Informações legais
Acordo de tratamento de dados
Entenda o tratamento de dados de clientes coberto por um DPA do Configurix. Solicite o acordo e os anexos aplicáveis à sua implementação.
Atualizado:
Esta página apresenta os assuntos de tratamento a abordar com o Configurix. O acordo vinculante identifica o cliente e o prestador efetivos, as instruções acordadas e os anexos da implementação. Providencie o acordo escrito aplicável antes do tratamento de dados pessoais em nome de sua empresa.
Acordo e responsabilidades
Quando um cliente determina por que e como seus dados pessoais são utilizados, atua como controlador. Quando o Configurix trata esses dados em seu nome, as obrigações como operador são definidas pelo acordo aplicável e pela lei. As funções dependem do tratamento efetivo.
O DPA acordado registra os direitos e obrigações do controlador e os deveres do operador. Deve ser lido em conjunto com o contrato de serviço e seus anexos de tratamento.
Escopo e duração do serviço
O Configurix é especializado em produtos complexos e desenvolve configuradores e softwares empresariais sob medida. Uma implementação pode conectar seleção de produtos e preços com orçamentos, CRM e qualificação de consultas, calendários e agendamentos, materiais/BOM, trabalhos, pedidos, faturamento ou integrações acordadas.
Documente as funções e os tratamentos efetivamente incluídos, sua finalidade, o período do tratamento e as instruções do cliente. Prepare o anexo utilizando os detalhes a seguir.
| Aspecto a acordar | O que documentar |
|---|---|
| Serviço e finalidade | Recursos do software, operações de tratamento e finalidades empresariais cobertas. |
| Duração | Períodos do serviço e do tratamento, e procedimentos ao encerrar o serviço. |
| Pessoas e dados | Pessoas envolvidas e campos de dados pessoais efetivamente utilizados. |
| Sistemas e locais | Hospedagem, armazenamento, países de acesso, suboperadores e sistemas conectados. |
| Segurança e retenção | Medidas técnicas e organizacionais aplicáveis, retenção e exclusão. |
| Instruções e contatos | Instruções autorizadas, contatos responsáveis e gestão de incidentes e solicitações. |
Pessoas e dados pessoais
O escopo pode incluir funcionários do cliente que utilizam o software, clientes finais, contatos empresariais e participantes de projetos. Identifique os grupos e campos aplicáveis no acordo.
Registros de produtos e de negócios entram no escopo de dados pessoais quando identificam uma pessoa ou se relacionam com alguém identificável. Limite os dados ao necessário para o serviço acordado.
- Dados de contato e conta, como nome, e-mail profissional, telefone e endereço do projeto
- Dados de configuração, orçamento, agendamento, pedido ou fatura vinculados a uma pessoa
- Mensagens, documentos e informações de suporte que contenham dados pessoais
- Registros técnicos, como endereços IP, atividade de contas e logs relevantes
Instruções e confidencialidade
O tratamento em nome do cliente segue suas instruções documentadas, inclusive sobre transferências, salvo quando a lei aplicável exigir outra conduta. Registre quem pode dar instruções e como tratar uma instrução incompatível com a legislação de proteção de dados.
O acordo deve abranger a confidencialidade das pessoas autorizadas, o acesso necessário ao trabalho e a possibilidade de o controlador exercer seus direitos contratuais.
Medidas técnicas e organizacionais
Acorde medidas adequadas aos dados, riscos e arquitetura conforme o artigo 32 do GDPR, quando aplicável. Especifique controles e responsabilidades da implementação efetiva, sem presumir configurações idênticas em todos os projetos.
O anexo de segurança deve abranger, conforme necessário, controle de acesso, criptografia, backup e restauração, disponibilidade, monitoramento, gestão de incidentes e revisões ou testes. Solicite as medidas e evidências aplicáveis ao serviço pretendido.
Suboperadores
Registre os fornecedores que tratam dados de clientes, suas tarefas e o procedimento de autorização. O artigo 28 do GDPR exige autorização prévia específica ou geral por escrito; a autorização geral inclui aviso antecipado e oportunidade de objeção às mudanças propostas.
O acordo deve prever obrigações equivalentes de proteção de dados para suboperadores e a responsabilidade do operador por sua atuação. Solicite a lista de fornecedores e o procedimento de alterações da sua implementação.
Hospedagem e transferências internacionais
Identifique os locais de armazenamento e os países de onde os dados podem ser acessados. Dependem da hospedagem, suporte e serviços conectados acordados; solicite os destinos da implementação efetiva.
Quando as regras do GDPR sobre transferências internacionais forem aplicáveis, documente o mecanismo e as salvaguardas pertinentes, como uma decisão de adequação aplicável ou garantias contratuais. Devem corresponder à transferência real; o nome de um fornecedor, por si só, não comprova essas condições.
Solicitações, incidentes e assistência
O DPA deve abranger assistência para direitos individuais, obrigações de segurança, notificações de violações e avaliações de impacto quando aplicáveis, considerando o tratamento e as informações disponíveis.
Em caso de violação de dados pessoais que afete o tratamento em nome do cliente, o operador deve informar o controlador sem demora injustificada. Registre contatos, escalonamento, compartilhamento de informações e responsabilidades no acordo.
Devolução, exclusão e retenção
Ao final do serviço, as condições acordadas devem prever devolução ou exclusão por escolha do controlador, incluindo cópias existentes, salvo quando a lei exigir armazenamento. Defina formato, prazos e responsabilidades.
Documente as exigências de retenção e o tratamento de backups. Solicite as condições aplicáveis aos seus dados de clientes; não presuma que o prazo de retenção de consultas do site se aplica ao seu software.
Informações e direitos de auditoria
O DPA deve prever as informações necessárias para demonstrar as obrigações de tratamento pertinentes e auditorias, incluindo inspeções, pelo controlador ou auditor autorizado. Acorde um processo prático de solicitações e acesso.
Solicite a documentação de tratamento e segurança referente ao seu serviço e registre o processo de análise acordado.
Solicitar o acordo
Utilize o contato regional ou de proteção de dados para solicitar um DPA assinado, discutir cláusulas ou obter os anexos de tratamento do seu serviço.
- Identifique sua empresa e o serviço Configurix ou projeto pretendido
- Descreva dados, usuários, requisitos de hospedagem e sistemas a conectar
- Solicite o escopo do tratamento, medidas de segurança, fornecedores e detalhes de transferências
Visitantes e consultas do site
O tratamento para o próprio site, consultas empresariais e administração do Configurix é descrito na política de privacidade do site. As escolhas sobre análises opcionais são separadas das instruções de tratamento de um DPA de cliente.