Adendo de Tratamento de Dados

Este DPA integra os Termos e aplica-se sempre que a Reachy tratar dados pessoais contidos nos Dados do Cliente. Ele atende aos termos contratuais de prestador de serviços ("service provider") dos regulamentos da CCPA (11 CCR §7051) e aos termos de operador das demais leis estaduais de privacidade dos EUA, que seguem o Virginia §59.1-579. O Anexo A trata da LGPD do Brasil e o Anexo B trata do GDPR da UE e do Reino Unido.

7.1 Papéis e instruções

1. O Cliente é a empresa ("business") ou o controlador (ou um operador que atua para seus próprios clientes, caso em que a Reachy é sua suboperadora). A Reachy é a prestadora de serviços ("service provider"), operadora e contratada ("contractor"), e o operador nos termos da LGPD.
2. A Reachy trata dados pessoais somente conforme as instruções documentadas do Cliente: os Termos, a configuração dos Serviços feita pelo Cliente e quaisquer instruções escritas acordadas entre as partes. A Reachy informará o Cliente caso entenda que uma instrução viola a lei.
3. Detalhes do tratamento:

7.2 Restrições (CCPA)

A Reachy não irá: (a) vender ou compartilhar dados pessoais; (b) retê-los, usá-los ou divulgá-los para qualquer finalidade que não as finalidades empresariais acima, incluindo qualquer finalidade comercial que não a prestação dos Serviços; (c) retê-los, usá-los ou divulgá-los fora da relação comercial direta com o Cliente; ou (d) combiná-los com dados pessoais de outras fontes, exceto conforme permitido pelos regulamentos da CCPA (por exemplo, para detectar incidentes de segurança ou fraudes). A Reachy fornecerá o mesmo nível de proteção exigido pelas leis estaduais de privacidade dos EUA aplicáveis e notificará o Cliente caso não possa mais cumprir suas obrigações. O Cliente poderá adotar medidas razoáveis para interromper e remediar o uso não autorizado.

7.3 Confidencialidade e pessoal

Todas as pessoas na Reachy que tratam dados pessoais estão sujeitas a um dever de confidencialidade e recebem treinamento em privacidade e segurança adequado à sua função.

7.4 Segurança (medidas técnicas e organizacionais)

A Reachy mantém um programa escrito de segurança da informação que inclui:

• Criptografia em trânsito (TLS 1.2 ou superior) e em repouso; credenciais de provedores criptografadas com AES-256-GCM; segredos da plataforma criptografados com chaves mantidas no AWS KMS
• Separação lógica dos dados de cada cliente por organização e projeto
• Acesso baseado em funções com privilégio mínimo, e autenticação de dois fatores para contas
• Registro de logs e monitoramento da plataforma
• Backups e procedimentos de recuperação
• Gestão de vulnerabilidades, aplicação de patches e práticas de desenvolvimento seguro
• Due diligence de fornecedores para suboperadores
• Um procedimento documentado de resposta a incidentes

7.5 Suboperadores

1. O Cliente autoriza a Reachy a utilizar os suboperadores abaixo. Cada um deles está vinculado a termos escritos pelo menos tão protetivos quanto este DPA, e a Reachy permanece responsável pelo desempenho deles.
2. A Reachy notificará com pelo menos trinta (30) dias de antecedência a inclusão de um novo suboperador, atualizando reachy.io/legal/subprocessors e enviando e-mail aos inscritos nessa página. O Cliente poderá se opor com base em fundamentos razoáveis de proteção de dados. Se as partes não conseguirem resolver a questão, o Cliente poderá rescindir o Serviço afetado e receber o reembolso proporcional das taxas pagas antecipadamente.
3. Provedores BYO (traga sua própria conta) não são suboperadores da Reachy. Quando o Cliente conecta sua própria conta da Twilio, SendGrid, Resend ou de outro provedor, esse provedor atua para o Cliente nos termos do próprio contrato do Cliente. O mesmo se aplica às ferramentas que o Cliente conecta com sua própria chave, como Emailable, TrueList e Google Postmaster Tools.

Os serviços de push dos navegadores (Google, Mozilla e Apple) entregam as notificações web push. Eles recebem somente a notificação criptografada e o endpoint da assinatura.

7.6 Assistência e solicitações de consumidores

A Reachy disponibiliza ferramentas nos Serviços para que o Cliente exporte, corrija e exclua dados de Contatos e registre opt-outs. Quando o Cliente exclui um Contato ou solicita à Reachy que o faça, a Reachy exclui os dados pessoais desse Contato de todos os sistemas ativos em até trinta (30) dias, mantendo somente o registro de opt-out necessário para respeitá-lo. A Reachy também prestará assistência razoável com avaliações de proteção de dados e obrigações relativas a violações. As solicitações que a Reachy receber diretamente serão encaminhadas ao Cliente, e a Reachy não as responderá, exceto para direcionar o solicitante ao Cliente.

7.7 Exclusão e devolução

Ao término dos Serviços, o Cliente poderá exportar os Dados do Cliente por 30 dias. Em seguida, a Reachy os excluirá em até 90 dias, e os backups serão descartados em seu ciclo normal, salvo se a lei exigir a retenção. Os registros de consentimento, de opt-out e de mensagens poderão ser mantidos por até cinco (5) anos para cumprir as leis de telemarketing e para defesa em reclamações, sob confidencialidade contínua.

7.8 Auditorias

A Reachy fornecerá as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, como questionários de segurança, políticas e quaisquer relatórios de auditoria de terceiros que possua. Uma vez por ano, ou após um incidente de segurança confirmado, o Cliente poderá realizar uma avaliação razoável, por conta própria ou por meio de um auditor independente sob confidencialidade, mediante aviso prévio de 30 dias e às suas próprias custas.

7.9 Incidentes de segurança

A Reachy notificará o Cliente sem demora injustificada e, em qualquer caso, em até setenta e duas (72) horas após tomar conhecimento de um incidente de segurança que afete dados pessoais do Cliente. Ela fornecerá os detalhes disponíveis e cooperação razoável. O Cliente é responsável por notificar os titulares e os órgãos reguladores, salvo acordo diverso entre as partes.

7.10 Acesso restrito

A Reachy não concederá a nenhuma pessoa ou entidade localizada em, ou controlada por, um país de preocupação nos termos do 28 CFR Part 202 (o DOJ Data Security Program) acesso a dados pessoais sensíveis em massa dos EUA, e fará a triagem de seu pessoal e de seus suboperadores de acordo.

7.11 Obrigações do Cliente

O Cliente garante que possui base legal e que forneceu todos os avisos exigidos para que a Reachy trate os dados pessoais, inclusive para o SDK nas Propriedades do Cliente e seu modo de consentimento, e que suas instruções estão em conformidade com a lei. O Cliente não enviará dados proibidos pelo §2.7 da AUP.

7.12 Responsabilidade e prevalência

Este DPA está sujeito à limitação de responsabilidade prevista nos Termos, incluindo o teto para proteção de dados previsto no §1.17(3) dos Termos. Em matérias de proteção de dados, ele prevalece sobre os Termos.

Anexo A — Brasil (LGPD)

1. Quando a LGPD for aplicável, o Cliente é o controlador e a Reachy o operador, e a Reachy trata dados pessoais somente para as finalidades acima e conforme as instruções do Cliente (LGPD Art. 39).
2. A Reachy ajudará o Cliente a responder às solicitações dos titulares nos termos do Art. 18 da LGPD, dentro dos prazos fixados em lei, e notificará incidentes de segurança nos termos do §7.9 a tempo de o Cliente cumprir os prazos da ANPD.
3. As transferências internacionais a partir do Brasil são realizadas com base nas cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024, aqui incorporadas por referência, sendo o Cliente o exportador e a Reachy a importadora.

Anexo B — GDPR da UE e do Reino Unido

1. Quando o GDPR ou o UK GDPR for aplicável, este DPA estabelece os termos exigidos pelo Artigo 28(3), e as medidas do §7.4 constituem as medidas técnicas e organizacionais.
2. As transferências para fora do EEE são realizadas com base nas Cláusulas Contratuais-Padrão da Comissão Europeia (Decisão 2021/914): Módulo 2 quando o Cliente for controlador e Módulo 3 quando for operador. Aplica-se a Cláusula 7 (cláusula de adesão); Cláusula 9, opção 2 (autorização geral, com o aviso previsto no §7.5); a redação opcional da Cláusula 11 não se aplica; Cláusulas 17 e 18: Irlanda.
3. As transferências a partir do Reino Unido são realizadas com base no UK International Data Transfer Addendum a essas cláusulas.
4. Os anexos das cláusulas são completados pelo §7.1 (detalhes), §7.4 (medidas) e §7.5 (suboperadores).