1Definições
Para os fins deste DPA:
“Lei de Proteção de Dados aplicável” significa as leis de privacidade e de proteção de dados aplicáveis ao tratamento de Dados Pessoais nos termos do Contrato.
“Controlador” significa a pessoa ou organização que determina as finalidades e os meios do tratamento de Dados Pessoais, ou o termo equivalente segundo a legislação aplicável.
“Operador” significa a pessoa ou organização que trata Dados Pessoais em nome de um Controlador, ou o termo equivalente segundo a legislação aplicável.
“Empresa” (Business) e “Prestador de Serviços” (Service Provider) têm os significados atribuídos pelas leis estaduais de privacidade dos EUA aplicáveis, quando pertinente.
“Dados do Cliente” significa os dados enviados aos Serviços, armazenados neles, transmitidos por meio deles ou de outra forma tratados pelos Serviços em nome do Cliente.
“Dados Pessoais” significa informações relacionadas a uma pessoa física identificada ou identificável, ou outras informações definidas como informações pessoais, dados pessoais ou termo equivalente pela Lei de Proteção de Dados aplicável.
“Tratamento” significa qualquer operação realizada com Dados Pessoais, incluindo coleta, registro, organização, armazenamento, acesso, modificação, recuperação, uso, transmissão, divulgação, restrição, exclusão ou destruição de Dados Pessoais.
“Titular dos Dados” significa a pessoa física a quem os Dados Pessoais se referem.
“Suboperador” significa um terceiro contratado pela 255 para tratar Dados Pessoais em nome do Cliente em relação aos Serviços.
“Violação de Dados Pessoais” significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso, acidentais ou ilícitos, de Dados Pessoais tratados nos termos deste DPA, conforme definido pela Lei de Proteção de Dados aplicável.
2Papéis das partes
O Cliente e a 255 reconhecem que os seus respectivos papéis em matéria de privacidade dependem do contexto em que os Dados Pessoais são tratados.
Com relação aos Dados Pessoais que o Cliente envia aos Serviços ou trata por meio deles para as suas próprias finalidades comerciais:
- O Cliente geralmente atua como Controlador ou Empresa.
- A 255 geralmente atua como Operador ou Prestador de Serviços em nome do Cliente.
O Cliente determina as finalidades para as quais os Dados Pessoais do Cliente são tratados e é responsável por garantir que as suas instruções estejam em conformidade com a Lei de Proteção de Dados aplicável.
A 255 tratará esses Dados Pessoais de acordo com as instruções documentadas do Cliente, inclusive conforme necessário para fornecer os Serviços nos termos do Contrato e deste DPA.
A 255 pode atuar separadamente como Controlador independente em relação a determinadas informações tratadas para as suas próprias finalidades comerciais legítimas, como administração de contas, relacionamento direto com clientes, segurança, faturamento, prevenção de fraudes e cumprimento da legislação. Esse tratamento é regido pela Política de Privacidade da 255 e pela legislação aplicável.
3Instruções do Cliente
O Cliente instrui a 255 a tratar Dados Pessoais conforme razoavelmente necessário para:
- Fornecer os Serviços
- Operar a 255 Business Platform
- Manter as contas do Cliente
- Hospedar e armazenar os Dados do Cliente
- Fornecer funcionalidades de CRM
- Viabilizar as comunicações com os clientes
- Fornecer funcionalidades de agendamento e de marcação de compromissos
- Executar as automações configuradas
- Fornecer as integrações solicitadas pelo Cliente
- Prestar suporte técnico e atendimento ao cliente
- Manter a segurança
- Prevenir fraudes e abusos
- Solucionar problemas técnicos
- Cumprir as obrigações previstas no Contrato
- Cumprir as obrigações legais aplicáveis
Instruções documentadas adicionais podem ser acordadas entre o Cliente e a 255.
Se a 255 acreditar razoavelmente que uma instrução do Cliente viola a Lei de Proteção de Dados aplicável, a 255 poderá notificar o Cliente e, quando legalmente apropriado, suspender o tratamento afetado até que a questão seja resolvida.
4Responsabilidades do Cliente
O Cliente é responsável por garantir que a sua coleta e o seu tratamento de Dados Pessoais por meio dos Serviços estejam em conformidade com a Lei de Proteção de Dados aplicável.
O Cliente declara e garante, conforme aplicável, que:
- Tem autoridade adequada para fornecer Dados Pessoais à 255
- Forneceu os avisos de privacidade exigidos por lei
- Obteve o consentimento exigido por lei
- Tem uma base legal adequada para o tratamento
- Cumpre as leis de marketing e de comunicação aplicáveis
- Atende às solicitações de recusa (opt-out) aplicáveis
- Mantém registros adequados de consentimento, quando exigido
- Fornece instruções de tratamento lícitas
- Não instrui a 255 a tratar Dados Pessoais de forma ilícita
O Cliente é responsável por determinar se os Serviços são adequados aos seus requisitos legais, regulatórios e setoriais específicos.
5Detalhes do tratamento
A natureza e o escopo do tratamento dependem dos Serviços selecionados e configurados pelo Cliente.
Objeto
Tratamento de Dados Pessoais necessário para fornecer os Serviços solicitados pelo Cliente.
Duração
Pela duração do Contrato e por qualquer período adicional durante o qual a 255 esteja autorizada ou legalmente obrigada a reter Dados Pessoais.
Natureza do tratamento
O tratamento pode incluir:
- Coleta
- Recebimento
- Registro
- Organização
- Armazenamento
- Recuperação
- Consulta
- Uso
- Transmissão
- Comunicação
- Sincronização
- Análise
- Automação
- Modificação
- Exportação
- Restrição
- Exclusão
dependendo dos Serviços utilizados.
6Categorias de Titulares dos Dados
Dependendo do uso que o Cliente fizer dos Serviços, os Titulares dos Dados podem incluir:
- Clientes do Cliente
- Potenciais clientes
- Leads
- Contatos
- Visitantes do site
- Participantes de agendamentos
- Funcionários
- Prestadores de serviços contratados
- Usuários autorizados
- Representantes comerciais
- Destinatários de comunicações
- Outras pessoas cujos Dados Pessoais o Cliente trate licitamente por meio dos Serviços
7Categorias de Dados Pessoais
Dependendo dos Serviços utilizados e da configuração do Cliente, os Dados Pessoais podem incluir:
- Nomes
- Endereços de e-mail
- Números de telefone
- Informações comerciais
- Dados de contato
- Registros do CRM
- Informações de leads
- Informações de oportunidades
- Informações de agendamentos
- Histórico de comunicações
- Dados de SMS e de mensagens
- Comunicações por e-mail
- Envios de formulários
- Anotações
- Tags
- Tarefas
- Interações com clientes
- Identificadores de conta
- Informações técnicas e do dispositivo
- Informações relacionadas a IP
- Informações relacionadas a transações
- Preferências de marketing
- Registros de consentimento
- Outros Dados Pessoais enviados pelo Cliente
A 255 não exige que o Cliente forneça categorias de Dados Pessoais desnecessárias para os Serviços.
8Dados Pessoais sensíveis
O Cliente não deve enviar Dados Pessoais sensíveis ou especialmente protegidos, a menos que:
- os Serviços aplicáveis tenham sido projetados e autorizados para tratar essas informações;
- o Cliente tenha uma base legal válida para fazê-lo;
- todas as salvaguardas, avisos, contratos e consentimentos exigidos estejam em vigor; e
- esse tratamento esteja em conformidade com o Contrato e com a Lei de Proteção de Dados aplicável.
O Cliente é responsável por determinar se requisitos setoriais específicos ou mais rigorosos se aplicam aos seus dados.
O uso dos Serviços não estabelece, por si só, a conformidade com a HIPAA, a GLBA, a FERPA ou qualquer outra estrutura regulatória setorial específica.
9Confidencialidade
A 255 garantirá que o pessoal autorizado a tratar Dados Pessoais do Cliente esteja sujeito a obrigações de confidencialidade adequadas.
O acesso aos Dados Pessoais será limitado ao pessoal e aos prestadores de serviços que necessitem de acesso para finalidades legítimas relacionadas ao fornecimento, à manutenção, à segurança ou ao suporte dos Serviços.
10Medidas de segurança
A 255 manterá medidas técnicas e organizacionais razoáveis e adequadas, destinadas a proteger os Dados Pessoais do Cliente contra acesso, divulgação, alteração, destruição ou perda não autorizados ou ilícitos.
Dependendo da natureza dos Serviços e dos sistemas envolvidos, as salvaguardas podem incluir medidas relacionadas a:
- Controles de acesso
- Autenticação
- Autorização
- Gerenciamento de credenciais
- Segurança de rede
- Segurança de aplicações
- Criptografia, quando apropriado
- Registro (logging) e monitoramento
- Segurança da infraestrutura
- Backup e recuperação
- Gerenciamento de vulnerabilidades
- Atualizações de segurança
- Gerenciamento de incidentes
- Controles de acesso de funcionários
- Gestão de fornecedores
- Continuidade dos negócios
As medidas de segurança podem evoluir ao longo do tempo à medida que as tecnologias, as ameaças e os Serviços mudarem.
A 255 não reduzirá de forma relevante a segurança geral dos Serviços durante o prazo de assinatura aplicável sem justificativa adequada.
11Acesso aos Dados Pessoais
A 255 limitará o acesso aos Dados Pessoais do Cliente às pessoas e aos Suboperadores que razoavelmente necessitem de acesso para:
- Fornecer os Serviços
- Manter a infraestrutura
- Prestar suporte
- Investigar problemas técnicos
- Manter a segurança
- Prevenir abusos
- Cumprir obrigações legais
O acesso estará sujeito a requisitos adequados de autorização e confidencialidade.
12Suboperadores
O Cliente autoriza de forma geral a 255 a contratar Suboperadores conforme necessário para fornecer os Serviços.
Os Suboperadores podem prestar serviços como:
- Hospedagem em nuvem
- Infraestrutura
- Serviços de banco de dados
- Comunicações
- Envio de e-mails
- Envio de SMS
- Processamento de pagamentos
- Análises
- Segurança
- Atendimento ao cliente
- Autenticação
- Integrações
- Outros serviços técnicos
A 255 exigirá que os Suboperadores que tratem Dados Pessoais do Cliente em seu nome estejam sujeitos a obrigações de proteção de dados adequadas à natureza do tratamento que realizam.
A 255 permanece responsável pelas suas obrigações nos termos deste DPA em relação ao tratamento realizado pelos seus Suboperadores, na medida exigida pela Lei de Proteção de Dados aplicável.
13Lista de Suboperadores
A 255 pode manter uma lista atualizada dos Suboperadores aplicáveis em:
www.255adv.com/legal/subprocessors
A lista deve identificar, quando apropriado:
- O nome do Suboperador
- A finalidade
- O tipo de serviço
- A localização ou a região de tratamento, quando pertinente
A 255 não deve listar um prestador como Suboperador, a menos que esse prestador efetivamente trate Dados Pessoais do Cliente em nome da 255.
14Alterações nos Suboperadores
Quando exigido pela Lei de Proteção de Dados aplicável ou por compromissos contratuais, a 255 fornecerá aviso adequado sobre alterações relevantes envolvendo Suboperadores.
Se o Cliente tiver um direito legalmente reconhecido de se opor a um novo Suboperador, o Cliente poderá apresentar uma objeção razoável relacionada à proteção de dados entrando em contato pelo e-mail:
support@255adv.com
As partes trabalharão de boa-fé para tratar de preocupações legítimas.
15Integrações de terceiros selecionadas pelo Cliente
Os Serviços podem permitir que o Cliente conecte aplicativos, plataformas ou serviços de terceiros.
Quando o Cliente opta, de forma independente, por ativar uma integração de terceiros, o Cliente instrui a 255 a transmitir ou disponibilizar os Dados Pessoais pertinentes conforme necessário para fornecer essa integração.
Serviços independentes de terceiros podem tratar informações de acordo com seus próprios termos e políticas de privacidade.
O Cliente é responsável por avaliar os serviços de terceiros que optar por conectar.
16Solicitações dos Titulares dos Dados
Levando em consideração a natureza do tratamento e as funcionalidades disponíveis nos Serviços, a 255 prestará assistência razoável ao Cliente para responder às solicitações aplicáveis dos Titulares dos Dados, quando exigido pela Lei de Proteção de Dados aplicável.
Essas solicitações podem incluir pedidos relacionados a:
- Acesso
- Correção
- Exclusão
- Portabilidade
- Restrição
- Oposição
- Direitos de recusa (opt-out)
Quando um Titular dos Dados entrar em contato diretamente com a 255 a respeito de Dados Pessoais tratados em nome do Cliente, a 255 poderá encaminhar a solicitação ao Cliente, a menos que a legislação aplicável exija que a 255 responda diretamente.
O Cliente permanece responsável por determinar a resposta adequada às solicitações relacionadas a Dados Pessoais controlados pelo Cliente.
17Assistência no cumprimento de obrigações
Levando em consideração a natureza do tratamento e as informações razoavelmente disponíveis para a 255, a 255 prestará assistência razoável ao Cliente no cumprimento das obrigações de proteção de dados aplicáveis, quando exigido por lei.
Isso pode incluir assistência relativa a:
- Segurança
- Violações de Dados Pessoais
- Solicitações dos Titulares dos Dados
- Avaliações de impacto sobre a proteção de dados
- Consultas a autoridades reguladoras
A assistência que vá além das funcionalidades padrão dos Serviços poderá estar sujeita a taxas razoáveis, quando permitido pelo Contrato e pela legislação aplicável.
18Violação de Dados Pessoais
A 255 manterá procedimentos destinados a identificar incidentes de segurança e a responder a eles.
Se a 255 tomar conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente e cuja notificação ao Cliente seja exigida pela Lei de Proteção de Dados aplicável, a 255 notificará o Cliente sem demora injustificada.
Quando razoavelmente disponíveis, a notificação poderá incluir informações sobre:
- A natureza do incidente
- As categorias de informações afetadas
- As possíveis consequências
- As medidas adotadas ou propostas
- As informações de contato pertinentes
A 255 poderá fornecer as informações em etapas, à medida que detalhes adicionais forem disponibilizados.
A notificação de um incidente de segurança não constitui admissão de culpa ou de responsabilidade.
O Cliente é responsável por determinar se a notificação a pessoas, autoridades reguladoras, clientes ou outras partes é exigida por lei, a menos que a legislação aplicável disponha de outra forma.
19Devolução e exclusão de dados
Após a rescisão ou o término dos Serviços aplicáveis, o Cliente poderá perder o acesso aos Dados Pessoais do Cliente.
Quando disponível, o Cliente deve exportar as informações que deseja manter antes do encerramento da conta.
Após a rescisão e sujeito à legislação aplicável, a 255 excluirá ou devolverá os Dados Pessoais do Cliente de acordo com:
- O Contrato
- As funcionalidades do Serviço
- Os períodos de retenção aplicáveis
- As obrigações legais
- Os requisitos de segurança
- Os procedimentos de backup
A 255 poderá reter Dados Pessoais quando exigido ou permitido pela legislação aplicável.
Os dados contidos em backups poderão permanecer até serem excluídos ou sobrescritos de acordo com os processos de retenção de backups aplicáveis.
20Portabilidade e exportação de dados
Quando os Serviços oferecerem essa possibilidade, o Cliente poderá exportar determinados Dados do Cliente usando as funcionalidades disponíveis.
O Cliente é responsável por realizar as exportações necessárias antes de encerrar a sua conta.
A 255 não garante que todas as categorias de informações possam ser exportadas em todos os formatos, a menos que isso seja expressamente exigido pela legislação aplicável ou por contrato.
21Transferências internacionais de dados
O Cliente reconhece que a 255 e os seus Suboperadores autorizados podem tratar Dados Pessoais nos Estados Unidos e em outras jurisdições.
Quando uma transferência internacional exigir um mecanismo de transferência legalmente reconhecido, as partes utilizarão um mecanismo adequado, conforme exigido pela Lei de Proteção de Dados aplicável.
22Transferências do Espaço Econômico Europeu
Quando Dados Pessoais do Cliente sujeitos ao GDPR forem transferidos do Espaço Econômico Europeu para um país que não se beneficie de uma decisão de adequação aplicável, as partes utilizarão um mecanismo de transferência adequado, quando exigido.
Isso pode incluir as Cláusulas Contratuais Padrão aplicáveis da Comissão Europeia (“SCCs”).
Quando as SCCs forem legalmente exigidas, elas serão incorporadas a este DPA ou celebradas separadamente, conforme aplicável.
As partes cooperarão de forma razoável em relação às medidas suplementares exigidas pela legislação aplicável.
23Transferências do Reino Unido
Quando Dados Pessoais sujeitos à legislação de proteção de dados do Reino Unido forem transferidos internacionalmente e for exigido um mecanismo de transferência adequado, as partes utilizarão um mecanismo legalmente reconhecido aplicável.
Isso pode incluir o Adendo de Transferência Internacional de Dados do Reino Unido (UK International Data Transfer Addendum) ou outro mecanismo de transferência aprovado, quando aplicável.
24Leis estaduais de privacidade dos EUA
Quando a 255 tratar Dados Pessoais em nome do Cliente e a lei estadual de privacidade dos EUA aplicável considerar o Cliente como Empresa ou Controlador e a 255 como Prestador de Serviços, Contratado ou Operador, a 255 tratará esses Dados Pessoais de acordo com os requisitos contratuais aplicáveis.
Quando aplicável, a 255 não irá:
- Vender Dados Pessoais do Cliente em troca de contraprestação monetária
- Reter, usar ou divulgar Dados Pessoais do Cliente fora das finalidades permitidas pelo Contrato e pela legislação aplicável
- Combinar Dados Pessoais do Cliente com outras informações, quando proibido pela legislação aplicável
A 255 tratará os Dados Pessoais do Cliente para as finalidades limitadas e especificadas descritas no Contrato, neste DPA e nas instruções documentadas do Cliente.
25Requisitos de privacidade da Califórnia
Quando a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act), conforme alterada pela Lei de Direitos de Privacidade da Califórnia (California Privacy Rights Act) (“CCPA/CPRA”), se aplicar ao tratamento realizado nos termos deste DPA, as partes pretendem que a 255 atue como Prestador de Serviços ou Contratado, conforme aplicável, em relação às Informações Pessoais do Cliente tratadas em nome do Cliente.
A 255 tratará essas Informações Pessoais somente para as finalidades comerciais limitadas e especificadas permitidas pelo Contrato, por este DPA e pela legislação aplicável.
A 255 não venderá nem compartilhará Informações Pessoais do Cliente, conforme esses termos são definidos pela legislação aplicável da Califórnia, exceto conforme permitido por lei e pelas instruções documentadas do Cliente.
A 255 notificará o Cliente se determinar que não pode mais cumprir as obrigações aplicáveis desta seção, quando exigido por lei.
O Cliente poderá adotar as medidas razoáveis e adequadas permitidas pela legislação aplicável para ajudar a garantir que a 255 trate as Informações Pessoais do Cliente de forma compatível com as obrigações do Cliente.
26Auditorias e informações de conformidade
Mediante solicitação razoável e quando exigido pela Lei de Proteção de Dados aplicável, a 255 disponibilizará as informações razoavelmente necessárias para demonstrar o cumprimento das suas obrigações como Operador ou Prestador de Serviços.
Quando exigido por lei, a 255 poderá permitir auditorias razoáveis, sujeitas a:
- Proteções de confidencialidade adequadas
- Requisitos de segurança adequados
- Limitações de escopo adequadas
- Aviso prévio adequado
- Requisitos de agendamento adequados
- Proteção adequada de outros clientes
- Proteção adequada de informações proprietárias
As partes devem utilizar primeiro a documentação, as certificações, os relatórios ou os questionários disponíveis, quando estes atenderem razoavelmente ao requisito aplicável.
27Solicitações governamentais e judiciais
A 255 poderá divulgar Dados Pessoais quando exigido pela legislação aplicável, por ordem judicial, intimação (subpoena) ou outra solicitação governamental juridicamente vinculante.
Quando legalmente permitido e apropriado, a 255 poderá notificar o Cliente antes de divulgar Dados Pessoais do Cliente em resposta a essa solicitação.
A 255 poderá contestar, quando apropriado, solicitações que acredite razoavelmente serem ilícitas ou excessivas.
28Proibição de venda de Dados Pessoais do Cliente
A 255 não adquire a propriedade dos Dados Pessoais do Cliente pelo simples fato de tratá-los por meio dos Serviços.
A 255 não venderá Dados Pessoais do Cliente em troca de contraprestação monetária enquanto atuar como Operador ou Prestador de Serviços do Cliente.
Qualquer tratamento independente realizado pela 255 como Controlador é regido pela nossa Política de Privacidade e pela Lei de Proteção de Dados aplicável.
29Propriedade dos dados
Entre o Cliente e a 255, o Cliente mantém todos os direitos que detém sobre os Dados do Cliente.
Este DPA não transfere à 255 a propriedade dos Dados do Cliente.
O Cliente concede à 255 somente os direitos razoavelmente necessários para tratar os Dados do Cliente a fim de fornecer, proteger, manter e dar suporte aos Serviços e cumprir as obrigações legais aplicáveis.
30Informações comerciais confidenciais
Os Dados do Cliente podem conter informações comerciais confidenciais além de Dados Pessoais.
A 255 tratará essas informações de acordo com as obrigações de confidencialidade aplicáveis previstas no Contrato.
31Responsabilidade
A responsabilidade de cada parte decorrente deste DPA ou a ele relacionada está sujeita às limitações e exclusões de responsabilidade aplicáveis previstas no Contrato, exceto na medida em que tais limitações sejam proibidas pela Lei de Proteção de Dados aplicável.
32Vigência e rescisão
Este DPA entra em vigor quando se aplicar ao tratamento realizado nos termos de um Contrato entre o Cliente e a 255.
Ele permanece em vigor enquanto a 255 tratar Dados Pessoais do Cliente sujeitos ao DPA.
As disposições que, por sua natureza, devam subsistir à rescisão permanecerão em vigor pelo tempo necessário para cumprir as obrigações legais ou contratuais aplicáveis.
33Ordem de prevalência
Se houver conflito em matéria de proteção de dados entre:
- a legislação obrigatória aplicável;
- os mecanismos de transferência exigidos por lei;
- este DPA; e
- o Contrato,
o requisito de maior prioridade prevalecerá na medida do conflito.
34Alterações neste DPA
A 255 poderá atualizar este DPA para refletir mudanças em:
- Legislação aplicável
- Requisitos regulatórios
- Serviços
- Práticas de segurança
- Atividades de tratamento
- Arranjos com Suboperadores
As alterações relevantes que afetem os direitos de proteção de dados do Cliente serão comunicadas quando exigido pela legislação aplicável ou por compromissos contratuais.
A data de “Última atualização” refletirá a revisão mais recente.
35Contato
Dúvidas sobre este DPA, privacidade, segurança ou questões de tratamento de dados podem ser encaminhadas para:
255 Advertising Agency & Marketing LLC
Sede social
400 E Royal Lane, Suite 104
Irving, TX 75039
Estados Unidos
E-mail de privacidade e suporte
Site
Central de suporte
Anexo 1 — Detalhes do tratamento
No DPA, recomendo que haja um Anexo formal no final:
Item
Detalhes
Controlador / Empresa
O Cliente da 255 aplicável
Operador / Prestador de Serviços
255 Advertising Agency & Marketing LLC
Objeto
Tratamento necessário para fornecer os Serviços da 255 contratados
Duração
Duração do Contrato aplicável, acrescida da retenção permitida/exigida
Finalidade
Fornecer, proteger, manter, dar suporte e aprimorar os Serviços contratados
Titulares dos Dados
Clientes, leads, contatos, funcionários, usuários, visitantes do site, participantes de agendamentos e outras pessoas cujos dados o Cliente envie
Dados Pessoais
Informações de contato, dados de CRM, comunicações, agendamentos, formulários, identificadores de conta, informações de consentimento, dados técnicos e outras informações enviadas pelo Cliente
Dados sensíveis
Somente quando expressamente suportados, autorizados e legalmente permitidos
Operações de tratamento
Coleta, armazenamento, organização, recuperação, transmissão, comunicação, automação, modificação, exportação e exclusão
Frequência
Contínua ou conforme iniciado/configurado pelo Cliente
Retenção
Pelo prazo do Serviço e pelo período de retenção aplicável
Anexo 2 — Medidas técnicas e organizacionais
Não incluímos certificações de segurança que não existem. Escrevemos apenas o que a 255 pode efetivamente comprovar.
Categorias que devem ser documentadas:
Controle de acesso
Acesso baseado em funções, autenticação de contas, controles de acesso administrativo e restrição de acesso com base na necessidade operacional, quando implementados.
Proteção de dados
Proteção adequada dos dados em trânsito e em repouso, com base na arquitetura e nos serviços utilizados.
Segurança da infraestrutura
Medidas de segurança de hospedagem, rede, infraestrutura e ambiente fornecidas diretamente pela 255 e pelos provedores de infraestrutura aplicáveis.
Segurança de aplicações
Práticas de desenvolvimento seguro, gerenciamento de dependências, correção de vulnerabilidades e acesso ao ambiente de produção, quando implementadas.
Registro (logging) e monitoramento
Registro e monitoramento operacionais e de segurança adequados.
Backup e recuperação
Procedimentos de backup e recuperação adequados aos Serviços.
Resposta a incidentes
Processos para investigar, conter, corrigir e comunicar os incidentes de segurança aplicáveis.
Gestão de fornecedores
Avaliação razoável e controles contratuais para Suboperadores que lidam com Dados Pessoais do Cliente.
Segurança de pessoal
Restrições de confidencialidade e de acesso para o pessoal com acesso a Dados Pessoais do Cliente.