Acordo de Tratamento de Dados

Papéis e escopo

• Você é o controlador e a K4 é sua operadora quanto aos dados descritos no Anexo A, principalmente os dados dos seus clientes nas reservas que você registra.
• Quanto aos dados da sua própria conta, de acesso e de cobrança, a K4 atua como controladora nos termos do nosso Aviso de Privacidade, e não deste Acordo.
• Você não deve inserir na K4 dados pessoais sensíveis (como informações de saúde) nem dados relativos a crianças; o serviço não foi concebido para isso.

Nossas obrigações

• Tratamos os dados apenas para fornecer a K4 a você e de acordo com suas instruções documentadas, dadas por meio do produto ou por escrito, salvo se a lei exigir outra coisa. Informaremos você caso entendamos que uma instrução viola a lei.
• Nunca vendemos os dados, nem os compartilhamos para publicidade, nem os usamos para treinar modelos de IA.
• Concedemos acesso apenas às pessoas que precisam dele e que estão sujeitas a dever de confidencialidade.
• Protegemos os dados com as medidas descritas no Anexo B.

Suas obrigações

• Você deve ter uma base legal para os dados que nos fornece e informar seus clientes sobre como eles são usados.
• Você decide quais membros da sua equipe e quais operadores podem ver os dados, e mantém a segurança das suas próprias contas.

Suboperadores

• Você autoriza os suboperadores listados no Anexo C. Cada um está sujeito a condições de proteção de dados pelo menos tão protetivas quanto estas, e continuamos responsáveis pela atuação deles.
• Notificaremos os titulares das contas por e-mail com pelo menos 30 dias de antecedência antes de incluir ou substituir um suboperador. Se você se opuser por motivos razoáveis de proteção de dados e não pudermos resolver a objeção, você poderá encerrar sua conta antes que a alteração entre em vigor e receber o reembolso proporcional das tarifas pagas antecipadamente.

Transferências internacionais

Os dados são hospedados na Amazon Web Services, nos Estados Unidos. Quando dados da UE, do EEE, do Reino Unido ou da Suíça são transferidos para um país sem decisão de adequação, baseamo-nos no Marco de Privacidade de Dados UE-EUA quando o destinatário é certificado e, nos demais casos, nas Cláusulas Contratuais Padrão da Comissão Europeia (módulo 2 ou 3), juntamente com o Adendo do Reino Unido e as adaptações suíças, quando aplicáveis.

Incidentes de segurança

Se tomarmos conhecimento de um incidente de segurança que afete os dados, notificaremos você sem demora injustificada e, em qualquer caso, em até 48 horas, com as informações de que dispusermos e as medidas que estivermos adotando, para que você possa cumprir sua própria obrigação de notificar a autoridade de controle em 72 horas. Manteremos você informado e o ajudaremos a responder.

Assistência e auditorias

• Ajudamos você a responder às solicitações dos seus clientes de acesso, correção ou exclusão de dados, principalmente por meio de ferramentas do produto. Se um cliente entrar em contato diretamente conosco, encaminharemos a solicitação a você.
• Ajudamos você com relatórios de impacto à proteção de dados e com consultas prévias às autoridades de controle quando a lei exigir.
• Respondemos a questionários de segurança razoáveis e fornecemos as informações necessárias para demonstrar nosso cumprimento deste Acordo. Auditorias presenciais ocorrem mediante acordo, às suas custas e no máximo uma vez por ano, salvo exigência de uma autoridade de controle.

Fim do tratamento

Você pode exportar seus dados a qualquer momento. Quando você encerra sua conta, excluímos os dados em até 90 dias, inclusive dos backups à medida que expiram, salvo se a lei exigir que os mantenhamos.

Anexo A · Descrição do tratamento

• Finalidade: gerenciar o calendário da sua frota: registrar reservas, bloqueios e manutenções, programar os tempos de preparação e de rotatividade, evitar reservas duplicadas, importar reservas de e-mails encaminhados e de feeds de calendário, e mostrar aos operadores o que eles estão autorizados a ver.
• Titulares: seus clientes, e os membros da sua equipe e operadores quando você os adiciona.
• Categorias de dados: nomes, endereços de e-mail, números de telefone, número de hóspedes, datas de reserva, observações que você adiciona e o conteúdo dos e-mails de reserva que você encaminha.
• Dados sensíveis: nenhum previsto.
• Duração: enquanto você usar a K4 e, depois, conforme previsto em Fim do tratamento; os prazos de retenção constam do Aviso de Privacidade.

Anexo B · Medidas de segurança

• Criptografia: TLS em trânsito; armazenamento e backups criptografados em repouso; números de telefone e dados de contato criptografados também no nível da aplicação (AES-256-GCM).
• Controle de acesso: o acesso ao banco de dados é restrito por função e por conta, e aplicado no próprio banco de dados; os operadores veem os dados dos clientes somente enquanto a reserva estiver ativa.
• Pessoal: autenticação em dois fatores, acesso com privilégio mínimo e um registro de cada alteração.
• Inteligência artificial: números de cartão, endereços de e-mail e números de telefone são removidos antes que qualquer texto seja enviado a um modelo de IA.
• Operações: hospedagem na Amazon Web Services nos Estados Unidos, com backups automáticos, atualizações de segurança regulares e um procedimento documentado de resposta a incidentes.

Anexo C · Suboperadores