Acordo de Processamento de Dados

Escopo e Papéis

O cliente é o controlador e Onur Öztürk, pessoa física com atividade autônoma sob o nome comercial Ozan Soft ("GenderAPI"), é o processador dos dados pessoais do cliente enviados através da API, ferramentas de processamento de arquivos ou funções de planilhas conectadas.

Cada parte permanece independentemente responsável pelos dados pessoais que processa como controladora, incluindo a administração de conta, faturamento e contato comercial por GenderAPI.

O cliente determina se os dados enviados são dados pessoais e é responsável por sua base jurídica, avisos, permisões e instruções. O cliente não deve enviar dados que o Serviço não esteja projetado para processar ou utilizar os resultados de inferência como única base para uma decisão que produza efeitos jurídicos ou semelhantes de significação sobre uma pessoa.

Instruções de Tratamento

O GenderAPI tratará os Dados Pessoais do Cliente apenas para fornecer, garantir e apoiar o Serviço de acordo com o contrato, este DPA, o uso documentado do Serviço pelo Cliente e a legislação aplicável. O GenderAPI informará o Cliente, em sua opinião razoável, se uma instrução viola a legislação de proteção de dados aplicável, salvo se a legislação proíbe tal aviso.

O GenderAPI não venderá dados pessoais do Cliente, não os utilizará para anúncios comportamentais em contexto cruzado, não os utilizará para treinar o modelo de inferência privado ou os manterá em logs de IA. As regras de conservação previstas na Política de Privacidade fazem parte dessas instruções de processamento documentadas.

Confidencialidade e Segurança

GenderAPI garantirá que as pessoas autorizadas a processar os Dados Pessoais do Cliente estejam sujeitas a um dever apropriado de confidencialidade e possam acessar os dados apenas quando necessário para suas atividades atribuídas. GenderAPI manterá medidas técnicas e organizacionais apropriadas à natureza do Serviço e aos riscos de processamento.

• Transmissão protegida com TLS para os dados trocados com o Serviço.
• Restrições de acesso aos sistemas de produção, dados dos clientes e backups com acesso restrito.
• Separação e proteção das credenciais de conta e chaves de API de produção.
• Registro de eventos de segurança e técnico sujeito ao cronograma de retenção publicado.
• Backup rotativo com período padrão de sobrescrita de até 15 dias.
• Processamento de inteligência artificial privado, sem treinamento com dados do cliente nem registro de prompts ou resultados de IA.
• Procedimentos de minimização e exclusão de dados alinhados ao cronograma de retenção do Serviço.

Subprocessadores

O Cliente outorga à GenderAPI autorização escrita geral para utilizar os fornecedores identificados como subprocessores DPA na página de Subprocessadores. A GenderAPI exigirá que cada subprocessor proteja os Dados Pessoais do Cliente sob obrigações materialmente compatíveis com este DPA, conforme aplicável aos serviços que o subprocessor realiza.

GenderAPI permanece responsável por suas obrigações sob este DPA. Os fornecedores utilizados apenas para atividades de controle de GenderAPI, tais como faturamento ou comunicações de conta, são identificados separadamente e não são tratados como processadores do Cliente apenas porque aparecem no registro de fornecedores.

GenderAPI fornecerá pelo menos 30 dias de aviso prévio através da página de subprocessadores, do Serviço ou do e-mail da conta do Cliente antes de adicionar ou substituir um subprocessador que trate Dados Pessoais do Cliente. O Cliente poderá apresentar um objeção razoável e com documentação em matéria de proteção de dados durante esse período.

As partes trabalharão de boa-fé por uma solução comercialmente razoável; se nenhuma for disponível, o Cliente poderá interromper o uso da funcionalidade afetada.

Assistência e Incidentes de Dados Pessoais

Considerando a natureza do tratamento e as informações disponíveis, o GenderAPI fornecerá assistência razoável para solicitações dos titulares de dados, obrigações de segurança, notificações de vazamento de dados pessoais, avaliações de impacto em proteção de dados e consultas exigidas pela legislação aplicável de proteção de dados.

Se um sujeito de dados entrar em contato com o GenderAPI sobre dados pessoais do cliente, o GenderAPI poderá encaminhar a solicitação ao cliente, a menos que a legislação aplicável exija uma resposta direta.

GenderAPI notificará o Cliente sem atraso indevido e, sempre que for razoavelmente possível, dentro de 48 horas após ter conhecimento de um vazamento de dados pessoais confirmado afetando os dados pessoais do Cliente. A notificação fornecerá as informações disponíveis razoavelmente necessárias para a avaliação e as obrigações de notificação do Cliente. A notificação não constitui admissão de culpa ou responsabilidade.

Retorno e Exclusão

Durante o período do Serviço, o Cliente poderá recuperar os resultados disponíveis por meio das funções de Serviço suportadas. Na encerramento do Serviço, na interrupção do processamento relevante ou em solicitação válida de exclusão, a GenderAPI eliminará ou anonimizará irreversivelmente os Dados Pessoais do Cliente que permaneçam em sistemas ativos dentro de 30 dias, a menos que a legislação aplicável exija a manutenção desses dados.

Dados removidos dos sistemas ativos podem permanecer em backups rotativos com acesso restrito por até 15 dias adicionais antes de serem sobrescritos automaticamente.

A retenção legal de registros de faturamento, transações, prevenção de fraudes ou disputas não autoriza o uso contínuo do conteúdo de consultas do Cliente ou de arquivos enviados. O cronograma específico por categoria no Política de Privacidade continua a se aplicar nos casos em que fornece um período mais curto.

Informações e Auditorias

GenderAPI fornecerá às partes informações razoavelmente necessárias para comprovar o cumprimento deste DPA, inicialmente por meio das políticas atuais, da documentação e de um questionário de segurança razoável.

Se essa informação for insuficiente para um dever legal, o Cliente poderá solicitar um audit proporcional no máximo uma vez por ano, exceto após uma violação confirmada ou uma solicitação de regulador vinculativa.

Uma auditoria deve ser realizada com aviso razoável, durante as horas comerciais normais, sem expor os dados de outro cliente ou comprometer a segurança. O cliente assume os custos da auditoria, a menos que a auditoria identifique uma violação material por GenderAPI. As partes concordarão primeiramente sobre os termos apropriados de confidencialidade e escopo.

Transferências Internacionais

Dados pessoais do cliente podem ser tratados na Turquia e, por meio da infraestrutura contratada, nos Estados Unidos. A GenderAPI utilizará um mecanismo legalmente reconhecido de transferência, quando aplicável.

Se forem necessárias as Cláusulas Contratuais Estabelecidas pela Comissão por Decisão de Execução (UE) 2021/914, o módulo de controlador para processador aplicável será incorporado a este DPA e prevalecerá sobre termos conflitantes relativos a esse transferimento. As partes completarão quaisquer seleções ou detalhes dos anexos legalmente exigidos para o seu transferimento específico ao celebrar o DPA.

Detalhes do Processamento

Matéria e duração

Processamento necessário para fornecer o GenderAPI durante o uso do Serviço pelo Cliente e para a exclusão limitada, cópia de segurança, períodos de segurança e de retenção legal descritos neste DPA e na Política de Privacidade.

Natureza e finalidade

Recebimento, transmissão, análise e retorno de resultados para consultas da API, arquivos Excel ou CSV enviados e operações em planilhas conectadas; além de hospedagem, segurança, atendimento técnico e suporte relacionados.

Classes de titulares de dados

Pessoas cujos nomes, endereços de e-mail, nomes de usuário ou registros relacionados o Cliente envia; usuários, pessoal, contatos ou usuários finais do Cliente; e pessoas representadas nos dados de planilhas enviadas ou conectadas.

Tipos de dados pessoais

Nomes, endereços de e-mail, nomes de usuário, país ou contexto de localização, campos de planilhas fornecidos pelo cliente, resultado e informações de confiança de gênero inferido e metadados limitados de solicitação, dispositivo, autenticação e segurança necessários para operar o Serviço. O cliente não deve enviar dados de categoria especial a menos que haja acordo expresso por escrito e permitido legalmente.