Acordo de Processamento de Dados

Este Acordo de Processamento de Dados ("APD" ou "Adendo"), incluindo as Cláusulas Contratuais Padrão (conforme definidas abaixo) a ele anexadas (coletivamente, o "APD"), é celebrado e entra em vigor na data efetiva ("Data de Vigência") da aceitação dos Termos de Serviço pelo cliente aplicável ("Cliente") entre a Zenovay ("Empresa" ou "Zenovay") e o Cliente ao qual este APD está anexado e incorporado (o "Acordo"). Todos os termos em maiúscula não definidos de outra forma neste APD terão o significado a eles atribuído no Acordo.

Este Adendo tornará-se legalmente vinculante quando o Cliente celebrar o Acordo ou após a assinatura deste Adendo.

1. Definições

Para os fins deste APD, os seguintes termos têm os significados estabelecidos abaixo:

• "Afiliada" significa (i) uma entidade da qual uma parte direta ou indiretamente detém cinquenta por cento (50%) ou mais das ações ou outras participações societárias, (ii) uma entidade que detém pelo menos cinquenta por cento (50%) ou mais das ações ou outras participações societárias de uma parte, ou (iii) uma entidade que está sob controle comum com uma parte por meio da detenção de pelo menos cinquenta por cento (50%) ou mais das ações ou outras participações societárias de tal entidade e de uma parte pelo mesmo titular, desde que tal entidade seja considerada uma Afiliada enquanto tal propriedade existir.
• "Titular dos Dados" significa uma pessoa física identificada ou identificável cujas Informações Pessoais são protegidas pelas Leis de Proteção de Dados aplicáveis, e inclui um "consumidor" conforme definido na CCPA e os termos equivalentes sob outras Leis de Proteção de Dados aplicáveis.
• "Dados do Cliente" significa qualquer conteúdo, dado, informação ou outros materiais (incluindo Informações Pessoais) que o Cliente, Usuários Finais ou Afiliadas do Cliente enviem, ou que sejam coletados pelos Serviços para processamento pela Zenovay em conexão com os Serviços.
• "EEE" significa o Espaço Econômico Europeu.
• "Leis de Proteção de Dados" significa todas as leis e regulamentos de privacidade e de proteção de dados aplicáveis ao Processamento de Informações Pessoais sob o Acordo, incluindo, quando e na medida em que forem aplicáveis: o Regulamento (EU) 2016/679 (GDPR) e suas leis nacionais de implementação; o UK GDPR e o Data Protection Act 2018; a Diretiva 2002/58/EC (ePrivacy), conforme implementada nacionalmente; a Lei Federal Suíça de Proteção de Dados de 25 de setembro de 2020 (revFADP/revDSG, em vigor desde 1º de setembro de 2023) e sua Portaria; e as leis estaduais de privacidade dos Estados Unidos aplicáveis, incluindo a California Consumer Privacy Act, conforme alterada (CCPA). As referências neste APD a uma disposição de uma dessas leis devem ser lidas, em relação a um Titular dos Dados protegido por outra delas, como referências à disposição funcionalmente equivalente dessa outra lei.
• "Informações Pessoais" ou "Dados Pessoais" significa informações que identificam, relacionam-se a, descrevem, são razoavelmente capazes de ser associadas ou poderiam ser razoavelmente vinculadas, direta ou indiretamente, a um determinado Titular dos Dados. As Informações Pessoais incluem informações consideradas "dados pessoais", "informações de identificação pessoal" ou termos similares conforme definidos pelas Leis de Proteção de Dados aplicáveis.
• "Processamento" significa qualquer operação ou conjunto de operações realizadas sobre Informações Pessoais, seja por meios automatizados ou não, como coleta, registro, organização, estruturação, armazenamento, adaptação, recuperação, consulta, uso, divulgação, disseminação, restrição, exclusão ou destruição.
• "Cláusulas Contratuais Padrão" ou "CCS" significa as cláusulas contratuais padrão para a transferência de dados pessoais para processadores estabelecidos em países terceiros aprovadas pela Decisão 2021/914 da Comissão Europeia, de 4 de junho de 2021.
• "Subprocessador" significa qualquer processador terceirizado contratado pela Zenovay ou suas Afiliadas para processar Informações Pessoais em nome do Cliente sob o Acordo.

2. Relação entre as Partes; Processamento de Dados

2.1 Funções e Escopo do Processamento

As partes reconhecem e concordam que, em relação ao processamento de Informações Pessoais, o Cliente é o controlador de dados (ou "negócio" nos termos da CCPA) e a Zenovay é o processador de dados (ou "prestador de serviços" nos termos da CCPA). O Cliente deverá, em seu uso dos Serviços, processar Informações Pessoais de acordo com os requisitos das Leis de Proteção de Dados aplicáveis. As instruções do Cliente para o processamento de Informações Pessoais devem estar em conformidade com as Leis de Proteção de Dados aplicáveis. O Cliente é o único responsável pela precisão, qualidade e legalidade das Informações Pessoais e pelos meios pelos quais as obteve.

2.2 Instruções de Processamento do Cliente

Ao celebrar este APD, o Cliente instrui a Zenovay a processar Informações Pessoais apenas de acordo com a lei aplicável: (a) para fornecer os Serviços e suporte técnico relacionado; (b) conforme especificado pelo uso dos Serviços pelo Cliente (inclusive por meio do painel, API ou outras interfaces); (c) conforme documentado no Acordo, incluindo este APD; e (d) conforme documentado em quaisquer outras instruções escritas fornecidas pelo Cliente e reconhecidas pela Zenovay como instruções para os fins deste APD.

2.3 Conformidade da Zenovay com as Instruções

A Zenovay processará Informações Pessoais apenas de acordo com as instruções documentadas do Cliente, a menos que o processamento seja exigido pelas leis aplicáveis às quais a Zenovay esteja sujeita; nesse caso, a Zenovay informará o Cliente sobre esse requisito legal antes do processamento, a menos que tal lei proíba essa informação por razões importantes de interesse público.

2.4 Detalhes do Processamento

O objeto, a natureza, a finalidade, a duração e os tipos de Informações Pessoais e categorias de Titulares de Dados processados sob este APD estão descritos no Anexo A (Detalhes do Processamento) aqui anexado.

3. Confidencialidade

A Zenovay garantirá que quaisquer pessoas autorizadas a processar Informações Pessoais em seu nome estejam sujeitas a um dever de confidencialidade, seja por contrato ou obrigação legal.

4. Segurança

4.1 Medidas de Segurança

Levando em conta o estado da arte, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do processamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas físicas, a Zenovay implementará e manterá medidas técnicas e organizacionais adequadas para proteger as Informações Pessoais de Incidentes de Segurança (conforme definido abaixo) e para preservar a segurança e confidencialidade das Informações Pessoais, conforme descrito no Anexo B (Medidas de Segurança) aqui anexado.

4.2 Notificação de Incidente de Segurança

"Incidente de Segurança" significa uma violação de segurança que leve à destruição acidental ou ilegal, perda, alteração ou divulgação não autorizada de Informações Pessoais Processadas pela Zenovay sob este APD, ou ao acesso não autorizado a elas. Não inclui tentativas malsucedidas ou atividades que não comprometam a segurança das Informações Pessoais, tais como pings, varreduras de portas, tentativas de login malsucedidas, ataques de negação de serviço ou captura de pacotes na infraestrutura de rede. A Zenovay notificará o Cliente sem atraso indevido e, em qualquer caso, dentro de setenta e duas (72) horas após tomar conhecimento de um Incidente de Segurança. A Zenovay é operadora e não notifica autoridades supervisoras nem Titulares dos Dados em nome do Cliente; o Cliente, como controlador, permanece responsável por qualquer notificação desse tipo e por determinar se ela é exigida. A notificação da Zenovay não é, e não deve ser interpretada como, um reconhecimento de culpa ou de responsabilidade. Tal notificação deverá, na medida em que a informação estiver então disponível à Zenovay:

• Descrever a natureza do Incidente de Segurança, incluindo as categorias e o número aproximado de Titulares de Dados e registros de Informações Pessoais envolvidos
• Comunicar os dados de contato do contato designado de privacidade da Zenovay ([email protected]), do qual mais informações podem ser obtidas
• Descrever as prováveis consequências do Incidente de Segurança
• Descrever as medidas tomadas ou propostas para abordar o Incidente de Segurança e mitigar seus possíveis efeitos adversos

5. Subprocessadores

5.1 Subprocessadores Autorizados

O Cliente reconhece e concorda que a Zenovay pode contratar Subprocessadores para processar Informações Pessoais em nome do Cliente. A lista atual de Subprocessadores está disponível em zenovay.com/legal/subprocessors.

5.2 Obrigações dos Subprocessadores

A Zenovay deverá:

• Celebrar um acordo por escrito com cada Subprocessador impondo obrigações de proteção de dados substancialmente similares às impostas à Zenovay sob este APD
• Permanecer totalmente responsável perante o Cliente pelo cumprimento das obrigações de cada Subprocessador
• Selecionar Subprocessadores que ofereçam garantias suficientes para implementar medidas técnicas e organizacionais adequadas, levando em conta a natureza do Processamento que lhes é confiado, e manter o cadastro público de Subprocessadores em conformidade

5.3 Alterações nos Subprocessadores

A Zenovay fornecerá ao Cliente pelo menos 30 dias de aviso prévio por escrito sobre a adição de qualquer novo Subprocessador. O Cliente pode objetar ao uso de um novo Subprocessador pela Zenovay notificando a Zenovay por escrito dentro de 10 dias do recebimento do aviso da Zenovay, desde que tal objeção se baseie em motivos razoáveis relacionados à proteção de dados. Se o Cliente objetar razoavelmente a um novo Subprocessador e a Zenovay não puder fornecer uma alternativa comercialmente razoável, o Cliente poderá rescindir os Serviços afetados fornecendo aviso por escrito à Zenovay.

6. Direitos dos Titulares de Dados

A Zenovay deverá, na medida em que for legalmente permitido e dentro do escopo de sua função como processadora, notificar prontamente o Cliente se receber uma solicitação de um Titular de Dados para acesso, correção, alteração ou exclusão de suas Informações Pessoais. A Zenovay deverá, levando em conta a natureza do processamento, auxiliar o Cliente por meio de medidas técnicas e organizacionais adequadas, na medida do possível, para o cumprimento das obrigações do Cliente de responder a solicitações de exercício dos direitos dos Titulares de Dados sob as Leis de Proteção de Dados, incluindo o direito de acesso, retificação, exclusão, restrição do processamento, portabilidade de dados e objeção ao processamento.

7. Devolução e Exclusão de Dados

7.1 Períodos de Retenção de Dados

As Informações Pessoais são retidas de acordo com o plano de assinatura do Cliente:

• Plano Gratuito: 1 ano (365 dias)
• Plano Pro: 2 anos (730 dias)
• Plano Scale: 4 anos (1.460 dias)
• Plano Enterprise: Período de retenção personalizado conforme acordado no Formulário de Pedido aplicável

7.2 Expiração da Retenção: Ocultação, Período de Carência, Exclusão

Quando as Informações Pessoais ultrapassam o período de retenção aplicável ao plano do Cliente, elas passam por três estágios antes de serem excluídas:

• Fase 1 - Ocultação Temporária: As Informações Pessoais mais antigas que o período de retenção são marcadas como ocultas e excluídas das consultas de análise do Cliente. Os dados permanecem nos sistemas da Zenovay, mas não estão acessíveis por meio dos Serviços.
• Fase 2 - Período de Carência: O Cliente é notificado por e-mail de que os dados foram ocultados. Um período de carência de 30 dias começa, durante o qual o Cliente pode fazer upgrade para um plano superior para recuperar os dados ocultos.
• Fase 3 - Exclusão Permanente: Após o término do período de carência de 30 dias, as Informações Pessoais ocultas são permanentemente excluídas usando métodos de exclusão segura.

7.3 Recuperação de Dados

Se o Cliente fizer upgrade para um plano com período de retenção maior durante o período de carência, a Zenovay recuperará automaticamente (tornará visíveis) as Informações Pessoais que se enquadrem no novo período de retenção. Os dados que foram permanentemente excluídos não podem ser recuperados.

7.4 Exclusão após Rescisão

Após a rescisão ou expiração do Acordo, o Cliente poderá, dentro de trinta (30) dias, optar por escrito para que a Zenovay (a) disponibilize as Informações Pessoais para exportação por meio dos Serviços, ou (b) as exclua. Na ausência dessa opção, a Zenovay excluirá as Informações Pessoais de seus sistemas de produção ativos dentro de noventa (90) dias após o término desse prazo de trinta dias. A exclusão dos backups criptografados de rotina ocorre no vencimento ordinário do ciclo de backup aplicável, e não sob demanda; até que expire, as Informações Pessoais em backup não são acessadas e são protegidas pelas medidas do Anexo B. Esta Seção não se aplica na medida em que a Zenovay seja obrigada pela lei aplicável a reter Informações Pessoais, ou as retenha em forma agregada ou desidentificada que já não seja atribuível a um Titular dos Dados, ou retenha registros de cobrança, fiscais, de log de auditoria e de prevenção a abusos conforme permitido ou exigido por lei, caso em que a Zenovay as isolará e protegerá de qualquer Processamento adicional, exceto na medida exigida por essa lei. Excluir a conta do Cliente por meio dos Serviços exclui as Informações Pessoais associadas de forma imediata e permanente; o Cliente é responsável por exportar aquilo que deseja manter antes de fazê-lo.

8. Direitos de Auditoria

A Zenovay disponibilizará ao Cliente, mediante solicitação razoável e sujeita a obrigações de confidencialidade, todas as informações necessárias para demonstrar conformidade com este APD e permitirá e contribuirá para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor por ele designado. O Cliente pode exercer seus direitos de auditoria sob esta Seção:

• Revisando as certificações e atestações de segurança mantidas pelos provedores de infraestrutura da Zenovay (Cloudflare: SOC 2 Tipo II, ISO 27001, ISO 27018; Oracle Cloud Infrastructure: SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018), fornecidas mediante solicitação razoável. A própria Zenovay não está atualmente certificada SOC 2; atualizaremos esta divulgação quando uma auditoria for concluída.
• Enviando à Zenovay um questionário sobre as práticas de proteção de dados da Zenovay (limitado a uma vez por ano, salvo exigência das Leis de Proteção de Dados)
• Em circunstâncias excepcionais, realizando uma auditoria presencial ou remota das práticas de proteção de dados da Zenovay, sujeita a aviso razoável, obrigações de confidencialidade e reembolso dos custos razoáveis da Zenovay

9. Transferências Internacionais

9.1 Transferências de Dados

A Zenovay está estabelecida na Suíça. A Comissão Europeia reconheceu que a Suíça oferece um nível adequado de proteção (Decisão 2000/518/EC, conforme mantida), e o Reino Unido manteve esse reconhecimento, de modo que uma transferência de Informações Pessoais do EEE ou do Reino Unido para a Zenovay na Suíça não exige, por si só, um instrumento de transferência adicional. Quando a Zenovay transfere posteriormente Informações Pessoais a um Subprocessador em um país que não foi reconhecido como adequado pela Comissão Europeia, pelas autoridades do Reino Unido ou pelo Conselho Federal Suíço, essa transferência é feita com base em um dos seguintes fundamentos:

• Estrutura de Privacidade de Dados UE-EUA (DPF) / DPF Suíça-EUA: Para transferências a um Subprocessador nos Estados Unidos que esteja ativamente certificado sob o programa pertinente do Data Privacy Framework para as categorias de dados em questão, a Decisão de Execução da Comissão (EU) 2023/1795, de 10 de julho de 2023, a Extensão do Reino Unido em vigor desde 12 de outubro de 2023 e o reconhecimento suíço em vigor desde 15 de setembro de 2024. A Zenovay não declara que qualquer Subprocessador em particular esteja assim certificado; o mecanismo invocado para cada um está indicado na página de Subprocessadores.
• Cláusulas Contratuais Padrão (CCS): Conforme detalhado na Seção 9.2 abaixo.
• Medidas Suplementares: Avaliações de Impacto de Transferência, criptografia em trânsito e em repouso, controles de acesso e outras medidas recomendadas pelo EDPB e EDOEB em vista da decisão Schrems II.

9.2 Cláusulas Contratuais Padrão

As transferências de Informações Pessoais do Cliente do EEE ou do Reino Unido para a Zenovay na Suíça são realizadas com base nas decisões de adequação referidas na Seção 9.1. Se uma decisão de adequação que abranja a Suíça for revogada, suspensa, anulada ou de outra forma deixar de fornecer base válida para tais transferências, as partes serão consideradas, com efeito a partir dessa data e sem qualquer ato adicional, como tendo celebrado as Cláusulas Contratuais Padrão, Módulo Dois (controlador para operador), com o Cliente como exportador de dados e a Zenovay como importador de dados. Quando a Zenovay transferir posteriormente Informações Pessoais a um Subprocessador fora da Suíça e fora de qualquer país adequado, e o Subprocessador não estiver coberto pela Seção 9.1(a), a Zenovay celebra as Cláusulas Contratuais Padrão, Módulo Três (operador para operador), com esse Subprocessador, na qualidade de exportador de dados, juntamente com o UK International Data Transfer Addendum quando houver dados do Reino Unido envolvidos e as alterações reconhecidas pelo Comissário Federal Suíço de Proteção de Dados e Informação quando houver dados suíços envolvidos. Para os fins de quaisquer Cláusulas Contratuais Padrão celebradas nos termos desta Seção:

• Sob o Módulo Dois, o Cliente é o "exportador de dados" e a Zenovay é o "importador de dados"; sob o Módulo Três, a Zenovay é o "exportador de dados" e o Subprocessador pertinente é o "importador de dados"
• As partes concordam com as cláusulas opcionais da Cláusula 7, Cláusula 11 e Cláusula 9(a)
• A lei do Estado Membro aplicável será a lei do Estado Membro em que o Cliente está estabelecido ou, se o Cliente não estiver estabelecido em um Estado Membro, a lei da Irlanda
• A autoridade supervisora competente será a autoridade supervisora do Estado Membro em que o Cliente está estabelecido; para Clientes suíços, o EDOEB (Comissário Federal de Proteção de Dados e Informação); para Clientes não estabelecidos em um Estado Membro ou na Suíça, a Comissão de Proteção de Dados da Irlanda
• Para transferências sujeitas ao direito suíço, aplicam-se as alterações reconhecidas pelo Comissário Federal Suíço de Proteção de Dados e Informação: as referências ao GDPR são lidas como referências à revFADP, a autoridade supervisora competente é o FDPIC, e as referências à UE ou ao EEE são lidas como referências à Suíça. Para transferências sujeitas ao direito do Reino Unido, aplica-se o UK International Data Transfer Addendum, que prevalece na medida de qualquer conflito
• A descrição da transferência está estabelecida no Anexo A (Detalhes do Processamento)
• As medidas técnicas e organizacionais estão estabelecidas no Anexo B (Medidas de Segurança)

10. Limitação de Responsabilidade

A responsabilidade de cada parte decorrente deste APD ou com ele relacionada está sujeita às exclusões e limitações de responsabilidade estabelecidas no Acordo, e o limite previsto no Acordo é um limite agregado único aplicável ao Acordo e a este APD tomados em conjunto, e não um limite separado para cada um. Nada neste APD ou no Acordo limita a responsabilidade de qualquer das partes perante um Titular dos Dados nos termos do Artigo 82 do GDPR ou de qualquer disposição legal equivalente, nem afeta os direitos que um Titular dos Dados tem diretamente contra um controlador ou operador sob as Leis de Proteção de Dados aplicáveis; a limitação opera apenas entre as partes. Quando forem celebradas Cláusulas Contratuais Padrão nos termos da Seção 9.2, nada nesta Seção limita a responsabilidade de qualquer das partes sob essas Cláusulas perante um Titular dos Dados.

11. Disposições Gerais

11.1 Ordem de Precedência

Em caso de qualquer conflito ou inconsistência entre este APD e o Acordo, as disposições deste APD prevalecerão na medida de tal conflito ou inconsistência.

11.2 Modificação

A Zenovay pode atualizar este APD periodicamente para refletir mudanças nas Leis de Proteção de Dados, orientações regulatórias ou melhores práticas do setor. Alterações relevantes serão notificadas ao Cliente com pelo menos 30 dias de antecedência antes de entrarem em vigor.

11.3 Divisibilidade

Se qualquer disposição deste APD for considerada inválida ou inexequível, as disposições restantes permanecerão em pleno vigor e efeito.

11.4 Forca Maior

Nenhuma das partes sera responsável por qualquer falha ou atraso no cumprimento de suas obrigações sob este APD (exceto obrigações de pagamento) na medida em que sejam causados por um evento de força maior conforme definido no Acordo. Sem limitar a generalidade do anterior, a Zenovay ficará escusada de suas obrigações de operador sob este APD na medida em que o cumprimento seja impedido, dificultado ou atrasado por uma interrupção, falha, incidente de segurança, ordem regulatória ou rescisão contratual que afete qualquer suboperador listado na página de Suboperadores, incluindo, sem limitação, Cloudflare, Oracle Cloud Infrastructure, Stripe, Resend, OpenAI (via Cloudflare AÍ Gateway), Anthropic, LemonSqueezy, Polar, IPwho.is, Mapbox e Sentry. A Zenovay envidará esforcos comercialmente razoáveis e de boa-fé para notificar o Cliente sobre qualquer evento material de força maior que afete o processamento de Informações Pessoais e para mitigar seu impacto, sem criar com isso qualquer compromisso de nível de servico.

Para evitar dúvidas, a cláusula de força maior não isenta a Zenovay de sua obrigação, como operadora, de notificar o Cliente sobre um Incidente de Segurança sem atraso indevido após tomar conhecimento dele, obrigação que o Artigo 33(2) do GDPR e o Artigo 24(3) da Lei Federal Suíça de Proteção de Dados impõem sem prazo fixo e que a Seção 4.2 deste APD complementa com um limite externo de setenta e duas horas. A Zenovay cumprirá essa obrigação de notificação independentemente do evento de força maior, utilizando quaisquer canais de comunicação que permaneçam disponíveis, incluindo canais fora de banda como SMS, telefone ou um aviso publicado na página de status da Zenovay quando o canal primário de e-mail não estiver disponível.

Se um evento de força maior impedir a Zenovay de cumprir suas obrigações materiais de operador por mais de trinta (30) dias corridos consecutivos, o Cliente podera rescindir este APD mediante notificação por escrito. A rescisão deste APD não sera, por si só, suficiente para rescindir o Acordo, que permanece regido por suas próprias disposições de força maior e rescisão.

11.5 Lei Aplicável e Jurisdição

Este APD será regido e interpretado de acordo com as disposições de lei aplicável e jurisdição do Acordo, exceto quando as Cláusulas Contratuais Padrão especificarem de outra forma.

Anexo A: Detalhes do Processamento

Lista das Partes

Exportador de dados: Cliente (conforme definido no Acordo)

Importador de dados: Zenovay, Wanderstrasse 19, 4054 Basel, Suíça

Descrição da Transferência

Objeto: O objeto do processamento de dados é a prestação de serviços de análise de sites.

Natureza e finalidade do processamento: A Zenovay processará Informações Pessoais para fornecer serviços de análise de sites e aplicativos, incluindo:

• Coleta e análise de dados de visitantes de sites
• Geração de relatórios e insights de análise
• Fornecimento de painel e serviços de visualização de dados
• Armazenamento e manutenção de dados de análise
• Pontuação automatizada de valor do visitante: uma pontuação de 0 a 100 derivada de sinais comportamentais, geografia aproximada e dados do dispositivo, calculada por instrução do Cliente e exibida ao Cliente. A Zenovay não adota nenhuma ação automatizada com base nessa pontuação
• Recursos de análise assistidos por IA, roteados através do Cloudflare AI Gateway para a OpenAI quando utilizados pelo Cliente. Dependendo da solicitação, os dados enviados ao modelo podem incluir registros analíticos individuais e identificadores que o Cliente tenha fornecido por meio do recurso identify
• Fornecimento de suporte ao cliente e gerenciamento de conta

Duração do processamento: pelo prazo do Acordo mais o período de retenção de dados aplicável ao plano de assinatura do Cliente (1 ano para Free, 2 anos para Pro, 4 anos para Scale, ou conforme acordado para Enterprise). As Informações Pessoais que ultrapassam o período de retenção estão sujeitas ao processo de ocultação, período de carência e exclusão descrito na Seção 7.2, e as Informações Pessoais remanescentes ao final do Acordo são tratadas nos termos da Seção 7.4.

Categorias de Informações Pessoais: As categorias de Informações Pessoais transferidas podem incluir:

• Dados de Rede: Endereços IP. O endereço é usado em forma pura para resolver a localização aproximada, aplicar limites de taxa e detectar abuso, e em seguida é convertido em um hash SHA-256 com sal diário; o hash, e não o endereço, é gravado no banco de dados analítico. Geolocalização aproximada (país, região, cidade)
• Dados do Dispositivo: Strings de agente do usuário, tipo de dispositivo, navegador, sistema operacional, resolução de tela
• Dados de Navegação: URLs de páginas visitadas, títulos de páginas, URLs de referência, horários, tempo gasto nas páginas
• Dados Comportamentais: Profundidade de rolagem, contagens de cliques, interações com formulários (excluindo campos sensíveis), métricas de engajamento
• Dados de Campanha: Parâmetros UTM, identificadores de cliques de plataformas de publicidade (por ex., Google, Facebook, TikTok)
• Dados de Conversão: Eventos personalizados, conclusões de metas e valores associados conforme configurado pelo Cliente
• Dados de Sessão: Identificadores de sessão, duração, páginas por sessão, status de visitante recorrente

Dados Opcionais (quando recursos habilitados pelo Cliente):

• Repetição de Sessão: Capturas de DOM, movimentos do mouse, cliques e comportamento de rolagem. Os campos de entrada são mascarados e os campos de senha e de cartão de pagamento são bloqueados por padrão; o texto renderizado pela página é capturado tal como exibido, a menos que o Cliente habilite o mascaramento de texto, de modo que o Cliente é responsável por não exibir Informações Pessoais que não deseje ver registradas
• Mapas de Calor: Dados agregados de posição de cliques e rolagem
• Identificação de Usuário: Nome, e-mail, telefone, empresa e identificadores personalizados quando fornecidos pela implementação do Cliente
• Enriquecimento B2B: Nome da empresa, domínio, setor, tamanho e outros atributos comerciais derivados de serviços de enriquecimento de terceiros

O Cliente é responsável por determinar quais Informações Pessoais são coletadas e garantir a conformidade com as leis de privacidade aplicáveis.

Categorias de Titulares de Dados: Os Titulares de Dados cujas Informações Pessoais são processadas incluem:

• Visitantes dos sites e aplicativos do Cliente
• Usuários dos serviços online do Cliente
• Clientes dos produtos ou serviços do Cliente
• Funcionários ou representantes do Cliente (para fins de gerenciamento de conta)

Dados sensíveis: A Zenovay não pretende processar dados pessoais sensíveis (por ex., informações de saúde, dados biométricos, dados de contas financeiras). O Cliente está proibido de transmitir dados pessoais sensíveis à Zenovay sem acordo prévio por escrito e salvaguardas adequadas.

Frequência de transferência: A frequência de transferência dos dados pessoais é contínua, até o término do acordo.

Anexo B: Medidas de Segurança

Este Anexo descreve as medidas técnicas e organizacionais em vigor na data da Última Atualização deste APD. A Zenovay opera uma infraestrutura pequena e altamente automatizada e depende de seus provedores de infraestrutura para uma parte substancial dessas medidas; quando uma medida é operada por um provedor em vez de implementada diretamente pela Zenovay, isso é indicado. A Zenovay pode alterar medidas individuais ao longo do tempo, inclusive em resposta a mudanças na tecnologia ou no cenário de ameaças, desde que o nível geral de segurança não seja materialmente reduzido. As medidas são aquelas que a Zenovay considera adequadas ao risco na acepção do Artigo 32 do GDPR e de disposições equivalentes de outras Leis de Proteção de Dados. Elas não constituem garantia de que as Informações Pessoais não serão afetadas por um Incidente de Segurança.

1. Segurança Física e Ambiental (operada pelos provedores de infraestrutura)

• Computação, cache e segurança de rede são fornecidos pela Cloudflare, Inc. em sua rede de borda global. A Cloudflare mantém as certificações SOC 2 Type II, ISO 27001 e ISO 27018; essas certificações são da Cloudflare, não da Zenovay
• Desde 28 de outubro de 2026, o banco de dados principal (incluindo os dados de autenticação) e seus backups são hospedados na Oracle Cloud Infrastructure na Suíça (eu-zurich-1, Zurique), onde a própria Zenovay opera o software de banco de dados; o banco de dados de análise e seus backups estão hospedados ali desde 23 de outubro de 2026. As certificações da Oracle são da própria Oracle, não da Zenovay. Desde 29 de outubro de 2026, os arquivos (imagens e anexos enviados, gravações de sessão e capturas de mapas de calor) são armazenados na Backblaze, Inc. na União Europeia (eu-central, Amsterdã, Países Baixos); as certificações da Backblaze são da própria Backblaze, não da Zenovay. Desde 31 de outubro de 2026, a Backblaze, Inc. também armazena uma cópia criptografada dos backups noturnos do banco de dados principal e do banco de dados de análise.
• A Zenovay não opera data center, sala de servidores ou qualquer outra instalação própria, e não mantém Informações Pessoais em mídia física controlada pela Zenovay no curso ordinário da prestação dos Serviços. Todos os controles físicos e ambientais dos sistemas que armazenam Informações Pessoais são de responsabilidade dos provedores nomeados acima
• O controle de acesso às instalações, o monitoramento e a proteção ambiental são executados por esses provedores e estão descritos em suas próprias certificações publicadas e relatórios de auditoria, que a Zenovay disponibiliza ao Cliente mediante solicitação em lugar de uma inspeção presencial

2. Controles de Acesso ao Sistema

• O acesso administrativo ao console interno de operações da Zenovay fica atrás de um perímetro de acesso zero-trust que é reverificado na origem, de uma sessão autenticada e de uma verificação de autorização contra uma lista explícita de administradores mantida na configuração de ambiente e não no banco de dados, de modo que o comprometimento do banco de dados não possa conceder acesso administrativo. Um desafio de passkey com respaldo em hardware está implantado como fator adicional
• Controle de acesso baseado em função. Dentro do espaço de trabalho do Cliente, o acesso é limitado por função (proprietário, administrador, editor, visualizador). Do lado da Zenovay, as capacidades administrativas são delimitadas por uma matriz de permissões de leitura e escrita por seção, com a gestão de funções e de membros reservada ao operador e nunca concedível por meio dessa matriz
• Contas nominais individuais para acesso administrativo; logins administrativos compartilhados ou genéricos não são utilizados
• A autenticação multifator, por senha de uso único baseada em tempo ou por passkey, está disponível aos usuários do Cliente. O Cliente é responsável por habilitá-la para seus próprios Usuários Autorizados e por revogar o acesso deles quando não estiverem mais vinculados
• As ações administrativas e privilegiadas são gravadas em registros de auditoria somente de acréscimo, sem política de atualização ou de exclusão. As gravações de auditoria são deliberadamente não bloqueantes, de modo que uma falha de registro não possa impedir a ação subjacente; os registros são, portanto, um registro de responsabilização e não têm garantia de serem um registro completo de cada evento

3. Controles de Acesso a Dados

• Todas as conexões com os Serviços são servidas por HTTPS, com TLS terminado na borda da Cloudflare; o tráfego entre a computação da Zenovay e o banco de dados é criptografado em trânsito
• As Informações Pessoais em repouso são criptografadas pelos provedores que as armazenam (Oracle Cloud Infrastructure, com chaves gerenciadas pela Oracle, para o banco de dados principal, o banco de dados de análise e seus backups; Backblaze, com chaves gerenciadas pela Backblaze, para o armazenamento de arquivos). A criptografia em repouso e a gestão de chaves associada são controles operados pelo provedor, com uma exceção: a cópia adicional dos backups noturnos dos bancos de dados armazenada na Backblaze é criptografada pela Zenovay antes do envio, com uma chave que a Zenovay mantém offline e que a Backblaze não possui. Fora isso, a Zenovay não opera uma camada separada de criptografia ou de gestão de chaves sobre as Informações Pessoais armazenadas.
• Acesso a Informações Pessoais restrito apenas a pessoal autorizado
• Os Dados do Cliente são segregados logicamente por site e por equipe. O Row Level Security está habilitado em cada tabela do banco de dados de produção, e cada caminho de consulta da aplicação impõe adicionalmente um predicado de inquilino; no caminho da API, que se autentica com uma função de serviço, essa verificação na camada de aplicação é o controle primário e o Row Level Security é defesa em profundidade

4. Controles de Transmissão

• Criptografia de transmissão de dados usando protocolos TLS/SSL
• APIs seguras com controles de autenticação e autorização
• Limitação de taxa, pontuação de reputação de IP e heurísticas de abuso aplicadas na borda e na camada de aplicação

5. Controles de Entrada

• Registro de auditoria de criação, modificação e exclusão de dados
• Procedimentos de controle de versão e gerenciamento de mudanças
• Backups automatizados do banco de dados principal e do banco de dados de análise a cada seis horas, um deles todas as noites, realizados pela Zenovay e armazenados no Oracle Cloud Infrastructure Object Storage na Suíça (eu-zurich-1, Zurique). Do banco de dados principal são mantidos os últimos 4 backups a cada seis horas e os últimos 7 backups noturnos; do banco de dados de análise, os últimos 3 backups a cada seis horas e os últimos 14 backups noturnos. A recuperação ponto a ponto não está habilitada atualmente, portanto, em operação normal, o objetivo de ponto de recuperação é de até seis (6) horas. Desde 31 de outubro de 2026, uma cópia adicional do backup noturno do banco de dados principal e do banco de dados de análise também é armazenada na Backblaze, Inc. na União Europeia (eu-central, Amsterdã, Países Baixos), como segunda cópia independente caso o provedor de infraestrutura principal fique indisponível. Essa cópia é criptografada nos servidores da Zenovay antes do envio, além da criptografia em repouso da Backblaze; a chave de descriptografia é mantida offline pela Zenovay e não está em poder da Backblaze. Os servidores só podem adicionar backups ali, sem poder lê-los nem excluí-los, e cada cópia é protegida contra exclusão por 14 dias. As cópias são mantidas por 30 dias (banco de dados principal) ou 14 dias (banco de dados de análise) e depois excluídas automaticamente

6. Controles de Disponibilidade

• Rede de borda global da Cloudflare, com failover operado pelo provedor entre localidades de borda
• Servidores de banco de dados na Oracle Cloud Infrastructure, com manutenção de hardware e de data center operada pelo provedor; o software de banco de dados é operado e mantido pela Zenovay, com backups automatizados a cada seis horas
• O banco de dados principal opera em uma única região (eu-zurich-1, Zurique, Suíça), e seus backups a cada seis horas e noturnos são armazenados no Oracle Cloud Infrastructure Object Storage na mesma região; além disso, uma cópia criptografada de cada backup noturno é armazenada na Backblaze, Inc. na União Europeia (Amsterdã, Países Baixos). A Zenovay não opera nenhum outro conjunto de backups distribuído geograficamente
• Um runbook documentado de recuperação de desastres e de continuidade de negócios, cujos objetivos de recuperação são metas internas e não compromissos perante o Cliente
• Procedimentos de monitoramento do sistema e resposta a incidentes
• Observação: Nenhum SLA de disponibilidade específico é fornecido, a menos que acordado separadamente em um contrato Enterprise

7. Medidas Organizacionais

• O acesso às Informações Pessoais é limitado ao operador e ao pessoal expressamente autorizado pelo operador, e é concedido apenas quando necessário para fornecer, proteger ou dar suporte aos Serviços
• Toda pessoa autorizada a processar Informações Pessoais em nome da Zenovay está vinculada a um dever de confidencialidade, seja por contrato ou por lei, conforme estabelecido na Seção 3
• Procedimentos de resposta a incidentes e notificação de violação
• Varredura de segurança automatizada dos repositórios de código da Zenovay em periodicidade semanal, abrangendo vulnerabilidades de dependências, análise estática e varredura de segredos. A Zenovay acompanha as atualizações de segurança do software de banco de dados que opera e aplica as atualizações por meio de um procedimento de atualização testado. A Zenovay não encomendou teste de intrusão independente nem auditoria de segurança de terceiros, e não declara tê-lo feito
• Os Subprocessadores são contratados sob termos escritos de processamento de dados que impõem obrigações de proteção de dados substancialmente similares às deste APD, e são registrados em um cadastro que a Zenovay mantém e publica em zenovay.com/legal/subprocessors

Informações de Contato

Para dúvidas sobre este APD ou práticas de processamento de dados, entre em contato: