Acordo de processamento de dados do QR Code AI

ACORDO DE PROCESSAMENTO DE DADOS (DPA)

Última atualização: 2 de março de 2026

Este Acordo de Processamento de Dados (“DPA”) faz parte dos Termos de serviço (“Contrato”) entre a Supernovae, empresa registrada na França, com endereço em 27 Rue Wurtz, Juvisy-sur-Orge 91260 e número de identificação de IVA FR67948452891 (“Operador”, “nós”), e a entidade que aceita este DPA (“Controlador”, “você”), conjuntamente denominadas “Partes”.

Este DPA se aplica quando tratamos dados pessoais em seu nome no âmbito de nossos serviços QR Code AI, inclusive por meio da API.

1. DEFINIÇÕES

• “Dados Pessoais” significa qualquer informação relacionada a uma pessoa natural identificada ou identificável, conforme definido no artigo 4(1) do RGPD.
• “Tratamento” significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais, conforme definido no artigo 4(2) do RGPD.
• “Titular dos Dados” significa a pessoa natural identificada ou identificável a quem os Dados Pessoais se referem.
• “Subprocessador” significa qualquer terceiro contratado pelo Operador para tratar Dados Pessoais em nome do Controlador.
• “RGPD” significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho.
• “RGPD do Reino Unido” significa o Regulamento Geral de Proteção de Dados do Reino Unido, conforme aplicável no direito britânico e interpretado em conjunto com a Data Protection Act 2018.
• “CCT” significa as cláusulas contratuais-padrão aprovadas pela Comissão Europeia para a transferência de Dados Pessoais a países terceiros.
• “Violação de Dados” significa uma violação de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a Dados Pessoais, de forma acidental ou ilícita.

2. ESCOPO E PAPÉIS

2.1 Controlador e Operador

Para os fins deste DPA:

• Você (Controlador): Você determina as finalidades e os meios de tratamento dos Dados Pessoais ao usar nossos Serviços, especialmente quando usa nossa API para gerar QR codes para seus próprios clientes ou integra nossos Serviços aos seus produtos.
• Nós (Operador): Tratamos Dados Pessoais em seu nome, de acordo com suas instruções, conforme descrito neste DPA e no Contrato.

2.2 Quando este DPA se aplica

Este DPA se aplica quando:

• Você usa a API do QR Code AI para gerar QR codes que tratam dados de seus usuários finais (por exemplo, URLs com informações pessoais, dados vCard ou dados de contato codificados em QR codes).
• Você usa os recursos de rastreamento e análise do QR Code AI que coletam dados de leitura de seus usuários finais.
• Há qualquer outra situação em que tratamos Dados Pessoais em seu nome, como operador de dados.

Quando você usa o QR Code AI como usuário individual para suas próprias finalidades, atuamos como controlador independente e nossa Política de privacidade rege o tratamento dos dados.

3. DETALHES DO TRATAMENTO DE DADOS

3.1 Objeto e duração

Tratamos Dados Pessoais durante a vigência do Contrato para fornecer os serviços QR Code AI, incluindo geração, rastreamento e análise de QR codes e funcionalidades relacionadas.

3.2 Natureza e finalidade do tratamento

• Geração de QR codes com base nos dados fornecidos pelo Controlador
• Rastreamento das leituras de QR codes e coleta de dados de análise
• Armazenamento de configurações de QR codes e metadados associados
• Processamento de solicitações de QR codes artísticos gerados por IA
• Fornecimento de relatórios e painéis de análise

3.3 Tipos de Dados Pessoais

Os tipos de Dados Pessoais tratados podem incluir:

• Dados de contato (nomes, endereços de email e números de telefone) codificados em QR codes
• URLs e endereços da web
• Dados de localização provenientes de leituras de QR codes
• Informações de dispositivos e endereços IP provenientes de leituras de QR codes
• Instruções de texto e imagens fornecidas para gerar QR codes com IA
• Quaisquer outros dados que o Controlador decida codificar em QR codes

3.4 Categorias de Titulares dos Dados

• Usuários finais que escaneiam QR codes criados pelo Controlador
• Pessoas cujos dados de contato estão codificados em QR codes
• Usuários dos produtos ou serviços do Controlador que interagem com QR codes

4. OBRIGAÇÕES DO OPERADOR

4.1 Instruções de tratamento

Trataremos Dados Pessoais somente de acordo com suas instruções documentadas, salvo quando esse tratamento for exigido pelo direito da União Europeia ou de um Estado-Membro ao qual estejamos sujeitos. Nesse caso, informaremos você sobre essa exigência legal antes do tratamento, salvo se a lei proibir essa informação por motivos relevantes de interesse público.

Informaremos você imediatamente se, em nossa opinião, uma instrução violar o RGPD ou outras disposições aplicáveis da União Europeia ou dos Estados-Membros sobre proteção de dados.

4.2 Confidencialidade

Garantimos que as pessoas autorizadas a tratar Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.

4.3 Medidas de segurança

Implementamos medidas técnicas e organizacionais adequadas para assegurar um nível de segurança apropriado ao risco, incluindo:

• Criptografia dos Dados Pessoais em trânsito (TLS/HTTPS), com criptografia em repouso das informações sensíveis armazenadas
• Controles de acesso e autenticação baseada em funções para os sistemas internos
• Avaliações de segurança e verificações de vulnerabilidades regulares
• Infraestrutura hospedada na Scaleway e na DigitalOcean, com medidas de segurança e conformidade que dependem do prestador e do serviço de hospedagem
• Proteção contra DDoS e firewall de aplicações web (Cloudflare)
• Backups regulares com armazenamento criptografado
• Registro e monitoramento do acesso aos Dados Pessoais

4.4 Subprocessadores

Usamos os subprocessadores indicados em nossa página de Subprocessadores. Notificaremos você diretamente, por escrito, sobre qualquer adição ou substituição prevista de um subprocessador, dando a você 30 dias a partir dessa notificação para se opor antes que a mudança entre em vigor. Você pode se opor entrando em contato conosco pelo email [email protected] dentro desse prazo. Se você apresentar uma objeção e não conseguirmos atendê-la de forma razoável, qualquer uma das partes poderá rescindir a parte afetada dos Serviços.

Só contrataremos um subprocessador para tratar Dados Pessoais em seu nome mediante um contrato escrito, incluindo termos eletrônicos aplicáveis, que imponha as obrigações de proteção de dados exigidas pelo artigo 28(4) do RGPD. Continuamos responsáveis por nossos subprocessadores conforme exigido por esse artigo.

4.5 Direitos dos Titulares dos Dados

Ajudaremos você a responder a solicitações de Titulares dos Dados que exerçam seus direitos previstos na legislação aplicável de proteção de dados (acesso, retificação, exclusão, restrição, portabilidade e oposição). Se recebermos uma solicitação diretamente de um Titular dos Dados, encaminharemos prontamente o titular a você, salvo instruções em contrário.

4.6 Assistência no cumprimento das obrigações

Ajudaremos você a assegurar o cumprimento de suas obrigações previstas nos artigos 32 a 36 do RGPD, considerando a natureza do tratamento e as informações disponíveis para nós.

5. NOTIFICAÇÃO DE VIOLAÇÕES DE DADOS

5.1 Prazo de notificação

Notificaremos você sobre uma Violação de Dados sem demora injustificada e, em qualquer caso, em até 72 horas após tomarmos conhecimento da violação. A notificação será enviada ao endereço de email associado à sua conta.

5.2 Conteúdo da notificação

A notificação incluirá, na medida em que estiverem disponíveis:

• Uma descrição da natureza da Violação de Dados, incluindo as categorias e o número aproximado de Titulares dos Dados e de registros afetados.
• O nome e os dados de contato de nosso ponto de contato para a proteção de dados.
• Uma descrição das consequências prováveis da Violação de Dados.
• Uma descrição das medidas tomadas ou propostas para responder à Violação de Dados, incluindo medidas para reduzir seus possíveis efeitos adversos.

5.3 Cooperação contínua

Cooperaremos com você e forneceremos assistência razoável na investigação, mitigação e reparação de qualquer Violação de Dados, bem como nas notificações às autoridades de supervisão ou aos Titulares dos Dados que você tenha a obrigação de fazer.

6. TRANSFERÊNCIAS INTERNACIONAIS DE DADOS

6.1 Localização dos dados

Os Dados Pessoais são armazenados e tratados principalmente na União Europeia:

• França (UE) por meio da Scaleway
• Países Baixos (UE) por meio da DigitalOcean

6.2 Transferências para fora da UE/EEE

Alguns de nossos subprocessadores estão localizados fora da UE/EEE, principalmente nos Estados Unidos. Para essas transferências, utilizamos:

• Quadro de Privacidade de Dados UE-EUA: Quando aplicável, para transferências a prestadores sediados nos EUA e certificados nos termos desse quadro.
• Cláusulas contratuais-padrão (CCT): Incorporamos as CCT aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914 da Comissão) aos nossos acordos com subprocessadores localizados fora da UE/EEE quando o Quadro de Privacidade de Dados não se aplica.

6.3 Avaliação de impacto das transferências

Realizamos avaliações de impacto das transferências a países terceiros e implementamos medidas complementares quando necessário para assegurar um nível adequado de proteção de dados.

7. AUDITORIAS E INSPEÇÕES

7.1 Direitos de auditoria

Você tem o direito de auditar nosso cumprimento deste DPA. Disponibilizaremos todas as informações necessárias para demonstrar esse cumprimento e permitiremos e contribuiremos para auditorias, incluindo inspeções, realizadas por você ou por um auditor designado por você.

7.2 Procedimento de auditoria

As condições abaixo se aplicam às auditorias somente na medida em que não restrinjam direitos ou obrigações previstos na legislação aplicável de proteção de dados:

• Você deve enviar uma notificação por escrito com pelo menos 30 dias de antecedência de qualquer auditoria.
• As auditorias podem ser realizadas no máximo uma vez por ano, salvo quando exigidas por uma autoridade de supervisão ou após uma Violação de Dados.
• As auditorias devem ser realizadas durante o horário comercial normal e não devem interferir de forma desarrazoada em nossas operações.
• Você é responsável pelos custos de qualquer auditoria, salvo se ela revelar uma violação substancial deste DPA.
• As informações confidenciais de nossos outros clientes não podem ser expostas durante a auditoria.

8. RETENÇÃO E EXCLUSÃO DE DADOS

8.1 Durante a vigência do Contrato

Conservamos Dados Pessoais durante a vigência do Contrato, conforme necessário para fornecer os Serviços.

8.2 Após a rescisão

Após a rescisão do Contrato ou mediante sua solicitação por escrito:

• Conforme sua escolha, excluiremos os Dados Pessoais ou devolveremos os dados a você e excluiremos as cópias restantes de nossos sistemas ativos em até 30 dias.
• Os Dados Pessoais em arquivos de backup serão eliminados em até 6 meses e, até lá, permanecerão protegidos e não serão usados para outras finalidades, salvo quando a legislação aplicável exigir o contrário.
• Podemos conservar Dados Pessoais na medida exigida pela legislação aplicável (por exemplo, obrigações fiscais ou contábeis); nesse caso, isolaremos e protegeremos esses dados e limitaremos o tratamento posterior ao exigido por lei.

8.3 Confirmação da exclusão

Mediante sua solicitação, forneceremos uma confirmação por escrito de que os Dados Pessoais foram excluídos de acordo com esta seção.

9. RESPONSABILIDADE

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações de responsabilidade previstas no Contrato. Nenhuma disposição deste DPA limita a responsabilidade de qualquer uma das partes perante os Titulares dos Dados ou as autoridades de supervisão nos termos da legislação aplicável de proteção de dados.

10. LEI APLICÁVEL

Este DPA é regido pelas leis da França. O RGPD e o RGPD do Reino Unido se aplicam na medida em que o tratamento esteja abrangido por seus respectivos escopos legais. Quaisquer disputas decorrentes deste DPA serão resolvidas de acordo com as disposições de resolução de disputas do Contrato.

11. COMO CELEBRAR ESTE DPA

Este DPA está incorporado aos Termos de serviço e faz parte deles. Ao usar os Serviços QR Code AI, você aceita este DPA.

Se precisar de uma cópia deste DPA assinada separadamente para seus registros, entre em contato conosco pelo email [email protected] e forneceremos uma em até 10 dias úteis.

12. CONTATO

Para dúvidas sobre este DPA ou nossas práticas de tratamento de dados:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]