DPA — Acordo Padrão de Tratamento de Dados
1. OBJETO E PARTES
1.1. Este documento ("DPA" — Data Processing Agreement) estabelece as condições padrão sob as quais a LYXUS realiza o tratamento de dados pessoais em nome de clientes, quando atua como Operadora, nos termos da Lei nº 13.709/2018 (LGPD), em relação a dados pessoais cujo Controlador seja o cliente contratante.
1.2. Este DPA aplica-se de forma complementar ao contrato principal de prestação de serviços firmado entre a LYXUS e o cliente, prevalecendo, em caso de conflito específico sobre proteção de dados, o quanto aqui disposto.
2. DEFINIÇÕES
2.1. Para os fins deste DPA, aplicam-se as definições da LGPD, especialmente: "dado pessoal", "titular", "controlador", "operador", "tratamento" e "incidente de segurança".
3. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO
3.1. A LYXUS tratará dados pessoais estritamente na medida necessária para a execução dos serviços contratados pelo cliente (Controlador), conforme instruções documentadas deste, salvo quando outra forma de tratamento for exigida por lei ou determinação de autoridade competente.
3.2. Os tipos de dados pessoais tratados, as categorias de titulares e a duração do tratamento correspondem àqueles necessários à prestação do serviço contratado, conforme especificado no contrato principal, proposta ou anexo técnico aplicável.
4. OBRIGAÇÕES DA LYXUS COMO OPERADORA
4.1. A LYXUS compromete-se a: a) tratar os dados pessoais apenas conforme as instruções documentadas do Controlador; b) garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a obrigação de confidencialidade; c) adotar medidas técnicas e administrativas de segurança compatíveis com a natureza dos dados tratados; d) auxiliar o Controlador, dentro de limites razoáveis, no atendimento a solicitações de titulares de dados e a demandas de autoridades competentes; e) notificar o Controlador em prazo razoável sobre incidentes de segurança que possam acarretar risco relevante aos titulares.
4.2. A LYXUS não utilizará os dados pessoais tratados em nome do Controlador para finalidade diversa da contratada, nem os comercializará ou compartilhará com terceiros não autorizados, ressalvadas as hipóteses legais e as suboperadoras necessárias à prestação do serviço.
5. SUBOPERADORES
5.1. A LYXUS poderá utilizar suboperadores (como provedores de nuvem, hospedagem, e-mail transacional e gateways de pagamento) para viabilizar a prestação dos serviços, respondendo perante o Controlador pela atuação desses terceiros na medida de sua responsabilidade legal e contratual.
5.2. A LYXUS buscará contratar suboperadores que adotem padrões de segurança e confidencialidade compatíveis com a legislação aplicável.
6. SEGURANÇA DA INFORMAÇÃO
6.1. A LYXUS adota medidas técnicas e organizacionais razoáveis para proteger os dados pessoais tratados contra acessos não autorizados, perda, alteração, destruição ou divulgação indevida, observado o estado da técnica e a natureza dos dados envolvidos.
7. INCIDENTES DE SEGURANÇA
7.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados tratados em nome do Controlador, a LYXUS comunicará o Controlador em prazo razoável, fornecendo as informações disponíveis para que este avalie a necessidade de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, conforme a LGPD.
8. DIREITOS DOS TITULARES
8.1. Caso a LYXUS receba diretamente solicitação de titular de dados relativa a tratamento realizado em nome do Controlador, encaminhará a solicitação ao Controlador em prazo razoável, prestando o auxílio necessário dentro de suas possibilidades técnicas e operacionais.
9. TÉRMINO DO TRATAMENTO
9.1. Encerrado o contrato principal, a LYXUS eliminará ou devolverá ao Controlador, conforme instrução deste e a viabilidade técnica, os dados pessoais tratados em seu nome, ressalvada a retenção exigida por obrigação legal, regulatória ou para exercício regular de direitos em processos administrativos ou judiciais.
10. ENCARREGADO E CONTATO
10.1. Dúvidas ou solicitações relacionadas a este DPA podem ser dirigidas ao Encarregado pelo Tratamento de Dados Pessoais da LYXUS.
Encarregado: Bruno Prates D’Oliveira · E-mail: legal@lyxus.com.br
11. DISPOSIÇÕES FINAIS
11.1. Este DPA é regido pelas leis brasileiras, em especial a LGPD, aplicando-se subsidiariamente os Termos de Uso e a Política de Privacidade da LYXUS.
11.2. A nulidade eventual de alguma cláusula não afeta a validade das demais, que permanecerão em vigor na maior extensão permitida pela legislação aplicável.