Acordo de tratamento de dados
Versão preliminar, sujeita a revisão jurídica.
1. Papéis
Este acordo vale para os dados pessoais que a empresa assinante (o cliente) lança no Taboza: investidores, fornecedores, clientes, usuários e os demais. O cliente decide o que lança e para quê (é o controlador; nas leis estaduais americanas, o "business"). O Taboza trata esses dados só em nome dele (é o operador; nas leis americanas, o "service provider" ou "processor"). Este acordo faz parte dos termos de uso e prevalece sobre eles no que diz respeito aos dados pessoais.
2. Instruções
Tratamos os dados só para prestar o serviço, conforme os termos de uso, a configuração que o cliente faz no sistema e as instruções escritas dele. Se uma instrução nos parecer contrária à lei, avisamos.
3. O que não fazemos
Não vendemos nem compartilhamos os dados pessoais do cliente, não os usamos para os nossos próprios fins (inclusive publicidade), nem os combinamos com dados de outras fontes, salvo o que a lei permitir a um prestador de serviço. Se deixarmos de conseguir cumprir este acordo, avisamos o cliente.
4. Sigilo e acesso
Quem trabalha no Taboza tem dever de sigilo e só acessa dados de um cliente quando precisa. O acesso do suporte aos dados da empresa depende da autorização do administrador dela, dentro do próprio sistema, por tempo limitado, e fica registrado.
5. Segurança
Mantemos medidas técnicas e organizacionais adequadas: conexão cifrada (TLS), banco e cópias de segurança cifrados, documentos (CPF, CNPJ, SSN, EIN) cifrados campo a campo, isolamento dos dados de cada empresa no banco, verificação em duas etapas, trilha de auditoria, cópias de segurança diárias e monitoramento com alertas.
6. Subprocessadores
Usamos os subprocessadores da lista publicada neste site. Avisamos o administrador do cliente por e-mail pelo menos 30 dias antes de incluir ou trocar um deles; se o cliente se opuser por motivo razoável e não chegarmos a uma solução, ele pode cancelar a assinatura sem multa. Cada subprocessador assume obrigações de proteção de dados equivalentes às deste acordo.
7. Pedidos das pessoas
O sistema dá ao administrador do cliente as ferramentas para atender aos pedidos das pessoas: o relatório com os dados de uma pessoa, a correção, a anonimização e a exportação completa. Se uma pessoa nos procurar diretamente, encaminhamos o pedido ao cliente.
8. Incidentes de segurança
Avisamos o cliente sem demora indevida, e em até 72 horas depois de confirmarmos que dados pessoais dele foram atingidos, com o que soubermos até ali, e seguimos informando. Ajudamos o cliente com os avisos que a lei exigir dele.
9. Fim do contrato
Quando a conta é suspensa ou cancelada, os dados ficam guardados por 90 dias, em que o cliente pode pedir a exportação completa ou reativar a conta. Depois são apagados de vez, e saem das cópias de segurança em até 90 dias. Guardamos só os nossos próprios registros de cobrança.
10. Comprovação
Respondemos a questionários de segurança razoáveis e damos as informações necessárias para mostrar que cumprimos este acordo. Quando tivermos um relatório de auditoria independente (como o SOC 2), ele substitui as auditorias no local.
11. Onde ficam os dados
Os dados ficam na Amazon Web Services, na região us-east-1 (Virgínia, Estados Unidos). A equipe do Taboza pode acessá-los a partir do Brasil, para suporte e operação, sob este acordo.