Acordo de Tratamento de Dados Pessoais

1. O que é este documento e quando ele se aplica

Este Acordo de Tratamento de Dados Pessoais (“ATD”) integra os nossos Termos de Uso e se aplica sempre que você usa a MoverTrack para tratar dados pessoais de outras pessoas — sobretudo os dos seus clientes.

Ele existe porque a legislação de proteção de dados exige contrato escrito entre controlador e operador, e porque você deve poder ver exatamente o que fazemos com os dados dos seus clientes.

2. Quem é quem

Você é o controlador. Você decide quais clientes cadastrar, o que registrar a respeito deles e quem recebe um link de rastreamento. Eles são seus clientes, não nossos.

Nós somos o seu operador. Armazenamos e transmitimos esses dados para operar o Serviço para você, e para nenhuma finalidade própria. Não os vendemos, não fazemos marketing para os seus clientes e não os usamos para treinar nada. As informações que tenham sido anonimizadas e combinadas, de modo que não possam mais identificar ninguém, deixam de ser dados pessoais, e podemos usá-las para operar, medir e melhorar o Serviço.

Separadamente, somos controlador, por direito próprio, dos dados a respeito de você — a sua conta, o seu acesso, o seu faturamento. Isso é tratado na nossa Política de Privacidade, e não neste ATD.

3. O que tratamos para você

Objeto e finalidade: prestação do serviço MoverTrack — agendamento, pedidos, páginas de rastreamento para clientes, mensagens, gestão de equipe e, quando o seu plano o incluir, a transformação de conversas de WhatsApp em serviços sugeridos.

Duração: enquanto a sua conta estiver ativa, acrescida dos prazos de retenção da cláusula 10.

Categorias de titulares de dados: os seus clientes, as pessoas que eles indicarem como contato e os seus colaboradores.

Categorias de dados pessoais:

• nomes, números de telefone e endereços de e-mail dos seus clientes;
• os endereços de cada serviço e quaisquer anotações que você acrescente a um serviço;
• detalhes dos pedidos, preços e histórico de serviços;
• fotografias e arquivos que você ou os seus colaboradores carreguem em um serviço;
• a localização do veículo enquanto você mantiver o rastreamento ativo, e a rota e o horário estimado de chegada daí resultantes;
• as mensagens de WhatsApp enviadas ou recebidas por meio do Serviço — de cada mensagem, quem a enviou, quando, de que tipo era e o respectivo status de entrega (guardado para que as mensagens sejam enviadas só enquanto o WhatsApp permitir, dentro da janela de atendimento de 24 horas do WhatsApp), bem como o respectivo conteúdo (texto, fotografias, áudios e arquivos) na medida em que o modo de trabalho que você escolher o guarde;
• nomes, números de telefone e atribuições de serviço dos seus colaboradores.

Escolher um modo de trabalho no aplicativo é a instrução que você nos dá sobre o que guardar das suas conversas de WhatsApp. Quando você escolhe um modo que guarda menos, o seu plano deixa de incluir o que você tinha, ou você remove o seu número do Serviço, excluímos do Serviço o que o Serviço deixa de guardar das mensagens dos seus clientes; as conversas em si permanecem no WhatsApp.

Não pedimos e não queremos dados pessoais sensíveis — saúde, convicções, biometria e afins. Por favor, não os inclua na anotação de um serviço.

4. Atuamos somente conforme as suas instruções

Tratamos esses dados apenas na medida necessária para prestar o Serviço, conforme previsto nos Termos, e de acordo com quaisquer outras instruções documentadas que você nos der. Se em algum momento entendermos que uma instrução viola a legislação de proteção de dados, comunicaremos você em vez de simplesmente cumpri-la em silêncio.

Se a lei nos obrigar a tratar ou divulgar dados além das suas instruções, avisaremos você antes, salvo se estivermos legalmente impedidos de fazê-lo.

5. Confidencialidade

O acesso é restrito a quem dele necessita para operar o Serviço ou lhe dar suporte, e essas pessoas estão sujeitas a obrigações de confidencialidade. A MoverTrack é operada por uma equipe muito pequena; o acesso é, na mesma medida, restrito.

6. Segurança (Annex II — medidas técnicas e organizacionais)

Mantemos medidas adequadas ao risco, entre elas:

• criptografia em trânsito (TLS) em todas as conexões com os nossos servidores, aplicativos e bancos de dados;
• criptografia em repouso do banco de dados e dos backups;
• regras de acesso por linha no banco de dados, de modo que uma conta não possa ler os dados de outra, e, nos nossos próprios servidores, uma verificação da conta autenticada, e do que ela pode ver, em cada requisição que atendem;
• autenticação em toda requisição que alcance dados de clientes, e funções administrativas restritas a contas nominais de administrador;
• o número de telefone de um cliente só chega às pessoas que trabalham para você se você permitir, e uma conversa, apenas se você lhes der acesso a ela;
• hospedagem em provedores de infraestrutura consolidados (veja a cláusula 7);
• revisão periódica de quem e do que pode alcançar os dados de produção.

Estas são as medidas técnicas e organizacionais referidas no Annex II das cláusulas contratuais padrão incorporadas pela cláusula 11. Podemos alterá-las, mas não de modo a reduzir de forma relevante o nível geral de segurança.

Nenhum sistema é perfeitamente seguro, e não afirmamos o contrário.

7. Suboperadores

Utilizamos os suboperadores a seguir. Cada um está vinculado a condições escritas de proteção de dados, conforme exigido por lei, e permanecemos responsáveis perante você pelo que eles fizerem:

• Supabase — banco de dados, autenticação e armazenamento de arquivos (UE, região de Frankfurt)
• Vultr — servidores de aplicação para rastreamento e mensagens (UE, Frankfurt)
• Vercel — hospedagem dos nossos sites e das páginas de rastreamento para clientes
• Google — mapas, geocodificação, roteirização e cálculo de distância; leitura do texto de uma conversa ou de uma mensagem para preencher os dados de um serviço quando você pede; o nosso e-mail
• Meta Platforms — mensagens pelo WhatsApp Business
• Stripe — processamento de pagamentos (os seus dados de faturamento; não os dos seus clientes)
• Resend — e-mails transacionais e de faturamento
• Telnyx — telefonia e identificação de chamadas, quando você usar esses recursos
• Apple e Google — entrega de notificações push aos seus dispositivos e aos das pessoas que trabalham para você
• Expo — encaminhamento de notificações push para a Apple e o Google; uma notificação pode conter o nome ou o número de um cliente e o texto da mensagem dele

Esta lista constitui o Annex III das cláusulas contratuais padrão incorporadas pela cláusula 11. Você autoriza de forma geral esses suboperadores e nos autoriza a nomear outros nas mesmas condições.

Avisaremos você com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um suboperador. Você pode se opor dentro desse prazo por motivos razoáveis e documentados de proteção de dados. Se o fizer, procuraremos oferecer uma alternativa que afaste a objeção; se não pudermos fazê-lo em condições comercialmente razoáveis, qualquer das partes poderá rescindir a parte afetada do Serviço, e o seu único remédio é o reembolso dos valores já pagos pelo restante não utilizado do período. A objeção não suspende a nomeação enquanto a discutimos.

8. Apoio a você quanto aos direitos dos seus clientes

Se um dos seus clientes pedir a você cópia dos dados dele, pedir a correção deles ou pedir a sua eliminação, cabe a você responder — mas nós ajudaremos.

A maior parte você mesmo consegue fazer dentro do Serviço. Quando não conseguir, escreva para info@movertrack.com e ajudaremos em prazo que lhe permita cumprir o seu. Se um cliente nos procurar diretamente, não responderemos em seu nome; encaminharemos o pedido a você.

9. Se algo der errado

Se tomarmos conhecimento de incidente que afete dados pessoais que tratamos para você, comunicaremos você sem demora injustificada, com o que soubermos: o que aconteceu, quem e o que foi afetado até onde pudermos apurar, o que estamos fazendo a respeito e o que sugerimos que você faça.

Também lhe daremos apoio razoável em qualquer avaliação ou comunicação à autoridade que você tenha de fazer, e em relatório de impacto à proteção de dados pessoais, caso precise de um.

10. Eliminação e devolução

Você pode exportar os seus dados a qualquer momento enquanto a sua conta estiver ativa. Excluir você mesmo a conta no aplicativo é a sua escolha pela exclusão: tudo é apagado na hora, então exporte antes o que precisar. Se a conta for encerrada de qualquer outra forma, você ainda pode exportar por 30 dias após o seu encerramento.

Ao término do Serviço, você escolhe se devolvemos os seus dados ou os excluímos. Comunique-nos dentro daqueles 30 dias. Se você nada nos disser, nós os excluímos.

Depois disso, excluímos ou anonimizamos os dados pessoais que mantemos para você, exceto quando a lei nos obrigar a conservar algo — por exemplo, registros de transações mantidos para fins fiscais. Os backups são descartados no seu próprio ciclo e eliminados em até 90 dias.

11. Transferências internacionais e as cláusulas contratuais padrão

O nosso banco de dados e os nossos servidores de aplicação para clientes europeus estão na UE (Frankfurt). Alguns suboperadores indicados na cláusula 7 estão estabelecidos nos Estados Unidos, e a própria MoverTrack, LLC é uma empresa dos Estados Unidos, de modo que parte dos dados pessoais é transferida para lá.

Para essas transferências, as partes celebram as cláusulas contratuais padrão aprovadas pela Comissão Europeia na Implementing Decision (EU) 2021/914, que ficam incorporadas a este ATD por referência e são preenchidas da seguinte forma:

• Aplica-se o Module Two (controlador para operador). Você é o exportador de dados; a MoverTrack, LLC é a importadora de dados.
• Aplica-se a Clause 7 (cláusula de adesão).
• Clause 9 — opção 2, autorização geral por escrito, com o aviso prévio de 30 dias previsto na cláusula 7.
• Clause 11 — a redação opcional sobre resolução independente de litígios não se aplica.
• Clause 17 — as Cláusulas são regidas pela lei da Irlanda.
• Clause 18 — os litígios são resolvidos perante os tribunais da Irlanda.
• Annex I.A (partes) — você, conforme identificado pela sua conta; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (descrição da transferência) — os titulares de dados, as categorias de dados, as finalidades, a frequência (contínua) e a duração previstos na cláusula 3 deste ATD.
• Annex I.C (autoridade de controle competente) — a autoridade do Estado-membro do EEE em que você estiver estabelecido, ou em que estiver estabelecido o seu representante.
• Annex II (medidas de segurança) — cláusula 6 deste ATD.
• Annex III (suboperadores) — cláusula 7 deste ATD.

Para transferências de dados pessoais sujeitas à legislação de proteção de dados do Reino Unido, as partes celebram também o UK International Data Transfer Addendum emitido nos termos da section 119A of the Data Protection Act 2018, tendo as cláusulas acima como Approved SCCs, as Tables 1–3 preenchidas por referência ao Annex I acima e a Table 4 definida como neither party. Para transferências sujeitas à lei suíça, as referências ao GDPR são lidas como referências à Swiss FADP e a autoridade competente é a FDPIC.

Quando um suboperador for certificado no âmbito do EU–US Data Privacy Framework, poderemos apoiar-nos nessa certificação para as transferências a ele destinadas.

Se as Cláusulas e este ATD conflitarem, prevalecem as Cláusulas.

12. Auditoria e informações

Forneceremos a você as informações de que razoavelmente necessitar para demonstrar que cumprimos as obrigações aqui previstas, e contribuiremos para as auditorias exigidas pela legislação de proteção de dados.

Como somos uma equipe muito pequena, isso significa respostas por escrito e documentação, e não inspeção presencial. Quando uma auditoria for efetivamente exigida, ela poderá ser realizada uma vez em cada período de doze meses (com maior frequência apenas se uma autoridade de controle o exigir ou após incidente confirmado que afete os seus dados), mediante aviso prévio por escrito de 30 dias, em horário comercial, sem perturbar o Serviço, por pessoa que não seja nossa concorrente, sujeita a confidencialidade e às suas custas.

13. Responsabilidade entre nós

Você garante que possui base legal para cada dado pessoal que insere no Serviço, que prestou aos seus clientes as informações exigidas pela legislação a eles aplicável, que as suas instruções a nós são lícitas e que não nos enviará dados pessoais sensíveis.

Você nos indenizará contra reclamações, multas e custos razoáveis decorrentes do descumprimento dessa garantia, das suas instruções ou de reclamação de um dos seus clientes relativa a atos ou omissões seus, e não nossos.

A responsabilidade de cada parte nos termos deste ATD está sujeita aos limites e às exclusões da cláusula 18 dos Termos de Uso, e esses limites aplicam-se a todas as reclamações sob este ATD, de forma agregada com todas as reclamações sob os Termos. Nada aqui limita os direitos do titular de dados contra qualquer de nós, nos termos das cláusulas contratuais padrão ou da legislação aplicável.

Se uma autoridade de controle ou um tribunal nos responsabilizar solidariamente por algo causado pelas suas instruções ou pelo seu descumprimento, você nos reembolsará a parcela a você atribuível.

14. Prevalência e contato

Se este ATD e os Termos de Uso conflitarem quanto ao tratamento de dados pessoais, prevalece este ATD.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
E-mail: info@movertrack.com