Acordo de processamento de dados do QR Code AI

ACORDO DE PROCESSAMENTO DE DADOS (DPA)

Última atualização: 2 de março de 2026

Este Acordo de Processamento de Dados ("DPA") faz parte dos Termos de Serviço ("Acordo") entre a Supernovae, empresa registrada na França em 27 Rue Wurtz, Juvisy-sur-Orge 91260, número de IVA FR67948452891 ("Operador", "nós"), e a entidade que concorda com este DPA ("Controlador", "você"), em conjunto denominadas as "Partes".

Este DPA se aplica quando processamos dados pessoais em seu nome em conexão com nossos serviços do QR Code AI, inclusive via API.

1. DEFINIÇÕES

• "Dados Pessoais" significa qualquer informação relacionada a uma pessoa natural identificada ou identificável, conforme definido no Artigo 4(1) do GDPR.
• "Processamento" significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais, conforme definido no Artigo 4(2) do GDPR.
• "Titular dos Dados" significa a pessoa natural identificada ou identificável a quem os Dados Pessoais se referem.
• "Suboperador" significa qualquer terceiro contratado pelo Operador para processar Dados Pessoais em nome do Controlador.
• "GDPR" significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho.
• "UK GDPR" significa o GDPR conforme incorporado ao direito do Reino Unido pela Data Protection Act 2018.
• "SCCs" significa as Cláusulas Contratuais-Padrão aprovadas pela Comissão Europeia para a transferência de Dados Pessoais para países terceiros.
• "Violação de Dados" significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado, acidental ou ilícito, a Dados Pessoais.

2. ESCOPO E PAPÉIS

2.1 Controlador e Operador

Para os fins deste DPA:

• Você (Controlador): Você determina as finalidades e os meios do processamento de Dados Pessoais quando usa nossos Serviços, especialmente quando usa nossa API para gerar QR codes para seus próprios clientes ou integra nossos Serviços aos seus produtos.
• Nós (Operador): Nós processamos Dados Pessoais em seu nome de acordo com suas instruções, conforme descrito neste DPA e no Acordo.

2.2 Quando este DPA se aplica

Este DPA se aplica quando:

• Você usa a API do QR Code AI para gerar QR codes que processam dados dos seus usuários finais (por exemplo, URLs contendo informações pessoais, dados de vCard, detalhes de contato codificados em QR codes).
• Você usa os recursos de rastreamento de QR code e analytics do QR Code AI que coletam dados de scan dos seus usuários finais.
• Qualquer outro cenário em que processamos Dados Pessoais em seu nome como operador de dados.

Quando você usa o QR Code AI como usuário individual para seus próprios fins, atuamos como controlador de dados independente e nossa Política de Privacidade rege o processamento de dados.

3. DETALHES DO PROCESSAMENTO DE DADOS

3.1 Objeto e duração

Processamos Dados Pessoais durante a vigência do Acordo para fornecer os serviços do QR Code AI, incluindo geração de QR code, rastreamento, analytics e funcionalidades relacionadas.

3.2 Natureza e finalidade do processamento

• Gerar QR codes com base nos dados de entrada fornecidos pelo Controlador
• Rastrear scans de QR code e coletar dados de analytics
• Armazenar configurações de QR code e metadados associados
• Processar solicitações de QR code artístico gerado por IA
• Fornecer relatórios e painéis de analytics

3.3 Tipos de dados pessoais

Os tipos de Dados Pessoais processados podem incluir:

• Informações de contato (nomes, endereços de e-mail, números de telefone) codificadas em QR codes
• URLs e endereços da web
• Dados de localização de scans de QR code
• Informações do dispositivo e endereços IP de scans de QR code
• Prompts de texto e imagens fornecidos para geração de QR code com IA
• Quaisquer outros dados que o Controlador escolha codificar em QR codes

3.4 Categorias de titulares dos dados

• Usuários finais que fazem scan de QR codes criados pelo Controlador
• Pessoas cujas informações de contato são codificadas em QR codes
• Usuários dos produtos ou serviços do Controlador que interagem com QR codes

4. OBRIGAÇÕES DO OPERADOR

4.1 Instruções de processamento

Processaremos Dados Pessoais somente mediante suas instruções documentadas, salvo se formos obrigados a fazê-lo por lei da UE ou de Estado-Membro à qual estejamos sujeitos. Nesse caso, informaremos você sobre essa exigência legal antes do processamento, a menos que a lei proíba tal informação por motivos relevantes de interesse público.

4.2 Confidencialidade

Garantimos que as pessoas autorizadas a processar Dados Pessoais assumiram compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade.

4.3 Medidas de segurança

Implementamos medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, incluindo:

• Criptografia de Dados Pessoais em trânsito (TLS/HTTPS) e em repouso
• Controles de acesso e autenticação baseada em funções para sistemas internos
• Avaliações de segurança regulares e varredura de vulnerabilidades
• Infraestrutura hospedada com provedores certificados ISO 27001
• Proteção contra DDoS e firewall de aplicação web (Cloudflare)
• Backups regulares com armazenamento criptografado
• Registro e monitoramento de acesso a Dados Pessoais

4.4 Suboperadores

Usamos os suboperadores listados em nossa página de Subprocessadores. Notificaremos você sobre quaisquer alterações planejadas de suboperadores atualizando essa página. Você pode se opor a um novo suboperador entrando em contato conosco em [email protected] dentro de 30 dias após a atualização. Se você se opuser e não conseguirmos acomodar sua objeção de forma razoável, qualquer uma das partes poderá rescindir a parte afetada dos Serviços.

Firmamos acordos por escrito com todos os suboperadores que impõem obrigações de proteção de dados não menos protetivas do que as deste DPA.

4.5 Direitos dos titulares dos dados

Ajudaremos você a responder a solicitações de Titulares dos Dados que exerçam seus direitos conforme a lei de proteção de dados aplicável (acesso, retificação, eliminação, restrição, portabilidade, oposição). Se recebermos uma solicitação diretamente de um Titular dos Dados, iremos redirecioná-lo prontamente a você, salvo instrução em contrário.

4.6 Assistência para conformidade

Ajudaremos você a garantir a conformidade com suas obrigações nos termos dos Artigos 32 a 36 do GDPR, levando em conta a natureza do processamento e as informações disponíveis para nós.

5. NOTIFICAÇÃO DE VIOLAÇÃO DE DADOS

5.1 Prazo de notificação

Notificaremos você sobre uma Violação de Dados sem demora indevida e, em qualquer caso, dentro de 72 horas após tomarmos conhecimento da violação. A notificação será enviada para o endereço de e-mail associado à sua conta.

5.2 Conteúdo da notificação

A notificação incluirá, na medida do possível:

• Uma descrição da natureza da Violação de Dados, incluindo as categorias e o número aproximado de Titulares dos Dados e registros afetados.
• O nome e os dados de contato do nosso ponto de contato de proteção de dados.
• Uma descrição das prováveis consequências da Violação de Dados.
• Uma descrição das medidas adotadas ou propostas para tratar a Violação de Dados, incluindo medidas para mitigar possíveis efeitos adversos.

5.3 Cooperação contínua

Cooperaremos com você e forneceremos assistência razoável para investigar, mitigar e remediar qualquer Violação de Dados, bem como para realizar quaisquer notificações a autoridades de supervisão ou Titulares dos Dados que você seja obrigado a fazer.

6. TRANSFERÊNCIAS INTERNACIONAIS DE DADOS

6.1 Localização dos dados

Os Dados Pessoais são armazenados e processados principalmente na União Europeia:

• França (UE) via Scaleway
• Países Baixos (UE) via DigitalOcean

6.2 Transferências para fora da UE/EEE

Alguns de nossos suboperadores estão localizados fora da UE/EEE, principalmente nos Estados Unidos. Para essas transferências, nos baseamos em:

• EU-US Data Privacy Framework: quando aplicável, para transferências a provedores sediados nos EUA certificados no framework.
• Cláusulas Contratuais-Padrão (SCCs): incorporamos as SCCs aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914) em nossos acordos com suboperadores localizados fora da UE/EEE quando o Data Privacy Framework não se aplica.

6.3 Avaliação de impacto de transferência

Realizamos avaliações de impacto de transferência para transferências a países terceiros e implementamos medidas suplementares quando necessário para garantir um nível adequado de proteção de dados.

7. AUDITORIAS E INSPEÇÕES

7.1 Direito de auditoria

Você tem o direito de auditar nossa conformidade com este DPA. Disponibilizaremos a você todas as informações necessárias para demonstrar conformidade e permitiremos e contribuiremos para auditorias, incluindo inspeções, conduzidas por você ou por um auditor por você designado.

7.2 Processo de auditoria

As auditorias estão sujeitas às seguintes condições:

• Você deve fornecer aviso prévio por escrito de pelo menos 30 dias antes de qualquer auditoria.
• Auditorias podem ser realizadas no máximo uma vez por ano, salvo se exigidas por uma autoridade de supervisão ou após uma Violação de Dados.
• Auditorias devem ser realizadas durante o horário comercial normal e não devem interferir de forma injustificada em nossas operações.
• Você é responsável pelos custos de qualquer auditoria, a menos que a auditoria revele uma violação material deste DPA.
• Informações confidenciais de nossos outros clientes não devem ser expostas durante a auditoria.

8. RETENÇÃO E EXCLUSÃO DE DADOS

8.1 Durante o Acordo

Retemos Dados Pessoais durante a vigência do Acordo conforme necessário para fornecer os Serviços.

8.2 Após o encerramento

Após o encerramento do Acordo ou mediante sua solicitação por escrito:

• Excluiremos os Dados Pessoais de nossos sistemas ativos em até 30 dias.
• Dados Pessoais em arquivos de backup serão eliminados em até 6 meses.
• Podemos reter Dados Pessoais na medida exigida pela lei aplicável (por exemplo, obrigações fiscais e contábeis). Nesse caso, isolaremos e protegeremos tais dados e limitaremos o processamento adicional ao que for exigido por lei.

8.3 Certificação

Mediante sua solicitação, forneceremos confirmação por escrito de que os Dados Pessoais foram excluídos de acordo com esta seção.

9. RESPONSABILIDADE

A responsabilidade de cada parte sob este DPA está sujeita às limitações de responsabilidade estabelecidas no Acordo. Nada neste DPA limita a responsabilidade de qualquer das partes perante Titulares dos Dados ou autoridades de supervisão nos termos da lei de proteção de dados aplicável.

10. LEI APLICÁVEL

Este DPA é regido pelas leis da França. Para Titulares dos Dados na UE, aplica-se o GDPR. Para Titulares dos Dados no Reino Unido, aplica-se o UK GDPR. Quaisquer disputas decorrentes deste DPA serão resolvidas de acordo com as disposições de resolução de disputas do Acordo.

11. COMO EXECUTAR ESTE DPA

Este DPA é incorporado e faz parte dos Termos de Serviço. Ao usar os Serviços do QR Code AI, você concorda com este DPA.

Se você precisar de uma cópia deste DPA assinada separadamente para seus registros, entre em contato conosco em [email protected] e forneceremos uma em até 10 dias úteis.

12. CONTATO

Para dúvidas sobre este DPA ou nossas práticas de processamento de dados:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]