Acordo de Tratamento de Dados (DPA)

Este DPA se aplica quando a Verves trata dados pessoais em nome do cliente para prestar a plataforma. O cliente é controlador e a Verves é operadora, sem prejuízo das hipóteses em que a Verves atua como controladora independente descritas na Política de Privacidade.

A Verves tratará dados conforme instruções documentadas do cliente, os Termos e a legislação. Se considerar uma instrução ilícita, poderá suspendê-la e solicitar adequação. O cliente garante a licitude da coleta, das instruções e das comunicações aos titulares.

Os titulares incluem colaboradores do cliente, representantes da empresa e usuários autorizados da plataforma. Os dados incluem identificação, contato, CPF, matrícula, cargo, setor, vínculo, jornada, registros de ponto, localização, biometria, atestados, dados relacionados à saúde, documentos, comunicações, permissões, logs e auditoria, conforme os módulos habilitados.

As operações incluem coleta, registro, organização, consulta, armazenamento, transmissão, processamento por inteligência artificial quando a funcionalidade estiver contratada, geração de relatórios, exportação, bloqueio e eliminação, durante a vigência e os períodos de retenção aplicáveis.

Pessoas autorizadas ficam sujeitas a confidencialidade. A Verves mantém medidas técnicas e administrativas proporcionais ao risco, incluindo controle de acesso, segregação, proteção de credenciais, auditoria, backups, gestão de vulnerabilidades e resposta a incidentes.

O cliente autoriza a utilização de subprocessadores das categorias infraestrutura em nuvem, armazenamento, banco de dados, autenticação, comunicação, suporte, observabilidade, segurança e processamento de inteligência artificial, inclusive provedores de infraestrutura e modelos utilizados para executar funcionalidades contratadas. Analytics poderá ser utilizado quando habilitado pelo titular da conta ou pelo visitante, conforme o caso.

A Verves imporá a esses subprocessadores obrigações de segurança e proteção de dados compatíveis com este DPA e responderá por suas obrigações como operadora. Mudanças materiais serão informadas por meio razoável.

A Verves comunicará o cliente sem demora injustificada após tomar ciência de incidente de segurança que possa afetar dados pessoais tratados em seu nome, complementando as informações à medida que estiverem disponíveis, inclusive sobre natureza, categorias, consequências, medidas e contato.

O cliente decide sobre comunicações à ANPD e aos titulares, salvo obrigação direta da Verves.

Considerando a natureza do tratamento, a Verves auxiliará o cliente em solicitações de titulares, avaliações de impacto, consultas a autoridades e comprovação de conformidade. Solicitações recebidas diretamente serão encaminhadas ao cliente quando cabível.

Transferências internacionais somente ocorrerão quando necessárias à prestação e com mecanismo admitido pela LGPD e regulamentação da ANPD, além de medidas contratuais e de segurança adequadas.

A Verves disponibilizará informações razoáveis de conformidade. Auditorias devem preservar segurança e confidencialidade, evitar interrupção indevida, ocorrer com aviso prévio e priorizar relatórios ou evidências existentes, salvo exigência de autoridade ou incidente.

Ao término, o cliente poderá exportar dados pelos recursos disponíveis ou solicitar devolução razoável. A Verves eliminará ou anonimizará dados conforme instruções e prazos aplicáveis, ressalvadas retenções legais, defesa de direitos e backups protegidos até sua sobrescrição.

Este DPA acompanha os Termos durante o tratamento. Contrato ou DPA enterprise assinado prevalece em caso de conflito. Questões não reguladas seguem os Termos e a legislação brasileira.

Dúvidas sobre este DPA podem ser enviadas a privacidade@verves.io.