Acordo de processamento de dados

1. Partes

Este acordo é celebrado entre a Kwamle Media (o «Subcontratante») e o Cliente (o «Responsável pelo tratamento») que utiliza a plataforma kwamlemedia.com / app.kwamlemedia.com.

2. Definições

• «Dados pessoais»: qualquer informação relativa a uma pessoa singular identificável.
• «Tratamento»: qualquer operação realizada sobre dados pessoais (recolha, armazenamento, utilização, transferência, eliminação).
• «RGPD»: o Regulamento Geral sobre a Proteção de Dados da UE (Regulamento 2016/679).
• «CCPA»: a Lei de Privacidade do Consumidor da Califórnia.
• «Subsubcontratante»: qualquer terceiro que trate dados em nome da Kwamle.

3. Âmbito do tratamento

A Kwamle trata os dados pessoais para os seguintes fins:

• Operar serviços de automação de marketing e bots inteligentes.
• Gerir páginas e contas Meta e interagir com a audiência do cliente.
• Gerar análises e estatísticas.
• Executar chamadas de IA de acordo com as definições do cliente.

Os dados incluem: nomes, números de telefone, endereços de e-mail, identificadores de Facebook/Instagram, conteúdo das mensagens e comentários.

4. Obrigações da Kwamle como subcontratante

• Tratar os dados apenas com base nas instruções documentadas do cliente.
• Garantir a confidencialidade dos dados entre todo o pessoal que tem acesso a eles.
• Aplicar medidas de segurança adequadas (artigo 32.º do RGPD).
• Ajudar o cliente a responder aos pedidos dos titulares dos dados.
• Notificar o cliente de qualquer violação de dados no prazo de 72 horas.
• Não recorrer a um subsubcontratante sem o consentimento do cliente.
• Eliminar ou devolver os dados do cliente quando o serviço terminar.

5. Medidas de segurança

• Encriptação de dados em trânsito (TLS 1.3) e em repouso (AES-256).
• Controlo de acesso baseado em funções (RBAC) e o princípio do menor privilégio.
• Registos de auditoria conservados durante 12 meses.
• Testes de penetração anuais realizados por terceiros.
• Autenticação de dois fatores para o pessoal nos sistemas de produção.
• Cópias de segurança encriptadas a cada 24 horas numa localização geográfica diferente.
• Um programa de gestão de vulnerabilidades, além de atualizações de segurança imediatas.

6. Subsubcontratantes atuais

O cliente pode opor-se à adição de um novo subsubcontratante no prazo de 30 dias após ser notificado.

7. Transferências internacionais de dados

Ao transferir dados para fora do Espaço Económico Europeu, baseamo-nos em:

• As novas Cláusulas Contratuais-Tipo (CCT 2021).
• Decisões de adequação para os países aprovados pela Comissão Europeia.
• Uma Avaliação de Impacto da Transferência (TIA) para cada relação com um subsubcontratante.

8. Violações de dados

Quando é detetada uma violação:

• Notificar o cliente no prazo de 72 horas com os detalhes do incidente.
• Fornecer um relatório completo sobre a causa, o âmbito e as ações tomadas.
• Cooperar plenamente na resposta e na notificação às autoridades reguladoras.

9. Direito de auditoria

O cliente tem o direito de:

• Solicitar o relatório anual SOC 2 Type II.
• Realizar uma auditoria anual com 30 dias de aviso prévio, a expensas próprias.
• Obter um resumo dos resultados dos testes de penetração.

10. Eliminação de dados no fim do serviço

• Após a rescisão do acordo, a Kwamle elimina todos os dados pessoais no prazo de 90 dias.
• Os registos de faturação são conservados durante 7 anos (um requisito contabilístico).
• Mediante pedido, é fornecida ao cliente uma cópia dos seus dados em formato JSON/CSV antes da eliminação.