Aditivo de Processamento de Dados

O Nexo trata dados pessoais contidos em Dados do Cliente exclusivamente para fornecer, manter e dar suporte ao Serviço, conforme as instruções documentadas do Cliente (os Termos, a Documentação e as configurações da conta). O Nexo não trata esses dados para nenhuma outra finalidade própria.

As categorias de dados pessoais e de titulares dependem do que o Cliente opta por armazenar no Serviço — tipicamente, dados de contato e de conta dos usuários do workspace do Cliente (funcionários, contratados, clientes do Cliente). O Cliente é responsável por não submeter categorias de dados sensíveis sem base legal adequada e sem um acordo específico, conforme a Seção 4.3 dos Termos.

O Nexo se compromete a: tratar dados pessoais somente conforme instruído pelo Cliente; garantir que as pessoas autorizadas a tratar esses dados estejam sujeitas a obrigação de confidencialidade; implementar as medidas de segurança técnicas e organizacionais descritas na Seção 6; auxiliar o Cliente, na medida do razoável, a responder solicitações de titulares (art. 18 da LGPD); e excluir ou devolver os dados pessoais ao fim da prestação do Serviço, conforme a Seção 8.

O Cliente autoriza, de forma geral, o Nexo a contratar sub-processadores para operar o Serviço, listados em nexopm.com/legals/sub-processors. O Nexo impõe a esses sub-processadores obrigações de proteção de dados equivalentes às deste DPA, e permanece responsável pelo cumprimento delas.

O Nexo notificará o Cliente com pelo menos 30 dias de antecedência antes de contratar um novo sub-processador ou substituir um existente, através de aviso por e-mail ou na página de sub-processadores. O Cliente pode se opor por escrito dentro desse prazo; nesse caso, as partes buscarão uma solução razoável, podendo o Cliente rescindir o Prazo de Assinatura afetado caso a objeção não seja resolvida.

Quando o tratamento envolver transferência internacional de dados pessoais, o Nexo adota mecanismos de transferência reconhecidos pela legislação aplicável — como cláusulas contratuais padrão — para garantir um nível de proteção adequado, nos termos do Capítulo V da LGPD.

O Nexo mantém medidas técnicas e organizacionais compatíveis com o risco do tratamento, incluindo criptografia em trânsito e em repouso, controle de acesso baseado em função, e monitoramento de segurança. Detalhes estão disponíveis em nexopm.com/legals/security.

Em caso de incidente de segurança que afete dados pessoais tratados em nome do Cliente, o Nexo notificará o Cliente sem atraso indevido, e em até 72 horas após a confirmação do incidente, com as informações disponíveis para que o Cliente cumpra suas próprias obrigações de notificação, inclusive à ANPD quando aplicável.

#8.1 Auditoria

Mediante solicitação razoável e com aviso prévio de pelo menos 30 dias, o Nexo disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento deste DPA, incluindo relatórios de auditoria de segurança já existentes, quando disponíveis.

#8.2 Vigência e efeitos da rescisão

Este DPA vigora enquanto o Nexo tratar dados pessoais em nome do Cliente. Ao fim do Prazo de Assinatura, aplicam-se os prazos de exportação e exclusão de Dados do Cliente da Seção 9.5 dos Termos de Serviço.

Dúvidas sobre este DPA: Nexo Software, Inc., e-mail juridico@nexopm.com.