Processamento de dados

Esta é uma tradução de conveniência. A versão original e oficial deste documento é a versão em inglês, que prevalece em caso de divergência (Cláusula 16.1).

Este Acordo de Tratamento de Dados ("DPA") integra e complementa os Termos de Uso celebrados entre Clakta LLC, sociedade de responsabilidade limitada (limited liability company) constituída segundo as leis do Estado de Wyoming, Estados Unidos, com sede em 30 N Gould St, STE R, Sheridan, Wyoming 82801, Estados Unidos ("Clakta"), e o cliente que contrata os Serviços ("Cliente"), em conjunto as "Partes".

Este DPA aplica-se sempre que o Clakta tratar dados pessoais em nome do Cliente na prestação dos Serviços. Ao aceitar os Termos de Uso, o Cliente aceita igualmente este DPA. Não é necessária assinatura separada; o Cliente que precise de via assinada pode solicitá-la a support@clakta.com.

---

1. Definições

"Legislação de Proteção de Dados" significa toda a legislação de proteção de dados e de privacidade aplicável ao tratamento dos Dados Pessoais do Cliente, incluindo, conforme o caso, o Regulamento (UE) 2016/679 (GDPR), o UK GDPR, a Lei nº 13.709/2018 (LGPD) e as leis federais e estaduais de privacidade dos Estados Unidos, como o California Consumer Privacy Act, alterado pelo California Privacy Rights Act (CCPA).

"Dados Pessoais do Cliente" significam os dados pessoais contidos nos Dados do Cliente, conforme definidos nos Termos de Uso, tratados pelo Clakta em nome do Cliente na prestação dos Serviços.

"Titular", "controlador", "operador", "tratamento" e "incidente de segurança" têm o significado que lhes atribui a Legislação de Proteção de Dados. Sob o GDPR, "operador" corresponde a processor e "controlador" a controller; sob o CCPA, "operador" corresponde a service provider.

"Suboperador" significa o terceiro contratado pelo Clakta para tratar Dados Pessoais do Cliente na prestação dos Serviços.

"Serviços", "Plataforma Conectada", "Projeto", "Propriedades", "Usuário Autorizado" e "Usuário Final" têm o significado que lhes atribuem os Termos de Uso.

Termos não definidos neste DPA têm o significado atribuído nos Termos de Uso.

---

2. Papéis das Partes e objeto

2.1. Em relação aos Dados Pessoais do Cliente, o Cliente atua como controlador e o Clakta atua como operador. Quando o Cliente atuar, ele próprio, como operador de um terceiro — por exemplo, uma agência que opera os Serviços em nome de seus clientes —, o Clakta atua como suboperador, e as obrigações deste DPA aplicam-se na mesma medida.

2.2. O Clakta atua como controlador em relação aos dados de conta, cobrança, suporte, marketing, segurança e visitantes de seu próprio site, conforme descrito na Política de Privacidade. Esses dados não são objeto deste DPA.

2.3. O objeto, a natureza, a finalidade, a duração do tratamento, as categorias de dados pessoais e as categorias de titulares estão descritos no Anexo I.

---

3. Instruções de tratamento

3.1. O Clakta tratará os Dados Pessoais do Cliente apenas conforme as instruções documentadas do Cliente, salvo quando obrigado por lei a proceder de outra forma, hipótese em que informará o Cliente previamente, salvo se a lei vedar tal comunicação por razões de interesse público relevante.

3.2. Constituem instruções documentadas do Cliente: (a) este DPA e os Termos de Uso; (b) a configuração dos Serviços realizada pelo Cliente e por seus Usuários Autorizados, incluindo modo de rastreamento, gestão de consentimento, retenção, integrações e envio de sinais de conversão a Plataformas Conectadas; e (c) instruções adicionais dadas por escrito e aceitas pelo Clakta. Instruções que exijam alteração dos Serviços podem estar sujeitas a acordo específico e a custos adicionais.

3.3. O Clakta informará o Cliente caso entenda que uma instrução viola a Legislação de Proteção de Dados, podendo suspender a execução da instrução até que a questão seja esclarecida.

3.4. O Clakta não venderá os Dados Pessoais do Cliente, não os utilizará para publicidade direcionada própria, não os combinará com dados de outros clientes para formar perfis ou grafos de identidade, nem os utilizará para treinar modelos de fundação de acesso público. O Clakta poderá gerar dados agregados e anonimizados, que não permitem identificar razoavelmente o Cliente, seus Usuários Autorizados ou Usuários Finais, e utilizá-los conforme os Termos de Uso.

3.5. As instruções relativas a recursos de inteligência artificial — inclusive o Assistente — limitam-se a responder às solicitações do Cliente e executar ações por ele expressamente aprovadas. Os fornecedores de IA listados no Anexo III estão contratualmente proibidos de utilizar os dados submetidos por meio dos Serviços para treinar seus modelos.

---

4. Obrigações do Cliente

4.1. O Cliente declara e garante que: (a) possui base legal válida para o tratamento dos Dados Pessoais do Cliente e para sua transmissão ao Clakta; (b) obteve, registra e respeita o consentimento dos Usuários Finais quando exigido, inclusive quanto a cookies e tecnologias similares; (c) mantém aviso de privacidade preciso e acessível, que informa a coleta por meio de tecnologias de analytics e atribuição, a transmissão de dados ao Clakta e às Plataformas Conectadas e os direitos dos titulares; e (d) suas instruções ao Clakta observam a Legislação de Proteção de Dados.

4.2. O Cliente é o responsável por configurar os Serviços de forma compatível com suas obrigações legais e com os avisos que publica, inclusive quanto ao modo de rastreamento, à gestão de consentimento, ao tratamento de endereços IP e identificadores e aos prazos de retenção.

4.3. O Cliente não enviará aos Serviços dados pessoais sensíveis, números de cartão de pagamento ou credenciais completas de contas financeiras, números de documentos de identificação, dados de geolocalização precisa, nem dados de crianças e adolescentes, salvo autorização expressa e por escrito do Clakta. O Clakta não é responsável por tais dados enviados em desconformidade com esta cláusula.

4.4. Cabe ao Cliente avaliar se os Serviços, incluindo a região de armazenamento escolhida e os suboperadores listados no Anexo III, atendem às suas obrigações legais.

4.5. O Cliente é responsável pelas medidas de segurança sob seu controle descritas na Cláusula 10.8 dos Termos de Uso. O Clakta não é responsável por incidente de segurança com dados pessoais na medida em que decorra da não adoção dessas medidas pelo Cliente ou por seus Usuários Autorizados, do uso de credenciais sob o controle deles ou de uma Plataforma Conectada, sem prejuízo de seu dever de comunicar o incidente ao Cliente e de auxiliá-lo nos termos da Cláusula 9.

---

5. Confidencialidade

O Clakta assegura que as pessoas autorizadas a tratar os Dados Pessoais do Cliente estejam sujeitas a obrigação de confidencialidade, contratual ou legal, e recebam treinamento adequado em proteção de dados e segurança da informação. O acesso é concedido segundo o princípio do mínimo necessário e registrado.

---

6. Segurança da informação

6.1. O Clakta implementa e mantém as medidas técnicas e organizacionais descritas no Anexo II, adequadas ao risco, considerando o estado da técnica, os custos de implementação e a natureza, o escopo e as finalidades do tratamento.

6.2. O Clakta poderá atualizar tais medidas ao longo do tempo, desde que não reduza o nível de proteção contratado.

---

7. Suboperadores

7.1. O Cliente autoriza de forma geral a contratação de suboperadores pelo Clakta. A relação vigente está publicada em https://www.clakta.com/legal/subprocessors e resumida no Anexo III.

7.2. O Clakta celebrará com cada suboperador contrato que imponha obrigações de proteção de dados substancialmente equivalentes às deste DPA, e permanece integralmente responsável perante o Cliente pelos atos e omissões de seus suboperadores.

7.3. O Clakta comunicará a inclusão ou substituição de suboperador com pelo menos 30 dias de antecedência, por e-mail ao contato de privacidade ou administrativo do Cliente ou por aviso no produto.

7.4. O Cliente poderá opor-se de forma fundamentada, por escrito a support@clakta.com, no prazo de 15 dias contados da comunicação. Havendo oposição, as Partes negociarão de boa-fé uma alternativa razoável. Não sendo possível, o Cliente poderá rescindir os Serviços afetados mediante aviso escrito, com reembolso proporcional das taxas pagas antecipadamente e não utilizadas, como remédio exclusivo. A ausência de manifestação no prazo equivale a aceitação.

7.5. Em caso de risco iminente à segurança ou à continuidade dos Serviços, o Clakta poderá contratar novo suboperador com aviso imediato, aplicando-se o direito de oposição a posteriori.

---

8. Direitos dos titulares

8.1. Considerando a natureza do tratamento, o Clakta auxiliará o Cliente, por meio de medidas técnicas e organizacionais adequadas e na medida do razoavelmente possível, a responder às solicitações de titulares relativas a confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento e oposição.

8.2. Os Serviços oferecem ao Cliente funcionalidades de consulta, exportação e eliminação que permitem atender à maior parte dessas solicitações de forma autônoma.

8.3. Caso o Clakta receba solicitação diretamente de um titular relativa a Dados Pessoais do Cliente, não responderá ao mérito e encaminhará a solicitação ao Cliente sem demora injustificada, salvo se legalmente obrigado a responder.

8.4. Na maioria das configurações, o Clakta não consegue identificar um titular apenas a partir dos dados de analytics. O Cliente deverá fornecer identificador suficiente — como referência de pedido, e-mail ou identificador de usuário — para localizar os registros.

---

9. Incidentes de segurança

9.1. O Clakta comunicará ao Cliente qualquer incidente de segurança que envolva Dados Pessoais do Cliente sem demora injustificada e, sempre que viável, em até 48 horas após dele tomar conhecimento.

9.2. A comunicação conterá, na medida das informações disponíveis: a natureza do incidente, as categorias e o volume aproximado de dados e titulares afetados, as prováveis consequências, as medidas adotadas ou propostas para mitigar os efeitos e o contato para obtenção de informações adicionais. Informações complementares serão prestadas à medida que a apuração avançar.

9.3. O Clakta adotará medidas razoáveis para conter, investigar e mitigar o incidente e cooperará com o Cliente no cumprimento de seus deveres de comunicação à ANPD, a outras autoridades e aos titulares. A comunicação a autoridades e titulares quanto aos Dados Pessoais do Cliente é responsabilidade do Cliente, na condição de controlador.

9.4. A comunicação de um incidente não constitui reconhecimento de culpa ou responsabilidade pelo Clakta.

---

10. Relatórios de impacto e cooperação com autoridades

O Clakta prestará ao Cliente, mediante solicitação razoável e considerando as informações a ele disponíveis, auxílio na elaboração de relatórios de impacto à proteção de dados pessoais e em eventual consulta prévia a autoridade competente, relativamente ao tratamento realizado no âmbito dos Serviços. Solicitações que excedam a documentação padrão poderão ser cobradas com base em tempo e materiais, mediante estimativa prévia.

---

11. Auditoria e prestação de informações

11.1. O Clakta disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento deste DPA, incluindo a documentação de segurança, a descrição das medidas do Anexo II e as respostas a questionário de segurança padrão.

11.2. O Cliente poderá solicitar auditoria uma vez a cada 12 meses, mediante aviso prévio de 30 dias, em horário comercial, sem interrupção das operações do Clakta e sob obrigação de confidencialidade. A auditoria será realizada preferencialmente por meio de documentação, questionário e reunião técnica remota.

11.3. Auditoria presencial ou realizada por terceiro independente somente ocorrerá quando exigida por autoridade competente ou quando a documentação disponibilizada for comprovadamente insuficiente, hipótese em que o auditor não poderá ser concorrente do Clakta e assinará termo de confidencialidade. Os custos correm por conta do Cliente, salvo se a auditoria revelar descumprimento relevante deste DPA pelo Clakta.

11.4. Nenhuma auditoria dará acesso a dados de outros clientes, a informações de terceiros ou a informações cuja divulgação comprometa a segurança do Clakta.

---

12. Residência dos dados e transferências internacionais

12.1. Ao criar um time, o Cliente escolhe a região de armazenamento dos dados de seus projetos: União Europeia ou Estados Unidos. Essa escolha é definitiva e não pode ser alterada, não havendo caminho de migração. Todo projeto herda a região de seu time.

12.2. Determinados registros são armazenados nos Estados Unidos independentemente da região escolhida, incluindo contas de usuário, dados de time e cobrança, chaves de API, credenciais de plataformas de vendas, feedback de produto e conversas de suporte. O detalhamento consta em Local de armazenamento dos dados e na Cláusula 9 da Política de Privacidade.

12.3. A equipe do Clakta trabalha a partir do Brasil e acessa ambas as regiões para operar, proteger, dar suporte e diagnosticar os Serviços, sob controles de acesso mínimo necessário e registro de atividades. Determinados suboperadores também operam fora da região escolhida.

12.4. Para transferências internacionais a partir do Brasil, as Partes adotam as cláusulas-padrão contratuais aprovadas pela ANPD, que se consideram incorporadas a este DPA quando aplicáveis.

12.5. Para transferências a partir do Espaço Econômico Europeu, do Reino Unido ou da Suíça para país sem decisão de adequação, aplicam-se as Cláusulas Contratuais Padrão da Comissão Europeia (Decisão de Execução (UE) 2021/914), que se consideram incorporadas a este DPA, com o Módulo Dois quando o Cliente for controlador e o Clakta operador, e o Módulo Três quando o Cliente for operador e o Clakta suboperador, acrescidas do Adendo do Reino Unido ou da variante suíça quando aplicáveis. Para os fins dessas cláusulas: o Cliente é o exportador de dados e o Clakta é o importador; aplica-se a opção de autorização geral de suboperadores com prazo de 30 dias (Cláusula 9(a)); e o direito aplicável e o foro seguem a Cláusula 16 deste DPA na medida permitida pelas referidas cláusulas.

12.6. Quando o Cliente instrui o envio de dados a uma Plataforma Conectada, essa plataforma os recebe como controladora independente, sob seus próprios termos, e a escolha de região não a vincula.

---

13. Devolução e eliminação

13.1. Durante a vigência do Contrato, o Cliente pode exportar seus dados a qualquer momento por meio dos Serviços e das APIs.

13.2. Encerrado o Contrato, os Dados Pessoais do Cliente permanecem disponíveis para exportação por 30 dias, após o que são eliminados, salvo quando a conta for encerrada por atividade ilícita ou por descumprimento da Cláusula 13 dos Termos de Uso, hipótese em que a eliminação pode ocorrer de imediato.

13.3. O Clakta poderá reter Dados Pessoais do Cliente na medida e pelo prazo exigidos por lei, ou necessários ao exercício regular de direitos, restringindo o tratamento a essas finalidades. Cópias em backup são eliminadas no ciclo normal de sobrescrita.

13.4. Mediante solicitação escrita apresentada até 30 dias após o encerramento, o Clakta confirmará a eliminação por escrito.

---

14. Responsabilidade

A responsabilidade das Partes decorrente deste DPA sujeita-se às limitações e exclusões da Cláusula 18 dos Termos de Uso, sem que os limites ali previstos sejam aplicados de forma cumulativa entre o Contrato e este DPA. Nada neste DPA limita a responsabilidade que não possa ser limitada nos termos da Legislação de Proteção de Dados, nem afeta os direitos dos titulares perante o controlador.

---

15. Vigência e prevalência

15.1. Este DPA vigora enquanto o Clakta tratar Dados Pessoais do Cliente e permanece em vigor pelo tempo necessário ao cumprimento das obrigações que, por sua natureza, o sobrevivam.

15.2. Em caso de conflito entre este DPA e os Termos de Uso quanto ao tratamento de dados pessoais, prevalece este DPA. Em caso de conflito entre este DPA e as cláusulas-padrão contratuais aplicáveis, prevalecem estas últimas.

15.3. As demais disposições dos Termos de Uso permanecem inalteradas.

---

16. Idioma e lei aplicável

16.1. Este DPA foi redigido em inglês, que é sua versão oficial. Qualquer tradução, inclusive esta versão em português (Brasil), é fornecida apenas por conveniência e, em caso de divergência, prevalece a versão em inglês.

16.2. Este DPA é regido pelas leis do Estado de Wyoming, Estados Unidos, e as controvérsias dele decorrentes serão resolvidas conforme a Cláusula 22 dos Termos de Uso, ressalvado o disposto nas cláusulas-padrão contratuais aplicáveis a transferências internacionais.

---

Anexo I — Descrição do tratamento

A. Partes

B. Descrição do tratamento

---

Anexo II — Medidas técnicas e organizacionais

• Criptografia — TLS em trânsito e criptografia em repouso; credenciais OAuth e segredos de webhook armazenados de forma criptografada; hash SHA-256 dos identificadores de contato transmitidos a Plataformas Conectadas.
• Controle de acesso — acesso baseado em papéis, autenticação multifator para acesso administrativo, princípio do mínimo necessário, revisão periódica de acessos e revogação no desligamento.
• Segregação — separação lógica dos dados por time e por Projeto; separação física dos dados de projeto por região de armazenamento.
• Rede e infraestrutura — isolamento de rede, endpoints protegidos, controle de domínios autorizados por fonte de rastreamento e limites de requisição.
• Registro e monitoramento — trilhas de auditoria das alterações em Projetos, registros de autenticação e de uso de chaves de API, monitoramento de erros e de disponibilidade.
• Resiliência — backups regulares, procedimentos de recuperação e página pública de status em https://status.clakta.com.
• Minimização — modo de rastreamento com privacidade reforçada sem cookies e sem armazenamento no navegador, gestão de consentimento, truncamento ou hash de IP e retenção configurável por Projeto.
• Gestão de fornecedores — avaliação de segurança prévia e contratos com obrigações equivalentes às deste DPA.
• Pessoas e processos — obrigação de confidencialidade, treinamento em proteção de dados e processo documentado de resposta a incidentes.

---

Anexo III — Suboperadores

A relação vigente, com a identificação de cada suboperador, sua finalidade e o local de tratamento, está publicada em https://www.clakta.com/legal/subprocessors e integra este DPA. As categorias atualmente utilizadas são: