Acordo de Tratamento de Dados

1. Objeto

Este acordo faz parte dos Termos de Serviço e regula o tratamento de dados pessoais que a Holdy faz em nome do cliente para prestar o serviço, pela Lei 13.709/2018 (LGPD). Se houver conflito entre os dois sobre dados pessoais, vale este acordo.

2. Papéis

• Cliente: controlador. Decide quais dados envia à Holdy e para quê, e responde pela base legal e pela informação aos titulares.
• Holdy: operadora. Trata os dados só para prestar o serviço contratado e conforme as instruções do cliente, que são estes termos, a configuração feita na plataforma e pedidos escritos.

3. Dados e titulares

• Titulares: usuários do produto do cliente e pessoas que participam do public board do cliente.
• Dados: identificadores (id do usuário e da conta, id anônimo do navegador), eventos de uso e suas propriedades, contexto da sessão, sinais de fricção, dados de negócio da conta quando enviados, respostas a perguntas exibidas no produto e, no public board, nome, e-mail, credencial de acesso e o texto do feedback.
• Finalidade: transformar eventos em comportamentos, detectar mudanças, abrir oportunidades, escrever planos, executar as ações aprovadas pelo cliente e medir o resultado.
• Dados sensíveis: o serviço não precisa deles. O cliente se compromete a não enviar dados sensíveis (art. 5º, II) nem dados de crianças como propriedades de evento.

4. Obrigações da Holdy

• Não usar os dados para finalidade própria, não vender e não compartilhar fora dos suboperadores listados.
• Não usar os dados de um cliente para treinar modelos nem para atender outro cliente.
• Manter sob dever de sigilo todas as pessoas com acesso aos dados.
• Avisar o cliente se uma instrução dele parecer contrária à LGPD.

5. Segurança

• Banco de dados no Brasil (São Paulo), com isolamento entre clientes por Row-Level Security em todas as tabelas.
• Criptografia em trânsito (TLS) e segredos de integração criptografados com AES-256-GCM.
• Chaves de API e senhas do public board guardadas só como hash; a chave usada no navegador só envia eventos.
• Texto livre de feedback redigido na entrada: e-mails, telefones e números longos viram marcadores.
• Acesso administrativo restrito à equipe que opera o serviço, limite de requisições e validação de toda entrada.

6. Suboperadores

O cliente autoriza os suboperadores listados na Política de Privacidade. A Holdy exige de cada um obrigações de proteção equivalentes às deste acordo e responde por eles perante o cliente. Antes de incluir um suboperador novo que trate dados do cliente, a Holdy avisa por e-mail com 15 dias de antecedência; se o cliente se opuser por motivo razoável e não houver alternativa, pode encerrar o contrato sem multa.

7. Transferência internacional

Parte dos suboperadores trata dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o artigo 33 da LGPD, com cláusulas contratuais que garantem proteção equivalente.

8. Direitos dos titulares

O cliente atende os pedidos dos titulares. Para exclusão, a API de exclusão apaga na hora os dados de uma pessoa, inclusive o cadastro e os feedbacks no public board, e registra o pedido sem guardar o identificador. Para acesso, correção ou portabilidade, a Holdy apoia o cliente em até 15 dias do pedido. Se um titular procurar a Holdy diretamente, encaminhamos ao cliente.

9. Incidentes de segurança

Ao tomar conhecimento de um incidente que afete dados do cliente, a Holdy avisa o cliente sem demora injustificada e em até 72 horas, com o que se souber até ali: natureza dos dados e titulares afetados, riscos, medidas tomadas e o contato para acompanhamento. As informações seguem chegando conforme a investigação avança, para que o cliente possa comunicar a ANPD e os titulares quando for o caso.

10. Fim do contrato

Ao fim do contrato, a Holdy exclui os dados do cliente em até 30 dias, salvo o que a lei obrigar a manter. Se o cliente pedir antes da exclusão, entregamos uma cópia dos dados em formato estruturado.

11. Auditoria

A Holdy disponibiliza as informações necessárias para demonstrar o cumprimento deste acordo e responde a questionários de segurança do cliente uma vez por ano, ou depois de um incidente.

12. Contato

Encarregado de dados: Augusto Gaedke, contato@holdy.com.br.