Preâmbulo
Este Acordo de processamento de dados («DPA») complementa os Termos de serviço da GMC Guardian e aplica-se a lojistas que utilizam a GMC Guardian cujos clientes finais estejam localizados no Espaço Econômico Europeu, no Reino Unido ou na Suíça. Para titulares localizados no Brasil, este DPA também observa as obrigações decorrentes da LGPD (Lei 13.709/2018).
1. Definições
- Controlador: você (o lojista), que determina as finalidades e os meios do tratamento de dados pessoais.
- Operador: a GMC Guardian, que trata os dados pessoais em seu nome. A identificação societária completa da entidade operadora está disponível mediante solicitação a [email protected].
- Dados Pessoais: qualquer dado relativo a uma pessoa natural identificada ou identificável, conforme definido no artigo 4 do GDPR e no art. 5º, I da LGPD.
2. Objeto e duração
O Operador trata Dados Pessoais somente dos lojistas - não dos clientes finais dos lojistas - para entregar o serviço GMC Guardian durante a vigência da assinatura do Controlador.
3. Natureza e finalidade do tratamento
As operações de tratamento incluem: armazenamento de tokens de autenticação, execução de varreduras, geração de pacotes de evidências, propostas de correção de feed orientadas por IA, notificações por e-mail e logging de auditoria - estritamente limitadas ao necessário para entregar o serviço contratado.
4. Categorias de titulares e dados pessoais
Titulares: o lojista (proprietário da loja) e os usuários autorizados da agência.
Categorias de dados pessoais: identidade empresarial (nome, e-mail, endereço, telefone), tokens de autenticação (criptografados), resultados de varredura, entradas do registro de auditoria (IP, user agent, ação, timestamp).
O Operador não trata Dados Pessoais dos clientes finais do lojista (compradores).
5. Suboperadores
O Controlador autoriza o uso dos suboperadores listados em /confianca. O Operador atualizará essa lista antes que um novo suboperador comece a tratar os dados. O Controlador pode opor-se por motivos legítimos, caso em que o Operador oferecerá uma alternativa comercialmente razoável ou, em sua ausência, permitirá a rescisão do serviço afetado.
6. Transferências internacionais
Quando os Dados Pessoais forem transferidos para fora do EEE, o Operador apoia-se nas Cláusulas Contratuais Padrão (SCCs) ou no EU-US Data Privacy Framework, conforme aplicável. Para transferências internacionais relativas a titulares brasileiros, o Operador observa os arts. 33 a 36 da LGPD.
7. Medidas de segurança
O Operador implementa medidas técnicas e organizativas adequadas, incluindo:
- Criptografia em repouso de todos os tokens de autenticação (libsodium AEAD)
- TLS 1.3 em trânsito
- Registro de auditoria append-only
- Controle de acesso com separação de papéis (operador / admin / lojista)
- Auditorias de segurança periódicas e varredura de dependências
- Procedimentos de resposta a incidentes com compromisso de notificação de incidentes em 72 horas
8. Direitos dos titulares
O Operador auxiliará o Controlador no atendimento de solicitações de direitos dos titulares (acesso, correção, exclusão/anonimização, portabilidade, limitação, oposição) em até 14 dias do recebimento.
9. Auditorias
O Controlador poderá, às suas custas e com 30 dias de aviso, auditar a conformidade do Operador com este DPA - por questionário remoto, por revisão de certificações independentes de terceiros (SOC 2 Type II, quando obtida) ou por visita on-site quando justificada.
10. Notificação de incidentes
O Operador notificará o Controlador de qualquer incidente envolvendo Dados Pessoais sem demora indevida e, em qualquer caso, em até 72 horas a partir do momento em que tomar conhecimento, fornecendo todas as informações necessárias para que o Controlador cumpra suas próprias obrigações de notificação sob o artigo 33 do GDPR e o art. 48 da LGPD (notificação à ANPD e ao titular).
11. Devolução ou exclusão
Encerrado o contrato, o Operador excluirá ou devolverá todos os Dados Pessoais em até 30 dias, salvo quando a retenção for exigida por lei (por exemplo, obrigações de retenção do registro de auditoria).
12. Responsabilidade
Este DPA é regido pelas cláusulas de responsabilidade dos Termos de serviço da GMC Guardian.
13. Contato
Para consultas sobre proteção de dados, escreva para [email protected].