Acordo de Tratamento de Dados

Escopo e papéis

O Cliente é o controlador, e Onur Öztürk, empresário individual sob o nome comercial Ozan Soft ("GenderAPI"), é o operador dos Dados Pessoais do Cliente enviados por meio da API, das ferramentas de processamento de arquivos ou das funções de planilhas conectadas. Cada parte permanece responsável, de forma independente, pelos dados pessoais que trata como controlador, incluindo a administração de contas, do faturamento e dos contatos comerciais pela GenderAPI.

O Cliente determina se os dados enviados são dados pessoais e é responsável pela respectiva base legal, pelos avisos, pelas autorizações e pelas instruções. O Cliente não deve enviar dados que o Serviço não foi projetado para tratar, nem usar resultados de inferência como única base para uma decisão que produza efeitos jurídicos ou efeitos igualmente significativos sobre uma pessoa.

Instruções de tratamento

A GenderAPI tratará os Dados Pessoais do Cliente somente para fornecer, proteger e dar suporte ao Serviço, de acordo com o contrato, este DPA, o uso documentado do Serviço pelo Cliente e a legislação aplicável. A GenderAPI informará o Cliente se, em sua opinião razoável, uma instrução violar a legislação de proteção de dados aplicável, salvo se a lei proibir essa comunicação.

A GenderAPI não venderá os Dados Pessoais do Cliente, não os usará para publicidade comportamental entre contextos, não os usará para treinar o modelo de inferência privado e não os manterá em logs de IA. As regras de retenção da Política de Privacidade integram estas instruções de tratamento documentadas.

Confidencialidade e segurança

A GenderAPI garantirá que as pessoas autorizadas a tratar os Dados Pessoais do Cliente estejam sujeitas a um dever de confidencialidade adequado e só possam acessar os dados na medida necessária para as tarefas que lhes foram atribuídas. A GenderAPI manterá medidas técnicas e organizacionais adequadas à natureza do Serviço e aos riscos do tratamento.

• Transmissão protegida por TLS para os dados trocados com o Serviço.
• Restrições de acesso a sistemas de produção, dados de clientes e backups de acesso restrito.
• Separação e proteção das credenciais de conta e das chaves de API de produção.
• Registro de eventos de segurança e registro técnico sujeitos ao cronograma de retenção publicado.
• Backups rotativos com período padrão de sobrescrita de até 15 dias.
• Tratamento privado por IA, sem treinamento com dados de clientes e sem registro de prompts ou resultados de IA.
• Procedimentos de minimização e exclusão de dados alinhados ao cronograma de retenção do Serviço.

Suboperadores

O Cliente concede à GenderAPI autorização geral por escrito para usar os fornecedores identificados como suboperadores deste DPA na página de suboperadores. A GenderAPI exigirá que cada suboperador proteja os Dados Pessoais do Cliente com base em obrigações substancialmente compatíveis com este DPA, na medida em que se apliquem aos serviços que o suboperador presta. A GenderAPI continua responsável por suas obrigações nos termos deste DPA. Os fornecedores usados apenas nas atividades da GenderAPI como controlador, como faturamento ou comunicações sobre a conta, são identificados separadamente e não são considerados operadores do Cliente apenas por constarem no registro de fornecedores.

A GenderAPI dará aviso prévio de pelo menos 30 dias, pela página de suboperadores, pelo Serviço ou pelo e-mail da conta do Cliente, antes de adicionar ou substituir um suboperador que tratará Dados Pessoais do Cliente. Durante esse período, o Cliente poderá apresentar uma objeção razoável e documentada relativa à proteção de dados. As partes buscarão de boa-fé uma solução comercialmente razoável; se nenhuma estiver disponível, o Cliente poderá deixar de usar o recurso afetado.

Assistência e incidentes com dados pessoais

Levando em conta a natureza do tratamento e as informações de que dispõe, a GenderAPI prestará assistência razoável em relação a solicitações de titulares dos dados, obrigações de segurança, notificações de violação de dados pessoais, avaliações de impacto sobre a proteção de dados e consultas exigidas pela legislação de proteção de dados aplicável. Se um titular dos dados contatar a GenderAPI sobre Dados Pessoais do Cliente, a GenderAPI poderá encaminhar a solicitação ao Cliente, salvo se a legislação aplicável exigir uma resposta direta.

A GenderAPI notificará o Cliente sem demora injustificada e, sempre que razoavelmente possível, em até 48 horas após tomar conhecimento de uma violação de dados pessoais confirmada que afete Dados Pessoais do Cliente. A notificação fornecerá as informações disponíveis razoavelmente necessárias para a avaliação e as obrigações de notificação do Cliente. A notificação não constitui reconhecimento de culpa ou de responsabilidade.

Devolução e exclusão

Durante a vigência do Serviço, o Cliente pode recuperar os resultados disponíveis por meio das funções compatíveis do Serviço. No encerramento da conta, no término do tratamento em questão ou mediante uma solicitação de exclusão válida, a GenderAPI excluirá ou anonimizará de forma irreversível os Dados Pessoais do Cliente que permanecerem em sistemas ativos em até 30 dias, salvo se a legislação aplicável exigir a retenção. Os dados removidos dos sistemas ativos podem permanecer em backups rotativos de acesso restrito por até 15 dias adicionais antes de serem sobrescritos automaticamente.

A retenção legal de registros de faturamento, transações, prevenção de fraudes ou disputas não autoriza o uso contínuo do conteúdo das consultas ou dos arquivos enviados pelo Cliente. O cronograma por categoria da Política de Privacidade continua a se aplicar quando prevê um prazo mais curto.

Informações e auditorias

A GenderAPI disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, inicialmente por meio das políticas vigentes, da documentação e de um questionário de segurança razoável. Se essas informações forem insuficientes para cumprir uma obrigação legal, o Cliente poderá solicitar uma auditoria proporcional no máximo uma vez por ano, exceto após uma violação confirmada ou uma solicitação vinculante de uma autoridade reguladora.

A auditoria deve ser realizada mediante aviso prévio razoável, em horário comercial normal, sem expor os dados de outros clientes nem comprometer a segurança. O Cliente arca com os custos da auditoria, salvo se a auditoria identificar um descumprimento relevante por parte da GenderAPI. As partes acordarão previamente termos adequados de confidencialidade e de escopo.

Transferências internacionais

Os Dados Pessoais do Cliente podem ser tratados na Turquia e, por meio de infraestrutura contratada, nos Estados Unidos. A GenderAPI usará um mecanismo de transferência legalmente reconhecido, quando aplicável. Se forem exigidas as cláusulas contratuais padrão da UE adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, o módulo aplicável de controlador para operador fica incorporado a este DPA e prevalece sobre termos conflitantes para essa transferência. Ao celebrar o DPA, as partes preencherão as seleções ou os detalhes dos anexos legalmente exigidos para a sua transferência específica.

Detalhes do tratamento

Objeto e duração

O tratamento necessário para fornecer a GenderAPI durante o uso do Serviço pelo Cliente e pelos períodos limitados de exclusão, backup, segurança e retenção legal descritos neste DPA e na Política de Privacidade.

Natureza e finalidade

Recebimento, transmissão, análise e devolução de resultados de consultas à API, de arquivos Excel ou CSV enviados e de operações em planilhas conectadas, além de hospedagem, segurança, solução de problemas e suporte relacionados.

Categorias de titulares dos dados

Pessoas cujos nomes, endereços de e-mail, nomes de usuário ou registros relacionados são enviados pelo Cliente; usuários, funcionários, contatos ou usuários finais do Cliente; e pessoas representadas em dados de planilhas enviadas ou conectadas.

Tipos de dados pessoais

Nomes, endereços de e-mail, nomes de usuário, país ou contexto de localização, campos de planilha fornecidos pelo Cliente, o resultado de gênero inferido e as informações de confiança, além de metadados limitados de requisição, dispositivo, autenticação e segurança necessários para operar o Serviço. O Cliente não deve enviar dados de categorias especiais, salvo se houver acordo expresso por escrito e permissão legal.