Contrato de tratamento de dados

Este contrato vale entre a empresa cliente, controladora dos dados pessoais que coloca no Bytezin, e o Bytezin, operador que trata esses dados para prestar o serviço. Ele faz parte dos Termos de uso e é aceito junto com eles ao criar a empresa. Se houver um contrato assinado entre as partes, o que ele disser sobre dados pessoais prevalece.

Os termos usados aqui (dado pessoal, titular, controlador, operador, tratamento, incidente) têm o sentido da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).

• Titulares: as pessoas da empresa (equipe e colaboradores que abrem chamados ou pedidos), pessoas de fora que a empresa cadastra ou que escrevem para o e-mail de chamados dela, e quem faz provas por código.
• Dados: os descritos na Política de privacidade — identificação e conta, trabalho, gestão de pessoas, jogo, provas e registros de uso e segurança. O Bytezin não pede dados sensíveis; se a empresa os registrar, por exemplo num chamado, eles seguem as mesmas proteções.
• Finalidade: prestar o serviço contratado, com os módulos e as configurações que a empresa escolher.
• Duração: enquanto a empresa for cliente, mais o prazo de devolução e exclusão descrito abaixo.

O Bytezin trata os dados só para prestar o serviço e segundo as instruções da empresa: estes termos, as configurações feitas na própria plataforma (módulos, permissões, integrações, prazos de guarda) e pedidos por escrito do gestor. Se uma instrução contrariar a lei, o Bytezin avisa a empresa e não a cumpre.

O Bytezin não vende os dados, não os usa para publicidade e não os usa para outra finalidade.

Só acessa os dados de uma empresa quem precisa para manter o serviço funcionando ou atender a um pedido de suporte da própria empresa, e sempre com dever de sigilo. O acesso administrativo à plataforma exige verificação em duas etapas.

• Conexão cifrada (HTTPS) em todo acesso; banco de dados e arquivos cifrados em repouso pela infraestrutura da Microsoft Azure.
• Isolamento entre empresas: toda consulta leva a empresa de quem está acessando, com uma trava adicional que recusa ligar registros de empresas diferentes.
• Sem senhas guardadas: a entrada é pela Microsoft, pelo login da empresa ou por código de uso único guardado só como hash.
• Segredos da aplicação num cofre de chaves; a aplicação acessa banco, arquivos e cofre pela própria identidade, sem senha fixa.
• Arquivos em armazenamento privado, entregues só a quem está conectado e tem permissão para vê-los.
• Limites de tentativas e de envio, registro de acessos bloqueados e alertas de funcionamento.
• Cópias de segurança automáticas do banco, com restauração para qualquer momento dos últimos 14 dias.

A empresa autoriza o Bytezin a contratar os fornecedores da lista de suboperadores. Cada um assume obrigações de proteção de dados equivalentes às deste contrato, e o Bytezin responde por eles perante a empresa.

Antes de incluir um suboperador novo, o Bytezin avisa o gestor por e-mail com pelo menos 30 dias de antecedência. Se a empresa tiver motivo razoável ligado à proteção de dados, pode se opor nesse prazo; não havendo solução, pode encerrar o contrato sem multa, com o reembolso proporcional do período pago e não usado.

Os dados ficam em data centers da Microsoft Azure nos Estados Unidos, e alguns suboperadores também tratam dados fora do Brasil (ver a lista). Essas transferências seguem o artigo 33 da LGPD e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), com cláusulas contratuais que garantem nível de proteção compatível com o da lei brasileira.

Grande parte dos pedidos a empresa atende sozinha pela plataforma: corrigir, desativar e exportar dados. Quando um titular escrever ao Bytezin sobre dados da empresa, o pedido é encaminhado ao gestor em até 5 dias úteis, sem responder pelo mérito no lugar da empresa. O Bytezin ajuda a empresa no que depender dele, inclusive em relatórios de impacto.

Se o Bytezin confirmar um incidente que afete dados da empresa, avisa o gestor por e-mail em até 48 horas, com o que se sabe até ali: o que aconteceu, os dados e as pessoas afetadas, as medidas tomadas e o contato para acompanhar. As informações são completadas à medida que a investigação avança, para a empresa conseguir cumprir o prazo de comunicação à ANPD e aos titulares.

O Bytezin fornece as informações razoavelmente necessárias para a empresa demonstrar que cumpre a LGPD. A empresa pode pedir uma auditoria por ano, com 30 dias de aviso, por escrito, às suas custas e sem acesso a dados de outras empresas ou a informações que comprometam a segurança do serviço. Auditoria pedida pela ANPD ou depois de um incidente não conta nesse limite.

Durante o contrato, o gestor exporta os dados da empresa pela própria plataforma (Administração). Depois do encerramento, a empresa ainda pode pedir a exportação em até 30 dias. Passado esse prazo, ou antes, a pedido da empresa, os dados são excluídos da base em uso, exceto o que a lei obrigar a guardar.

As cópias de segurança não são editadas uma a uma: os dados excluídos somem delas quando cada cópia expira, em até 12 meses, e até lá ficam guardados com as mesmas proteções, sem uso.

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este contrato, nos termos dos artigos 42 a 45 da lei. Os demais limites de responsabilidade são os dos Termos de uso.

Este contrato vale enquanto o Bytezin tratar dados da empresa. Mudanças relevantes são avisadas ao gestor com antecedência, e a data da última versão fica no topo. Assuntos de proteção de dados: privacidade@bytezin.com.