Acordo de processamento de dados (DPA)
Esta é uma tradução para sua conveniência. A versão em holandês é a juridicamente vinculante.
Este acordo de processamento de dados (DPA) se aplica entre o cliente (“controlador”) e DMback (“operador”), e é celebrado com a aceitação dos termos e condições gerais ao criar um workspace. Ele atende ao artigo 28 do Regulamento Geral sobre a Proteção de Dados — RGPD (GDPR).
1. Objeto, duração e finalidade
O operador trata dados pessoais exclusivamente para prestar o serviço: receber comentários nas contas do Instagram conectadas pelo cliente, reconhecer as palavras-chave configuradas, enviar mensagens privadas automáticas e respostas públicas, e exibir estatísticas. O acordo vigora enquanto o cliente usar o serviço, mais o período necessário para apagar os dados.
2. Tipos de dados e titulares
| Titulares | Usuários do Instagram que comentam nos posts do cliente (“seguidores”). |
|---|---|
| Dados | ID de usuário do Instagram (um número), ID do comentário, ID da mídia, o texto do comentário (apenas para reconhecer a palavra-chave), horário, a palavra-chave correspondente e o status da mensagem enviada. Nomes de usuário não são armazenados. |
| Dados sensíveis | Não são tratados intencionalmente. O cliente não configura palavras-chave ou mensagens voltadas a categorias especiais de dados pessoais. |
3. Instruções
O operador trata os dados apenas mediante instrução por escrito do cliente. As configurações que o cliente faz no painel (palavras-chave, mensagens, prazo de retenção) valem como instrução. O operador informa quando, a seu ver, uma instrução viola o RGPD (GDPR).
4. Confidencialidade e segurança
As pessoas que têm acesso em nome do operador estão obrigadas ao sigilo. O operador adota medidas adequadas, entre elas:
- armazenamento e tratamento dentro da UE (Frankfurt);
- conexões criptografadas (TLS) e armazenamento criptografado dos tokens de acesso (AES-256-GCM);
- separação dos dados de clientes por workspace, também aplicada no banco de dados (row level security);
- verificação da origem de cada mensagem da Meta (assinatura criptográfica);
- acesso aos sistemas de produção apenas para pessoas autorizadas, com registro dos acessos de suporte;
- exclusão automática dos dados após o prazo de retenção configurado.
5. Subprocessadores
O cliente autoriza de forma geral a contratação dos subprocessadores abaixo. Anunciamos novos subprocessadores com pelo menos 30 dias de antecedência na página de subprocessadores; o cliente pode se opor e, nesse caso, cancelar sem custos.
| Parte | Finalidade | Localização | Base para a transferência |
|---|---|---|---|
| Vercel Inc. | Hospedagem da aplicação (funções de servidor em Frankfurt, fra1) | UE (Frankfurt); empresa nos EUA | EU-US Data Privacy Framework + SCC |
| Supabase Inc. | Banco de dados (PostgreSQL) | UE (Frankfurt, eu-central-1) | SCC; os dados permanecem na UE |
| Meta Platforms Ireland Ltd. | API do Instagram: recebimento de comentários, envio de DMs | UE / EUA | Necessário para o serviço; Meta Platform Terms |
| Stripe Payments Europe Ltd. | Pagamentos e faturas (apenas dados de clientes, nenhum dado do Instagram) | UE (Irlanda) / EUA | EU-US Data Privacy Framework + SCC |
| Resend (Plus Five Five Inc.) | Envio de e-mails para clientes (nenhum dado do Instagram) | EUA / UE | EU-US Data Privacy Framework + SCC |
6. Direitos dos titulares
O operador auxilia o cliente com solicitações dos titulares (acesso, exclusão). Solicitações de exclusão recebidas via Meta são executadas automaticamente em todos os workspaces.
7. Violações de dados
O operador informa o cliente sem atraso injustificado e, no máximo, em até 48 horas após a descoberta de uma violação de segurança que envolva dados pessoais do cliente, com as informações de que o cliente precisa para uma eventual notificação à autoridade holandesa de proteção de dados (Autoriteit Persoonsgegevens).
8. Prazo de retenção e encerramento
Os dados são mantidos pelo prazo configurado pelo cliente (padrão de 30 dias, mínimo de 8, máximo de 400). Após o encerramento ou a exclusão do workspace, o operador apaga todos os dados pessoais em até 30 dias, salvo se uma obrigação legal exigir o contrário. O cliente pode baixar uma exportação antes disso.
9. Auditoria
Mediante solicitação, o operador disponibiliza ao cliente as informações necessárias para demonstrar a conformidade. Uma auditoria presencial é possível mediante aviso prévio razoável e às custas do cliente.
10. Responsabilidade
Quanto à responsabilidade, aplica-se o que foi acordado nos termos e condições gerais.
Dúvidas: o endereço de contato em nosso site.