Acordo de processamento

de dados Skeyon Lab S.L. — VerificaçãoE-mails, Pop-ups e Automação

1. Partes e finalidade

Este acordo de tratamento, doravante “DPA”, regula o tratamento de dados pessoais realizado pela Skeyon Lab S.L., com NIF B65911679 e endereço em Zamora 105, 6.º 3.ª, 08018 Barcelona, Espanha, doravante “Skeyon”, em nome da pessoa física ou jurídica identificada como cliente na conta e na contratação do serviço, doravante “Cliente”.

O contato para questões de proteção de dados, instruções e solicitações relacionadas a este DPA é contactar@verificaremails.com.

O DPA aplica-se exclusivamente aos serviços contratados e utilizados pelo Cliente, entre aqueles descritos no Anexo I. Seu objetivo é estabelecer as condições de processamento em nome do Cliente, de acordo com o Regulamento (UE) 2016/679, doravante “GDPR”, e os regulamentos espanhóis aplicáveis de proteção de dados.

Os dados usados pela Skeyon para seus próprios fins de gestão de contas, faturamento e cumprimento de obrigações legais são regulados pela política de privacidade correspondente. Essa distinção não permite a reutilização dos contatos fornecidos para esses fins para verificar ou gerenciar campanhas.

2. Funções e clientes atuando em nome de terceiros

O Cliente atua como controlador de dados ao determinar os propósitos e meios essenciais do tratamento. Neste caso, a Skeyon atua como responsável pela processadora de dados.

Se o Cliente for uma agência ou outro provedor atuando como processador em nome de um terceiro, a Skeyon atuará como subprocessador. O Cliente deve ter a autorização necessária do controlador e fornecer instruções compatíveis com a cessação recebida. O uso da plataforma não constitui uma verificação por Skeyon das relações contratuais do Cliente com seus próprios clientes.

As referências neste DPA às instruções e obrigações do Cliente são entendidas como adaptadas ao seu papel efetivo. O Cliente fornecerá, quando necessário, as informações que permitam o cumprimento das obrigações do controlador final.

3. Instruções e finalidade do processamento

Skeyon processará os dados apenas para fornecer os serviços contratados, seguindo as instruções documentadas do Cliente. Instruções são esses DPAs, configurações de conta, transações solicitadas pela plataforma ou API, e solicitações verificadas enviadas por canais de suporte.

As instruções incluem, quando aplicável, comunicações para integrações ou destinatários que o Cliente configure. Nenhuma integração sozinha estende os propósitos autorizados.

A Skeyon não reutiliza contatos ou resultados de verificação para outros clientes, para criar seus próprios bancos de dados de contatos ou para treinar modelos de inteligência artificial.

Se uma regulamentação da União Europeia ou de Estado-Membro exigir tratamento diferente, a Skeyon informará o Cliente com antecedência, salvo proibição legal. Se considerar que uma instrução viola as regulamentações aplicáveis, notificará imediatamente o Cliente e solicitará esclarecimentos ou correções antes de executar a parte afetada.

4. Obrigações e minimização do Cliente

É responsabilidade do Cliente determinar e comprovar a legalidade do tratamento, fornecer as informações exigidas dos titulares, cumprir seus direitos e fornecer instruções legais. O Cliente deve ter a base legal necessária para as transações solicitadas, sem essa DPA, assumindo que essa base deve sempre ser consentimento.

O Cliente fornecerá apenas os dados adequados, relevantes e necessários para o serviço. Deve evitar arquivos com colunas desnecessárias e revisar os campos, formulários e integrações personalizados que configura.

Skeyon não examina sistematicamente todo o conteúdo para determinar sua natureza ou origem. Essa circunstância não exclui suas obrigações como processador em relação aos dados pessoais que efetivamente processa.

Os serviços abrangidos por esta DPA não são contratados para processar categorias especiais de dados ou dados sobre condenações criminais e infrações. Seu processamento exigirá um acordo prévio específico que estabeleça as condições e garantias aplicáveis. Se o Cliente detectar que foi incorporado acidentalmente, deve solicitar sua remoção ou excluí-lo utilizando as funções disponíveis.

5. Confidencialidade e pessoal autorizado

O acesso da equipe da Skeyon aos dados é limitado à equipe de suporte e, como segundo nível, a desenvolvedores quando uma solicitação do Cliente exige a revisão de um incidente ou elemento de serviço. O acesso será limitado ao necessário para a tarefa autorizada.

A equipe da Skeyon tem acessos a partir da Espanha e está sujeita a compromissos de confidencialidade, que permanecerão em vigor após o término de seu relacionamento com a Skeyon. Esta localização da equipe não constitui uma declaração sobre todos os locais de processamento dos provedores do Anexo III.

A exclusão direta e excepcional do banco de dados é reservada à pessoa autorizada pela Skeyon para essa função, internamente chamada de “controlador de dados”. Esse nome interno não modifica os papéis legais definidos na cláusula 2 nem equivale à nomeação de um responsável pela proteção de dados.

6. Segurança

Skeyon implementará medidas técnicas e organizacionais apropriadas ao risco e manterá as medidas descritas no Anexo II. Revisará sua adequação à natureza dos dados e à operação dos serviços.

A evolução técnica das medidas não poderá reduzir a proteção comprometida. O Cliente deverá proteger suas credenciais, limitar as permissões de seus usuários e utilizar as funções disponíveis de acordo com suas próprias obrigações de segurança.

7. Subprocessadores

O Cliente concede autorização geral para usar os subprocessadores identificados no Anexo III, dentro das funções descritas. Skeyon deverá impor a eles por escrito obrigações de proteção de dados equivalentes às aplicáveis ao processamento que lhes foi confiado e permanecerá responsável perante o Cliente pelo cumprimento dessas obrigações pelos subprocessadores.

Skeyon avisará previamente qualquer adição ou substituição planejada, identificando o provedor, seu papel e as localizações relevantes. O Cliente poderá apresentar uma objeção baseada na proteção de dados antes que o novo provedor processe seus dados. Um período razoável de tempo será concedido para examinar a mudança; a mera atualização silenciosa de um site não será considerada suficiente.

As partes considerarão uma alternativa viável a uma oposição fundamentada. Se não puder ser resolvida, o serviço afetado poderá ser encerrado, aplicando as obrigações de devolução e exclusão deste DPA.

De acordo com o escopo declarado para esta versão, nenhum provedor externo é utilizado para executar as verificações de verificação comissionadas pela Skeyon. Os provedores de infraestrutura estão listados no Anexo III. Essa disposição não exclui as interações técnicas necessárias com os sistemas-alvo para realizar as verificações solicitadas.

8. Localizações internacionais e transferências

Os locais de processamento e provedores são descritos no Anexo III. O endereço registrado de um provedor não determina sozinho onde processa os dados.

Quando um processamento, acesso remoto ou comunicação constituir uma transferência internacional, a Skeyon garantirá que os requisitos do Capítulo V do GDPR sejam cumpridos. Quando aplicável, uma decisão de adequação aplicável ou salvaguardas apropriadas, incluindo cláusulas contratuais padrão, serão usadas com as avaliações necessárias e medidas complementares.

Esta DPA não incorpora, por si só, cláusulas contratuais padrão para transferências internacionais nem substitui os instrumentos que devem ser concluídos com os destinatários. Sua aceitação também não constitui consentimento geral para transferências não abrangidas pelos regulamentos.

9. Direitos e Suporte ao Cliente

A Skeyon auxiliará o Cliente, levando em conta a natureza do processamento e as informações disponíveis, a responder a solicitações para exercer direitos e cumprir suas obrigações em termos de segurança, avaliação de impacto e consulta prévia.

receber diretamente uma solicitação relativa a dados processados em nome do Cliente, irá encaminhá-la ao Cliente sem demora indevido e não decidirá sobre seus méritos de forma independente, a menos que seja legalmente exigido ou expressamente instruído.

As solicitações serão tratadas por meio das funções do painel ou, quando necessário, pelo suporte. A exclusão seletiva excepcional no banco de dados exigirá uma solicitação verificada e os identificadores necessários para localizar a conta e os registros, e será executada pela pessoa autorizada do Skeyon.

10. Violações de segurança

Skeyon possui um procedimento de gerenciamento de incidentes. A equipe de suporte recebe comunicações e as canaliza para a administração.

A Skeyon notificará o Cliente, sem demora excessiva para que tome conhecimento dela, sobre violações de segurança de dados pessoais que afetem os dados processados em seu nome. A comunicação incluirá as informações disponíveis sobre a natureza do incidente, os dados e as pessoas afetadas, as prováveis consequências, as medidas tomadas ou propostas e um contato para acompanhamento.

Se inicialmente não tiver todos os detalhes, fornecerá atualizações sem demora indevida. Colaborará com o Cliente nas respectivas ações de contenção, avaliação e comunicação. A notificação não será adiada até que uma investigação definitiva esteja disponível.

11. Retenção e fim do processamento

Os períodos diferenciados no Anexo I se aplicam. A retenção temporária para verificação não é equivalente à retenção contínua que o Cliente solicita ao usar Pop-ups ou Automação.

Ao final do serviço, o Cliente pode solicitar a devolução dos dados disponíveis ou sua exclusão. A devolução será feita por download ou por procedimento acordado antes do término do período de exclusão. Não será possível devolver dados que já tenham sido excluídos de acordo com as instruções e prazos aplicáveis.

Backups pendentes de exclusão permanecerão protegidos e não serão usados para uso comum. Se for necessária restauração, ordens de exclusão anteriores devem ser cumpridas para evitar a reintrodução dos dados excluídos em uso ativo.

Quando uma obrigação legal exigir a retenção de certos dados, apenas os dados necessários serão mantidos, restringindo seu processamento a essa obrigação e excluindo-os ao final do período exigido.

12. Informações e auditorias

A Skeyon disponibilizará ao Cliente as informações necessárias para comprovar o cumprimento deste DPA e permitirá e contribuirá para auditorias e inspeções realizadas pelo Cliente ou por um auditor autorizado pelo Cliente.

As partes coordenarão o escopo, o cronograma e as medidas de confidencialidade para proteger os dados de outros clientes e a segurança do serviço. Informações documentais poderão ser usadas inicialmente quando suficientes, sem impedir verificações justificadas adicionais ou os poderes das autoridades supervisoras.

13. Validade eletrônica e aceitação

O DPA fará parte das condições contratuais quando for fornecido ao Cliente antes da contratação e for expressamente incorporado à sua aceitação. A identidade do Cliente será a indicada na conta e no contrato; quem aceitar em seu nome declara ter direito a vinculá-lo.

A aceitação pode ser feita eletronicamente, mantendo comprovação da conta, data e versão aceita. A mera disponibilidade pública do documento não substitui sua incorporação ao contrato. Para clientes existentes, a adesão correspondente será documentada.

A DPA permanecerá em vigor enquanto a Skeyon processar dados em nome do Cliente, incluindo obrigações subsequentes de confidencialidade, devolução e exclusão. Alterações materiais deverão ser comunicadas e formalizadas de acordo com o contrato e as regulamentações aplicáveis.

14. Relação com os termos e condições gerais

Em caso de contradição, esta DPA prevalecerá sobre os termos e condições gerais relativos ao tratamento de dados em nome do Cliente. Nenhuma limitação contratual excluirá obrigações ou responsabilidades obrigatórias, direitos dos titulares ou poderes das autoridades.

A lei espanhola e o GDPR serão aplicados. A resolução de disputas será regida pelas disposições válidas do contrato principal, respeitando as regras obrigatórias aplicáveis.

Anexo I Descrição do processamento e armazenamento

A Verificação de dados

Produtos: verificação de e-mails, números de telefone, nomes e endereços postais, utilizando os métodos contratados, incluindo APIs e arquivos.

Finalidade e operações: recepção, leitura, verificação, padronização ou correção quando parte do produto, geração e entrega dos resultados e exclusão. O resultado é usado para responder ao pedido do Cliente.

Dados: endereços de e-mail, números de telefone, nomes, sobrenomes, endereços postais, identificadores fornecidos pelo Cliente, resultados de validação e outros campos incorporados ao arquivo que são necessários para seu processamento. O Cliente deve excluir campos que não sejam para esse fim.

Indivíduos de dados: pessoas cujos dados o Cliente fornece para verificação, como clientes, prospects, contatos profissionais ou funcionários, dependendo do uso determinado pelo Cliente.

Retenção: arquivos e resultados mantidos para o serviço por no máximo 30 dias a partir da data da verificação, após os quais são excluídos.

Contatos e validações para outros clientes ou treinamento de modelos de IA não são reutilizados.

B Pop-ups e Produtos de Automação

: Plataforma de pop-ups e plataforma de Automação, dependendo das funcionalidades contratadas e ativadas.

Propósito e operações: captura, registro, armazenamento, organização, consulta, atualização, segmentação e execução das ações ou comunicações configuradas pelo Cliente, bem como exportação e exclusão. As funcionalidades específicas ativadas especificam as instruções do Cliente.

Dados: dados de identificação e contato, campos de formulário e campos personalizados obrigatórios, preferências e status de assinatura, e dados de interação ou atividade gerados pelas funcionalidades utilizadas. Dados de produto e transação, quando fornecidos por uma integração ativada e vinculados a pessoas, serão processados somente dentro das instruções do Cliente.

Assuntos dos dados: visitantes que interagem com os formulários ou pop-ups, assinantes, clientes, prospects e outras pessoas cujos dados são legalmente gerenciados pelo Cliente.

Retenção: os dados permanecem enquanto o Cliente mantiver o serviço e não ordenar sua exclusão. Em caso de cancelamento ou cessação do pagamento do serviço correspondente, serão excluídos em até no máximo 30 dias a partir desse evento, incluindo cópias dentro desse período global. A regra de cessação de pagamento não se aplica a um plano gratuito apenas porque é gratuito.

C Regras comuns

Anexo II Medidas técnicas e organizacionais

As medidas confirmadas para esta versão são:

• Uso de HTTPS/TLS em comunicações para acessar serviços.
• Criptografia de arquivos e backups.
• Acesso baseado em funções, limitado a funções autorizadas.
• Autenticação multifator para administradores.
• Acesso por funcionários da Skeyon da Espanha.
• Compromissos de confidencialidade dos funcionários com acesso.
• Atenção aos incidentes por parte do suporte e acesso de segundo nível por desenvolvedores quando necessário para uma solicitação do Cliente.
• Procedimento de gerenciamento de incidentes.
• Exclusão de contas pelo painel e procedimento excepcional de exclusão seletiva com acesso restrito ao banco de dados.
• Rotação dos registros e exclusão de cópias de acordo com o Anexo I.

Este anexo não declara certificações, auditorias externas anuais ou algoritmos específicos de criptografia que não tenham sido confirmados.

Anexo III Subprocessadores e infraestrutura

Hostalia

Entidade: TELEFÓNICA SOLUCIONES DE INFORMÁTICA Y COMUNICACIONES DE ESPAÑA S.A.U.
Marca: Hostelia.
NIF: A78053147.
Endereço: Ronda de la Comunicación S/N, Distrito C, Edifício Norte 2, 28050 Madri, Espanha.
Função: Hospedagem, armazenamento e gerenciamento de dados de automação.
Localização dos dados: Madri, Espanha.

Noraina

Entidade: Noraina Ltd.
Endereço: Unidade 3D North Point House, North Business Park, Cork, Co. Cork, T23 AT2P, Irlanda.
Número de registro: 614532.
ID do IVA: IE3505981KH.
Função: hospedagem, armazenamento e gerenciamento de dados de serviços de verificação e pop-ups.
Centros de Dados:

Cloudflare

Entidade: Cloudflare, Inc.
Endereço: 101 Townsend Street, San Francisco, Califórnia 94107, Estados Unidos.
O EIN dos EUA fornecido: 270805829.
Função: Cache e serviços proxy para a infraestrutura de serviço.
Configuração declarada: uso da região europeia.

A referência à região europeia não constitui garantia de processamento exclusivo dentro do Espaço Econômico Europeu. Transferências internacionais, quando aplicável, serão regidas pela cláusula 8.