Acordo de
processamento
de dados

Base44: Adendo de processamento de dados – Usuários

Este adendo de processamento de dados (o “APD”) é parte integrante dos Termos de Serviço que regem os serviços prestados a você pela Base44, Inc. (a “Empresa”), e de qualquer outro acordo ou documento firmado entre as partes (coletivamente, o “Contrato”).

Se, como parte dos serviços prestados a você – incluindo a criação e a hospedagem do seu aplicativo, o fornecimento de capacidades de inteligência artificial e interface de programação de aplicações (API) a terceiros, ou qualquer outra ação necessária para disponibilizar nossa plataforma e aprimorá-la (coletivamente, os “Serviços”) –, a Empresa processar, em seu nome, qualquer informação de seus usuários, clientes, potenciais clientes ou de qualquer outro indivíduo que interaja com o seu aplicativo (“Titular dos Dados”), este APD regerá o processamento de todas as informações recebidas, coletadas, acessadas ou utilizadas em conexão com o Contrato em seu nome (“Dados Pessoais”).

Papéis e instruções

No que diz respeito ao processamento de quaisquer Dados Pessoais, você reconhece e concorda que atua como:

Controlador dos dados, determinando a finalidade e os meios do processamento dos Dados Pessoais (“Controlador”); ou
Operador, que processa Dados Pessoais em nome de terceiros (“Operador”).

A Empresa será considerada a sua Operadora e, em hipótese alguma, será considerada a controladora dos dados.

Por meio deste instrumento, você instrui a Empresa a processar os Dados Pessoais de acordo com os termos deste APD, que serão considerados as instruções completas, exclusivas e finais com relação ao processamento de Dados Pessoais pela Empresa. Nenhuma instrução adicional que divirja das aqui listadas ou que imponha responsabilidades ou despesas adicionais será introduzida.

Você assume o compromisso e garante que todos os Dados Pessoais fornecidos à Empresa nos termos deste APD foram coletados de forma legal, sem violação de qualquer direito ou liberdade de qualquer Titular dos Dados e em conformidade com todas as Leis de Proteção de Dados Aplicáveis (conforme definido abaixo).

Processamento pela Empresa

Cada uma das partes cumprirá todas as leis, regras e regulamentos a ela aplicáveis no que tange ao processamento de Dados Pessoais, incluindo o Regulamento da União Europeia 2016/679 e a legislação nacional do estado-membro do EEE aplicável que implementa o GDPR, as Leis de Proteção de Dados dos Estados Unidos, o Regulamento Geral de Proteção de Dados do Reino Unido, as leis federais e estaduais dos Estados Unidos, a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos do Canadá, a Lei Geral de Proteção de Dados do Brasil e a Lei de Proteção da Privacidade de Israel (“Leis de Proteção de Dados Aplicáveis”).

A Empresa processará os Dados Pessoais para fornecer os Serviços, de acordo com o Contrato. A natureza e as finalidades do processamento, sua duração e as categorias de Dados Pessoais serão determinadas exclusivamente por você, dependendo do seu uso dos Serviços.

A Empresa implementará medidas técnicas e organizacionais adequadas, destinadas a:

Prevenir o acesso não autorizado, a divulgação ou a corrupção dos seus Dados Pessoais, conforme detalhado no Anexo B.
Ajudá-lo a atender às solicitações que você possa receber dos Titulares dos Dados.
Garantir que a sua equipe envolvida no processamento de Dados Pessoais seja informada sobre a natureza confidencial dos Dados Pessoais, tenha recebido treinamento adequado em relação às suas responsabilidades e tenha se comprometido com a confidencialidade.

A Empresa poderá permitir que você faça integrações com outros terceiros utilizando a plataforma e compartilhe Dados Pessoais com eles. Fica esclarecido que a contratação e o relacionamento com esses terceiros ocorrem por sua conta e risco, sendo altamente recomendável a revisão e celebração de termos específicos para tais integrações.

A Empresa utilizará os Dados Pessoais apenas para a prestação dos Serviços, ou após um processo completo de anonimização (removendo todos os atributos pessoais), ou de forma agregada.

Suboperadores

A Empresa poderá processar Dados Pessoais utilizando terceiros (“Suboperadores”), a fim de lhe fornecer os Serviços sob as restrições aqui estabelecidas. Os Suboperadores não processarão Dados Pessoais para qualquer outra finalidade além de fornecer os Serviços, exceto para processamento de forma agregada ou anonimizada.

Os Suboperadores estarão sujeitos a termos materialmente semelhantes aos termos aqui estabelecidos.

A Empresa permanecerá responsável perante você por qualquer violação deste APD que seja causada por seus Suboperadores, devendo garantir e manter a devida diligência adequada em relação a eles.

Todos os Suboperadores atuais contratados pela Empresa estão listados no Anexo C.

A Empresa permite que você se inscreva na lista de Suboperadores e receba notificações sobre qualquer intenção de adição ou substituição de Suboperadores, que serão enviadas com 7 (sete) dias de antecedência em relação a essa alteração. Para se inscrever para receber tais notificações, envie um e-mail para compliance@base44.com.

Você poderá se opor à nomeação ou substituição de um Suboperador pela Empresa com base em motivos razoáveis e documentados relacionados à proteção de dados, mediante o envio de uma objeção por escrito e fundamentada para compliance@base44.com, no prazo de 7 (sete) dias a contar do recebimento da notificação de alteração.

Em tal evento, a Empresa poderá, a seu exclusivo critério, optar por empregar esforços comercialmente razoáveis (mas não será obrigada a tal) para disponibilizar a você uma solução alternativa para evitar o processamento de Dados Pessoais pelo novo Suboperador ao qual você se opôs. Até que a Empresa tome uma decisão sobre a sua objeção, ela poderá suspender temporariamente o processamento de Dados Pessoais, o que poderá resultar na desativação de alguns recursos dos Serviços.

Se a Empresa verificar que é incapaz de resolver a sua objeção ou de lhe fornecer tal solução alternativa no prazo de 30 (trinta) dias a contar do recebimento da sua objeção válida e fundamentada – conforme determinado a critério exclusivo e total da Empresa (sem obrigação de fornecer qualquer justificativa) –, você poderá, como único recurso, descontinuar o uso dos Serviços afetados, mediante notificação por escrito para compliance@base44.com. Tal descontinuação não isenta você do pagamento de quaisquer valores devidos até a data da interrupção dos Serviços, tampouco dará direito a novas reivindicações contra a Empresa decorrente desse encerramento. Caso nenhuma objeção tenha sido apresentada à substituição ou nomeação de um novo Suboperador dentro do prazo acima mencionado, a Empresa considerará que você autorizou o novo Suboperador.

Segurança

A Empresa implementou e manterá medidas de segurança técnicas e organizacionais alinhadas com os padrões do setor, projetadas para evitar o acesso não autorizado, a divulgação ou a corrupção dos seus Dados Pessoais, conforme listado no Anexo B.

Você é responsável por revisar as informações que a Empresa disponibiliza sobre segurança de dados e por avaliar, de forma independente, se os Serviços atendem às suas necessidades, requisitos e obrigações legais.

Na medida do aplicável, você também é responsável por configurar adequadamente os Serviços e por utilizar os recursos e funcionalidades disponibilizados para manter a segurança apropriada dos Dados Pessoais.

Ao utilizar os Serviços da Empresa, você concorda expressamente com a adequação das medidas organizacionais, técnicas e de segurança implementadas pela Empresa.

Auditoria

Mediante sua solicitação por escrito, feita com razoabilidade e em intervalos razoáveis (no máximo uma a cada 12 meses), e sujeita aos compromissos de confidencialidade (se aplicável) assumidos por você, a Empresa disponibilizará relatórios, certificações ou extratos desses documentos que estejam prontamente disponíveis a partir de uma fonte encarregada de auditar as práticas de proteção de dados da Empresa, a fim de permitir que você avalie o cumprimento deste APD por parte da Empresa em relação aos seus Dados Pessoais.

Na medida em que tal documentação não seja suficiente para cumprir as obrigações legais da Empresa perante você nos termos das Leis de Proteção de Dados Aplicáveis, a Empresa permitirá que você realize uma auditoria independente mediante o envio de questionários razoáveis, entrevistas com o pessoal da Empresa ou outros métodos razoáveis conforme exigido pelas Leis de Proteção de Dados Aplicáveis, tudo sem impor qualquer despesa adicional à Empresa.

Incidente de segurança

Ao tomar conhecimento de qualquer incidente de segurança confirmado no qual Dados Pessoais tenham sido destruídos, perdidos, alterados, divulgados ou acessados de forma acidental ou ilícita, a Empresa notificará você sem demora, conforme exigido pelas Leis de Proteção de Dados Aplicáveis.

A Empresa empregará esforços razoáveis para incluir nessas notificações informações relevantes sobre: a natureza da violação relacionada, o escopo e o tipo de registros e Titulares dos Dados afetados, as consequências previstas e detalhes sobre quaisquer medidas de remediação e outras ações adotadas pela Empresa.

Você reconhece que tal notificação não será considerada nem interpretada como um reconhecimento de culpa ou responsabilidade por parte da Empresa em relação a tal incidente.

Você também reconhece que, no evento de tal incidente, você também poderá ser obrigado a tomar as medidas exigidas pelas Leis de Proteção de Dados Aplicáveis para mitigar os danos aos Titulares dos Dados.

Assistência e solicitações de Dados Pessoais

A menos que seja proibida por lei, a Empresa notificará você prontamente se receber solicitações, ordens, mandados ou intimações semelhantes de autoridades para acessar Dados Pessoais. A Empresa não fornecerá acesso a Dados Pessoais a menos que entenda, de forma fundamentada, que as solicitações possuem caráter vinculante e, nesses casos, limitará o acesso ao estritamente necessário para cumprir tais exigências.

A Empresa notificará você prontamente ao receber uma solicitação de um Titular dos Dados especificamente referente ao tratamento de Dados Pessoais realizado em seu nome. A Empresa não será responsável por responder a tais solicitações, mas disponibilizará a você as informações prontamente disponíveis que sejam necessárias para respondê-las.

A Empresa disponibilizará a você mecanismos (automatizados ou manuais) para ajudá-lo a cumprir tais solicitações de cumprimento obrigatório.

Na medida exigida pelas Leis de Proteção de Dados Aplicáveis, a Empresa manterá registros de suas atividades de tratamento de dados realizadas em seu nome e, mediante solicitação, fornecerá a você os registros necessários para demonstrar a conformidade com tais requisitos legais.

Transferência transfronteiriça

A Empresa apenas transferirá Dados Pessoais do Espaço Econômico Europeu (EEE), da Suíça e do Reino Unido para seus Suboperadores utilizando mecanismos legais necessários para garantir que a transferência transfronteiriça relevante esteja em conformidade com as Leis de Proteção de Dados Aplicáveis, tais como: (i) transferência para países que sejam reconhecidos pelo EEE como garantidores de um nível adequado de proteção a Dados Pessoais; (ii) o Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) e suas extensões aplicáveis; (iii) as Cláusulas Contratuais Padrão da UE, Módulo 2 ou 3 (conforme aplicável) (“CCPs”), conforme aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, relativa às cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho; ou (iv) quaisquer outros mecanismos aprovados.

Na medida em que o mecanismo de transferência transfronteiriça aplicável implantado seja as CCPs, as partes concordam em incorporá-las a este APD, com as seguintes especificações:

Cláusula 7: não se aplica;
Cláusula 9: aplica-se a opção 1;
Cláusula 17: o “Estado-Membro da UE” será a Irlanda;
Cláusula 18: o “Estado-Membro da UE” será a Irlanda.

Para transferências fora do Reino Unido ou da Suíça, as alterações obrigatórias cabíveis serão aplicadas com as devidas adaptações.

Rescisão

Mediante sua solicitação por escrito, a Empresa excluirá sua conta, incluindo todos os Dados Pessoais nela armazenados, exceto:

Quaisquer dados cuja retenção seja exigida por lei;
Quaisquer dados mantidos nos procedimentos de backup automático da Empresa, os quais são excluídos em intervalos definidos.

Na medida em que os Dados Pessoais sejam mantidos após a rescisão deste APD em razão das exceções acima, eles permanecerão sujeitos aos termos deste documento e não serão acessados ou utilizados para qualquer outra finalidade até a sua efetiva exclusão dos sistemas.

Termos específicos das leis estaduais dos EUA

Os seguintes termos são aplicáveis aos Dados Pessoais originários dos Estados Unidos:

Para evitar dúvidas, as definições de “Dados Pessoais”, “Titular dos Dados”, “Controlador” e “Operador” abrangem os conceitos de “Informação Pessoal”, “Consumidor”, “Empresa” e “Provedor de Serviços”, respectivamente, conforme definido na Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA), alterada pela Lei de Direitos de Privacidade da Califórnia de 2020 (CPRA). Além disso, os termos “Vender” e “Compartilhar” terão os significados a eles atribuídos pela CCPA.

A Empresa não poderá:

Vender ou Compartilhar Dados Pessoais;
Utilizar Dados Pessoais para qualquer outra finalidade que não as finalidades comerciais especificadas neste APD, ou fora das atividades de tratamento de dados aqui estabelecidas;
Combinar os Dados Pessoais recebidos de você ou em seu nome com quaisquer outras informações coletadas pela Empresa que não sejam relacionadas aos Serviços;
Contratar qualquer outra parte para auxiliar ou participar do tratamento de Dados Pessoais sem notificá-lo na forma prevista neste APD.

Você tem o direito de: (a) verificar se o tratamento de Dados Pessoais está em conformidade com este APD; (b) adotar medidas razoáveis, conforme definido na seção 5 (Auditoria), para garantir que a Empresa utilize os Dados Pessoais de maneira compatível com suas obrigações sob este APD ou sob a CCPA; e (c) em caso de uso não autorizado de Dados Pessoais, rescindir o APD mediante notificação por escrito enviada à Empresa, promovendo a exclusão de sua conta e de seus Dados Pessoais.

A Empresa declara e reconhece que compreende e cumpre integralmente os requisitos das Leis de Proteção de Dados Aplicáveis quando os Dados Pessoais forem originários dos Estados Unidos, incluindo todas as restrições aplicáveis aos referidos dados.

Disposições gerais

A Empresa notificará você caso não possa mais cumprir suas obrigações decorrentes deste APD ou das Leis de Proteção de Dados Aplicáveis.

Os termos deste APD poderão ser alterados periodicamente pela Empresa mediante a publicação da versão atualizada em seu site. A continuidade da utilização dos Serviços após a referida publicação constituirá sua expressa concordância e aceitação do APD alterado.

Caso qualquer disposição deste APD seja considerada inválida, ilegal, nula ou, por qualquer razão, inexequível por um tribunal de jurisdição competente, tal disposição será considerada separável, não afetando a validade e a exequibilidade das demais disposições.

Para fins de clareza e na máxima extensão permitida pela legislação aplicável, toda a responsabilidade decorrente deste APD, incluindo suas respectivas limitações, será regida pelas disposições aplicáveis dos Termos de Serviço da Empresa.

Este APD foi redigido originalmente em inglês e poderá ser traduzido para outros idiomas para sua conveniência. Caso haja qualquer divergência ou conflito entre uma versão traduzida e a versão em inglês deste APD, prevalecerão as disposições da versão em inglês.

Anexo A – Detalhes do processamento

Natureza e finalidade do processamento. Podemos utilizar os Dados Pessoais para as seguintes finalidades (bem como para as tarefas a elas relacionadas), sempre em conformidade com o Contrato e de maneira proporcional, respeitando os seus direitos de privacidade e os dos seus Usuários de Usuários:

Fornecer os Serviços a você, inclusive por meio de Suboperadores;
Atuar de acordo com suas instruções, inclusive prestando assistência profissional, somente mediante sua solicitação (desde que tais instruções sejam compatíveis com os termos deste APD e com a prestação dos Serviços);
Prevenir, investigar e mitigar riscos e incidentes de segurança de dados, fraudes, erros e/ou atividades ilegais ou proibidas;
Cumprir as leis e regulamentos aplicáveis.

Duração do Processamento. Você determina a duração do processamento com base em suas necessidades e a seu exclusivo critério. A Empresa deverá, de acordo com os termos deste APD, excluir os Dados Pessoais nos termos da Seção 9.

Tipo de Dados Pessoais. Observadas as suas obrigações de restrição de conteúdo estabelecidas neste APD e no Contrato, o escopo e a natureza dos dados são controlados e determinados exclusivamente por você, em conformidade com as Leis de Proteção de Dados Aplicáveis.

Categorias de Titulares dos Dados. Observadas as suas obrigações de restrição de conteúdo estabelecidas neste APD e no Contrato, você poderá enviar Dados Pessoais para o Serviço, os quais podem incluir (sem a isso se limitar) dados referentes às seguintes categorias de Titulares dos Dados, todos conforme controlados e determinados exclusivamente por você: (i) funcionários atuais e futuros, candidatos, agentes, consultores, freelancers, parceiros de negócios e/ou subcontratados (bem como seus respectivos empregados, pontos de contato, agentes etc.), desde que sejam pessoas físicas; (ii) seus clientes atuais, potenciais clientes e usuários finais (e seus respectivos funcionários, pontos de contato e agentes), desde que sejam pessoas físicas; e (iii) qualquer outro terceiro, pessoa física, com quem você decida interagir por meio do Serviço.