") faz parte dos Termos de uso do Meduze e regula o tratamento dos dados pessoais dos clientes da barbearia feito pelo Meduze. São partes:

• Controladora: a barbearia ou o salão titular da conta no Meduze ("Cliente"), representado pelo dono que aceitou este DPA;
• Operadora: THIAGO SILVA LTDA (nome fantasia iBeus), CNPJ 40.560.287/0001-29, com sede na Rua Aureliano Garcia, 191, Vila das Belezas, São Paulo/SP, CEP 05835-020 ("iBeus").

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "anonimização" e "incidente de segurança" têm o sentido da Lei Geral de Proteção de Dados (Lei 13.709/2018, "LGPD") e da regulamentação da Autoridade Nacional de Proteção de Dados ("ANPD").

1. Objeto

A iBeus trata os dados pessoais dos clientes finais do Cliente apenas para prestar o Meduze, em nome do Cliente e conforme as instruções dele. As instruções do Cliente são estes Termos, este DPA, as configurações que ele escolhe no painel e as ações que ele e sua equipe executam no Meduze.

2. Descrição do tratamento

3. Obrigações do Cliente (controlador)

1. Ter base legal para cada tratamento que pedir ao Meduze e informar os clientes finais sobre ele, com uma política de privacidade própria.
2. Mandar mensagens de marketing só a quem consentiu. O Meduze registra os consentimentos por finalidade e inclui em toda mensagem de marketing a opção de sair; o Cliente não deve contornar esses controles.
3. Não registrar dados sensíveis (como dados de saúde) sem necessidade e sem base legal. Quando forem necessários ao atendimento, por exemplo uma alergia, registrar só o essencial.
4. Obter o consentimento dos pais ou responsáveis para tratar dados de crianças, conforme o art. 14 da LGPD.
5. Responder aos pedidos dos titulares, com o apoio das ferramentas do Meduze (seção 5).
6. Dar acesso ao painel só a quem precisa, com as permissões adequadas, e retirar o acesso de quem deixar a equipe.

4. Obrigações da iBeus (operador)

1. Tratar os dados só conforme as instruções do Cliente, e avisá-lo se uma instrução parecer violar a LGPD.
2. Não usar os dados dos clientes finais para fins próprios, não vendê-los e não usá-los para contatar esses clientes em nome próprio. São permitidos apenas dados agregados e anonimizados, para estatísticas e melhoria do produto, e o tratamento necessário para segurança e prevenção de fraude.
3. Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de sigilo.
4. Manter medidas de segurança técnicas e administrativas adequadas (art. 46 da LGPD), entre elas: criptografia em trânsito, separação dos dados de cada conta no banco de dados, controle de acesso por permissões, auditoria das ações relevantes, cópias de segurança e registros técnicos sem dados pessoais além de identificadores.
5. Acessar a conta para suporte só com autorização do Cliente (acesso assistido), com registro na auditoria que o dono pode consultar.
6. Manter registro das operações de tratamento (art. 37 da LGPD).

5. Pedidos dos titulares

O painel permite ao Cliente consultar, corrigir, exportar e excluir os dados de um cliente final; a exclusão anonimiza nome, WhatsApp e fotos e preserva o histórico financeiro sem identificar a pessoa. Se um titular procurar a iBeus diretamente, encaminharemos o pedido ao Cliente sem demora e não responderemos em nome dele, salvo se ele pedir. Quando o Cliente precisar de apoio além das ferramentas do painel, a iBeus ajudará para que o pedido seja atendido em até 15 dias.

6. Suboperadores

1. O Cliente autoriza a iBeus a contratar suboperadores para prestar o serviço. A lista atual está na Política de privacidade (seção 4).
2. A iBeus impõe aos suboperadores obrigações de proteção de dados equivalentes às deste DPA e responde perante o Cliente pelo cumprimento delas.
3. A inclusão ou troca de suboperador que trate dados dos clientes finais será avisada no painel com pelo menos 15 dias de antecedência. Se o Cliente discordar por motivo razoável ligado à proteção de dados, pode cancelar a conta sem custo.
4. Integrações que o próprio Cliente conecta à conta dele (como o WhatsApp Business da barbearia, o recebedor no intermediador de pagamentos e o emissor de nota fiscal no CNPJ dela) são contratadas pelo Cliente; a iBeus apenas transmite os dados que ele mandar enviar.

7. Transferência internacional

Quando um suboperador tratar dados fora do Brasil, a transferência seguirá o art. 33 da LGPD e a regulamentação da ANPD, com cláusulas contratuais ou outra garantia válida.

8. Incidentes de segurança

1. A iBeus comunicará ao Cliente, em até 48 horas depois de confirmar um incidente de segurança que envolva dados dos clientes finais dele, o que se sabe sobre: a natureza dos dados e os titulares afetados, as medidas de proteção adotadas, os riscos, as medidas tomadas para reverter ou reduzir os efeitos e o contato para mais informações. Informações ainda não disponíveis serão enviadas assim que apuradas.
2. Cabe ao Cliente, como controlador, avaliar e fazer a comunicação à ANPD e aos titulares (art. 48 da LGPD). A iBeus fornecerá as informações e o apoio razoáveis para isso.

9. Fim do tratamento

1. Encerrada a conta, o Cliente pode exportar os dados pelo painel durante 30 dias.
2. Depois desse prazo, a iBeus anonimiza ou elimina os dados dos clientes finais, exceto o que a lei obrigar a guardar. Cópias de segurança expiram no ciclo normal de renovação.

10. Comprovação e auditoria

A iBeus fornecerá, a pedido, as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA. Auditorias podem ser feitas uma vez por ano, com aviso de 30 dias, em horário comercial, por conta do Cliente e sem acesso a dados de outros clientes nem a informações que comprometam a segurança do serviço.

11. Responsabilidade e prevalência

1. Cada parte responde pelos danos que causar ao descumprir a LGPD, nos termos dos arts. 42 a 45.
2. Em caso de conflito entre este DPA e os Termos de uso sobre a proteção de dados pessoais, prevalece este DPA.
3. Este DPA vigora enquanto houver tratamento de dados pessoais dos clientes finais pela iBeus em nome do Cliente.

12. Contato

Assuntos deste DPA: privacidade@ibeus.com.br.