Acordo de Processamento de Dados PhotoRobot (DPA)

Este documento representa o Acordo de Processamento de Dados PhotoRobot: Versão 1.0 — Edição PhotoRobot, uni-Robot Ltd., República Tcheca.

‍

‍

1. Partidos

Este Acordo de Processamento de Dados ("DPA") é celebrado entre:

Controlador (Cliente)
A pessoa física ou pessoa jurídica que assinou os Termos de Serviço da PhotoRobot e utiliza o Serviço.

e

Processador:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
República Tcheca
ID da empresa: 01478061
ID do IVA: CZ01478061
E-mail: legal@photorobot.com

Doravante, coletivamente referidos como as "Partes".

Este DPA complementa os Termos de Serviço da PhotoRobot e se aplica quando a PhotoRobot processa dados pessoais em nome do Cliente.

‍

‍

2. Assunto e Natureza do Processamento

PhotoRobot ("Processador") oferece serviços baseados em nuvem, extensões de software locais, gerenciamento de firmware e infraestrutura de hospedagem necessária para processar imagens, metadados e conteúdos digitais relacionados enviados pelo Cliente ("Controlador").

O processamento inclui:

• Coleção
• Armazenamento
• Transmissão
• Extração de metadados
• sincronização entre CL ↔ Cloud
• hospedagem de conteúdo enviado pelo cliente
• Criação de logs e diagnósticos
• Operações de apoio

O processamento é realizado estritamente em nome do Responsável, conforme suas instruções documentadas.

‍

‍

3. Duração

Esse DPA permanece em vigor durante toda a duração da relação contratual entre as Partes e, posteriormente, enquanto o Processador armazenar ou processar quaisquer dados pessoais em nome do Responsável.

‍

‍

4. Dados Pessoais e Categorias de Indivíduos

4.1. Tipos de Dados Pessoais

Dependendo de como o Serviço é utilizado, os dados processados podem incluir:

• Dados de identificação (nome, sobrenome, empresa)
• Dados de contato (e-mail, telefone)
• Conteúdo visual (imagens, vídeos)
• Metadados associados ao conteúdo enviado
• dados de log, endereços IP, identificadores técnicos
• Dados em nível de projeto
• credenciais (hasheadas), tokens de acesso

O Processador não exige nem processa intencionalmente categorias especiais de dados (Art. 9 GDPR).

‍

4.2. Categorias de Assuntos de Dados

• Funcionários do cliente
• Clientes ou parceiros do cliente
• Usuários Autorizados
• Qualquer indivíduo apresentado em conteúdo visual enviado pelo Cliente

O cliente é o único responsável por garantir a coleta legal de dados dos indivíduos.

‍

‍

5. Instruções do Controlador

O processador processa apenas dados pessoais:

1. de acordo com as instruções documentadas do Controlador,
2. conforme exigido para fornecer o Serviço,
3. para garantir a segurança, integridade e disponibilidade dos sistemas,
4. conforme exigido pela legislação da UE ou da República Tcheca.

Se o Processador considerar uma instrução ilegal, deve notificar o Controlador.

‍

‍

6. Confidencialidade

O Processador garante que todas as pessoas autorizadas a processar dados pessoais:

• estão sujeitas a obrigações de confidencialidade,
• receberam treinamento adequado,
• processar os dados exclusivamente sob instruções do Controlador.

‍

‍

7. Subprocessadores

O Processador utiliza certos terceiros ("Subprocessadores") para dar suporte ao Serviço.

‍

7.1. Subprocessadores Aprovados

O Controlador concede autorização geral para que o Processador engaje as seguintes categorias de Subprocessadores:

• Provedores de infraestrutura em nuvem (por exemplo, Google Cloud Platform)
• Provedores de entrega de e-mail
• Provedores de análise
• Sistemas de bilhetagem
• Serviços de monitoramento de segurança
• Sistemas de backup e recuperação de desastres

Uma lista completa é mantida na Lista de Subprocessadores PhotoRobot e pode ser atualizada.

‍

7.2. Notificação de Mudanças

O Processador deverá notificar o Controlador sobre quaisquer mudanças pretendidas nos Subprocessadores com pelo menos 15 dias de antecedência, permitindo que o Controlador se oponha com base em motivos razoáveis.

‍

‍

8. Transferências Internacionais de Dados

Quando Subprocessadores ou infraestrutura estão localizados fora do EEE, o Processador garante:

• aplicação das Cláusulas Contratuais Padrão (SCC 2021),
• salvaguardas técnicas e organizacionais suplementares,
• acesso e criptografia minimizados,
• auditorias de conformidade feitas pelo fornecedor subjacente.

A Google Cloud Platform oferece:

• ISO 27001, ISO 27017, ISO 27018
• Relatórios SOC 1/2/3
• Documentação de conformidade com o GDPR

Detalhes disponíveis em https://cloud.google.com/security.

‍

‍

9. Medidas de Segurança

O processador deverá implementar medidas técnicas e organizacionais (TOMs) padrão da indústria, incluindo:

‍

9.1. Medidas Técnicas

• Criptografia TLS de dados em trânsito
• Armazenamento seguro com tokens de acesso criptografados
• Ambientes de processamento isolados
• Hashing de senhas
• Limites de taxa e sistemas de detecção de intrusão
• Firewall multi-camada
• segurança física de data center (via Google Cloud)

‍

9.2. Medidas Organizacionais

• Controle de acesso baseado em papéis
• Registro de acesso e monitoramento
• Políticas internas para o manuseio de dados
• Obrigações de confidencialidade dos empregados
• Treinamento Periódico em Segurança
• Gestão de Riscos de Fornecedores

Uma lista completa de TOMs está disponível mediante solicitação.

‍

‍

10. Direitos dos Indivíduos

O processador auxilia o Controlador na resposta a:

• Pedidos de acesso
• Retificação
• Exclusão
• Restrição
• Portabilidade de dados
• Objeções

O Processador deve encaminhar qualquer solicitação direta de um dado sujeito ao Controlador sem demora indevida.

‍

‍

11. Notificação de Violação de Dados

Em caso de violação de dados pessoais, o Responsável pelo Tratamento deve notificar o Responsável:

• Sem demora indevida,
• incluindo todas as informações exigidas pelo Artigo 33 GDPR,
• e fornecer atualizações contínuas até que a remediação seja concluída.

O controlador continua responsável por notificar as autoridades e os indivíduos afetados.

‍

‍

12. Exclusão ou Devolução de Dados

Após a rescisão do contrato:

• O processador apaga os Dados do Cliente após 30 dias,
• a menos que instruído de outra forma pelo Controlador,
• exceto quando a retenção é exigida por lei.

Backups são sobrescritos durante seu ciclo de vida normal.

‍

‍

13. Auditorias

O controlador tem o direito de:

• receber documentação comprovando a conformidade com o GDPR
• solicitar um relatório sobre os TOMs
• realizar auditorias razoáveis, limitadas a uma vez por ano
• depender de certificações de terceiros (relatórios ISO/SOC do Google Cloud)

Auditorias não devem comprometer a segurança nem interromper as operações.

‍

‍

14. Responsabilidade

A responsabilidade das Partes segue os Termos de Serviço.
O Processador é responsável apenas por violações causadas por sua própria violação das obrigações do GDPR.

‍

‍

15. Direito Governante e Jurisdição

Essa DPA é regida pelas leis da República Tcheca.

As disputas serão resolvidas pelos tribunais em Praga, República Tcheca.

‍

‍

16. Cláusulas Contratuais Padrão (SCC)

Quando necessário, o SCC 2021 (Módulo 2: Controlador → Processador) se aplica como anexo a este DPA.

PhotoRobot:

• incorpora o SCC por referência,
• inclui todas as cláusulas obrigatórias,
• implementa medidas técnicas suplementares
• garante conformidade para transferências para subprocessadores fora do EEE.

O SCC pode ser fornecido integralmente mediante solicitação.

‍

‍

17. Contato

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
República Tcheca

E-mail: legal@photorobot.com

‍