Termos de Tratamento de Dados (DPA)

1. Objeto e duração

O tratamento ocorre exclusivamente para prestar os serviços contratados e perdura enquanto vigorar a assinatura, salvo obrigação legal de retenção.

2. Natureza dos dados e titulares

• Titulares: clientes finais, funcionários e contatos comerciais do cliente
• Categorias: identificação, contato, histórico de pedidos e reservas, preferências, consentimentos e dados de acesso

3. Obrigações do operador

• Tratar dados somente conforme instruções documentadas do controlador
• Garantir confidencialidade das pessoas autorizadas
• Implementar medidas técnicas e organizativas adequadas
• Apoiar o controlador em pedidos de titulares e avaliações de impacto
• Notificar incidentes de segurança sem demora indevida
• Eliminar ou devolver os dados ao término do contrato

4. Subprocessadores

O cliente autoriza o uso de subprocessadores para infraestrutura em nuvem, banco de dados, envio de e-mails e processamento de pagamentos. Alterações relevantes na lista serão comunicadas, permitindo objeção fundamentada.

5. Transferências internacionais

Quando houver transferência para fora do Espaço Econômico Europeu, serão aplicadas salvaguardas adequadas, incluindo cláusulas contratuais padrão.

6. Auditoria

Mediante solicitação razoável e sob confidencialidade, o operador disponibiliza informações necessárias para demonstrar conformidade.

7. Medidas de segurança

• Isolamento multi-tenant e políticas de acesso no banco (RLS)
• Controle de papéis, escopos e princípio do menor privilégio
• Criptografia em trânsito
• Registro e auditoria de ações sensíveis
• Segregação de ambientes e gestão de segredos no servidor