Acordo de tratamento de dados

O Cliente é o controlador e o EasyHaus é o operador dos dados pessoais descritos no Anexo 1. O EasyHaus os trata apenas conforme as instruções documentadas do Cliente, que são os termos de serviço, este DPA e o uso do serviço pelo Cliente. O EasyHaus informará o Cliente caso considere que uma instrução viola a legislação de proteção de dados.

O EasyHaus garante que as pessoas autorizadas a tratar os dados estejam sujeitas a obrigações de confidencialidade. A equipe acessa a organização de um Cliente para fins de suporte somente quando o proprietário do Cliente ativou o acesso de suporte; esse acesso é limitado, exige a indicação de um motivo e é registrado na trilha de auditoria do Cliente.

O EasyHaus implementa as medidas técnicas e organizacionais do Anexo 2 e pode atualizá-las, desde que o nível geral de proteção não diminua.

O Cliente concede autorização geral para os suboperadores do Anexo 3. O EasyHaus anunciará suboperadores novos ou substituídos com pelo menos 30 dias de antecedência, por e-mail ao proprietário da organização. O Cliente pode se opor por motivos razoáveis de proteção de dados; se as partes não conseguirem resolver a objeção, o Cliente poderá rescindir o serviço afetado. O EasyHaus impõe a cada suboperador obrigações de proteção de dados equivalentes às deste DPA e continua responsável por eles.

• Solicitações de titulares de dados: o serviço permite que o Cliente exporte, corrija e apague os dados de um cliente. O EasyHaus encaminha ao Cliente as solicitações que recebe diretamente e não as responde por conta própria.
• O EasyHaus presta assistência em avaliações de impacto sobre a proteção de dados e em consultas às autoridades, na medida em que as informações estejam disponíveis para ele.

O EasyHaus notifica o Cliente sem demora injustificada e, em qualquer caso, em até 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os dados do Cliente. A notificação descreve a natureza da violação, os dados e as pessoas afetados, na medida do que se sabe, as consequências prováveis e as medidas adotadas, e é atualizada à medida que surgem novas informações.

Durante a assinatura e por 90 dias após o seu término, o Cliente pode exportar todos os seus dados. Após esse período, ou 30 dias após o Cliente excluir sua organização, o EasyHaus exclui os dados do banco de dados e do armazenamento de arquivos. Os backups criptografados expiram em sua rotação normal em até 30 dias. O EasyHaus mantém dados por mais tempo apenas quando a lei o exige.

O EasyHaus disponibiliza as informações necessárias para demonstrar a conformidade com o artigo 28 do GDPR, incluindo um resumo de sua revisão de segurança mais recente. O Cliente pode auditar a conformidade, ou designar um auditor independente para fazê-lo, mediante aviso prévio de 30 dias, no máximo uma vez por ano, salvo se uma violação ou uma autoridade exigir o contrário, às custas do Cliente e sob confidencialidade.

O banco de dados que contém os Dados do Cliente está hospedado na União Europeia. Os suboperadores do Anexo 3 sediados nos Estados Unidos ou que tratam dados nesse país são certificados no EU–US Data Privacy Framework, e as Cláusulas Contratuais Padrão de seus termos de tratamento de dados também se aplicam. O EasyHaus é operado a partir da República do Azerbaijão; o acesso aos Dados do Cliente a partir do Azerbaijão é coberto pelas Cláusulas Contratuais Padrão. O EasyHaus transfere dados pessoais para fora do Espaço Econômico Europeu apenas com essas salvaguardas, nos termos do Capítulo V do GDPR.

A responsabilidade nos termos deste DPA segue os termos de serviço. Se este DPA conflitar com os termos de serviço, este DPA prevalece no que se refere ao tratamento de dados pessoais. Este DPA termina quando o EasyHaus deixar de tratar dados pessoais do Cliente.

• Criptografia em trânsito com TLS e HSTS.
• Criptografia em repouso, com AES-256-GCM, de números de identificação fiscal, números de documentos de identidade, números de contas bancárias, identificadores de beneficiários finais, segredos do segundo fator e códigos de recuperação; chaves mantidas fora do banco de dados, com identificadores de chave para rotação.
• Separação lógica das organizações: cada consulta é restrita a uma organização, o que é garantido por uma verificação automatizada e por um conjunto de testes de isolamento.
• Acesso baseado em funções dentro de uma organização (proprietário, administrador, gestor, visualizador); campos sensíveis exibidos por completo apenas a proprietários e administradores.
• Senhas com hash argon2id, comprimento mínimo e verificação de senhas vazadas; autenticação de dois fatores opcional ou obrigatória; bloqueio após repetidos códigos incorretos.
• Tokens de sessão aleatórios armazenados como hashes, com expiração por inatividade e absoluta, e revogação.
• Limites de taxa para login, redefinição de senha, links enviados por e-mail, envios de arquivos e o formulário de contato.
• Armazenamento privado de arquivos com links de envio de curta duração e de uso único; lista de tipos de arquivo permitidos e verificações de conteúdo; recodificação de imagens.
• Trilha de auditoria de cada alteração, com campos pessoais mascarados, que não pode ser excluída pelos clientes; registro dos downloads de documentos.
• Acesso de suporte apenas com o consentimento do proprietário, com escopo limitado e registrado.
• Processos de servidor reforçados, varredura de vulnerabilidades em dependências e cabeçalhos de segurança, incluindo uma Content Security Policy.
• Banco de dados hospedado na União Europeia; arquivos criptografados em repouso no armazenamento.
• Backups noturnos, criptografados com AES-256 em nosso servidor antes de saírem dele, mantidos por 30 dias, com verificação semanal de integridade e um procedimento de restauração documentado.