1. Partes, papéis e escopo

Este Acordo complementa os Termos de uso e vale entre o cliente (loja, agência ou outra pessoa que contrata o Lens), na qualidade de CONTROLADOR (data controller), e KEYPOINT SOLUÇÕES EM TECNOLOGIA LTDA, CNPJ em registro, Goiânia/GO, Brasil (“Keypoint”), na qualidade de OPERADORA (data processor), nos termos da LGPD (Lei 13.709/2018) e, quando aplicável, do GDPR (Regulamento UE 2016/679).

Ele se aplica aos dados pessoais dos visitantes e compradores dos sites e checkouts do cliente que são tratados pelo Lens. Quanto aos dados do próprio cliente (cadastro, cobrança), a Keypoint é controladora, conforme a Política de privacidade.

2. Objeto, natureza e finalidade do tratamento

• Objeto: prestação do serviço Keypoint Lens contratado.
• Natureza e finalidade: coletar, armazenar, organizar, analisar e exibir ao cliente dados de navegação (sessões gravadas, cliques, rolagem, erros, desempenho), pedidos e vendas recebidos por webhook do checkout do cliente, dados de anúncios do Meta Ads e, quando conectado, dados de WhatsApp Business, além de gerar análises por IA sobre as sessões.
• Categorias de titulares: visitantes e compradores dos sites do cliente.
• Categorias de dados: identificadores de visita e sessão, endereço IP, dados do dispositivo e do navegador, páginas e interações, e dados de pedido e comprador enviados pelo cliente (por exemplo nome, e-mail, telefone), conforme a configuração do cliente.
• Duração: durante o contrato e o prazo de arquivamento descrito na seção 10.

3. Instruções do controlador

A Keypoint tratará os dados somente conforme as instruções documentadas do cliente, que são estes Termos, este DPA e as configurações feitas por ele no painel. Se uma instrução violar a lei, a Keypoint avisará o cliente. A Keypoint não usará esses dados para fins próprios, nem os venderá ou compartilhará para publicidade.

É responsabilidade do cliente ter base legal para o tratamento, informar os titulares e, quando necessário, obter o consentimento antes de ativar o gravador.

4. Confidencialidade

A Keypoint garante que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade e têm acesso apenas ao necessário para suas funções. O acesso de suporte à conta do cliente (“Entrar como cliente”) é sempre notificado ao cliente, é somente leitura e exibe os dados pessoais dos compradores mascarados.

5. Medidas de segurança

• Mascaramento de campos no navegador, antes do envio: senha, cartão, CPF e demais documentos, e qualquer campo configurado como mascarado, que por padrão é mascarado.
• Criptografia em trânsito (TLS) em todas as comunicações.
• Controle de acesso por perfil e autenticação em dois fatores disponível.
• Tokens do Meta e do gateway de pagamento mantidos apenas no servidor.
• Registros (logs) de acesso e de operações relevantes.
• Proteção contra abuso e ataques de negação de serviço e verificação anti-bot na borda.
• Avaliação e melhoria contínuas das medidas, proporcionais ao risco.

6. Suboperadores

O cliente autoriza, de forma geral, a contratação dos suboperadores listados na página “Suboperadores”. A Keypoint impõe a eles obrigações de proteção de dados equivalentes às deste Acordo e permanece responsável perante o cliente pelo seu desempenho.

Avisaremos sobre a inclusão ou a substituição de suboperadores com 30 dias de antecedência, por e-mail ou no aplicativo. Nesse prazo, o cliente pode se opor por escrito, de forma fundamentada, em [email protected]; se não houver solução razoável, o cliente poderá encerrar o contrato sem multa, com acesso até o fim do período já pago.

7. Transferência internacional de dados

Os servidores da Keypoint ficam na União Europeia (França). Alguns suboperadores tratam dados nos Estados Unidos, na Islândia ou em outros países. As transferências observam o art. 33 da LGPD e, para dados sujeitos ao GDPR, as Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia ou outro mecanismo válido, em conjunto com medidas complementares quando necessárias.

8. Solicitações dos titulares

Se um titular se dirigir à Keypoint, encaminharemos o pedido ao cliente sem demora, salvo quando a lei exigir resposta direta. Ajudaremos o cliente a atender solicitações de acesso, exportação, correção e eliminação, por meio de ferramentas do painel ou por pedido a [email protected]. Para localizar os dados de uma pessoa, usamos e-mail, telefone ou o identificador da visita (visit id), fornecidos pelo cliente.

9. Incidentes de segurança

A Keypoint notificará o cliente sem demora indevida após tomar conhecimento de incidente que afete dados pessoais tratados em nome dele, com meta de até 48 horas. A notificação conterá, na medida do possível: natureza do incidente, categorias e volume de dados e titulares afetados, consequências prováveis e medidas adotadas ou propostas. Cabe ao cliente decidir sobre a comunicação aos titulares e à ANPD (ou autoridade competente), com nosso apoio.

10. Retenção e eliminação

As sessões e demais dados são mantidos pelo prazo de retenção do plano contratado (7, 30, 90 ou 180 dias). Após o cancelamento ou o encerramento da conta, os dados ficam arquivados por 30 dias e, depois, são excluídos de forma definitiva, com aviso 1 dia antes. Antes disso, o cliente pode exportá-los. Eventuais cópias de segurança são eliminadas no seu ciclo normal de rotação. Podemos reter dados apenas quando a lei exigir.

11. Auditorias e documentação

A pedido do cliente, a Keypoint fornecerá a documentação razoavelmente necessária para demonstrar o cumprimento deste Acordo (por exemplo, descrição das medidas de segurança e lista atualizada de suboperadores). Auditorias presenciais ou técnicas dependem de acordo prévio quanto a escopo, data e confidencialidade, e os custos extras são do cliente.

12. Responsabilidade e disposições finais

A responsabilidade das partes sob este Acordo segue os limites dos Termos de uso, sem prejuízo da responsabilidade solidária prevista em lei perante os titulares. Em caso de conflito sobre proteção de dados, prevalece este Acordo. Ele vigora enquanto a Keypoint tratar dados em nome do cliente. Contato do encarregado (DPO): [email protected].