Acordo de Processamento de Dados (DPA)

Operador: Opus Growth, marca comercial de Talat KOÇ, empresa individual registrada na Türkiye (Gökalp Tax Office). Contato: support@opus-growth.com

Este Acordo de Processamento de Dados ("DPA") faz parte dos Termos de Serviço da Opus Growth (o "Contrato") e se aplica automaticamente a todo cliente que os aceita (o "Cliente"). Ele rege os dados pessoais que a Opus Growth processa em nome do Cliente ao fornecer o serviço Opus Growth (o "Serviço"). Não é necessária uma assinatura separada. Se você precisar de uma cópia assinada pelas duas partes para seus registros, escreva para support@opus-growth.com.

1. Definições#

Termos como "dados pessoais", "processamento", "controlador", "operador", "titular dos dados", "violação de dados pessoais" e "autoridade de supervisão" têm os significados definidos no Regulamento (UE) 2016/679 ("GDPR"). "SCCs" significa as cláusulas contratuais padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão.

2. Papéis e escopo#

• O Cliente é o controlador dos dados pessoais descritos no Anexo I e a Opus Growth os processa como operadora. Quando o próprio Cliente atua como operador para um cliente seu, a Opus Growth atua como suboperadora do Cliente, e o Cliente confirma que seu cliente autorizou isso.
• As plataformas de publicidade e análise que o Cliente conecta (como Google, Meta, Microsoft, TikTok, LinkedIn e ChatGPT Ads da OpenAI) e o assistente de IA com o qual o Cliente usa o Serviço (como o Claude da Anthropic ou o ChatGPT da OpenAI) prestam seus serviços ao Cliente conforme os contratos que o próprio Cliente mantém com elas. Elas não são suboperadoras da Opus Growth. A Opus Growth troca dados com elas somente por instrução do Cliente.
• Este DPA não abrange os dados que a Opus Growth processa como controladora independente, como dados de conta, cobrança e suporte dos próprios usuários do Cliente. Esses dados são regidos pela nossa Política de Privacidade.

3. Instruções#

A Opus Growth processa dados pessoais somente conforme as instruções documentadas do Cliente, inclusive em relação a transferências, salvo se a lei aplicável exigir de outra forma, caso em que informa o Cliente antes do processamento, a menos que a lei proíba. O Contrato, este DPA e o uso e a configuração do Serviço pelo Cliente, incluindo solicitações feitas por meio do assistente de IA do Cliente e aprovações dadas nele, são as instruções documentadas do Cliente. Alterações em contas de anúncios conectadas só são aplicadas depois que o Cliente vê uma prévia e aprova a alteração. A Opus Growth informa o Cliente sem demora se, na sua opinião, uma instrução violar o GDPR ou outra lei de proteção de dados.

4. Confidencialidade#

A Opus Growth garante que toda pessoa que ela autoriza a processar os dados pessoais esteja sujeita a uma obrigação de confidencialidade adequada e tenha acesso apenas na medida necessária para fornecer, proteger e dar suporte ao Serviço.

5. Segurança#

A Opus Growth implementa as medidas técnicas e organizacionais descritas no Anexo II. Ela pode atualizá-las, desde que o nível geral de segurança não seja reduzido.

6. Suboperadores#

• O Cliente concede autorização geral para que a Opus Growth contrate os suboperadores listados no Anexo III.
• A Opus Growth atualiza o Anexo III nesta página e informa os Clientes por e-mail com pelo menos 30 dias de antecedência antes de adicionar ou substituir um suboperador. O Cliente pode se opor, com base em motivos razoáveis de proteção de dados, dentro desse prazo. Se as partes não conseguirem resolver a objeção, o Cliente pode encerrar a parte afetada do Serviço e recebe reembolso proporcional das taxas pagas antecipadamente pelo período restante.
• A Opus Growth impõe a cada suboperador obrigações de proteção de dados não menos protetoras que as deste DPA e continua responsável perante o Cliente pelo desempenho de seus suboperadores.

7. Assistência#

• Considerando a natureza do processamento, a Opus Growth auxilia o Cliente, por meio de medidas técnicas e organizacionais adequadas, a responder a solicitações de titulares de dados que exercem seus direitos nos termos do Capítulo III do GDPR. Se a Opus Growth receber uma solicitação desse tipo diretamente, ela a encaminha ao Cliente sem demora injustificada e não responde por conta própria, salvo se instruída.
• A Opus Growth auxilia o Cliente, considerando as informações de que dispõe, a cumprir suas obrigações previstas nos Artigos 32 a 36 do GDPR, incluindo avaliações de impacto sobre a proteção de dados e consultas prévias.

8. Violações de dados pessoais#

A Opus Growth notifica o Cliente sem demora injustificada, e em qualquer caso em até 48 horas, após tomar conhecimento de uma violação de dados pessoais que afete os dados pessoais do Cliente. A notificação descreve, na medida do que for conhecido na ocasião, a natureza da violação, as categorias e o número aproximado de titulares e registros afetados, as prováveis consequências e as medidas tomadas ou propostas. A Opus Growth fornece mais informações à medida que se tornarem disponíveis e toma medidas razoáveis para conter e corrigir a violação.

9. Exclusão e devolução#

Quando o Serviço termina, ou antes disso a pedido do Cliente, a Opus Growth exclui os dados pessoais do Cliente em até 30 dias, salvo se a retenção for exigida por lei. Desconectar uma plataforma exclui imediatamente o token de acesso armazenado dessa plataforma. Os dados excluídos saem dos backups criptografados da Opus Growth conforme eles são rotacionados, em no máximo 12 meses, e não são restaurados a partir deles, exceto para recuperar o Serviço. Antes da exclusão, o Cliente pode exportar os dados disponíveis no Serviço por meio de seu assistente de IA ou do painel.

10. Informações e auditorias#

A Opus Growth disponibiliza ao Cliente as informações necessárias para demonstrar a conformidade com o Artigo 28 do GDPR e com este DPA. O Cliente concorda em primeiro solicitar essas informações por escrito, por exemplo por meio de um questionário de segurança, que a Opus Growth responde em prazo razoável. Se as informações não forem suficientes, o Cliente, ou um auditor independente sujeito a confidencialidade, pode realizar uma auditoria uma vez a cada período de 12 meses, ou após uma violação de dados pessoais, com pelo menos 30 dias de aviso prévio, em horário comercial, de forma que não interrompa o Serviço nem comprometa a segurança ou a confidencialidade dos dados de outros clientes, e por conta do próprio Cliente.

11. Transferências internacionais#

• A Opus Growth hospeda os dados pessoais do Cliente na União Europeia, na Alemanha e na Finlândia (Anexo III).
• A Opus Growth está estabelecida na Türkiye, portanto o acesso aos dados pessoais a partir da Türkiye pode constituir uma transferência para um país terceiro. Na medida em que o GDPR se aplique a essa transferência, as partes celebram as SCCs, que são incorporadas a este DPA por referência: Módulo Dois (controlador para operador), ou Módulo Três (operador para operador) quando o Cliente atua como operador, com o Cliente como exportador de dados e a Opus Growth como importadora de dados.
• Para as SCCs: a Cláusula 7 (cláusula de adesão) se aplica; conforme a Cláusula 9(a), aplica-se a Opção 2 (autorização geral por escrito) com o prazo de aviso de 30 dias da seção 6; o texto opcional da Cláusula 11 não se aplica; conforme a Cláusula 13, a autoridade de supervisão competente é a determinada nos termos do Anexo I.C; conforme a Cláusula 17, as SCCs são regidas pela lei do Estado-Membro da UE em que o Cliente está estabelecido, desde que essa lei permita direitos de terceiros beneficiários, e, caso contrário, pela lei da Irlanda; conforme a Cláusula 18, as disputas são resolvidas pelos tribunais desse mesmo Estado-Membro. Os Anexos I, II e III deste DPA complementam os Anexos I, II e III das SCCs.
• A Opus Growth transfere dados pessoais a um suboperador fora do Espaço Econômico Europeu somente quando se aplicar uma decisão de adequação ou outro mecanismo de transferência nos termos do Capítulo V do GDPR.

12. Responsabilidade, vigência e precedência#

• A responsabilidade de cada parte sob este DPA está sujeita às limitações de responsabilidade do Contrato, exceto quando tais limitações não forem permitidas pelo GDPR ou pelas SCCs.
• Este DPA se aplica enquanto a Opus Growth processar dados pessoais em nome do Cliente.
• Em caso de conflito, as SCCs prevalecem sobre este DPA, e este DPA prevalece sobre o Contrato.

Anexo I: Descrição do processamento#

A. Partes. Exportador de dados: o Cliente, como controlador (ou operador, veja a seção 2), que usa o Serviço para gerenciar sua publicidade digital e análises, ou as de seus clientes. Importadora de dados: a Opus Growth, conforme identificada acima, como operadora (ou suboperadora), que fornece o Serviço.

B. Descrição do processamento.

• Titulares dos dados: a equipe do próprio Cliente que usa o Serviço; pessoas cujos dados constam nas contas de publicidade e análise que o Cliente conecta, como pessoas que enviaram um formulário de lead e pessoas em listas de clientes enviadas para segmentação de público ou medição de conversões; visitantes dos sites do Cliente quando o Cliente instala a tag de proteção contra cliques da Opus Growth ou hospeda um site na Opus Growth.
• Dados pessoais: nomes, endereços de e-mail e números de telefone em envios de formulários de lead e listas de clientes, muitas vezes como hashes unidirecionais; identificadores online como IDs de clique, endereços IP e informações do navegador; dados de conversão e engajamento; dados de contato e de formulários em sites que o Cliente hospeda na Opus Growth; nomes e endereços de e-mail dos usuários do Cliente.
• Categorias especiais de dados: nenhuma é prevista. O Cliente não deve usar o Serviço para processar categorias especiais de dados pessoais.
• Frequência: contínua, enquanto o Cliente usar o Serviço.
• Natureza do processamento: leitura de dados das plataformas conectadas quando o Cliente ou seu assistente de IA solicita; estruturação e resumo desses dados; transmissão ao assistente de IA e aos relatórios que o Cliente escolher; realização de alterações nas plataformas conectadas após a aprovação do Cliente; armazenamento dos dados limitados descritos abaixo; hospedagem de sites quando o Cliente usa o AI Server.
• Finalidade: fornecer o Serviço nos termos do Contrato.
• Retenção: os dados de publicidade e mensuração são lidos da plataforma quando solicitados e não são mantidos como cópia completa. A Opus Growth mantém apenas o que um recurso precisa, como os resumos de relatórios mais recentes, links de relatórios que o Cliente compartilha e dados em cache para o Data Studio por até 30 minutos, e os exclui junto com a conta. Os registros de proteção contra cliques são mantidos por 90 dias. Os tokens de acesso são mantidos até que a plataforma seja desconectada ou a conta seja excluída. A seção 4 da Política de Privacidade traz a lista completa.
• Suboperadores: conforme listados no Anexo III, para a mesma natureza, finalidade e duração.

C. Autoridade de supervisão competente. A autoridade de supervisão do Estado-Membro da UE em que o Cliente está estabelecido ou, quando o Cliente não está estabelecido na UE, a autoridade de supervisão do Estado-Membro em que está estabelecido seu representante nos termos do Artigo 27(1) do GDPR.

Anexo II: Medidas técnicas e organizacionais#

• Criptografia em trânsito: todo acesso ao Serviço, à sua API e ao conector usa HTTPS com TLS.
• Criptografia em repouso: tokens de acesso e de atualização e chaves de API das plataformas conectadas são armazenados criptografados com criptografia simétrica autenticada (Fernet), com suporte à rotação de chaves. Os backups são criptografados antes de saírem do servidor.
• Minimização de dados: os dados de publicidade são lidos sob demanda e não copiados por completo; apenas os resumos de que um recurso precisa são armazenados.
• Hospedagem: servidores em data centers da Hetzner na Alemanha, com um banco de dados standby somente leitura replicado continuamente e backups criptografados na Finlândia.
• Controle de acesso: acesso administrativo aos servidores somente com chaves SSH de máquinas autorizadas, atrás de firewalls; replicação do banco de dados por rede privada; privilégio mínimo para a equipe.
• Autenticação de usuários: login com Google, ou com senha mais um código de uso único enviado por e-mail; os códigos de uso único são válidos por 15 minutos e podem ser usados uma única vez; os usuários podem revisar e revogar aplicativos de IA conectados no painel.
• Controle de alterações nas contas dos clientes: toda alteração em uma conta de anúncios conectada é mostrada como prévia e aplicada somente após aprovação explícita; as alterações de orçamento são limitadas por alteração e por 24 horas; todas as ações são registradas em um log de atividades que o Cliente pode consultar.
• Isolamento dos sites hospedados: cada AI Server roda em seu próprio contêiner isolado, com limites de recursos, acesso de rede de saída restrito e sistema base somente leitura.
• Disponibilidade e resiliência: implantações sem interrupção com verificações de integridade, um banco de dados standby ativo e backups regulares e monitorados com restaurações testadas.
• Monitoramento e resposta a incidentes: a integridade do serviço e os erros são registrados com o conteúdo pessoal mascarado, e as violações de dados pessoais são tratadas conforme descrito na seção 8.
• Exclusão: exclusão da conta em até 30 dias, exclusão imediata dos tokens ao desconectar e rotação dos backups em até 12 meses.

Anexo III: Suboperadores#

• Hetzner Online GmbH (Alemanha): servidores, banco de dados, hospedagem de sites, banco de dados standby e backups. Localização: Falkenstein, Alemanha e Helsinque, Finlândia. Mecanismo de transferência: nenhum necessário, processamento dentro da UE.
• Cloudflare, Inc. (EUA): entrega de rede, terminação TLS e proteção contra ataques para o site, o painel e o conector (dados em trânsito). Localização: rede global da Cloudflare; cada requisição é tratada no data center mais próximo do visitante. Mecanismo de transferência: EU-US Data Privacy Framework e SCCs.
• Google LLC / Google Ireland Limited: e-mail do Google Workspace para mensagens do serviço, como links de relatórios e notificações. Localização: UE e EUA. Mecanismo de transferência: EU-US Data Privacy Framework e SCCs.