Anexo de Tratamento de Dados — DPA

1. Papéis das partes

Para dados pessoais inseridos e tratados pela SoftBuy segundo as instruções da Contratante, a Contratante atua como Controladora e a SoftBuy como Operadora, salvo quando a natureza de determinada atividade determinar papel distinto nos termos da LGPD.

2. Instruções e finalidade

A SoftBuy tratará os dados conforme instruções documentadas da Contratante, o contrato, a configuração da plataforma e exigências legais aplicáveis, utilizando-os na medida necessária à prestação, segurança, suporte e manutenção do serviço.

3. Categorias de dados e titulares

As categorias dependem dos módulos utilizados e podem incluir dados cadastrais, profissionais, de contato, autenticação, fornecedores, funcionários, representantes, usuários e outros registros operacionais inseridos pela Contratante.

4. Confidencialidade

Pessoas autorizadas a tratar dados pessoais estarão sujeitas a deveres de confidencialidade e receberão acesso compatível com suas funções.

5. Segurança

• Controle de acesso baseado em autenticação e permissões.
• Segregação lógica entre ambientes de clientes.
• Autenticação adicional para acessos administrativos e operações protegidas, quando aplicável.
• Proteções de infraestrutura, monitoramento e registros operacionais.
• Gestão de vulnerabilidades e atualizações compatíveis com o serviço.
• Procedimentos de backup, recuperação e resposta a incidentes.

6. Suboperadores

A SoftBuy poderá contratar suboperadores necessários à prestação do serviço. Permanecerá responsável por selecionar prestadores compatíveis com as obrigações aplicáveis ao tratamento e manter salvaguardas contratuais adequadas.

7. Transferências internacionais

Quando o tratamento envolver transferência internacional, será adotado mecanismo válido conforme a LGPD e a regulamentação vigente da ANPD, considerando a cadeia de fornecedores tecnológicos envolvida.

8. Direitos dos titulares

A SoftBuy prestará assistência razoável à Contratante para atendimento de solicitações de titulares relacionadas aos dados tratados no serviço, considerando a natureza do tratamento e as funcionalidades disponíveis.

9. Incidentes de segurança

Ao confirmar incidente de segurança envolvendo dados tratados como Operadora e que possa impactar a Contratante, a SoftBuy comunicará a Contratante sem demora indevida e buscará fornecer, quando viável, uma comunicação inicial em até 24 horas após a confirmação, com as informações então disponíveis. Esse prazo operacional não substitui prazos legais atribuídos ao Controlador.

10. Retenção, devolução e exclusão

No encerramento do serviço, a SoftBuy seguirá as instruções contratuais sobre exportação, devolução, retenção e eliminação, ressalvadas hipóteses legais de conservação.

11. Auditoria e evidências

A SoftBuy poderá fornecer informações e evidências razoavelmente necessárias para demonstrar cumprimento das obrigações deste DPA, resguardados segredos comerciais, segurança de outros clientes e limitações proporcionais do serviço.