Acordo de Tratamento de Dados Pessoais (DPA)

1. OBJETO O presente Acordo de Tratamento de Dados Pessoais ("DPA") regula as atividades de tratamento de dados realizadas no contexto da utilização da Plataforma SaiuPedido. Este documento complementa os Termos de Uso, a Política de Privacidade e demais documentos jurídicos da Plataforma. Em caso de conflito entre este DPA e outros documentos relacionados ao tratamento de dados, prevalecerão as disposições deste DPA quanto às atividades de tratamento. 2. DEFINIÇÕES Para fins deste DPA aplicam-se as definições previstas na Lei nº 13.709/2018 (LGPD). Além disso: Controlador: estabelecimento contratante que determina as finalidades e os meios do tratamento dos dados pessoais. Operador: SaiuPedido, que realiza tratamento de dados em nome do Controlador. Titular: pessoa natural a quem os dados pessoais se referem. Tratamento: toda operação realizada com dados pessoais. Suboperador: terceiro contratado pelo SaiuPedido para auxiliar na execução dos serviços. 3. PAPÉIS DAS PARTES 3.1. Controlador O estabelecimento contratante atua como Controlador dos Dados. Compete ao Controlador: • definir as finalidades do tratamento; • definir as bases legais aplicáveis; • garantir legitimidade para coleta dos dados; • atender solicitações dos titulares quando exigido pela legislação. 3.2. Operador O SaiuPedido atua como Operador dos Dados. O tratamento realizado pelo SaiuPedido ocorrerá exclusivamente para execução dos serviços contratados. 4. DADOS ABRANGIDOS O presente DPA poderá envolver, entre outros: Dados de Consumidores Finais • nome; • telefone; • endereço; • histórico de pedidos; • observações relacionadas aos pedidos; • histórico de atendimento. Dados dos Usuários do Estabelecimento • nome; • e-mail; • telefone; • perfil de acesso; • registros de utilização. Dados Operacionais • pedidos; • registros de atendimento; • informações de integração; • histórico operacional. 5. FINALIDADE DO TRATAMENTO O SaiuPedido realizará tratamento exclusivamente para: • disponibilização da Plataforma; • processamento de pedidos; • gestão operacional; • integrações contratadas; • armazenamento de informações; • suporte técnico; • segurança; • prevenção a fraudes; • manutenção dos serviços. O SaiuPedido não utilizará os dados para finalidades incompatíveis com a execução dos serviços contratados. 6. INSTRUÇÕES DO CONTROLADOR O SaiuPedido tratará os dados pessoais conforme as instruções legítimas do Controlador e de acordo com as funcionalidades disponibilizadas pela Plataforma. O Controlador reconhece que as configurações realizadas diretamente por seus usuários constituem instruções de tratamento transmitidas ao SaiuPedido. 7. RESPONSABILIDADES DO CONTROLADOR O Controlador declara e garante que: • possui base legal adequada para tratamento dos dados; • possui legitimidade para inserir os dados na Plataforma; • respeita a legislação aplicável; • adota medidas compatíveis com sua atividade. O Controlador permanece integralmente responsável pela origem dos dados inseridos na Plataforma. 8. RESPONSABILIDADES DO SAIUPEDIDO O SaiuPedido compromete-se a: • tratar os dados apenas para execução dos serviços; • adotar medidas técnicas e administrativas razoáveis de segurança; • restringir acesso aos dados quando aplicável; • cooperar de forma razoável para cumprimento das obrigações legais relacionadas à proteção de dados. O SaiuPedido não assume responsabilidade pelas decisões tomadas pelo Controlador. 9. SEGURANÇA DA INFORMAÇÃO O SaiuPedido adotará medidas técnicas e administrativas compatíveis com o estágio atual da tecnologia para proteção dos dados tratados. As medidas poderão incluir: • autenticação; • controle de acesso; • segregação lógica de dados; • monitoramento; • registros de auditoria; • mecanismos de proteção compatíveis com as boas práticas de mercado. Nenhum sistema é completamente imune a incidentes. 10. SUBOPERADORES O Controlador autoriza o SaiuPedido a utilizar suboperadores necessários para execução dos serviços. Os suboperadores poderão incluir: • provedores de hospedagem; • provedores de banco de dados; • provedores de e-mail; • plataformas de monitoramento; • Meta Platforms; • provedores de inteligência artificial; • demais fornecedores necessários para operação da Plataforma. O SaiuPedido buscará selecionar fornecedores que adotem padrões adequados de proteção de dados. 11. TRANSFERÊNCIA INTERNACIONAL Determinados suboperadores poderão processar dados fora do território brasileiro. O Controlador reconhece e autoriza tais transferências quando necessárias para execução dos serviços contratados. O SaiuPedido buscará utilizar fornecedores que adotem mecanismos compatíveis com a legislação aplicável. 12. DIREITOS DOS TITULARES Quando receber solicitação diretamente relacionada a dados controlados pelo estabelecimento, o SaiuPedido poderá: • encaminhar a solicitação ao Controlador; • solicitar orientações ao Controlador; • cooperar razoavelmente para atendimento da demanda. A responsabilidade principal pelo atendimento ao titular permanece com o Controlador. 13. INCIDENTES DE SEGURANÇA Em caso de incidente de segurança envolvendo dados pessoais sob sua responsabilidade operacional, o SaiuPedido adotará medidas razoáveis para: • investigação; • contenção; • mitigação. Quando aplicável, o SaiuPedido comunicará o Controlador em prazo razoável após a confirmação do incidente. O SaiuPedido não será responsável por incidentes decorrentes de: • compartilhamento indevido de credenciais; • falhas de segurança dos dispositivos do Controlador; • utilização indevida da Plataforma; • ações realizadas por usuários autorizados do próprio Controlador. 14. RETENÇÃO E EXCLUSÃO Após o encerramento da relação contratual: • os dados poderão permanecer armazenados por até 60 (sessenta) dias; • durante esse período poderá ser solicitada exportação ou reativação da conta. Após esse prazo os dados poderão ser: • excluídos; • anonimizados. O SaiuPedido poderá manter determinados registros quando necessário para: • cumprimento legal; • cumprimento regulatório; • exercício regular de direitos; • defesa judicial ou administrativa. 15. EXPORTAÇÃO DOS DADOS O Controlador poderá solicitar exportação dos dados relacionados à sua conta. O prazo para disponibilização poderá ser de até 30 (trinta) dias corridos. A exportação poderá incluir: • clientes; • pedidos; • usuários; • cardápios; • informações operacionais básicas. Não integram a exportação padrão: • logs internos; • auditorias; • tokens; • credenciais; • mecanismos de segurança; • informações proprietárias do SaiuPedido. 16. DADOS ANONIMIZADOS O SaiuPedido poderá utilizar dados anonimizados para: • melhoria da Plataforma; • desenvolvimento de funcionalidades; • estudos internos; • inteligência de produto; • análises estatísticas. Após a anonimização, os dados deixarão de ser considerados dados pessoais para os fins da legislação aplicável. 17. LIMITAÇÃO DE RESPONSABILIDADE A responsabilidade do SaiuPedido limita-se às obrigações expressamente assumidas neste DPA. O SaiuPedido não responde por: • ilegalidade da origem dos dados; • ausência de base legal; • decisões tomadas pelo Controlador; • utilização indevida da Plataforma pelo Controlador. 18. VIGÊNCIA Este DPA permanecerá vigente enquanto houver tratamento de dados decorrente da utilização da Plataforma. As obrigações relacionadas à proteção dos dados permanecerão válidas mesmo após o encerramento da relação contratual, quando aplicável. 19. LEGISLAÇÃO APLICÁVEL Este DPA será interpretado de acordo com a legislação brasileira, especialmente a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). 20. FORO Aplica-se o Foro da Comarca de Jundiaí/SP para dirimir controvérsias relacionadas a este DPA, observadas as disposições legais aplicáveis e as disposições constantes dos Termos de Uso da Plataforma.