Acordo de tratamento de dados

Objeto e papéis

Este acordo regula como a Trazza trata os dados pessoais que cada negócio cliente carrega na plataforma sobre seus clientes finais, sua equipe e outras pessoas. Ele faz parte dos Termos e condições.

O negócio é o controlador e a Trazza é a operadora: trata os dados em nome do negócio e somente para lhe prestar o serviço.

Se a Trazza usasse esses dados para finalidades próprias, distintas do serviço, passaria a ser controladora desse uso. Comprometemo-nos a não fazer isso.

Duração

Este acordo vigora enquanto o negócio usar a Trazza e, depois, pelo tempo necessário para devolver ou eliminar os dados, como indica a seção de devolução e eliminação.

Natureza e finalidade do tratamento

A Trazza hospeda, organiza, consulta, exibe, exporta e elimina dados para fazer funcionar a agenda, o ponto de venda, o caixa, o estoque, as comissões, os adiantamentos, a gestão de clientes, o site público e o assistente de inteligência artificial.

Também envia e-mails em nome do negócio, como confirmações e lembretes de agendamentos, somente quando o cliente final tem um e-mail registrado e seu consentimento de contato marcado.

A Trazza não vende esses dados e não os usa para publicidade nem para treinar modelos de inteligência artificial.

Tipos de dados e titulares afetados

Clientes finais do negócio: nome, e-mail, telefone, documento de identidade, data de nascimento, município ou bairro, canal de contato preferido, data do consentimento de contato, etiquetas, anotações internas, acompanhamentos, agendamentos, compras, pagamentos, descontos e gorjetas.

Equipe e colaboradores: nome, e-mail, telefone, cargo, filial, horários, ausências e seus motivos, regras de pagamento, comissões, salários, aluguéis de cadeira, adiantamentos e suas parcelas, gorjetas e as movimentações de caixa que registraram. Se o negócio o publicar, também seu perfil no site: nome de exibição, cargo, biografia e foto.

Usuários do negócio: perfil, filiais atribuídas e o registro de suas ações. Os dados de acesso, como nome, e-mail e senha, são tratados pela Trazza como controladora, de acordo com a Política de privacidade.

Terceiros que aparecem em arquivos: pessoas mencionadas em comprovantes, faturas ou fotos que o negócio envia.

A Trazza não pede dados sensíveis. Se o negócio escrever nas anotações informações de saúde, como alergias ou condições da pele, deve limitá-las ao necessário para atender com segurança e cumprir as regras do seu país.

Instruções do negócio

A Trazza trata os dados somente de acordo com as instruções documentadas do negócio. Essas instruções são os Termos e condições, incluídos os acessos da equipe da Trazza que você autoriza neles, este acordo e o que o negócio configura na plataforma: quais dados carrega, quem convida e quais permissões concede.

Se uma instrução nos parecer contrária à lei, diremos isso a você e poderemos não executá-la até que seja esclarecida.

Como controlador, seu negócio define as finalidades, informa seus clientes e sua equipe e obtém os consentimentos que sua lei exigir.

Confidencialidade

As pessoas da Trazza que podem acessar esses dados são obrigadas a manter confidencialidade.

Só podem entrar na conta de um negócio as pessoas que têm um perfil de plataforma e, exceto a administração geral da Trazza, uma atribuição a esse negócio. Entram para dar suporte, ajudar com a configuração ou revisar a conta, como o negócio autoriza nos Termos e condições. Cada acesso fica registrado e dura no máximo 8 horas.

Medidas de segurança

Senhas guardadas com scrypt e salt aleatório, e tokens de sessão guardados apenas como hash. Os códigos de recuperação e os convites são verificados contra um hash, mas uma cópia do e-mail que os contém fica no registro de envios.

Tráfego criptografado com HTTPS e HSTS, política de segurança de conteúdo com um valor único em cada resposta e conexão criptografada com o banco de dados.

Isolamento entre negócios verificado no servidor a cada ação e pelo próprio banco de dados, com testes automáticos que o comprovam.

Limites de tentativas e de uso, e revisão diária de sinais de ataque.

Arquivos privados em um armazenamento separado, entregues somente após a verificação da sessão e das permissões, e validação do tipo e do tamanho de cada arquivo enviado.

Registro de auditoria das alterações importantes e dos acessos da equipe da Trazza.

Bancos de dados e credenciais separados para produção e testes.

Suboperadores

Para prestar o serviço, usamos os suboperadores da tabela desta página. Ao aceitar este acordo, você autoriza o uso deles.

Cada um recebe apenas os dados de que precisa para sua função. A OpenAI só é usada se o seu plano incluir inteligência artificial e ela estiver ativada. O Google Analytics e a verificação contra bots do formulário de demonstração não estão nesta lista: a Trazza os usa para finalidades próprias, como controladora, e a Política de privacidade os descreve.

Avisaremos você com antecedência sobre qualquer suboperador novo ou substituto, para que possa se opor por motivos razoáveis antes que ele comece a tratar seus dados, e atualizaremos esta lista.

Ajuda com as solicitações das pessoas

Se um cliente final ou alguém da sua equipe pedir para acessar, corrigir ou eliminar seus dados, ou se opuser ao seu uso, você pode atender à maioria dessas solicitações pela plataforma: editar ou desativar fichas, excluir clientes sem vendas nem agendamentos e exportar a base de clientes em CSV.

Se uma solicitação chegar diretamente à Trazza, nós a encaminharemos a você sem demora e não a responderemos por conta própria, salvo se a lei nos obrigar.

Forneceremos a você as informações razoáveis de que precisar para responder a solicitações, fazer avaliações de impacto ou responder a consultas de uma autoridade.

Incidentes de segurança

Se detectarmos um incidente de segurança que afete dados do seu negócio, avisaremos você sem demora indevida e, quando a lei do seu país fixar um prazo menor para o operador, dentro desse prazo.

O aviso incluirá o que soubermos sobre a natureza do incidente, os dados e as pessoas afetadas, suas possíveis consequências e as medidas tomadas ou propostas. Completaremos as informações à medida que as tivermos.

Como controlador, seu negócio decide se notifica a autoridade e as pessoas afetadas. Forneceremos as informações de que você precisar para isso.

Transferências internacionais

A aplicação e o banco de dados funcionam em São Paulo (Brasil). Alguns suboperadores estão em outros países, provavelmente nos Estados Unidos, e o armazenamento de arquivos pode estar fora do Brasil; isso implica transferências internacionais.

Quando a lei do seu país exigir garantias para essas transferências, como cláusulas contratuais padrão, nós as acordaremos com você e com os suboperadores na medida em que couber.

Devolução e eliminação ao encerrar

Durante o contrato, você pode exportar sua base de clientes em CSV. Ao encerrar, pode nos pedir uma cópia dos demais dados de que precisar.

Após o encerramento, e a seu pedido, eliminaremos os dados do seu negócio dentro do prazo exigido pela lei aplicável, exceto aqueles que uma lei nos obrigue a conservar.

Hoje a eliminação completa de um negócio é feita mediante solicitação, e não pela plataforma. Os registros de auditoria, de e-mails enviados e de uso de inteligência artificial, e os arquivos que o negócio enviou, são eliminados em uma etapa à parte do processo de exclusão. As cópias nos sistemas de recuperação dos nossos provedores podem permanecer por um tempo limitado até serem renovadas.

Informações e auditorias

A seu pedido, forneceremos informações razoáveis para demonstrar que cumprimos este acordo, como uma descrição das nossas medidas de segurança e dos nossos suboperadores.

Se a lei do seu país exigir uma auditoria ou inspeção, nós a coordenaremos com você com aviso prévio, em um prazo razoável e protegendo a confidencialidade de outros clientes.

Responsabilidade

Cada parte responde pelos seus próprios descumprimentos deste acordo e da lei de proteção de dados.

Aplicam-se os limites de responsabilidade dos Termos e condições, exceto quando a lei não permitir limitá-la.