Acordo de tratamento de dados

Este Acordo de tratamento de dados (o ATD) faz parte integrante dos Termos de serviço (os Termos) celebrados entre a Mycarro (a Mycarro, o subcontratante) e o Cliente que aceitou os Termos (o Cliente, o responsável pelo tratamento). Ele se aplica sempre que a Mycarro tratar dados pessoais por conta do Cliente na prestação do Serviço. Cumpre os requisitos do artigo 28 do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 (RGPD) e, quando aplicável, da Lei Federal Suíça de Proteção de Dados (FADP). Os termos definidos nos Termos ou no RGPD têm aqui o mesmo significado.

1. Funções e escopo

1.1. Quanto aos dados pessoais que o Cliente e os seus usuários inserem no Serviço sobre os seus clientes, leads, compradores, vendedores, fiadores, funcionários e visitantes do seu site (os Dados Pessoais do Cliente), o Cliente é o responsável pelo tratamento e a Mycarro é o subcontratante. O Anexo 1 descreve o tratamento.

1.2. A Mycarro é responsável pelo tratamento independente, fora do âmbito deste ATD, quanto:

• aos dados de conta dos usuários do Cliente;
• aos dados de cobrança;
• aos dados de uso, de segurança e de auditoria;
• aos dados desidentificados e agregados que ela deriva nos termos dos Termos;

tudo conforme descrito na sua Política de privacidade.

1.3. O Cliente é responsável pela licitude do tratamento que instrui. Isso inclui ter uma base legal válida e fornecer as informações exigidas, obter os consentimentos necessários, informar os titulares dos dados sobre o site da sua revenda e garantir que os Dados Pessoais do Cliente e as suas instruções cumpram a lei. O Cliente não insere no Serviço categorias especiais de dados (como dados relativos à saúde) nem dados relativos a condenações penais, exceto quando um recurso for destinado a esse fim e a lei o permitir.

2. Instruções

2.1. A Mycarro trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, inclusive no que se refere a transferências, salvo se a lei exigir o contrário. Nesse caso, a Mycarro informa previamente o Cliente, salvo se a lei o proibir.

2.2. As instruções completas do Cliente são as seguintes: os Termos, este ATD e o uso e a configuração do Serviço pelo Cliente, incluindo as ações dos seus usuários e de qualquer assistente de inteligência artificial ou integração que ele conectar. Qualquer instrução adicional deve ser dada por escrito, aceita pela Mycarro e compatível com as funcionalidades do Serviço. Ela pode estar sujeita ao pagamento de um preço.

2.3. A Mycarro informa o Cliente se, na sua opinião, uma instrução violar a legislação de proteção de dados. Pode então suspender esse tratamento, sem nenhuma responsabilidade, até que a instrução seja confirmada ou alterada. Além do disposto nesta cláusula, a Mycarro não tem nenhuma obrigação de avaliar a licitude das instruções do Cliente.

3. Confidencialidade

A Mycarro garante que as pessoas autorizadas a tratar os Dados Pessoais do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a obrigações legais adequadas de confidencialidade, e que só acessam os dados na medida do necessário para o Serviço.

4. Segurança

4.1. A Mycarro aplica as medidas técnicas e organizacionais descritas no Anexo 2, adequadas ao risco, levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento.

4.2. A Mycarro pode atualizar essas medidas, desde que o nível geral de proteção não seja reduzido. O Cliente avaliou as medidas e concorda que são adequadas aos Dados Pessoais do Cliente.

4.3. O Cliente é responsável pela segurança dos seus próprios sistemas, dispositivos e credenciais, pelas funções e permissões que atribui aos seus usuários, pelas integrações e assistentes de inteligência artificial que conecta e pela configuração do Serviço sob o seu controle.

5. Subcontratantes ulteriores

5.1. Autorização geral. O Cliente concede à Mycarro uma autorização geral para contratar subcontratantes ulteriores, incluindo os indicados no Anexo 3.

5.2. Alterações. A Mycarro informa o Cliente de qualquer intenção de incluir ou substituir um subcontratante ulterior, atualizando o Anexo 3 nesta página e, quando a alteração for substancial, por e-mail ou no painel de controle, com, no mínimo, 14 dias de antecedência. Em situações de emergência, como a falha repentina de um provedor, o prazo pode ser mais curto.

5.3. Oposição. O Cliente pode se opor a uma alteração com fundamento razoável em matéria de proteção de dados, por escrito, dentro desse prazo. As partes então a discutem de boa-fé. Se a Mycarro não puder razoavelmente evitar a alteração, o único e exclusivo recurso do Cliente é rescindir o plano afetado antes que a alteração produza efeitos, sem nenhum reembolso dos preços pagos antecipadamente além do que os Termos permitirem de outra forma. Continuar a usar o Serviço após o término do prazo de aviso significa que o Cliente aceita a alteração.

5.4. Repasse de obrigações. A Mycarro impõe contratualmente a cada subcontratante ulterior obrigações em matéria de proteção de dados que, em substância, não sejam menos protetivas do que as previstas neste ATD, na medida em que se apliquem aos serviços prestados. A Mycarro continua responsável perante o Cliente pelo desempenho dos seus subcontratantes ulteriores, nos termos exigidos pelo RGPD, sem prejuízo do disposto na seção 11.

5.5. Entidades que não são subcontratantes ulteriores. Os marketplaces, os assistentes de inteligência artificial, os serviços de pagamento, os registradores de domínios e outros terceiros que o Cliente decidir conectar ou usar agem de acordo com os seus próprios termos. Eles não são subcontratantes ulteriores da Mycarro, e a Mycarro não é responsável por eles.

6. Transferências internacionais

A Mycarro pode transferir Dados Pessoais do Cliente para fora do Espaço Econômico Europeu e da Suíça, ou permitir que os seus subcontratantes ulteriores o façam, apenas quando:

• a transferência estiver coberta por uma decisão de adequação;
• houver garantias adequadas, como as Cláusulas Contratuais Padrão da Comissão Europeia (com as adaptações suíças quando se aplicar a FADP), acompanhadas de medidas adicionais quando necessário; ou
• se aplicar outro mecanismo de transferência permitido pelo RGPD.

O Cliente autoriza as transferências que os subcontratantes ulteriores indicados no Anexo 3 realizam com base nesses fundamentos.

7. Assistência

7.1. Pedidos dos titulares dos dados. O Serviço oferece ao Cliente ferramentas de autoatendimento para acessar, corrigir, exportar e excluir os Dados Pessoais do Cliente. Se a Mycarro receber um pedido de um titular dos dados relativo a Dados Pessoais do Cliente, ela o encaminha ao Cliente sem demora injustificada, se conseguir identificar o Cliente, e não o responde diretamente, salvo mediante instruções do Cliente. Quando as ferramentas de autoatendimento não forem suficientes, a Mycarro presta uma assistência razoável, levando em conta a natureza do tratamento.

7.2. Outra assistência. Levando em conta a natureza do tratamento e as informações à sua disposição, a Mycarro presta assistência razoável no cumprimento das obrigações do Cliente em matéria de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia às autoridades, principalmente por meio da disponibilização deste ATD, dos seus anexos e da documentação do Serviço.

7.3. Custos. A assistência que vá além das ferramentas de autoatendimento e da documentação, ou que seja causada por ato ou descumprimento do próprio Cliente, é cobrada pelas tarifas padrão da Mycarro então em vigor.

8. Violações de dados pessoais

8.1. A Mycarro notifica o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A notificação é enviada para o endereço de e-mail do proprietário ou do administrador do Cliente. Na medida do que for então conhecido, ela descreve a natureza da violação, as categorias e o número aproximado de titulares e de registros em causa, as consequências prováveis e as medidas adotadas ou propostas. As informações podem ser fornecidas em etapas.

8.2. A Mycarro adota medidas razoáveis para conter a violação e atenuar os seus efeitos. Cabe ao Cliente decidir se notifica as autoridades de controle e os titulares dos dados, e realizar essa notificação.

8.3. Uma notificação ou a assistência prestada não constitui reconhecimento de culpa ou de responsabilidade. As tentativas ou atividades malsucedidas que não comprometam a segurança dos Dados Pessoais do Cliente, como pings, varreduras de portas, tentativas de login malsucedidas ou ataques de negação de serviço, não constituem violações e não exigem notificação.

9. Devolução e exclusão

9.1. Durante a vigência, o Cliente pode exportar e excluir os Dados Pessoais do Cliente com as ferramentas do Serviço.

9.2. Após o término dos Termos, o Cliente pode pedir uma exportação final dentro do prazo fixado nos Termos. Depois desse prazo, a Mycarro exclui os Dados Pessoais do Cliente, salvo se a lei exigir a sua conservação. As cópias existentes em backups são excluídas no ciclo normal de backups, em geral no prazo de 90 dias, e, até lá, continuam protegidas nos termos deste ATD e não são usadas ativamente. A Mycarro pode conservar dados desidentificados e agregados, que não constituem dados pessoais.

10. Auditorias e informações

10.1. A Mycarro disponibiliza as informações necessárias para demonstrar o cumprimento do artigo 28 do RGPD. Ela o faz por meio da disponibilização deste ATD, dos seus anexos, de respostas a um questionário de segurança escrito e razoável e, quando houver, de certificações ou relatórios de auditoria de terceiros (incluindo os dos seus subcontratantes ulteriores).

10.2. Se o Cliente demonstrar de forma razoável que essas informações não são suficientes, ou se uma autoridade de controle o exigir, o Cliente pode realizar uma auditoria, diretamente ou por meio de um auditor independente vinculado a confidencialidade que não seja concorrente da Mycarro. A auditoria está sujeita às seguintes condições:

• no máximo uma vez a cada período de 12 meses, salvo em caso de violação ou de ordem de uma autoridade;
• mediante aviso prévio por escrito de, no mínimo, 30 dias, com um escopo acordado antecipadamente;
• durante o horário comercial, de forma remota sempre que possível, sem perturbação do Serviço e sem acesso a dados de outros clientes nem às instalações dos subcontratantes ulteriores;
• exclusivamente às custas do Cliente, incluindo os custos razoáveis da Mycarro pelas suas tarifas padrão;
• o Cliente compartilha o relatório de auditoria com a Mycarro e o mantém em sigilo.

11. Responsabilidade

A responsabilidade de cada parte decorrente deste ATD ou relacionada a ele, seja contratual, extracontratual ou de outra natureza, está sujeita às exclusões e limitações de responsabilidade previstas nos Termos, e conta para o mesmo limite máximo agregado, na medida em que a lei o permitir. O Cliente indeniza a Mycarro, nos termos previstos nos Termos, por reclamações e multas decorrentes das instruções do Cliente, dos Dados Pessoais do Cliente ou da violação, pelo Cliente, da legislação de proteção de dados.

12. Vigência, prevalência e alterações

12.1. Este ATD se aplica enquanto a Mycarro tratar Dados Pessoais do Cliente e se extingue automaticamente quando ela deixar de tratá-los.

12.2. Se este ATD estiver em conflito com os Termos quanto ao tratamento de Dados Pessoais do Cliente, prevalece este ATD. Em todos os demais aspectos, prevalecem os Termos. As disposições dos Termos relativas à lei aplicável, ao foro, ao idioma, às comunicações e às alterações se aplicam a este ATD.

12.3. A Mycarro pode atualizar este ATD, inclusive para refletir mudanças na lei ou no Serviço, nos termos descritos nos Termos. Uma atualização não reduz o nível geral de proteção dos Dados Pessoais do Cliente.

Anexo 1. Descrição do tratamento

• Objeto e duração: a prestação do Serviço ao Cliente, durante a vigência dos Termos e o período de encerramento ordenado subsequente.
• Natureza do tratamento: coleta, registro, organização, armazenamento, adaptação, recuperação, consulta, uso, divulgação por transmissão (inclusive para os marketplaces e as integrações que o Cliente ativar), combinação, limitação, eliminação e destruição, por meios automatizados, incluindo modelos de inteligência artificial.
• Finalidade: as funções de gestão da revenda que o Cliente usa. Elas incluem a gestão de estoque e de veículos, o site da revenda, a publicação em marketplaces, a gestão de leads e de clientes, as vendas, os contratos, as garantias, as faturas e a tesouraria, as campanhas, os documentos e os recursos e os conectores de inteligência artificial.
• Categorias de titulares dos dados:
  • os clientes e potenciais clientes do Cliente (compradores, vendedores, proprietários de veículos dados na troca, fiadores);
  • leads e pessoas que fazem pedidos de informação;
  • visitantes do site da revenda do Cliente;
  • os funcionários e prestadores de serviços do Cliente;
  • outras pessoas que o Cliente registrar.
• Categorias de dados pessoais:
  • dados de identificação e de contato: nome, e-mail, telefone, endereço postal;
  • números de identificação civil e fiscal, números de documentos de identificação e datas de nascimento, quando o Cliente os registrar para contratos, faturas ou registros;
  • dados de veículos e de transações associados a uma pessoa (número de identificação do veículo, placa, compra, venda, troca, preços, pagamentos, financiamento, garantia);
  • comunicações e anotações;
  • documentos que o Cliente enviar;
  • dados técnicos sobre os visitantes do site da revenda.
• Categorias especiais: nenhuma prevista. Ver a seção 1.3.

Anexo 2. Medidas técnicas e organizacionais

• Criptografia: tráfego criptografado em trânsito com TLS; segredos e credenciais criptografados em repouso.
• Controle de acesso: cada usuário faz login individualmente por meio de um provedor de autenticação dedicado, com autenticação multifator disponível; o acesso é baseado em funções e limitado à própria revenda do Cliente; o acesso da equipe ao ambiente de produção segue o princípio do menor privilégio e é limitado ao necessário.
• Auditoria: as alterações feitas no painel de controle e por meio de conectores são registradas com o usuário ou assistente que as fez.
• Separação: cada registro fica restrito à respectiva revenda, e as verificações de acesso são aplicadas no servidor.
• Disponibilidade e resiliência: hospedagem na União Europeia, backups regulares, monitoramento e alertas, e procedimentos de restauração.
• Desenvolvimento e gestão de mudanças: testes automatizados, revisão de código, varredura de dependências e de segredos, e ambientes separados de desenvolvimento, de homologação e de produção.
• Minimização de dados: os relatórios de erros não incluem gravação de sessões nem dados que identifiquem usuários; as estatísticas do site não usam cookies.
• Provedores: os subcontratantes ulteriores são escolhidos pela sua segurança e vinculados por contrato.
• Resposta a incidentes: procedimentos documentados para detectar, conter, investigar e notificar violações de dados pessoais.

Anexo 3. Subcontratantes ulteriores