Acordo de Tratamento de Dados Pessoais (DPA)

Objeto e relação com os instrumentos contratuais

1.1.Este Acordo de Tratamento de Dados Pessoais ("DPA") disciplina o tratamento de dados pessoais realizado pela FXO Serviços em Informática Ltda. ("FXO" ou "Operadora") em nome do cliente ("Controladora"), no âmbito da plataforma Wi-Fi.now, em conformidade com a Lei nº 13.709/2018 ("LGPD"). Aplica-se tanto aos clientes vinculados por contrato bilateral (como seu Anexo II) quanto aos vinculados por adesão aos Termos de Uso da Plataforma, que o incorporam por referência.

1.2.Vinculação recíproca. Este DPA e o instrumento principal (contrato ou Termos de Uso da Plataforma) são mutuamente condicionados: a aceitação de um implica a aceitação do outro, e o término de um implica o término do outro, ressalvadas as obrigações que, por sua natureza, sobrevivam. Em matéria de proteção de dados pessoais, este DPA prevalece sobre o instrumento principal.

1.3.Este DPA não se aplica aos dados pessoais que a FXO trata na qualidade de controladora (dados cadastrais, financeiros e de uso do painel pelos prepostos da Controladora), regidos pela Política de Privacidade.

Papéis e instruções documentadas

2.1.No tratamento de dados pessoais de Usuários Finais por meio da plataforma, a Controladora determina as finalidades e os meios do tratamento (art. 5º, VI, da LGPD), e a FXO atua exclusivamente como Operadora (art. 5º, VII), tratando os dados em nome da Controladora e segundo suas instruções documentadas.

2.2.Constituem instruções documentadas da Controladora: (i) o instrumento principal e este DPA, incluindo o Apêndice 1; (ii) as configurações realizadas pela Controladora no painel administrativo (métodos de autenticação habilitados, campos coletados, personalização do portal); e (iii) instruções escritas supervenientes, desde que lícitas, tecnicamente viáveis e compatíveis com o escopo da plataforma.

2.3.A FXO informará a Controladora, sem demora injustificada, caso entenda que uma instrução viola a LGPD ou outra norma aplicável, podendo suspender a execução da instrução específica até confirmação escrita da Controladora, que assumirá a responsabilidade correspondente.

2.4.Vedações absolutas. É vedado à FXO: (i) tratar os dados pessoais dos Usuários Finais para finalidades próprias, incluindo publicidade, enriquecimento de bases, criação de perfis comportamentais ou comercialização de dados, sob qualquer hipótese; (ii) correlacionar Registros de Sessão com dados de navegação: registros de navegação, quando existentes, residem exclusivamente na infraestrutura da Controladora e não transitam pelos sistemas da FXO; e (iii) reter dados além dos prazos da Seção 9.

2.5.A FXO poderá utilizar dados agregados e anonimizados de forma irreversível, insuscetíveis de reidentificação, para fins estatísticos e de melhoria da plataforma; uma vez anonimizados, tais dados deixam de constituir dados pessoais para os fins da LGPD.

Escopo do tratamento

3.1.O escopo do tratamento (categorias de titulares, categorias de dados, finalidades, natureza e duração) está descrito no Apêndice 1, que delimita exaustivamente o tratamento autorizado. Qualquer tratamento fora do Apêndice 1 depende de aditivo escrito.

3.2.Declarações da Controladora. A Controladora declara e garante que: (i) possui base legal válida para o tratamento dos dados dos Usuários Finais (art. 7º da LGPD); (ii) disponibiliza aos Usuários Finais, no portal e em seus ambientes físicos, as informações exigidas pelos arts. 9º e 18 da LGPD; e (iii) suas instruções observam a legislação aplicável. A FXO não responde pela ausência ou invalidade de base legal definida pela Controladora.

3.3.Dados sensíveis e regulados. É vedado à Controladora configurar o portal cativo para coletar dados pessoais sensíveis (art. 5º, II, da LGPD), dados de crianças e adolescentes ou dados sujeitos a regimes regulatórios específicos, salvo prévia comunicação escrita à FXO e aditivo específico. A coleta em desacordo corre por conta e risco exclusivos da Controladora e autoriza a suspensão imediata do recurso envolvido.

3.3.1.A autenticação incidental de adolescentes no portal cativo, decorrente da impossibilidade técnica de verificação etária nos métodos de autenticação disponíveis, não configura descumprimento do item 3.3 pela FXO. Cabe à Controladora observar o art. 14 da LGPD e o melhor interesse do menor na definição dos textos, avisos e configurações do portal quando seu público puder incluir adolescentes.

Confidencialidade do pessoal

4.1.A FXO assegura que o acesso aos dados pessoais tratados em nome da Controladora é restrito a profissionais com necessidade funcional de acesso, vinculados a obrigação de confidencialidade contratual ou estatutária e treinados em proteção de dados pessoais.

Segurança do tratamento

5.1.A FXO adotará as medidas técnicas e administrativas descritas no Apêndice 2, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (LGPD, arts. 46 a 49), observado o estado da técnica e a natureza dos dados tratados.

5.2.A FXO poderá atualizar as medidas do Apêndice 2, desde que o nível de proteção resultante não seja reduzido.

Suboperadores

6.1.A Controladora autoriza, de forma geral, a contratação de suboperadores pela FXO para a execução da plataforma (infraestrutura de nuvem, envio de tokens por SMS e WhatsApp e serviços correlatos).

6.2.A FXO comunicará à Controladora, com antecedência mínima de 30 (trinta) dias, a inclusão ou substituição de suboperador com acesso a dados pessoais dos Usuários Finais. A Controladora poderá objetar, por escrito e fundamentadamente, em 15 (quinze) dias da comunicação. Persistindo a objeção sem alternativa razoável, a Controladora poderá resolver o vínculo quanto aos ambientes afetados, sem multa, como remédio exclusivo, ressalvada a reparação de danos decorrentes de dolo ou culpa grave da FXO ou de seus suboperadores.

6.3.Responsabilidade pela cadeia. A FXO imporá contratualmente a cada suboperador obrigações de proteção de dados equivalentes às deste DPA e permanecerá integralmente responsável, perante a Controladora, pelos atos e omissões de seus suboperadores como se seus fossem.

6.4.Os provedores de identidade OAuth (Google, LinkedIn, Microsoft) e as operadoras de telefonia do Usuário Final não são suboperadores da FXO: atuam como agentes de tratamento autônomos, sob seus próprios termos, na relação direta que mantêm com o Usuário Final e/ou com a Controladora, titular das credenciais OAuth.

Transferências internacionais

7.1.O tratamento será realizado, preferencialmente, em infraestrutura localizada no Brasil. Caso a execução da plataforma envolva suboperador que armazene ou acesse dados fora do território nacional, a FXO assegurará que a transferência observe o regime dos arts. 33 e seguintes da LGPD e a regulamentação da ANPD vigente à época, incluindo, quando cabível, cláusulas contratuais padrão por ela reconhecidas.

Assistência à Controladora

8.1. Direitos dos titulares

8.1.1.Cabe à Controladora responder aos pedidos de titulares (LGPD, art. 18). Pedidos de Usuários Finais recebidos diretamente pela FXO serão encaminhados à Controladora em até 5 (cinco) dias úteis, sem resposta de mérito ao titular, salvo instrução escrita em contrário ou dever legal.

8.1.2.A FXO disponibilizará à Controladora, pelo painel ou mediante solicitação, as funcionalidades e informações razoavelmente necessárias ao atendimento de pedidos de acesso, correção, eliminação, portabilidade e informação sobre o tratamento, no limite dos dados descritos no Apêndice 1.

8.2. Demais obrigações

8.2.1.A FXO prestará cooperação razoável à Controladora na elaboração de relatórios de impacto à proteção de dados pessoais (RIPD) e no atendimento a requisições da ANPD, no que se refira ao tratamento descrito neste DPA. Cooperação que exceda o uso ordinário do plano contratado poderá ser cobrada conforme tabela vigente da FXO, comunicada previamente. A cooperação indispensável ao cumprimento, pela Controladora, de prazo legal ou regulamentar não será condicionada a pagamento prévio, sem prejuízo da cobrança posterior dos valores devidos.

Retenção e eliminação

9.1.Registros de Sessão (accounting): mantidos por 12 (doze) meses contados do encerramento de cada sessão, prazo que atende, com margem, aos deveres de guarda do Marco Civil da Internet, quando aplicáveis à Controladora, e ampara o exercício regular de direitos em processo judicial, administrativo ou arbitral (LGPD, art. 7º, VI). Ao término, a FXO promoverá o expurgo automático, definitivo e irrecuperável.

9.2.Registros de consentimento e identificadores de autenticação: mantidos pela vigência do vínculo e, após seu término, pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos em processo, limitado o uso a essas finalidades.

9.3.Término do vínculo: a FXO disponibilizará a exportação dos dados em formato estruturado de leitura corrente por 30 (trinta) dias e, em seguida, eliminará os dados pessoais tratados em nome da Controladora, ressalvada a conservação exigida por lei. A eliminação será certificada por escrito mediante solicitação da Controladora.

9.4.Cópias de segurança: dados em backups cifrados seguem ciclo próprio de sobrescrição, não superior a 90 (noventa) dias após a eliminação na base ativa, permanecendo nesse intervalo logicamente inacessíveis ao uso ordinário e protegidos pelas medidas do Apêndice 2.

Incidentes de segurança

10.1.Prazo de comunicação. A FXO comunicará à Controladora, sem demora injustificada e em prazo não superior a 48 (quarenta e oito) horas contadas da ciência, todo incidente de segurança que possa acarretar risco ou dano relevante aos Usuários Finais, com as informações disponíveis: natureza do incidente, categorias e volume estimado de titulares e dados afetados, medidas adotadas e recomendadas, e ponto de contato.

10.2.As informações serão complementadas progressivamente, à medida da apuração, sem que a pendência de detalhes justifique retardo da comunicação inicial.

10.3.Cabe à Controladora, na qualidade de controladora dos dados dos Usuários Finais, avaliar e realizar as comunicações à ANPD e aos titulares nos prazos da regulamentação vigente. O prazo do item 10.1 foi fixado para preservar a margem de cumprimento do prazo regulamentar da Controladora. A FXO prestará a cooperação necessária a essas comunicações.

10.4.A FXO comunicará diretamente à ANPD apenas os incidentes relativos a dados de que seja controladora. Nenhuma das partes admitirá, em nome da outra, responsabilidade perante titulares ou autoridades.

Auditoria

11.1.A FXO disponibilizará anualmente, mediante solicitação, documentação que demonstre o cumprimento deste DPA (descrição das medidas de segurança, atestados, certificações ou relatórios de avaliações independentes, quando existentes).

11.2.Caso a documentação não seja razoavelmente suficiente, a Controladora poderá realizar, diretamente ou por auditor independente sujeito a confidencialidade, 1 (uma) auditoria por período de 12 (doze) meses, mediante aviso prévio de 30 (trinta) dias, em dias úteis e horário comercial, limitada ao tratamento objeto deste DPA, sem acesso a dados de outros clientes da FXO, a segredos de negócio ou a sistemas alheios ao escopo, e às custas da Controladora.

11.3.Auditoria adicional será admitida após incidente de segurança relevante ou por determinação de autoridade competente.

Responsabilidade

12.1.A responsabilidade das partes por violações deste DPA observa o regime de limitação de responsabilidade e de indenização do instrumento principal, ressalvados o dolo, a culpa grave e as hipóteses em que a limitação seja vedada por norma de ordem pública. Na ausência de regime de limitação no instrumento principal, aplica-se o regime legal. Nenhuma disposição deste DPA limita ou exclui a responsabilidade das partes perante titulares de dados ou autoridades, nos termos da LGPD.

12.2.A parte que ressarcir dano causado pela outra terá direito de regresso, na medida da participação de cada agente no evento danoso (LGPD, art. 42, § 4º).

Vigência

13.1.Este DPA vigora enquanto a FXO tratar dados pessoais em nome da Controladora, sobrevivendo ao término as obrigações das Seções 4, 7, 9, 10 e 12 e do item 6.3, enquanto a FXO conservar, a qualquer título, dados pessoais tratados em nome da Controladora, inclusive em cópias de segurança. Este DPA pode ser disponibilizado em outros idiomas, como cortesia; em caso de divergência, prevalece a versão em língua portuguesa.

A1Apêndice 1. Descrição do tratamento

A2Apêndice 2. Medidas técnicas e administrativas de segurança