Preâmbulo

Este Acordo de Tratamento de Dados (Data Processing Agreement — “DPA”) integra e complementa os Termos de Uso (o “Contrato”) celebrados entre o CONTRATANTE e a MUPI SYSTEMS LTDA. (CNPJ 26.882.608/0001-80), titular da plataforma eAgenda, e disciplina o tratamento de dados pessoais realizado pela LICENCIANTE por conta do CONTRATANTE na prestação do serviço. Foi elaborado em conformidade com a Lei n.º 13.709/2018 (LGPD) e, quando aplicável ao CONTRATANTE, com o Regulamento (UE) 2016/679 (GDPR). Os termos em maiúsculas não definidos aqui têm o significado que lhes é atribuído no Contrato.

1. Definições

1.1. “LEGISLAÇÃO DE PROTEÇÃO DE DADOS”: a LGPD e, quando aplicável ao CONTRATANTE, o GDPR, o UK GDPR e demais normas de proteção de dados aplicáveis.

1.2. “DADOS PESSOAIS”, “TITULAR”, “TRATAMENTO”, “INCIDENTE DE SEGURANÇA” e “AUTORIDADE” têm o sentido da LEGISLAÇÃO DE PROTEÇÃO DE DADOS.

1.3. “CONTROLADOR”: o CONTRATANTE, que decide sobre as finalidades e os meios do TRATAMENTO dos DADOS PESSOAIS inseridos na CONTA.

1.4. “OPERADOR”: a LICENCIANTE, que trata DADOS PESSOAIS por conta e conforme as instruções do CONTROLADOR.

1.5. “SUBOPERADOR”: terceiro contratado pela LICENCIANTE para tratar DADOS PESSOAIS na prestação do serviço.

2. Objeto e Papéis

2.1. Este DPA rege o TRATAMENTO de DADOS PESSOAIS realizado pela LICENCIANTE, como OPERADOR, por conta do CONTRATANTE, como CONTROLADOR, na execução do Contrato, e o integra para todos os fins.

2.2. O CONTRATANTE é responsável por possuir base legal válida para o TRATAMENTO e por cumprir seus deveres de CONTROLADOR; a LICENCIANTE trata os DADOS PESSOAIS exclusivamente para prestar o serviço, conforme o Anexo I.

2.3. Em caso de conflito entre o Contrato e este DPA quanto ao TRATAMENTO de DADOS PESSOAIS, prevalece este DPA.

3. Instruções de Tratamento

3.1. A LICENCIANTE tratará DADOS PESSOAIS apenas conforme as instruções documentadas do CONTRATANTE, materializadas neste DPA, no Contrato e nas funcionalidades e configurações da PLATAFORMA, salvo obrigação legal, hipótese em que informará o CONTRATANTE previamente, salvo vedação legal.

3.2. A LICENCIANTE informará o CONTRATANTE se, em sua opinião, uma instrução violar a LEGISLAÇÃO DE PROTEÇÃO DE DADOS.

4. Confidencialidade

4.1. A LICENCIANTE assegura que as pessoas autorizadas a tratar DADOS PESSOAIS estão sujeitas a obrigação de confidencialidade e recebem treinamento adequado.

5. Segurança

5.1. A LICENCIANTE adota as medidas técnicas e organizacionais descritas no Anexo II para proteger os DADOS PESSOAIS contra acessos não autorizados e situações de destruição, perda, alteração, comunicação ou difusão, considerando o estado da técnica, os custos e os riscos envolvidos.

6. Suboperadores

6.1. O CONTRATANTE autoriza, de forma geral, a contratação dos SUBOPERADORES listados no Anexo III, necessários à prestação do serviço.

6.2. A LICENCIANTE informará o CONTRATANTE, com antecedência razoável, sobre a inclusão ou substituição de SUBOPERADOR, cabendo ao CONTRATANTE objetar por motivo fundado de proteção de dados; não sanada a objeção, o CONTRATANTE poderá rescindir o serviço afetado.

6.3. A LICENCIANTE vincula cada SUBOPERADOR a obrigações de proteção de dados equivalentes às deste DPA e responde pelos atos dos SUBOPERADORES.

7. Assistência ao Controlador

7.1. A LICENCIANTE auxiliará o CONTRATANTE, na medida do razoável e considerando a natureza do TRATAMENTO: (a) a responder às solicitações de TITULARES (acesso, correção, eliminação, portabilidade e demais direitos), inclusive por meio das funcionalidades da PLATAFORMA; (b) a cumprir deveres de segurança, comunicação de incidentes, relatórios de impacto e consultas prévias à AUTORIDADE.

7.2. Recebendo solicitação de TITULAR diretamente, a LICENCIANTE a encaminhará ao CONTRATANTE e não responderá por conta própria, salvo instrução.

8. Incidentes de Segurança

8.1. A LICENCIANTE notificará o CONTRATANTE, por e-mail, sem demora injustificada e em até 24 (vinte e quatro) horas da ciência, sobre INCIDENTE DE SEGURANÇA envolvendo DADOS PESSOAIS tratados na PLATAFORMA, com as informações disponíveis para que o CONTRATANTE cumpra seus deveres de comunicação à AUTORIDADE e aos TITULARES.

8.2. A comunicação de INCIDENTE não constitui reconhecimento de culpa ou responsabilidade pela LICENCIANTE.

9. Transferência Internacional

9.1. Os DADOS PESSOAIS poderão ser tratados em data centers no Brasil ou no exterior, especialmente nos Estados Unidos e na União Europeia, observados os requisitos de transferência internacional da LEGISLAÇÃO DE PROTEÇÃO DE DADOS.

9.2. Quando o CONTRATANTE estiver sujeito ao GDPR ou ao UK GDPR e houver transferência para país sem decisão de adequação, aplicam-se as Cláusulas Contratuais Padrão da Comissão Europeia (Decisão de Execução (UE) 2021/914, módulo controlador-operador) e, quando aplicável, o International Data Transfer Addendum do ICO (Reino Unido), disponibilizados pela LICENCIANTE como parte deste Acordo.

10. Auditoria

10.1. A LICENCIANTE disponibilizará ao CONTRATANTE as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, preferencialmente por meio de certificações e relatórios de terceiros (por exemplo, ISO/IEC 27001), sem comprometer a segurança e a confidencialidade de outros clientes.

11. Término

11.1. Encerrado o Contrato, a LICENCIANTE, conforme instrução do CONTRATANTE e ressalvada a exportação prevista no Contrato, eliminará ou devolverá os DADOS PESSOAIS, observados os prazos de retenção de backups e as conservações exigidas por obrigação legal ou regulatória.

Anexo I — Descrição do Tratamento

Natureza e finalidade: prestação do serviço de agendamento e funcionalidades correlatas (cadastro, agenda, histórico, notificações, relatórios).
Operações: coleta, registro, organização, armazenamento, uso, disponibilização, transmissão e eliminação.
Categorias de titulares: USUÁRIOS FINAIS (clientes do CONTRATANTE que realizam agendamentos) e USUÁRIOS AUTORIZADOS do CONTRATANTE.
Categorias de dados: identificação e contato (nome, e-mail, telefone); dados de agendamento (data, hora, serviço, profissional, unidade); histórico e interações; dados técnicos (IP, dispositivo). Eventuais dados sensíveis inseridos pelo CONTRATANTE são de sua responsabilidade como CONTROLADOR.
Duração: enquanto vigente o Contrato, acrescida dos prazos de retenção nele previstos.

Anexo II — Medidas de Segurança

Criptografia TLS 1.2 ou superior para dados em trânsito.
Senhas protegidas por funções de derivação (bcrypt/Argon2).
Armazenamento em data centers certificados ISO/IEC 27001.
Controle de acesso por função e princípio do menor privilégio.
Registro de acessos e trilhas de auditoria.
Confidencialidade e treinamento do pessoal.
Rotinas de backup e recuperação de desastres.

Anexo III — Suboperadores

Provedores de nuvem (Amazon Web Services, DigitalOcean, Microsoft Azure e/ou Google Cloud): hospedagem, computação e armazenamento — Brasil, EUA ou União Europeia, conforme a região configurada.
Postmark: envio de notificações por e-mail — EUA.
Twilio: envio de notificações por SMS — EUA.
Meta Platforms: envio de notificações por WhatsApp — EUA / União Europeia.
Asaas, Mercado Pago e/ou Stripe: processamento de pagamentos — Brasil e EUA/União Europeia. Esses provedores podem atuar como controladores independentes dos dados de pagamento, hipótese em que tal tratamento se rege pelas políticas de privacidade próprias de cada um.