Acordo de Tratamento de Dados

Papéis

Termos como "dados pessoais", "tratamento", "controlador", "operador", "titular dos dados" e "violação de dados pessoais" têm o significado que o GDPR lhes dá. "Dados pessoais do cliente" são os dados pessoais contidos nos seus formulários, respostas, arquivos enviados e respostas em andamento que tratamos para você.

Para os dados pessoais do cliente, você é o controlador e nós somos o seu operador. Se você atua para um cliente seu, você é o operador desse cliente e nós somos o seu suboperador. Para a sua conta, a cobrança e o uso do fillio.so, nós somos o controlador, como explica nossa Política de Privacidade.

Detalhes do tratamento

• Objeto: hospedar seus formulários, coletar e armazenar as respostas e os arquivos deles, e exibi-los, enviá-los e exportá-los para você.
• Duração: enquanto você usar o Serviço, até que os dados sejam excluídos conforme descrito abaixo.
• Natureza e finalidade: armazenar, organizar, exibir, enviar, exportar e excluir dados pessoais do cliente, apenas para lhe prestar o Serviço.
• Titulares dos dados: as pessoas que abrem ou preenchem seus formulários, as pessoas mencionadas nas respostas delas e os colegas que você convida.
• Tipos de dados pessoais: tudo o que seus formulários pedem, como nomes, endereços de e-mail, números de telefone, respostas e arquivos enviados; quando uma resposta foi enviada, a página de onde veio e as tags de campanha; um endereço de e-mail confirmado, se o seu formulário pedir; e as páginas alcançadas em um formulário e, enquanto o seu plano incluir respostas parciais, as respostas não enviadas.
• Dados sensíveis: apenas se o seu formulário pedir. Você decide se vai coletá-los e é responsável por ter uma base legal para isso.

Suas instruções

Tratamos dados pessoais do cliente apenas conforme as suas instruções documentadas. Estes termos, este Acordo e as ações que você realiza no Serviço, como publicar um formulário, definir um prazo de retenção, conectar um webhook, exportar ou excluir respostas, são as suas instruções. Avisamos você se acreditarmos que uma instrução viola a lei de proteção de dados.

Se a lei nos obrigar a tratar dados pessoais do cliente de outra forma, avisamos você antes de fazê-lo, a menos que a lei o proíba.

Suas responsabilidades

Você é responsável por ter uma base legal para os dados que coleta, por informar às pessoas que preenchem seus formulários como você usa as respostas delas e por garantir que suas instruções cumpram a lei. Você também é responsável pelos serviços que conecta aos seus formulários, como webhooks ou pixels de rastreamento, e pelos dados que envia a eles.

Confidencialidade

Todas as pessoas que autorizamos a tratar dados pessoais do cliente têm o dever de mantê-los confidenciais. Só acessamos esses dados quando necessário para prestar o Serviço, responder às suas solicitações de suporte, analisar uma denúncia ou cumprir uma obrigação legal.

Não vendemos dados pessoais do cliente, não os usamos para publicidade nem para fins próprios, e não os usamos para treinar modelos de IA.

Medidas de segurança

Protegemos os dados pessoais do cliente com estas medidas:

• O Fillio é servido apenas por HTTPS, e nosso provedor de hospedagem criptografa o banco de dados e os arquivos armazenados.
• Regras de acesso no banco de dados e no armazenamento de arquivos permitem que apenas o dono de um formulário e os colegas que ele convida leiam as respostas dele.
• Senhas de formulários, links para assumir um formulário e códigos de acesso ficam em registros que só os nossos servidores podem ler. Os códigos de acesso e de verificação são armazenados apenas como hashes e expiram após 10 minutos.
• A pasta de arquivos enviados a um formulário não pode ser listada, então conhecer um formulário nunca revela os arquivos enviados a ele. Um arquivo individual pode ser aberto por qualquer pessoa que tenha o link dele.
• O envio de arquivos aceita apenas certos tipos de arquivo, até o tamanho que o plano do dono do formulário permite.
• Limites de frequência e verificações contra spam protegem os formulários e o acesso à conta contra abusos.
• Nossas ferramentas de análise não veem o conteúdo dos formulários nem o que os respondentes digitam.

Podemos alterar essas medidas ao longo do tempo, mas nunca de um modo que reduza a proteção geral dos dados pessoais do cliente.

Suboperadores

Você nos autoriza a usar os suboperadores listados abaixo. Cada um deles está vinculado a termos de proteção de dados que protegem os dados pessoais do cliente pelo menos tão bem quanto este Acordo exige, e continuamos responsáveis perante você por eles, conforme a lei exige.

Antes de adicionarmos uma nova categoria de suboperadores ou levarmos dados pessoais do cliente para uma nova região, atualizamos a lista abaixo e avisamos os titulares de contas por e-mail ou no app, para que você tenha tempo de se opor. Se você se opuser por motivos razoáveis de proteção de dados e não conseguirmos resolver sua preocupação, você pode encerrar o acordo excluindo sua conta, e reembolsamos a parte não utilizada de qualquer valor que você tenha pago antecipadamente.

Suboperadores atuais

• Provedor de hospedagem em nuvem e banco de dados: hospedagem, banco de dados, armazenamento de arquivos e login. Todos os dados pessoais do cliente. Estados Unidos.
• Provedor de envio de e-mails: e-mails de notificação de respostas e códigos de verificação de e-mail, com as respostas de um envio e endereços de e-mail. Estados Unidos.
• Ferramenta de gravação de sessões: dados de interação como cliques e rolagem nas páginas de formulário, com o conteúdo do formulário e o que os respondentes digitam ocultos. Estados Unidos.
• Provedor de análise: dados de uso nas páginas de formulário, como páginas vistas, tipo de dispositivo e país aproximado. Estados Unidos.
• Serviço de localização: identificar o país de um respondente pelo endereço IP, para o campo de número de telefone. Estados Unidos.
• Provedores de modelos de IA: só quando você usa o criador de formulários com IA, com sua descrição e as perguntas e opções de um formulário, nunca respostas. Eles não armazenam esses dados nem treinam com eles. Estados Unidos.

A Paddle não é um suboperador. Ela cuida dos seus pagamentos como merchant of record (vendedor responsável) e não recebe nenhuma resposta. Os serviços que você conecta a um formulário, e o conteúdo de outros sites que você exibe dentro de um formulário, são escolha sua e não são nossos suboperadores. Você pode nos pedir a lista atual de provedores de cada categoria em support@fillio.so.

Transferências internacionais

Os dados pessoais do cliente são armazenados no nosso provedor de hospedagem em nuvem, nos Estados Unidos, e nossos suboperadores os tratam nos Estados Unidos.

Quando o GDPR se aplicar a você e uma transferência de dados pessoais do cliente para nós ou para nossos suboperadores precisar de uma salvaguarda, as cláusulas contratuais-padrão adotadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914 se aplicam entre você e nós e fazem parte deste Acordo: o Módulo Dois quando você for controlador, e o Módulo Três quando você for operador. Nessas cláusulas, a cláusula 7 opcional não se aplica, a cláusula 9, opção 2, se aplica com o aviso descrito acima, a redação opcional da cláusula 11 não se aplica, e as cláusulas 17 e 18 escolhem a lei e os tribunais da Irlanda. As seções deste Acordo trazem as informações dos Anexos I, II e III, e a autoridade de controle competente é a definida pela cláusula 13.

Para dados protegidos pelo UK GDPR, o International Data Transfer Addendum emitido pelo Information Commissioner do Reino Unido se aplica junto com essas cláusulas. Para dados protegidos pela lei suíça, as cláusulas se aplicam com as referências ao GDPR entendidas como referências à Lei Federal Suíça de Proteção de Dados, e o Comissário Federal Suíço de Proteção de Dados e Informação é a autoridade competente.

Quando nossos suboperadores transferem dados, eles se apoiam nas cláusulas contratuais-padrão ou em uma decisão de adequação, como o EU-US Data Privacy Framework.

Solicitações dos titulares dos dados

Você mesmo pode encontrar, exportar e excluir respostas no Fillio, o que atende à maioria das solicitações das pessoas que preenchem seus formulários. Se alguém nos perguntar diretamente sobre os próprios dados no seu formulário, orientamos a pessoa a falar com você, e não atendemos nós mesmos a solicitação, a menos que a lei exija. Quando você precisar de mais ajuda para atender a uma solicitação, escreva para nós e ajudaremos na medida do razoável.

Ajuda com as suas obrigações

Levando em conta a natureza do tratamento e as informações de que dispomos, damos a você ajuda razoável com as suas obrigações de segurança, as avaliações de impacto sobre a proteção de dados e as consultas a uma autoridade de controle que digam respeito ao Serviço.

Violações de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais que afete dados pessoais do cliente, avisamos você sem demora injustificada por e-mail, no endereço da sua conta. Descrevemos o que aconteceu, os dados e as pessoas provavelmente afetados, as consequências prováveis e as medidas que estamos tomando, e acrescentamos detalhes à medida que soubermos mais. Tomamos medidas razoáveis para conter a violação e limitar seus efeitos. Avisar você sobre uma violação não significa que admitimos culpa.

Você é responsável por avisar as autoridades de controle e as pessoas afetadas quando a lei exigir, e nós ajudamos você com as informações de que dispomos.

Exclusão

Os dados pessoais do cliente são excluídos quando você os exclui: uma única resposta, um formulário com suas respostas, arquivos e registros, ou a sua conta inteira. No plano Business, você também pode fazer com que as respostas se excluam sozinhas após um prazo definido. As respostas em andamento e as estatísticas de visitas são excluídas após 91 dias.

Exporte o que quiser guardar antes de excluir. Após a exclusão, nossos fornecedores podem manter os dados em seus sistemas por um tempo limitado antes de serem apagados por completo. Só mantemos dados por mais tempo quando a lei exige.

Informações e auditorias

Damos a você as informações de que razoavelmente precisa para demonstrar que este Acordo está sendo cumprido, por meio desta página, da lista de suboperadores e de respostas por escrito às suas perguntas. Nosso provedor de hospedagem publica as certificações e os relatórios de auditoria da infraestrutura em que o Fillio funciona.

Se essas informações não forem suficientes, ou se uma autoridade de controle exigir, você pode auditar o nosso cumprimento deste Acordo, no máximo uma vez por ano, a menos que uma autoridade de controle exija mais. Avise-nos com pelo menos 30 dias de antecedência, use um auditor sujeito a confidencialidade e pague os custos da auditoria. Uma auditoria não pode dar acesso aos dados de outros clientes.

Responsabilidade

As limitações de responsabilidade dos termos se aplicam a este Acordo, na medida em que a lei permitir. Elas não limitam os direitos que a lei dá às pessoas a quem os seus dados se referem.

Vigência e alterações

Este Acordo se aplica enquanto tratarmos dados pessoais do cliente para você. Podemos atualizá-lo, por exemplo quando nossos suboperadores mudarem. A data no topo mostra quando ele foi alterado pela última vez. Se uma alteração for significativa, avisamos os titulares de contas por e-mail ou no app antes que ela entre em vigor.

Contato

Dúvidas sobre este Acordo ou sobre os dados pessoais do cliente: support@fillio.so.