0. O que é isto, e quem obriga

Este acordo é entre o centro de kite que usa o Wind HQ (“o Controlador”) e Sergei Fedorov Računarsko Programiranje pr cpp Beograd, a sole trader registered in Belgrade, Serbia, atuando como Wind HQ (“o Operador”). Ele faz parte do acordo do centro e entra em vigor junto com ele. Onde os dois divergirem sobre o tratamento de dados pessoais, prevalece este.

Foi escrito para satisfazer o art. 28(3) do GDPR e as exigências equivalentes da LGPD brasileira e da Lei nº 151 de 2020 do Egito. Os números das cláusulas abaixo seguem a ordem do art. 28(3), para que possa ser conferido contra a norma sem caça ao tesouro.

Os termos usados aqui — controlador, operador, dados pessoais, tratamento, titular, incidente de segurança com dados pessoais, autoridade supervisora — têm o sentido que o GDPR lhes dá.

1. Objeto, duração, natureza e finalidade

• Objeto: os dados pessoais que o Controlador registra no Wind HQ para tocar um centro de kite — agendar aulas, alocar equipamento e obter confirmações das pessoas envolvidas.

• Duração: enquanto durar o acordo do centro, mais as janelas de exportação e exclusão da cláusula 8.

• Natureza: coleta, armazenamento, organização, recuperação, transmissão ao titular pelos canais que o Controlador tiver habilitado, e eliminação.

• Finalidade: prestar o serviço descrito no acordo do centro, e nada além disso. Não tratamos os dados pessoais do Controlador para finalidades próprias, e não os vendemos.

2. Tipos de dados pessoais e categorias de titulares

Titulares: os alunos do Controlador (riders), seus instrutores e sua equipe.

Tipos de dados pessoais:

• dados de identidade e contato — nome, e-mail, telefone, contato de mensageiro;

• preferência de idioma;

• dados de vínculo — qual centro, em que papel, desde quando;

• registros de aula — aulas agendadas e realizadas, instrutor, pico e as condições de vento sob as quais cada uma foi planejada;

• peso corporal e nível de navegação, usados unicamente para casar um tamanho de kite com o vento, e nível de certificação;

• registros de mensagem — o que foi enviado sobre uma aula, se foi entregue e se o destinatário respondeu;

• metadados de pagamento, quando o Controlador recebe pagamentos pela plataforma — valor, moeda, data, situação. Os dados do cartão são tratados pelo provedor de pagamento e nunca chegam ao Operador.

Dados sensíveis estão fora do escopo. A plataforma não oferece nenhum campo que aceite texto livre sobre um rider, e o acordo do centro obriga o Controlador a não registrar informação de saúde em lugar nenhum dela. Se o Controlador fizer isso mesmo assim, o faz fora das instruções documentadas do Operador, e aplica-se a cláusula 3.

3. Tratamento apenas mediante instruções documentadas (art. 28(3)(a))

O Operador trata dados pessoais apenas mediante instruções documentadas do Controlador, inclusive quanto a transferências para um terceiro país. O uso da plataforma pelo Controlador, junto com o acordo do centro e com este acordo, constitui essas instruções; qualquer coisa além disso deve ser enviada por escrito para ops@windhq.app.

Quando a lei exigir que o Operador trate dados além dessas instruções, ele avisará o Controlador antes de fazê-lo, salvo se a própria lei proibir o aviso.

O Operador avisará o Controlador se uma instrução lhe parecer violar a legislação de proteção de dados. Ele não é obrigado a fiscalizar a base legal do Controlador, e não afirma fazê-lo.

4. Confidencialidade (art. 28(3)(b))

Toda pessoa autorizada pelo Operador a tratar os dados pessoais do Controlador está vinculada por compromisso escrito de confidencialidade, ou por obrigação profissional de sigilo, que sobrevive ao fim do seu vínculo. O acesso é limitado a quem precisa dele para operar o serviço, e o acesso administrativo é registrado.

5. Segurança (art. 28(3)(c), art. 32)

O Operador mantém, no mínimo:

• criptografia dos dados pessoais em trânsito e em repouso;

• isolamento dos dados de cada centro no nível do banco de dados, e não apenas pelo código da aplicação;

• tokens de autenticação guardados no servidor e nunca entregues a um navegador;

• acesso delimitado por papel, privilégio mínimo e trilha de auditoria das ações administrativas;

• um histórico de decisões de agendamento que só cresce, nunca é reescrito, o que resiste a alteração silenciosa;

• a capacidade de restabelecer disponibilidade e acesso após um incidente, e revisão periódica dessas medidas.

A seção de segurança da política de privacidade descreve as mesmas medidas em linguagem mais simples. Onde divergirem em detalhe, prevalece esta cláusula.

6. Suboperadores (art. 28(2) e art. 28(3)(d))

O Controlador dá autorização geral para que o Operador contrate os suboperadores abaixo. Cada um é contratado sob contrato escrito que impõe obrigações de proteção de dados não menos protetivas do que estas.

• Fly.io — application hosting and the public edge.

• Supabase — the databases and file storage.

• Auth0 (Okta) — authentication, including social sign-in where you choose it.

• Mailgun (Sinch) — transactional email — invitations, confirmations, receipts.

• Meta (WhatsApp Business) — lesson messages, where your station has connected WhatsApp.

• Telegram — lesson messages, where you have linked a Telegram account.

• Twilio — automated voice calls at the last step of a confirmation chase.

• Plausible Analytics — counting visits, cookielessly and without a profile, in the EU.

Mudanças: o Operador dará ao Controlador aviso por escrito de pelo menos 30 dias antes de acrescentar ou substituir um suboperador. O Controlador pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo; se a oposição não puder ser resolvida, qualquer das partes pode rescindir o acordo do centro sem penalidade, e aplica-se a cláusula 8.

O Operador continua responsável perante o Controlador pelos atos de seus suboperadores.

7. Assistência (art. 28(3)(e) e art. 28(3)(f))

• Pedidos de titulares. A plataforma dá ao Controlador as ferramentas para acessar, corrigir, exportar e apagar os dados que ele guarda. Quando um pedido chegar diretamente ao Operador, ele não o responderá em nome do Controlador, mas o encaminhará sem demora indevida e assistirá o Controlador na resposta — inclusive dentro do prazo de 15 dias que a LGPD estabelece, mais curto que o do GDPR.

• Incidente. O Operador notificará o Controlador sem demora indevida e, em qualquer caso, em até 48 horas depois de tomar conhecimento de um incidente de segurança com dados pessoais que afete os dados do Controlador, com as informações de que o Controlador precisa para cumprir a sua própria obrigação de 72 horas, e assistirá a investigação. Quarenta e oito, e não setenta e duas, de propósito: o relógio do Controlador é de 72 horas e não pode começar depois que o nosso termina.

• Avaliações de impacto. O Operador fornecerá as informações razoavelmente necessárias para um relatório de impacto à proteção de dados ou uma consulta prévia a uma autoridade supervisora.

8. Exclusão ou devolução ao final (art. 28(3)(g))

Na rescisão, o Controlador pode exportar seus dados por 30 dias em formato legível por máquina (CSV ou JSON). Depois dessa janela, o Operador os apaga em até 90 dias, inclusive dos backups conforme eles são rotacionados, e confirma a exclusão por escrito mediante pedido.

A exceção, dita em vez de escondida: os lançamentos que o Operador é obrigado por lei a manter — registros financeiros, para fins tributários — são retidos pelo prazo legal e nada mais é feito com eles. Os registros mantidos para a constituição ou a defesa de direitos em processo são pseudonimizados, e não eliminados; ficam sem os campos identificadores, e o Operador não afirma que nunca poderiam ser reassociados.

9. Auditoria e informação (art. 28(3)(h))

O Operador disponibilizará as informações necessárias para demonstrar o cumprimento deste acordo, e permitirá e contribuirá com auditorias — inclusive inspeções — conduzidas pelo Controlador ou por auditor por ele indicado.

De forma razoável, e de um jeito que uma empresa de duas pessoas consiga honrar de verdade: com aviso de 30 dias, no máximo uma vez por ano, salvo se um incidente ou uma autoridade supervisora exigir o contrário, em horário comercial, sob confidencialidade e sem acesso aos dados de outro centro. Quando um relatório de auditoria de terceiro em vigor responder à pergunta, o Operador pode oferecê-lo no lugar — hoje ele não tem nenhum, e diz isso em vez de dar a entender o contrário.

10. Transferências internacionais

O Wind HQ roda em mais de uma região, e os dados pessoais são colocados em uma região que satisfaça a lei aplicável ao Controlador e aos seus alunos. A região que guarda os dados de um determinado centro fica registrada nesse centro e não fica mudando de lugar.

Divulgação em nível de região. Mediante pedido, o Operador dirá ao Controlador qual região guarda os dados dele, e avisará antes de movê-los — o Controlador precisa disso para o seu próprio registro das operações de tratamento e para o seu próprio aviso de privacidade. A política de privacidade pública enuncia a regra, em vez de uma lista de localizações; esta cláusula é o que transforma isso em uma resposta para o centro que precisar de uma.

O pessoal do Operador está estabelecido Serbia, então operar o serviço envolve acesso a partir de lá. Quando uma transferência exigir cláusulas contratuais padrão ou outro mecanismo do art. 46, as partes o adotam, e as cláusulas contratuais padrão ficam incorporadas por referência, com o Controlador como exportador de dados e o Operador como importador.

A Lei nº 151 de 2020 do Egito exige uma autorização para transferências internacionais. Quando o Controlador for um centro egípcio, as partes não transferirão dados pessoais para fora do Egito enquanto essa autorização não estiver em vigor.

11. Dados agregados e anonimizados

A cláusula 8 do acordo do centro permite ao Operador usar dados agregados e anonimizados para operar e melhorar o serviço. Para evitar dúvida: essa permissão alcança apenas dados a partir dos quais nenhum indivíduo e nenhum centro possam ser identificados ou re-derivados, e a anonimização nesse padrão tira os dados do alcance deste acordo. Dado pseudonimizado não é dado anonimizado e permanece dentro dele.

12. Responsabilidade, e o resto

A cláusula de responsabilidade do acordo do centro se aplica a este. Este acordo é regido por the laws of Serbia, com os tribunais de Belgrado detendo jurisdição exclusiva, e termina quando o acordo do centro terminar.

13. Contato

Assuntos de proteção de dados: ops@windhq.app. O Operador não designou um encarregado de proteção de dados; é uma empresa de duas pessoas cujo tratamento não atinge os limiares do art. 37, e designará um se isso mudar.