Acordo de processamento de dados

1. Definições

• "Controlador" ("Controller") significa o Estabelecimento, que determina as finalidades e os meios do tratamento de dados pessoais.
• "Operador" ("Processor") significa a SatsRail LLC, que trata dados pessoais em nome do Controlador.
• "Dados pessoais" ("Personal Data") significa qualquer informação relativa a uma pessoa natural identificada ou identificável, conforme definido no artigo 4(1) do GDPR.
• "Tratamento" ("Processing") significa qualquer operação realizada com Dados pessoais, conforme definido no artigo 4(2) do GDPR.
• "Suboperador" ("Sub-processor") significa um terceiro contratado pela SatsRail para tratar Dados pessoais em nome do Controlador.

2. Escopo do tratamento

2.1 Dados tratados

A SatsRail trata as seguintes categorias de dados pessoais em nome dos estabelecimentos:

2.2 Dados NÃO tratados

A SatsRail não trata:

• Dados pessoais dos clientes finais (nomes, e-mails ou informações de identidade dos compradores)
• Dados de conteúdo (o que está sendo vendido)
• Chaves privadas de carteiras ou frases-semente

3. Obrigações do Operador

A SatsRail deverá:

• Tratar os Dados pessoais somente mediante instruções documentadas do Controlador, salvo quando exigido por lei
• Garantir que as pessoas autorizadas a tratar Dados pessoais estejam sujeitas a obrigações de confidencialidade
• Implementar medidas técnicas e organizacionais adequadas para garantir a segurança do tratamento, incluindo criptografia em trânsito (TLS) e em repouso, controles de acesso e revisões de segurança periódicas
• Não contratar um Suboperador sem a autorização prévia e por escrito do Controlador
• Auxiliar o Controlador no atendimento às solicitações dos titulares dos dados (acesso, retificação, eliminação, portabilidade, limitação, oposição)
• Auxiliar o Controlador nas avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controle, quando exigidas
• Excluir ou devolver todos os Dados pessoais ao término do Contrato, à escolha do Controlador, observados os requisitos legais de retenção
• Disponibilizar ao Controlador todas as informações necessárias para demonstrar o cumprimento das obrigações do artigo 28 do GDPR

4. Suboperadores

Atualmente, a SatsRail utiliza os seguintes suboperadores:

A SatsRail notificará o Controlador antes de adicionar ou substituir um suboperador. O Controlador poderá se opor no prazo de 15 dias. Se uma objeção não puder ser resolvida, o Controlador poderá rescindir o Contrato.

5. Transferências internacionais

Os Dados pessoais são armazenados e tratados nos Estados Unidos. Para transferências de Dados pessoais do EEE para os Estados Unidos, a SatsRail se baseia no Marco de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework), em Cláusulas Contratuais Padrão (SCCs) ou em outras garantias adequadas, conforme exigido pelo capítulo V do GDPR.

6. Notificação de violação de dados

Em caso de violação de Dados pessoais, a SatsRail notificará o Controlador sem demora injustificada e, no máximo, 72 horas após tomar conhecimento da violação. A notificação incluirá a natureza da violação, as categorias e o número aproximado de titulares dos dados afetados, as consequências prováveis e as medidas adotadas ou propostas para tratar a violação.

7. Retenção de dados

A SatsRail retém os Dados pessoais conforme descrito na Política de privacidade. Os dados de transações são retidos por no mínimo 7 anos para fins de cumprimento legal e fiscal. Após o término, os Dados pessoais são excluídos ou devolvidos em até 90 dias, exceto quando se aplicarem obrigações legais de retenção.

8. Direitos de auditoria

O Controlador poderá auditar o cumprimento deste DPA pela SatsRail uma vez por ano, mediante aviso por escrito com pelo menos 30 dias de antecedência, durante o horário comercial normal e às custas do Controlador. A SatsRail poderá atender às solicitações de auditoria fornecendo certificações, relatórios de auditoria ou outra documentação pertinente.

9. Contato

Para dúvidas sobre este DPA ou para exercer os direitos previstos nele, entre em contato com:

• Compliance: compliance@satsrail.com