Aditivo de Tratamento de Dados

Este Aditivo de Tratamento de Dados (o “DPA”) é celebrado entre BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “nós”) e o cliente que aceitou os Termos de Serviço da LumaKol (o “Cliente”, “você”).

Este DPA faz parte dos Termos de Serviço de todos os Clientes e se aplica sempre que a LumaKol trata dados pessoais em nome do Cliente — nos termos da Digital Personal Data Protection Act, 2023 da Índia, do GDPR, do UK GDPR ou de qualquer outra lei de proteção de dados. Ele se aplica automaticamente; você não precisa assiná-lo.

Se um Cliente quiser uma via assinada por ambas as partes para seus registros, pode solicitá-la pelo [email protected]. Quando este DPA e os Termos de Serviço forem conflitantes quanto à proteção de dados pessoais, prevalece este DPA.

• “Lei de Proteção de Dados” significa toda lei de proteção de dados aplicável ao tratamento, incluindo a Digital Personal Data Protection Act, 2023 da Índia e as regras editadas com base nela (a “DPDP Act”), o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (GDPR), o UK GDPR e a UK Data Protection Act 2018, e a California Consumer Privacy Act, conforme alterada (a “CCPA”).
• “Dados Pessoais do Cliente” significa os dados pessoais que a LumaKol trata em nome do Cliente para fornecer o Serviço.
• “Controlador”, “operador”, “titular dos dados”, “violação de dados pessoais” e “tratamento” têm os significados atribuídos pela Lei de Proteção de Dados. Quando a DPDP Act se aplica, “controlador” significa Data Fiduciary, “operador” significa Data Processor e “titular dos dados” significa Data Principal.
• “Suboperador” significa um terceiro que a LumaKol contrata para tratar Dados Pessoais do Cliente.
• “SCCs” significa as cláusulas contratuais padrão aprovadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914, e o “Adendo do Reino Unido” significa o International Data Transfer Addendum emitido pelo Information Commissioner do Reino Unido.

Os demais termos iniciados por maiúscula têm os significados atribuídos nos Termos de Serviço.

O Cliente é o controlador dos Dados Pessoais do Cliente e a LumaKol é a sua operadora. Quando o próprio Cliente for um operador atuando para outro controlador, a LumaKol é sua suboperadora e o Cliente é responsável por repassar as instruções pertinentes.

A LumaKol é uma controladora independente dos dados pessoais de que precisa para manter a conta do Cliente, como nomes de usuários, dados de login e registros de faturamento. Esses dados são cobertos pela Política de Privacidade, e não por este DPA.

Quando a CCPA se aplica, o Cliente é um “business” e a LumaKol, seu “service provider”. A LumaKol não venderá nem compartilhará Dados Pessoais do Cliente, não os reterá, usará ou divulgará para nenhuma finalidade além da prestação do Serviço nem fora de sua relação comercial direta com o Cliente, e não os combinará com dados pessoais de outras fontes, exceto quando a CCPA permitir. A LumaKol informará o Cliente se não puder mais cumprir essas obrigações.

O Cliente é responsável por ter uma base legal (segundo a DPDP Act, consentimento ou um uso legítimo) para o tratamento, pela exatidão dos Dados Pessoais do Cliente, por dar às pessoas que contata qualquer aviso exigido por lei e por seu próprio cumprimento das leis sobre ligações de marketing e gravação de ligações.

• Objeto: o fornecimento da LumaKol, um CRM de ligações no qual a equipe do Cliente gerencia leads, faz ligações dos próprios celulares e registra o resultado de cada ligação.
• Duração: enquanto o Cliente usar o Serviço e, depois disso, até que os dados sejam excluídos nos termos de “Exclusão e devolução”.
• Natureza: coleta, armazenamento, organização, recuperação, exibição, transmissão aos usuários e dispositivos do Cliente e exclusão.
• Finalidade: fornecer, proteger e dar suporte ao Serviço para o Cliente, e nenhuma outra finalidade.

A LumaKol trata Dados Pessoais do Cliente apenas conforme as instruções documentadas do Cliente. Os Termos de Serviço, este DPA e o uso e a configuração do Serviço pelo Cliente constituem essas instruções. A LumaKol informará o Cliente se considerar que uma instrução viola a Lei de Proteção de Dados, a menos que a lei a proíba de fazê-lo.

Se a lei exigir que a LumaKol trate Dados Pessoais do Cliente de outra forma, ela informará o Cliente antes de fazê-lo, a menos que a lei proíba isso.

A LumaKol garante que todas as pessoas que autoriza a tratar Dados Pessoais do Cliente estejam sujeitas a um dever de confidencialidade. O acesso da equipe aos Dados Pessoais do Cliente é limitado ao necessário para operar o Serviço e dar suporte a ele, e é registrado.

A LumaKol mantém medidas técnicas e organizacionais adequadas ao risco, incluindo:

• criptografia dos dados em trânsito (TLS), criptografia do banco de dados em repouso e uma segunda camada de criptografia AES-256 para segredos como tokens e senhas de caixas de e-mail conectadas;
• separação dos dados de cada cliente por espaço de trabalho, com cada consulta filtrada pelo espaço de trabalho do cliente;
• senhas com hash Argon2id e tokens de sessão armazenados apenas como hashes;
• limitação de requisições e bloqueio no login;
• acesso baseado em funções no produto, com opções para mascarar números de telefone, limitar exportações e restringir quem pode ouvir gravações;
• logs de auditoria somente de acréscimo para ações sensíveis;
• autenticação multifator para a equipe da LumaKol, com acesso registrado aos dados de produção;
• backups para recuperação após uma falha, descartados em cerca de quatro semanas.

A LumaKol pode atualizar essas medidas, desde que o nível geral de proteção não diminua.

O Cliente autoriza a LumaKol a contratar os suboperadores descritos na tabela abaixo. A LumaKol vincula cada suboperador, por contrato escrito, a obrigações de proteção de dados não menos protetivas do que as deste DPA, e continua responsável perante o Cliente pelo desempenho de cada suboperador. Os nomes dos suboperadores atuais são informados a qualquer Cliente mediante solicitação pelo [email protected] e fazem parte deste DPA.

Antes que um novo suboperador comece a tratar Dados Pessoais do Cliente, a LumaKol notificará o proprietário do espaço de trabalho por e-mail com pelo menos 30 dias de antecedência, informando o nome dele. O Cliente pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo. Se as partes não conseguirem resolver a oposição, o Cliente pode deixar de usar a parte afetada do Serviço ou encerrar a assinatura.

Quando o app para iPhone for lançado, o próprio serviço da plataforma do iPhone entregará suas notificações push; nós o adicionaremos a esta lista, com o aviso descrito acima, antes que isso aconteça. Google Drive, Sheets e Calendar, o calendário do Microsoft Outlook e os anúncios de leads do Facebook e do Instagram ainda não podem ser conectados.

As gravações de ligações são armazenadas nos servidores da LumaKol. As notas de voz e as fotos de visitas de campo serão salvas no Google Drive do membro da equipe que o conectar, e não nos servidores da LumaKol.

Os e-mails que um cliente envia aos seus próprios leads passam pela caixa de e-mail do próprio cliente (Configurações → E-mail), e não pelo provedor de e-mail da LumaKol. Os sistemas que o próprio cliente conecta, como seu próprio site, fontes de leads, clientes de API e endpoints de webhook, recebem dados conforme as instruções do cliente e não são suboperadores da LumaKol.

O Serviço permite que o Cliente consulte, corrija, exporte e exclua os dados dos seus leads e bloqueie novas ligações para um lead, para que ele mesmo possa responder à maioria das solicitações de titulares. Quando não puder, a LumaKol ajudará mediante solicitação, levando em conta a natureza do tratamento.

Se a LumaKol receber diretamente de um titular uma solicitação sobre Dados Pessoais do Cliente, ela a repassará ao Cliente sem demora indevida e não a responderá, exceto conforme as instruções do Cliente.

A LumaKol também prestará ajuda razoável com os relatórios de impacto à proteção de dados do Cliente e com consultas a autoridades de controle, na medida em que se relacionem ao tratamento feito pela LumaKol.

A LumaKol notificará o Cliente sem demora indevida e, em qualquer caso, em até 48 horas depois de tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente, para que o Cliente possa cumprir seus próprios deveres de comunicação aos reguladores e às pessoas afetadas — por exemplo, em até 72 horas segundo o GDPR e as regras da DPDP Act. A notificação descreverá, na medida do que se souber naquele momento, a natureza da violação, as categorias e o número aproximado de pessoas e registros afetados, as consequências prováveis e as medidas adotadas ou propostas, e indicará um contato para mais informações.

A LumaKol atualizará o Cliente à medida que souber mais e tomará medidas razoáveis para conter a violação e limitar seus efeitos. Notificar uma violação não constitui admissão de culpa.

Durante a assinatura, o Cliente pode exportar seus leads para CSV e ler seus dados pela API pública. Quando o Cliente encerra seu espaço de trabalho, ou quando seus dados chegam ao fim do período de retenção previsto nos Termos de pagamento após um cancelamento ou uma pausa por falta de pagamento, a LumaKol exclui os Dados Pessoais do Cliente do Serviço.

As cópias em backups expiram em um ciclo contínuo e são excluídas quando isso acontece. A LumaKol só pode manter dados quando a lei exigir e, nesse caso, apenas esses dados, protegidos por este DPA, pelo tempo que a lei exigir.

Mediante solicitação razoável, a LumaKol disponibilizará as informações necessárias para demonstrar que cumpre suas obrigações nos termos deste DPA e do Artigo 28 do GDPR, como respostas escritas a questionários de segurança.

Quando essas informações não forem suficientes, o Cliente poderá auditar o cumprimento pela LumaKol, diretamente ou por meio de um auditor independente sujeito a confidencialidade, mediante aviso por escrito com pelo menos 30 dias de antecedência, em horário comercial, no máximo uma vez por ano, salvo quando uma autoridade de controle exigir ou após uma violação de dados pessoais, e às custas do Cliente. As partes acordarão o escopo previamente para que a auditoria não prejudique o Serviço nem exponha dados de outros clientes.

A LumaKol trata Dados Pessoais do Cliente na Índia, em Singapura e no Japão, onde o Serviço está hospedado, e nos países onde seus suboperadores atuam. Quando isso envolver uma transferência de dados pessoais para fora do EEE, ou para fora do Reino Unido, para um país sem decisão ou regulamentação de adequação, as partes concordam que:

• para dados do EEE, aplicam-se as SCCs, incorporadas a este DPA por referência: o Módulo Dois (de controlador para operador) quando o Cliente é controlador, e o Módulo Três (de operador para operador) quando o Cliente é operador, com a cláusula de adesão opcional, a opção 2 (autorização geral) na Cláusula 9 e a lei e os tribunais da Irlanda nas Cláusulas 17 e 18;
• para dados do Reino Unido, aplica-se o Adendo do Reino Unido, incorporado por referência, com suas tabelas preenchidas com as informações deste DPA;
• as informações que as SCCs exigem em seus anexos são as informações de “Partes”, “Objeto, duração, natureza e finalidade”, “Titulares e dados pessoais”, “Medidas de segurança” e “Lista de suboperadores” acima.

Quando a DPDP Act se aplica, a LumaKol não transferirá Dados Pessoais do Cliente para um país ou território restringido pelo Governo da Índia.

Se as SCCs ou o Adendo do Reino Unido forem conflitantes com este DPA, eles prevalecem. A LumaKol exige que seus suboperadores protejam as transferências subsequentes com salvaguardas adequadas.

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações dos Termos de Serviço, exceto quando a Lei de Proteção de Dados ou as SCCs não permitirem que a responsabilidade seja limitada.

Este DPA vigora enquanto a LumaKol tratar Dados Pessoais do Cliente. As obrigações que, por sua natureza, devam subsistir, como confidencialidade e exclusão, subsistem após o seu término. A LumaKol pode atualizar este DPA para refletir mudanças na lei ou no Serviço; isso não reduzirá a proteção dada aos Dados Pessoais do Cliente, e a data de “Última atualização” acima indica a versão atual.

Dúvidas sobre este DPA, notificações relacionadas a ele e pedidos de uma via assinada por ambas as partes devem ser enviados para [email protected].

Solicite uma via assinada: escreva para [email protected] com a razão social e o endereço da sua organização, e enviaremos este DPA de volta assinado por nós.