Acordo de Tratamento de Dados

1. Escopo e Papéis

Este Acordo de Tratamento de Dados (o DPA) integra os Termos de Serviço entre você e a Mundyal Technology LLC, uma limited liability company de Massachusetts, com sede principal em Holden, Massachusetts, Estados Unidos ("EasyFlow360", "nós" ou "nosso"). Ele se aplica sempre que você usa o Serviço para tratar dados pessoais de outras pessoas, o que para a maioria dos clientes significa os próprios clientes deles, funcionários, sócios e fornecedores.

Para esses dados, você é o controlador: você decide de quem são os dados que entram no Serviço e por quê. Nós somos o operador: tratamos esses dados para entregar o Serviço a você e para nenhuma finalidade própria. Quando a lei aplicável usa outras palavras para as mesmas duas posições, como operator ou service provider nas leis estaduais de privacidade dos Estados Unidos, ou operador na Lei Geral de Proteção de Dados do Brasil, este DPA se aplica nessa posição.

Os dados das contas da sua própria equipe, a sua relação de cobrança com nós e o seu uso do Serviço são tratados por nós na condição de controlador. A Política de Privacidade cobre isso, e não este DPA.

2. As Suas Instruções

Tratamos dados pessoais apenas conforme as suas instruções documentadas. As suas instruções são os Termos de Serviço, este DPA, as escolhas de configuração que você faz no Serviço e as ações que os seus usuários autorizados praticam nele. Não usaremos os dados para treinar modelos, para construir o perfil de qualquer pessoa, para fazer marketing aos seus clientes nem para vender a ninguém. Não vendemos dados pessoais.

Se uma instrução que você nos der parecer exigir que violemos uma lei aplicável a nós, avisaremos você em vez de cumpri-la. Se formos legalmente obrigados a divulgar dados que mantemos para você, avisaremos antes de fazê-lo, salvo quando a lei proibir esse aviso.

É sua a responsabilidade de ter base legal para colocar os dados de cada pessoa no Serviço, de informar a essas pessoas como os dados delas são usados e pela exatidão do que você envia. Não podemos avaliar isso em seu lugar, porque não conhecemos os seus clientes.

3. Objeto, Duração, Natureza e Finalidade

O objeto são os dados pessoais que você coloca no Serviço. A finalidade é prestar o Serviço: contabilidade e conciliação, armazenamento de documentos e assinatura eletrônica, faturamento e pagamentos de clientes, orçamentos e projetos, agendamento, mensagens e os relatórios construídos sobre esses registros.

A natureza do tratamento é armazenamento, hospedagem, recuperação, exibição, transmissão, cópia de segurança e o tratamento automatizado descrito na seção 7. Ele dura enquanto a sua conta estiver ativa, mais os prazos de retenção da seção 11.

4. Categorias de Dados e de Titulares

Os titulares dos dados são as pessoas cujos registros você mantém no Serviço: os seus clientes e os contatos deles, a sua equipe, cujas contas você cria, e os sócios, fornecedores e beneficiários nomeados na contabilidade que você mantém.

Categorias de dados pessoais

• Dados de identificação e contato: nomes, endereços de e-mail, telefones, endereços postais e vínculos com empresas
• Identificadores fiscais: Social Security Numbers e Employer Identification Numbers, mantidos tanto para os seus próprios clientes quanto para os sócios, fornecedores e recebedores de 1099 registrados na contabilidade deles
• Dados de contas financeiras: nomes e tipos de conta, os últimos quatro dígitos dos números de conta, saldos e histórico de transações, vindos das conexões bancárias e de cartão que os seus usuários autorizam
• Documentos e o conteúdo deles: extratos bancários e de cartão, recibos, formulários fiscais, contratos e qualquer outra coisa que os seus usuários enviem, incluindo os dados pessoais que esses arquivos contenham
• Registros contábeis: faturas, pagamentos, lançamentos contábeis, orçamentos, projetos e rascunhos de 1099
• Evidências de assinatura eletrônica: nome, endereço de e-mail, endereço IP, dispositivo e navegador de quem assina, localização aproximada e todo o histórico de eventos de cada solicitação de assinatura
• Dados de conta e de uso: eventos de acesso, endereços IP, dados de dispositivo e de navegador e os registros de auditoria que gravam quem fez o quê no seu espaço de trabalho
• Mensagens e anotações: mensagens, comentários, anotações de compromissos e conversas de suporte que os seus usuários escrevem

Identificadores fiscais e dados de contas financeiras são as duas categorias que tornam um incidente de segurança notificável sob a maior parte das leis estaduais dos Estados Unidos. Elas são inventariadas separadamente por esse motivo, e o Serviço não pede dados de saúde, dados biométricos nem números de cartão de pagamento. Os pagamentos com cartão são processados pela Stripe e o número do cartão nunca chega a nós.

5. Confidencialidade e Acesso

O acesso aos seus dados é limitado às pessoas que precisam dele para operar o Serviço ou para responder às suas solicitações de suporte, e cada uma delas está sujeita a um dever de confidencialidade que sobrevive ao fim do seu vínculo com nós.

O acesso administrativo ao espaço de trabalho de um cliente, incluindo a personificação usada para reproduzir um problema de suporte, é gravado em um registro à prova de alteração, no qual cada entrada é encadeada por hash à anterior. Esse registro existe para que um acesso possa ser demonstrado como tendo ocorrido, ou como não tendo ocorrido.

6. Medidas de Segurança

Todo o tráfego é criptografado em trânsito com TLS. O nosso banco de dados e as nossas cópias de segurança externas são criptografados em repouso. Os identificadores fiscais que mantemos para sócios, fornecedores e recebedores de 1099 são adicionalmente criptografados no nível do campo, sob uma chave guardada separadamente do banco de dados. O acesso é controlado por perfil, com isolamento por empresa aplicado em cada requisição. As senhas são armazenadas com hash e nunca em forma legível, e a autenticação de dois fatores está disponível para todos os usuários. Os documentos e arquivos são armazenados em infraestrutura com controle de acesso. As cópias de segurança são feitas todas as noites para um local separado, e o banco de dados gerenciado permite recuperação para um ponto no tempo.

Cada caminho de dinheiro e cada assinatura tem registro de auditoria, e não temos nenhuma certificação de segurança de terceiros. Não alegamos SOC 2, ISO 27001 nem equivalente, e qualquer frase no nosso material que sugira o contrário está errada. O que oferecemos em vez disso é este documento, a lista da seção 7 e uma resposta por escrito ao seu questionário de segurança.

7. Suboperadores

Você nos dá autorização geral para contratar os suboperadores listados abaixo. Cada um recebe apenas o que a função indicada exige, e cada um está vinculado às suas próprias condições publicadas de tratamento de dados.

• Stripe: processamento de pagamentos, contas de recebimento e as conexões bancárias e de cartão de crédito que os seus usuários autorizam (Política de Privacidade da Stripe)
• Anthropic: extração das transações dos extratos que os seus usuários enviam e sugestão de categoria contábil para uma transação. O extrato é enviado por inteiro, portanto tudo o que ele contém vai com ele. A Anthropic não usa dados enviados por meio da sua API para treinar os seus modelos (Política de Privacidade da Anthropic)
• Nossos provedores de hospedagem, de banco de dados e de cópias de segurança: operar o Serviço e armazenar os seus dados
• Nosso provedor de e-mail: entregar notificações, faturas e solicitações de assinatura

Avisaremos você com pelo menos 30 dias de antecedência antes de um novo suboperador começar a tratar os seus dados, por e-mail aos contatos administrativos da sua conta. Se você se opuser por motivos razoáveis de proteção de dados dentro desses 30 dias, escreva para contact@easyflow360.com e trabalharemos para oferecer uma forma de usar o Serviço sem aquele suboperador. Quando não houver essa forma, você pode encerrar a parte afetada do Serviço e receber a devolução das tarifas pagas pelo período restante não utilizado.

Uma lista atual com o nome de todos os suboperadores, incluindo os provedores de infraestrutura não nomeados individualmente acima, está disponível quando solicitada em contact@easyflow360.com.

8. Ajuda para Você Responder aos Seus Clientes

Quando um dos seus clientes pedir a você acesso aos dados dele, uma correção, uma cópia ou uma exclusão, a solicitação é sua e vamos ajudar você a responder. A maior parte você mesmo pode fazer dentro do Serviço, porque os registros são seus para editar e exportar. Onde não puder, escreva para contact@easyflow360.com e responderemos com o que você precisa em até 10 dias úteis, sem cobrança para um volume razoável de solicitações.

Se um dos seus clientes procurar nós diretamente, não responderemos ao mérito do pedido. Diremos a essa pessoa para falar com você e avisaremos você de que ela procurou, porque não somos o controlador daqueles dados e responder seria agir sem a sua instrução.

9. Incidentes de Segurança

Se tomarmos conhecimento de uma violação de segurança que leve à destruição acidental ou ilícita, à perda, à alteração, à divulgação não autorizada de dados pessoais que tratamos para você, ou ao acesso não autorizado a eles, notificaremos você sem demora indevida e, em qualquer caso, no prazo de 72 horas a contar do momento em que tomarmos conhecimento. O aviso vai por e-mail aos contatos administrativos da sua conta, e não esperaremos ter o quadro completo para enviá-lo.

O primeiro aviso dirá o que sabemos, quais das categorias da seção 4 foram afetadas, quantos registros e quantas empresas parecem envolvidos, o que fizemos para conter o incidente e quem no EasyFlow360 está conduzindo a resposta. Enviaremos mais detalhes conforme a investigação os produzir, e ajudaremos você a fazer qualquer notificação que você deva a uma autoridade ou às pessoas afetadas.

Notificar autoridades e titulares sob os Art 33 e 34 do GDPR, sob o Art 48 da Lei Geral de Proteção de Dados ou sob uma lei estadual dos Estados Unidos é decisão sua como controlador, e não nossa. Daremos a você os fatos de que precisa para tomá-la.

10. Auditorias e Avaliações

Quando solicitado, e no máximo uma vez por ano salvo se um incidente der motivo, entregaremos as informações de que você precisa para demonstrar que cumprimos este DPA: uma resposta por escrito ao seu questionário de segurança, uma descrição dos nossos controles e as nossas respostas sobre os suboperadores da seção 7. Também daremos ajuda razoável em uma avaliação de impacto à proteção de dados que cubra o seu uso do Serviço.

Um questionário e este documento são o que oferecemos em lugar de uma certificação que não temos. Uma inspeção presencial de infraestrutura compartilhada que não é nossa não é algo que possamos conceder, e quem afirma o contrário sobre uma plataforma deste tamanho está descrevendo uma cláusula contratual, e não uma visita.

11. Retenção, Devolução e Exclusão

Você pode excluir registros dentro do Serviço a qualquer momento. Um registro excluído vai para a Lixeira por 30 dias, para que um erro possa ser desfeito, e depois é removido em definitivo por uma rotina diária. Excluir um registro não exclui o registro de auditoria que diz que ele foi excluído, e não exclui a trilha de evidências de um documento que foi assinado eletronicamente. Os dois existem para poderem ser apresentados depois, que é a razão de serem mantidos.

Quando a sua conta terminar, você pode nos pedir a devolução dos seus dados, e os entregaremos em uma exportação legível por máquina. Excluiremos ou anonimizaremos o restante em até 90 dias do fim da sua conta, salvo quando uma lei exigir que mantenhamos algo por mais tempo ou quando precisarmos daquilo para resolver uma disputa entre nós. As cópias de segurança expiram no próprio ciclo de 30 cópias, portanto um registro pode persistir em uma cópia por um curto período depois de ter saído do Serviço. Confirmaremos a exclusão por escrito quando você pedir.

Para iniciar esse processo, ou para fazer um pedido de exclusão em nome de um dos seus clientes, use contact@easyflow360.com ou o formulário em a página de exclusão de conta. Todo pedido é registrado com um prazo no contador de 90 dias, e o registro do que foi feito e quando é mantido depois que os dados já não existem.

12. Transferências Internacionais

Somos uma empresa dos Estados Unidos e o Serviço é operado a partir dos Estados Unidos. Alguns dos suboperadores da seção 7 tratam dados fora do seu país. Se você colocar no Serviço dados de pessoas no Espaço Econômico Europeu, no Reino Unido ou na Suíça, e for exigido um mecanismo de transferência para que esses dados cheguem a nós, celebraremos com você as Cláusulas Contratuais Padrão da Comissão Europeia, no módulo controlador para operador, quando solicitado e sem cobrança. Escreva para contact@easyflow360.com dizendo quais pessoas as cláusulas precisam cobrir. Até que essas cláusulas sejam assinadas, não presuma que há um mecanismo de transferência em vigor para a sua conta.

13. Brasil

Quando você estiver no Brasil, ou quando as pessoas cujos dados você envia estiverem, atuamos como operador sob a Lei Geral de Proteção de Dados, tratando os dados apenas conforme as suas instruções como controlador, e as seções 5, 6, 9, 10 e 11 deste DPA são a forma como cumprimos o Art 39. Este documento é publicado em inglês e em português do Brasil, e a seção 16 diz qual versão prevalece.

14. Como Este Acordo Entra em Vigor

Este DPA entra em vigor quando alguém que pode obrigar a sua empresa o aceita no Serviço. Registramos esse aceite como registramos uma assinatura: a frase exata exibida, um hash criptográfico deste documento como ele estava naquele momento, a revisão indicada acima, quem aceitou, o cargo que a pessoa ocupava, o endereço IP e a hora. Se alterarmos este documento, a nova revisão é apresentada para novo aceite, em vez de entrar em vigor silenciosamente.

Não é necessária assinatura física nem PDF assinado pelas duas partes. Se o seu processo de compras exigir isso, escreva para nós e assinaremos a sua via, que dirá o mesmo que esta página.

15. Precedência e Responsabilidade

No que diz respeito ao tratamento de dados pessoais, este DPA prevalece sobre qualquer disposição incompatível dos Termos de Serviço. Em todo o restante, os Termos governam, incluindo a limitação de responsabilidade da seção 11 daqueles Termos, que se aplica a este DPA como se aplica ao resto do acordo entre nós. Nada aqui limita um direito que um titular tenha diretamente sob a lei aplicável.

16. Idioma

Esta é a tradução para o português do Brasil deste DPA, que é publicado em inglês em easyflow360.com/dpa. A tradução existe para ser lida, não para substituir o texto em inglês: havendo divergência de sentido entre as duas versões, prevalece a versão em inglês, e é a versão em inglês que o seu registro de aceite aponta.

17. Contato

Para qualquer assunto deste DPA, incluindo um questionário, um incidente, as Cláusulas Contratuais Padrão ou um pedido de exclusão:

contact@easyflow360.com

Mundyal Technology LLC, Holden, Massachusetts, Estados Unidos