Este Acordo de Tratamento de Dados ("DPA") complementa os Termos de Serviço entre o cliente ("Controlador") e a kaptto ("Operador"), nos termos do artigo 28 do RGPD/LGPD.
1. Definições
Para efeitos deste DPA: (a) "Controlador" designa a empresa cliente da kaptto; (b) "Operador" designa a kaptto; (c) "Dados Pessoais" designa qualquer informação relativa a uma pessoa natural identificada ou identificável; (d) "RGPD" designa o Regulamento (UE) 2016/679 e "LGPD" a Lei 13.709/2018. Os termos não definidos têm o significado que lhes é atribuído pela legislação aplicável.
2. Objeto
Este DPA regula o tratamento de Dados Pessoais pela kaptto no âmbito da prestação dos serviços de gestão de avaliações e NPS contratados pelo Controlador.
3. Natureza, Finalidade e Duração
Natureza: tratamento informatizado para suporte à gestão de feedback de clientes. Finalidade: as previstas nos Termos de Serviço. Duração: enquanto vigorar o contrato, acrescida do período de retenção previsto na Política de Privacidade.
4. Categorias de Titulares e Tipos de Dados
Titulares: usuários da plataforma (colaboradores do Controlador) e clientes finais que submetem avaliações. Tipos de dados: nome, email, telefone, conteúdo de avaliações, metadados técnicos (IP, browser, timestamp). Não são tratadas categorias especiais de dados (saúde, biometria, etc.) salvo se o cliente final voluntariamente as incluir num comentário, caso em que serão tratadas com a mesma confidencialidade.
5. Obrigações da kaptto
A kaptto compromete-se a: (a) tratar os dados apenas conforme instruções documentadas do Controlador; (b) garantir confidencialidade do pessoal autorizado; (c) implementar medidas técnicas e organizacionais adequadas; (d) auxiliar o Controlador no cumprimento de suas obrigações; (e) eliminar ou devolver os dados no fim do contrato; (f) facilitar auditorias mediante aviso prévio razoável.
6. Direitos e Obrigações do Controlador
O Controlador: (a) garante a base legal para o tratamento (consentimento, contrato, etc.); (b) responde a pedidos de exercício de direitos dos titulares (com auxílio do Operador); (c) instrui o Operador por escrito sobre o tratamento; (d) é responsável por configurar corretamente as funcionalidades da plataforma e os acessos da sua equipe.
7. Sub-operadores
O Controlador autoriza a contratação dos sub-operadores listados na seção 5.1 da Política de Privacidade. A adição de novos sub-operadores será comunicada com 30 dias de antecedência, podendo o Controlador opor-se. Em caso de oposição não resolvida, será negociada solução alternativa ou rescisão sem penalidade.
8. Transferências Internacionais
Transferências para fora do Espaço Econômico Europeu são realizadas ao abrigo das Cláusulas Contratuais Padrão (SCC) aprovadas pela Comissão Europeia ou outras garantias adequadas previstas no RGPD/LGPD.
9. Medidas de Segurança
A kaptto implementa: (a) criptografia em repouso (AES-256) e em trânsito (TLS 1.2+); (b) controle de acesso baseado em funções (RBAC); (c) registro centralizado de atividade (audit log); (d) cópias de segurança regulares com retenção mínima de 7 dias; (e) testes de segurança periódicos; (f) políticas internas de privacidade e treinamento da equipe.
10. Notificação de Violação de Dados
A kaptto notificará o Controlador sem demora indevida (e em qualquer caso até 48 horas) após tomar conhecimento de uma violação de Dados Pessoais que afete dados do Controlador, fornecendo as informações necessárias para o Controlador cumprir suas obrigações legais.
11. Auditoria
O Controlador tem direito a auditar o cumprimento deste DPA mediante aviso prévio de 30 dias, em horário comercial, no máximo uma vez por ano (exceto em caso de incidente confirmado). A kaptto disponibilizará relatórios de conformidade atualizados (ex.: SOC 2, ISO 27001 quando aplicável) que poderão substituir auditorias presenciais.
12. Disposições Finais
Este DPA prevalece sobre os Termos de Serviço em caso de conflito relativo ao tratamento de Dados Pessoais. Contato designado para questões de privacidade: privacidade@kaptto.pt. Lei aplicável: legislação portuguesa. Foro: comarca de Lisboa.