Adendo de Tratamento de Dados

1. Escopo, natureza e prevalência

Este Adendo de Tratamento de Dados (o "Adendo") integra os Termos de Uso celebrados entre a Breneshold LLC, sociedade de responsabilidade limitada (limited liability company) constituída segundo as leis do Estado da Flórida, Estados Unidos ("Witnio", a operadora), e o cliente identificado no Pedido ("Cliente", o controlador), e se aplica sempre que a Witnio tratar dados pessoais em nome do Cliente.

Ele foi redigido para atender ao artigo 28 do Regulamento (UE) 2016/679 (GDPR) e, quando se aplicarem o UK GDPR ou a FADP suíça, para ser lido em conjunto com os adendos correspondentes.

Em caso de conflito, este Adendo prevalece sobre os Termos de Uso e a Política de Privacidade quanto ao tratamento realizado em nome do Cliente. Quando as Cláusulas Contratuais Padrão se aplicarem, elas prevalecem sobre este Adendo.

Ele se torna vinculante quando ambas as partes o assinam ou quando é expressamente incorporado a um Pedido. O bloco de assinaturas, os dados das entidades e a data de vigência são preenchidos na via assinada deste Adendo.

2. Definições e papéis

"Controlador", "operador", "titular dos dados", "dados pessoais", "tratamento" e "violação de dados pessoais" têm os significados atribuídos no GDPR.

O Cliente é o controlador dos dados pessoais contidos na Evidência e na configuração que envia, e garante que dispõe de base legal para esse tratamento e que forneceu todos os avisos e obteve todos os consentimentos exigidos.

A Witnio é a operadora desses dados e os trata somente conforme as instruções documentadas do Cliente.

A Witnio é controladora independente dos dados de conta, faturamento, suporte e do site, e dos registros de segurança e auditoria que é obrigada a manter. A Política de Privacidade rege esse tratamento, e não este Adendo.

3. Objeto, duração, natureza e finalidade

Objeto: prestação dos serviços de observação em dispositivos reais e de evidências contratados pelo Cliente.

Duração: o prazo dos Termos de Uso, acrescido dos períodos de exportação e exclusão estabelecidos abaixo.

Natureza e finalidade: executar verificações em dispositivos físicos; registrar o que foi observado; mascarar e minimizar o que é capturado; gerar, calcular o hash e assinar a Evidência; armazenar e disponibilizar a Evidência ao Cliente; emitir alertas; e prestar suporte.

Operações de tratamento: coleta, registro, organização, estruturação, armazenamento, recuperação, consulta, utilização, restrição, apagamento e destruição.

4. Categorias de titulares e de dados pessoais

Categorias de titulares dos dados: o pessoal e os usuários autorizados do Cliente; as pessoas físicas cujos identificadores aparecem no tráfego que o Cliente direciona a um número da Witnio; e qualquer pessoa física visível em uma captura de tela ou gravação de um alvo que o Cliente configure.

Categorias de dados pessoais: números de telefone e identificadores de remetente, armazenados mascarados; conteúdo de mensagens, armazenado mascarado e truncado, com um hash do original; carimbos de data e hora e latência; contexto de dispositivo, sistema operacional, discador, SIM, operadora e corredor; resultados de requisições web, cadeias de redirecionamento, cookies e estado de consentimento observados em um alvo; capturas de tela e, para alguns produtos, vídeo da tela do dispositivo; e o manifesto assinado que vincula esses elementos.

Categorias especiais de dados pessoais: nenhuma é solicitada, e o Cliente não deve configurar uma verificação que faça com que sejam tratadas. Se, ainda assim, forem capturados dados de categoria especial, o Cliente deve informar a Witnio sem demora para que possam ser excluídos.

Frequência: contínua, enquanto as verificações do Cliente estiverem ativas.

5. Instruções do Cliente

A Witnio trata dados pessoais somente conforme as instruções documentadas do Cliente, que consistem neste Adendo, nos Termos de Uso, no Pedido e na configuração que o Cliente define no serviço — salvo se uma lei à qual a Witnio esteja sujeita exigir o contrário, caso em que a Witnio informará o Cliente antes do tratamento, a menos que essa lei o proíba.

A Witnio informará o Cliente se, em sua opinião, uma instrução violar o GDPR ou outra disposição de proteção de dados, e poderá suspender o tratamento afetado até que a instrução seja corrigida.

O Cliente instrui a Witnio a aplicar o mascaramento e a minimização descritos na Política de Privacidade a tudo o que for capturado, e reconhece que isso reduz os dados pessoais efetivamente armazenados.

O Cliente não enviará dados pessoais além do que a verificação exige, e utilizará tráfego de teste em vez das comunicações reais de usuários finais.

6. Confidencialidade do pessoal

A Witnio assegura que toda pessoa autorizada a tratar dados pessoais nos termos deste Adendo está sujeita a um dever de confidencialidade que subsiste ao término do seu vínculo, é treinada sobre as suas obrigações e tem acesso somente aos dados de que necessita.

O acesso aos dados de produção é limitado a pessoal nominalmente designado, autenticado com autenticação multifator, e é registrado em log.

7. Medidas de segurança

A Witnio implementa as medidas técnicas e organizacionais estabelecidas no Anexo II abaixo, levando em conta o estado da técnica, o custo de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, bem como o risco para os titulares dos dados.

A Witnio pode alterar uma medida desde que a alteração não reduza o nível geral de segurança. As medidas em vigor a cada momento são publicadas na página de Segurança deste site, que integra o Anexo II.

8. Suboperadores

O Cliente concede à Witnio uma autorização geral por escrito para contratar suboperadores. Os contratados na data deste Adendo estão listados na Política de Privacidade, juntamente com a sua função.

A Witnio impõe a todo suboperador, por contrato escrito, obrigações de proteção de dados não menos protetivas do que as deste Adendo, e permanece integralmente responsável perante o Cliente pelo desempenho do suboperador.

A Witnio avisará o Cliente com pelo menos 30 dias de antecedência antes de adicionar ou substituir um suboperador, por e-mail ao contato da conta e mediante atualização da lista publicada. O Cliente pode se opor por motivos razoáveis de proteção de dados dentro desse período; as partes discutirão a objeção de boa-fé e, se ela não puder ser resolvida, o Cliente poderá rescindir a assinatura afetada e receber o reembolso das tarifas pré-pagas não utilizadas referentes a ela.

os suboperadores indicados neste documento (Stripe, PayPal, Cloudflare, a infraestrutura própria da Witnio e o Telegram, somente para alertas internos); os clientes recebem avisos de alteração escrevendo para [email protected]

9. Assistência com os direitos dos titulares

A Witnio, por meio de medidas técnicas e organizacionais adequadas e na medida do possível, assistirá o Cliente no cumprimento da sua obrigação de responder a solicitações de exercício dos direitos de um titular dos dados.

Quando um titular dos dados contatar a Witnio diretamente a respeito de dados tratados em nome do Cliente, a Witnio não responderá quanto ao mérito e encaminhará a solicitação ao Cliente sem demora indevida.

O serviço disponibiliza ao Cliente funções de exportação e exclusão, que são o principal meio de atender a solicitações de acesso, portabilidade e apagamento. A assistência além disso é cobrada às tarifas razoáveis da Witnio quando o esforço for mais do que trivial.

10. Assistência com segurança, avaliações de impacto e violações

A Witnio assistirá o Cliente no cumprimento dos artigos 32 a 36 do GDPR, levando em conta a natureza do tratamento e as informações de que dispõe, inclusive fornecendo as informações necessárias para uma avaliação de impacto sobre a proteção de dados e para uma consulta prévia.

A Witnio notificará o Cliente de uma violação de dados pessoais que afete os dados pessoais do Cliente sem demora indevida e, em qualquer caso, no prazo de 72 horas após tomar conhecimento dela, descrevendo a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registros afetados, na medida em que forem conhecidos, as consequências prováveis, as medidas adotadas ou propostas e um ponto de contato para mais informações. Informações adicionais serão fornecidas à medida que a investigação avançar.

A Witnio não notificará uma autoridade supervisora ou um titular dos dados em nome do Cliente, a menos que o Cliente a instrua a fazê-lo e as partes acordem a redação.

11. Exclusão e devolução

Com o término do serviço, a Witnio, à escolha do Cliente, devolverá os dados pessoais tratados em seu nome ou os excluirá.

Os Dados do Cliente permanecem disponíveis para exportação por meio do serviço por 30 dias após a rescisão. Após esse período, a Witnio os exclui ou os anonimiza de forma irreversível, exceto na medida em que uma lei à qual a Witnio esteja sujeita exija o armazenamento, caso em que a Witnio os mantém confidenciais e os trata somente para essa finalidade.

As cópias presentes apenas em backups são excluídas quando esses backups são sobrescritos em seu ciclo normal. A Witnio confirmará a exclusão por escrito mediante solicitação.

12. Auditorias e informações

A Witnio disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento do artigo 28 do GDPR.

O Cliente pode satisfazer o seu direito de auditoria revisando a documentação que a Witnio publica e fornece — incluindo a página de Segurança, o mecanismo de assinatura de evidências e as respostas escritas da Witnio a um questionário de segurança, que a Witnio devolverá no prazo de 30 dias a partir de uma solicitação razoável.

Quando isso não for suficiente para atender a uma exigência regulatória demonstrada, o Cliente poderá realizar, ou designar um auditor independente sujeito a confidencialidade para realizar, uma auditoria presencial uma vez a cada período de doze meses, mediante aviso por escrito com pelo menos 30 dias de antecedência, em horário comercial, sem perturbação irrazoável e às custas do Cliente, incluindo o tempo razoável da Witnio. Uma autoridade supervisora pode realizar auditorias conforme previsto em lei.

O auditor não pode ser concorrente da Witnio e não pode acessar dados de outro cliente, o código-fonte da Witnio ou qualquer credencial.

13. Transferências internacionais

A Witnio trata dados pessoais em infraestrutura que opera na Costa Rica e utiliza suboperadores estabelecidos nos Estados Unidos e em outros lugares.

Para transferências de dados pessoais do Espaço Econômico Europeu, do Reino Unido ou da Suíça para um país sem decisão de adequação, as partes incorporam por referência as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914, aplicando-se o Módulo Dois (de controlador para operador) entre o Cliente, como exportador de dados, e a Witnio, como importadora de dados, aplicando-se a cláusula de adesão (docking clause), sendo a autoridade supervisora e a lei aplicável as do local de estabelecimento do Cliente, e com o Anexo I e o Anexo II deste Adendo preenchendo os anexos correspondentes dessas Cláusulas.

Para o Reino Unido, aplica-se o Adendo de Transferência Internacional de Dados do Reino Unido (UK International Data Transfer Addendum) a essas Cláusulas. Para a Suíça, as referências ao GDPR são lidas como referências à FADP, e o Comissário Federal de Proteção de Dados e Informação (Federal Data Protection and Information Commissioner) é a autoridade competente.

A Witnio notificará o Cliente se deixar de ter condições de cumprir essas Cláusulas, e o Cliente poderá então suspender a transferência ou rescindir.

Breneshold LLC como importadora de dados nos termos do Módulo 2 (de controlador para operador) das Cláusulas Contratuais Padrão aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, sem a seleção da cláusula de adesão (docking clause) opcional; uma avaliação de impacto da transferência é documentada antes da primeira transferência da UE.

14. Responsabilidade

A responsabilidade de cada parte nos termos deste Adendo está sujeita às exclusões e ao limite agregado dos Termos de Uso, e esse limite é um limite único e combinado para os Termos de Uso e este Adendo, e não um limite separado.

Nada neste Adendo limita os direitos de um titular dos dados contra qualquer das partes, nem a responsabilidade de uma parte quando a lei aplicável não permitir que seja limitada. Quando as Cláusulas Contratuais Padrão se aplicarem, nada nesta seção limita a responsabilidade prevista nelas perante um titular dos dados.

15. Anexo I — detalhes do tratamento

Exportador de dados: o Cliente identificado no Pedido, atuando como controlador. Contato: o contato da conta cadastrado no serviço.

Importador de dados: Breneshold LLC (Flórida, Estados Unidos), [email protected]; o endereço postal é indicado na conta e nas faturas, atuando como operadora e prestando serviços de observação em dispositivos reais e de evidências.

Categorias de titulares dos dados, categorias de dados pessoais, categorias especiais, frequência, natureza e finalidade, duração e detalhes dos suboperadores: conforme indicado nas seções 3, 4, 8 e 11 deste Adendo.

Autoridade supervisora competente: a autoridade do local de estabelecimento do Cliente no Espaço Econômico Europeu ou, quando o Cliente não estiver estabelecido ali, a autoridade do Estado-Membro em que o seu representante estiver estabelecido ou em que os titulares dos dados estiverem localizados.

16. Anexo II — medidas técnicas e organizacionais

Controle de acesso: autenticação multifator; controle de acesso baseado em funções; autorização negada por padrão; escopo por locatário em toda consulta a dados pertencentes a um locatário; tokens de curta duração com rotação de renovação; sessões revogáveis; inventário de sessões e dispositivos; proteção contra força bruta; e chaves de API com escopo definido e rotacionáveis, com cotas e limites de taxa.

Rede e plataforma: toda interface pública tratada como hostil; um gateway de borda e limitação de taxa à frente do plano de controle; a fazenda de dispositivos nunca exposta diretamente à internet; e cabeçalhos de resposta de segurança em todas as páginas.

Minimização e mascaramento de dados: códigos de uso único, números de terceiros, conteúdos sensíveis, tokens, cookies e identificadores desnecessários mascarados ou minimizados antes do armazenamento e antes de qualquer tratamento por IA; corpos de mensagens armazenados mascarados e truncados, com um hash do original.

Integridade: um hash SHA-256 para cada artefato; manifestos JSON canônicos assinados com uma chave Ed25519 mantida fora do repositório, no host de assinatura; uma chave pública publicada para que um manifesto possa ser verificado de forma independente; e detecção de adulteração na verificação.

Confidencialidade de segredos: nenhuma credencial, código de uso único, cookie ou token de sessão no repositório, em logs ou em traces; segredos mantidos em um gerenciador de segredos.

Testes e garantia: varredura de dependências, segredos, contêineres e configurações padrão inseguras a cada release; testes de regressão de abuso de autenticação e de acesso entre locatários; e validação da configuração de origem cruzada (cross-origin).

Disponibilidade e resiliência: controles de suspensão direcionada que isolam uma chave, usuário ou locatário abusivo sem derrubar a plataforma; Evidência preservada durante uma suspensão; e procedimentos de recuperação documentados para falhas de dispositivo, de rede e de envio de evidências.

Governança: registro em log de auditoria das ações privilegiadas; um procedimento de incidentes documentado — detectar, conter, revogar, preservar evidências, analisar a causa raiz, corrigir, teste de regressão, testar novamente e documentar; e limites de retenção aplicados por um processo automatizado de retenção.

As medidas em vigor a cada momento são publicadas na página de Segurança da Witnio, que integra este Anexo.

17. Contato

Dúvidas e notificações sobre proteção de dados nos termos deste Adendo: [email protected].

Encarregado de proteção de dados ou representante na UE/no Reino Unido, quando nomeado: Breneshold LLC, [email protected].