Informações legais

Contrato de Processamento de Dados

Última atualização em 1 de novembro de 2026

Esta tradução é fornecida para sua conveniência. A versão em inglês é a juridicamente vinculante e prevalece em caso de divergência. Leia a versão em inglês.

Este Contrato de Processamento de Dados (“DPA”) faz parte dos Termos de Serviço entre o Cliente e Astrizon Technology Solutions Private Limited, empresa registrada na Índia (“Operador”). Ele se aplica sempre que o Operador processa dados pessoais em nome do Cliente por meio da Zolensa. Se o Cliente atuar como operador para o seu próprio cliente, o Operador é seu suboperador e os termos se aplicam de acordo com isso.

1. Definições

“Lei de Proteção de Dados” significa as leis que se aplicam ao processamento, incluindo o Regulamento Geral sobre a Proteção de Dados da UE (GDPR), o GDPR do Reino Unido e a Lei de Proteção de Dados de 2018 (Data Protection Act 2018), a Lei Federal Suíça sobre Proteção de Dados, a Lei de Proteção de Dados Pessoais Digitais da Índia de 2023 (Digital Personal Data Protection Act 2023) e leis estaduais dos EUA, como a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act). “Dados Pessoais”, “Controlador”, “Operador”, “Titular dos Dados”, “Violação de Dados Pessoais” e “Processamento” têm os significados dados no GDPR. “Dados Pessoais do Cliente” significa os Dados Pessoais processados pelo Operador para o Cliente por meio do Serviço.

2. Funções e instruções

O Cliente é o Controlador (ou um Operador que atua para o seu cliente) e o Operador processa os Dados Pessoais do Cliente somente conforme as instruções documentadas do Cliente. Os Termos, este DPA e o uso e as configurações do Serviço pelo Cliente constituem essas instruções. O Operador informa o Cliente se considerar que uma instrução viola a Lei de Proteção de Dados. Os detalhes do processamento estão no Anexo I.

3. Confidencialidade

O Operador garante que todas as pessoas autorizadas a processar os Dados Pessoais do Cliente estejam vinculadas a um dever de confidencialidade e tenham apenas o acesso de que sua função precisa.

4. Segurança

O Operador implementa as medidas técnicas e organizacionais do Anexo II, adequadas ao risco, e pode atualizá-las desde que o nível geral de proteção não diminua.

5. Suboperadores

O Cliente concede autorização geral para os suboperadores listados na página de Suboperadores. O Operador avisa com pelo menos 30 dias de antecedência sobre um novo suboperador, atualizando essa página e enviando e-mail aos proprietários dos espaços de trabalho. O Cliente pode se opor, com motivos razoáveis de proteção de dados, dentro desse prazo; se as partes não chegarem a uma solução, o Cliente pode encerrar o serviço afetado e receber o reembolso das tarifas pagas antecipadamente pelo período restante. O Operador impõe a cada suboperador obrigações de proteção de dados que não sejam menos protetoras do que este DPA e continua responsável por eles.

6. Transferências internacionais

O Operador hospeda o Serviço na Índia e alguns suboperadores estão em outros países. Para transferências de Dados Pessoais do Espaço Econômico Europeu, as partes aderem às Cláusulas Contratuais Padrão adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, Módulo Dois (controlador para operador) e, quando o Cliente for um operador, Módulo Três (operador para operador), que são incorporadas por referência com estas escolhas: a Cláusula 7 não se aplica; na Cláusula 9, aplica-se a opção 2 (autorização geral) com aviso prévio de 30 dias; o texto facultativo da Cláusula 11 não se aplica; a Cláusula 13 segue o estabelecimento do Cliente; nas Cláusulas 17 e 18, aplicam-se a lei e os tribunais da Irlanda; os Anexos I e II deste DPA completam os Anexos das Cláusulas. Para transferências do Reino Unido, aplica-se o Adendo de Transferência Internacional de Dados (International Data Transfer Addendum) emitido pelo Information Commissioner, e para a Suíça as Cláusulas se aplicam, com as referências lidas como referências à lei suíça. Se estas Cláusulas entrarem em conflito com este DPA, as Cláusulas prevalecem.

7. Ajuda ao Cliente

Levando em conta a natureza do processamento, o Operador ajuda o Cliente, principalmente por meio de recursos do Serviço, a responder às solicitações dos Titulares dos Dados e em questões de segurança, notificações de violação, avaliações de impacto sobre a proteção de dados e consultas a autoridades. Se um Titular dos Dados entrar em contato diretamente com o Operador, o Operador encaminha a solicitação ao Cliente sem respondê-la, a menos que a lei exija o contrário.

8. Violações de Dados Pessoais

O Operador notifica o Cliente sem demora injustificada e, em qualquer caso, em até 48 horas após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Cliente, com as informações de que o Cliente precisa para cumprir as próprias obrigações, e mantém o Cliente informado à medida que mais detalhes forem conhecidos. O Operador toma medidas razoáveis para conter a violação e reduzir seus efeitos.

9. Exclusão e devolução

O Cliente pode exportar e excluir os Dados Pessoais do Cliente a qualquer momento por meio do Serviço e define o período de retenção de cada estudo. Quando o contrato terminar, o Operador exclui todos os Dados Pessoais do Cliente, inclusive os arquivos armazenados, em até 30 dias após o período de exportação previsto nos Termos, a menos que a lei o obrigue a manter parte deles; nesse caso, ele mantém esses dados em sigilo e os processa apenas para essa finalidade.

10. Auditorias

O Operador disponibiliza as informações razoavelmente necessárias para demonstrar a conformidade com este DPA. O Cliente pode realizar auditoria, ou contratar um auditor independente vinculado a um dever de confidencialidade, uma vez por ano, com aviso prévio de 30 dias, em horário comercial e sem prejudicar o Serviço nem os dados de outros clientes, por sua conta; ou com mais frequência se uma Violação de Dados Pessoais ou uma autoridade o exigir.

11. Leis estaduais de privacidade dos EUA

Quando a Lei de Privacidade do Consumidor da Califórnia (CCPA) ou leis semelhantes se aplicarem, o Operador é um prestador de serviços e não venderá nem compartilhará os Dados Pessoais do Cliente, nem os reterá, usará ou divulgará fora da relação comercial direta ou para qualquer finalidade que não seja o Serviço, nem os combinará com outras informações pessoais, exceto na medida em que essas leis permitirem. O Operador informará o Cliente se não puder mais cumprir estas obrigações.

12. Responsabilidade e ordem de precedência

A responsabilidade de cada parte sob este DPA está sujeita aos limites previstos nos Termos, exceto quando a Lei de Proteção de Dados não os permitir. Se este DPA entrar em conflito com os Termos em matéria de proteção de dados, este DPA prevalece.

13. Anexo I: Detalhes do processamento

14. Anexo II: Medidas técnicas e organizacionais

• Criptografia em trânsito com TLS em todas as conexões; gravações armazenadas de forma privada e servidas por links assinados que expiram.
• Senhas protegidas com hash Argon2id; autenticação em duas etapas exigida dos proprietários de espaços de trabalho e da equipe da plataforma; chaves de provedores e segredos de duas etapas criptografados em repouso.
• Acesso baseado em funções dentro de cada espaço de trabalho; os clientes veem os participantes apenas pelo código; dados de contato limitados à equipe do estudo.
• Separação dos dados dos clientes na aplicação por espaço de trabalho; cada solicitação é verificada em relação ao espaço de trabalho e à função do usuário.
• Limites de taxa em login, convites e envios; proteção contra falsificação de solicitações entre sites (cross-site request forgery); cabeçalhos de segurança.
• Registro de auditoria de logins, convites, consentimentos, exportações, downloads e exclusões.
• Minimização de dados: dados de localização removidos das fotos; envios verificados por tipo e tamanho; downloads expiram após sete dias.
• Retenção por estudo definida pelo Cliente; exclusão de participantes, estudos e espaços de trabalho inteiros, inclusive arquivos.
• Reforço da segurança dos servidores, atualizações de segurança regulares, firewall e backups mantidos pelo provedor de hospedagem.
• Equipe com acesso vinculada a um dever de confidencialidade, com acesso limitado ao que o trabalho exige.
• Um processo para detectar, avaliar e notificar Violações de Dados Pessoais em até 48 horas.