Acordo de tratamento de dados

Este Acordo de Processamento de Dados faz parte dos Termos e Condições da OrbitPage. É celebrado eletronicamente entre o titular da conta ou a organização identificada pela conta OrbitPage (o Cliente) e Paolo Ronco, operando a OrbitPage (o subcontratante). Torna-se vinculativo quando o Cliente aceita os Termos ou envia pela primeira vez os Dados Pessoais do Cliente para um recurso de processamento.

Aplica-se apenas quando o Cliente determina as finalidades e os meios essenciais do processamento e a OrbitPage processa dados pessoais em nome do Cliente. A OrbitPage permanece como um responsável pelo tratamento independente para administração de conta, cobrança, segurança do serviço, prevenção de fraude e abuso, conformidade legal e suas próprias análises de website, conforme explicado na Política de Privacidade.

O consentimento para Google Analytics, eventos de produto da plataforma PostHog, rastreamento de erros do navegador, reprodução mascarada do editor e reconhecimento de clientes recorrentes são atividades de responsável pelo tratamento próprio da OrbitPage. A PostHog é um subcontratante para esses fins da plataforma, não um subcontratante ulterior designado para analisar visitantes de páginas públicas do Cliente. A divulgação deles no diretório do provedor não amplia este DPA nem autoriza rastreamento opcional sem o consentimento separado do indivíduo.

Dados Pessoais do Cliente, responsável pelo tratamento, subcontratante, tratamento e violação de dados pessoais têm os significados atribuídos pelo Regulamento (UE) 2016/679 (GDPR).

Se o Cliente atuar como subcontratante para um responsável pelo tratamento cliente, a OrbitPage atua como seu subcontratante ulterior para os dados relevantes. O Cliente confirma que possui a autorização do responsável pelo tratamento exigida pelo Artigo 28, repassará instruções documentadas legais e permanece como ponto de comunicação para esse responsável pelo tratamento. Este DPA não autoriza uma atividade de processamento além da autoridade concedida por esse responsável pelo tratamento.

A OrbitPage processa os Dados Pessoais do Cliente para fornecer o espaço de trabalho hospedado, publicação, controles de consentimento, newsletter, Loja, reservas, entrega, suporte e recursos conectados selecionados pelo Cliente. O processamento continua pelo prazo do serviço e pelos períodos de exclusão descritos abaixo.

As instruções documentadas do Cliente são este DPA, os Termos, a configuração e conteúdo do Cliente, ações autenticadas no Painel de Controle e API, e instruções de suporte por escrito consistentes com o serviço. A OrbitPage processará os Dados Pessoais do Cliente apenas de acordo com essas instruções, incluindo para transferências internacionais, salvo quando a lei da União ou do Estado-Membro exigir o contrário. Quando legalmente permitido, a OrbitPage informará o Cliente antes desse processamento exigido.

A OrbitPage informará prontamente o Cliente se uma instrução parecer infringir a lei de proteção de dados aplicável e poderá suspender a instrução afetada enquanto as partes a esclarecem.

A OrbitPage assegurará que o pessoal autorizado processe os Dados Pessoais do Cliente apenas conforme necessário para suas funções e estejam vinculados por confidencialidade; manterá medidas apropriadas ao risco conforme o Artigo 32 do GDPR; imporá deveres de proteção de dados equivalentes aos subcontratantes ulteriores; auxiliará o Cliente com direitos dos titulares de dados, segurança, avaliação de violação, DPIAs e consultas prévias, quando a natureza do serviço e as informações disponíveis permitirem; excluirá ou devolverá os dados conforme estabelecido na seção 11; e disponibilizará as informações necessárias para demonstrar conformidade com o Artigo 28 conforme seção 10.

O Cliente é responsável por instruções legais, justas e transparentes; avisos e bases legais; precisão e minimização dos dados; resposta aos indivíduos dos dados; configuração de retenção, consentimento e destinatários; e garantia de que seus usuários e serviços selecionados de terceiros sejam autorizados. O Cliente não deve usar o OrbitPage para processar dados de categoria especial, dados de infrações criminais, monitoramento sistemático em larga escala ou dados sobre crianças sem um acordo escrito separado confirmando que o serviço e as salvaguardas são adequados.

O Cliente deve proteger as credenciais da conta, SMTP, API e serviços conectados, conceder o acesso mínimo necessário e notificar a OrbitPage prontamente sobre suspeita de comprometimento. O Cliente permanece responsável pelos provedores independentes que seleciona, incluindo seus provedores SMTP, análises, gerenciamento de consentimento, reservas, formulários e conteúdo embutido.

A OrbitPage aplica as medidas do Anexo II e pode atualizá-las conforme a tecnologia e o risco mudam, desde que a proteção geral dos Dados Pessoais do Cliente não seja significativamente reduzida. Nenhuma medida cria garantia de tempo de atividade, tempo de recuperação ou ponto de recuperação, a menos que um acordo de nível de serviço assinado e expresso estipule expressamente.

Levando em conta a natureza do processamento, a OrbitPage fornecerá ferramentas de autoatendimento disponíveis e assistência razoável para acesso, correção, exportação, restrição, objeção e pedidos de exclusão. Se a OrbitPage receber uma solicitação relacionada principalmente a Dados Pessoais do Cliente, ela direcionará o solicitante ao Cliente ou encaminhará a solicitação quando legal e razoavelmente identificável, e não responderá em nome do Cliente a menos que instrução ou exigência legal.

A OrbitPage fornecerá informações razoavelmente disponíveis para auxiliar nos Artigos 32 a 36 do GDPR. Trabalhos que exijam desenvolvimento personalizado, recuperação extensa ou serviços profissionais de terceiros podem ser cobrados a uma taxa razoável acordada, a menos que sejam causados por violação desta DPA pela OrbitPage.

A OrbitPage notificará o Cliente sem demora indevida após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. À medida que as informações estiverem disponíveis, o aviso descreverá a natureza da violação, os dados e pessoas afetados, quando conhecidos, as possíveis consequências, medidas de mitigação e um ponto de contato. A OrbitPage pode fornecer informações em fases e tomará medidas razoáveis para conter, investigar e remediar o incidente. A notificação não constitui uma admissão de culpa.

O Cliente concede autorização geral por escrito para os provedores identificados como subcontratantes ulteriores para os recursos do subcontratante selecionados na página subcontratantes ulteriores, que é incorporada como Anexo III. A OrbitPage continua responsável pelo desempenho deles nas obrigações aplicáveis ao subcontratante e os vinculará a obrigações de proteção de dados adequadas ao serviço.

A OrbitPage informará ativamente o Cliente através do contato da conta ou de um aviso em serviço antes de adicionar ou substituir um subcontratante ulterior autorizado. O aviso identifica o processamento afetado e fornece uma oportunidade razoável de objeção por motivos de proteção de dados; simplesmente alterar uma lista de sites não constitui todo o procedimento de aviso. O Cliente pode se opor por motivos documentados de proteção de dados antes da alteração anunciada. As partes buscarão uma solução razoável; se não houver nenhuma disponível, o Cliente poderá parar de usar o recurso afetado ou encerrar o serviço pago afetado.

Provedores usados exclusivamente para fins de responsável pelo tratamento independente da OrbitPage e serviços externos selecionados e contratados independentemente pelo Cliente não são autorizados como subcontratantes ulteriores apenas por aparecerem no diretório de provedores. Um papel de provedor segue o serviço e as instruções reais, e não o nome de marketing.

Quando Dados Pessoais do Cliente forem transferidos fora do EEE para um país sem decisão de adequação aplicável, a OrbitPage usará um mecanismo de transferência legal, incluindo as Cláusulas Contratuais-Padrão da Comissão Europeia de 2021, quando apropriado, e medidas suplementares exigidas pela avaliação de transferência. Localizações atuais dos provedores e salvaguardas estão descritas na página subcontratantes ulteriores.

Um mecanismo de transferência é selecionado para o exportador, o importador e o serviço reais. Quando aplicável, transferências de subcontratante para subcontratante utilizam o módulo SCC relevante e as medidas suplementares exigidas; dados do Reino Unido ou da Suíça requerem as salvaguardas locais aplicáveis. Mediante solicitação, a OrbitPage fornece informações relevantes sobre as salvaguardas de transferência, sujeitas a proteções legais de confidencialidade. Este DPA não é, por si só, um anexo SCC completo e independente nem uma representação de que todos os destinos possuem uma decisão de adequação.

As auditorias exigem aviso prévio razoável, devem evitar interrupções e não podem expor dados de outro cliente, segredos de segurança ou material privilegiado. O Cliente arca com os custos da auditoria, a menos que a auditoria identifique uma violação material por parte da OrbitPage. Entre em contato com contact@orbitpage.com para iniciar este processo.

Durante o período de serviço, o Cliente pode recuperar dados de workspace suportados por meio das funções de exportação e backup disponíveis. Mediante solicitação feita antes do fechamento da conta, a OrbitPage fornecerá assistência razoável com uma exportação disponível. Quando o Cliente exclui a conta ou o serviço termina, a OrbitPage exclui os Dados Pessoais do Cliente dos sistemas ativos de acordo com a Política de Privacidade, a menos que o Cliente solicite a devolução antes da exclusão ou a legislação aplicável exija retenção.

Backups do fornecedor e registros de segurança imutáveis permanecem protegidos e expiram em seus cronogramas controlados. Dados retidos por lei, prevenção de fraude, disputas ou reclamações legais são isolados do uso normal do produto e excluídos quando esse propósito termina. Mediante solicitação do Cliente, a OrbitPage confirmará a conclusão do processo de exclusão dos sistemas ativos aplicável.

O Cliente pode optar pela devolução ou exclusão dos Dados Pessoais do Cliente ao final do processamento, sujeito à retenção legal aplicável. Cópias protegidas para recuperação de desastres seguem o ciclo de vida de backup divulgado na Política de Privacidade e não devem ser usadas para finalidades não relacionadas. Uma restauração deve preservar os requisitos de exclusão pendentes.

Se este DPA entrar em conflito com os Termos sobre o processamento dos Dados Pessoais do Cliente, este DPA prevalecerá. Os Termos governam todas as outras questões, incluindo responsabilidade, pagamento, suspensão, lei aplicável e disputas, sem limitar direitos ou responsabilidades que não podem ser legalmente limitados sob a lei de proteção de dados.

Este DPA permanecerá em vigor enquanto a OrbitPage processar os Dados Pessoais do Cliente. Atualizações seguem o processo de mudança nos Termos e não reduzirão de forma significativa as proteções obrigatórias do Artigo 28. Avisos e solicitações de proteção de dados podem ser enviados através da página de contato ou para contact@orbitpage.com.

• HTTPS/TLS para dados suportados em trânsito e proteção gerenciada pelo provedor para dados de serviço armazenados.
• Autenticação Firebase, identidades verificadas quando necessário, verificações de membros do locatário, permissões baseadas em função e autorização do lado do servidor.
• Segredos do lado do servidor, hash unidirecional de credenciais de API e criptografia de senhas SMTP fornecidas pelo Cliente.
• Registros com escopo de locatário, caminhos de publicação validados, armazenamento privado de objetos para arquivos protegidos e credenciais de entrega com tempo limitado.
• Limites de taxa, App Check ou atestado de solicitação equivalente quando configurado, controles de abuso, salvaguardas de moderação e registro operacional.
• Histórico de revisões, backups gerenciados quando configurados, verificações de implantação, procedimentos de incidentes e rotação controlada de credenciais.
• Minimização de dados, contexto de IA limitado, credenciais de provedor restritas e controles de exclusão/exportação descritos na Política de Privacidade.
• Confidencialidade do pessoal, acesso de provedor com menor privilégio e revisão de subcontratantes ulteriores apropriada ao seu papel.

A lista atual, finalidade, escopo de dados e documentação do provedor são mantidos na página subcontratantes ulteriores. Provedores SMTP, de análise, consentimento, reserva, formulário e incorporação selecionados pelo Cliente são controlados pelo Cliente e não são designados pela OrbitPage como subcontratantes ulteriores da plataforma para esses usos selecionados pelo Cliente.