Acordo de Processamento de Dados (DPA)

1. 1.Este Acordo rege o tratamento de dados pessoais relacionado à prestação do app da Shopify "SellRules" (o "App") entre o lojista que instala o App (o "Lojista") e a JizaiDev, fornecedora do App ("nós").
2. 2.O Lojista é o controlador dos dados pessoais dos compradores, e nós somos o operador que os trata conforme as instruções do Lojista.
3. 3.Nosso contato: [email protected]

Tratamos dados pessoais somente para as seguintes finalidades.

1. 1.Aplicar regras de venda por produto (pré-venda, sob encomenda, comportamento sem estoque, limites de compra, pagamento com sinal/saldo) à loja, ao checkout e ao processamento de pedidos
2. 2.Enviar e-mails de notificação aos compradores (confirmação de pré-venda, atraso, envio, reposição, cobrança do saldo)
3. 3.Gerenciar o andamento de pré-vendas e pedidos sob encomenda, e imprimir romaneios
4. 4.Avaliar limites de compra (por pedido e por cliente, elegibilidade por tag de cliente)
5. 5.Atender às solicitações de acesso e exclusão de dados da Shopify (customers/data_request, customers/redact, shop/redact)
6. 6.Tratar falhas do App e prevenir usos indevidos

O Lojista concorda que utilizemos os seguintes suboperadores.

1. 1.Criptografia em trânsito: o App aceita apenas conexões HTTPS. As comunicações com a Shopify e a Resend também são criptografadas com TLS.
2. 2.Criptografia em repouso: o banco de dados fica em um volume criptografado da Fly.io, e os snapshots automáticos também são criptografados. Os dados de autorização da integração externa com IA são criptografados adicionalmente com AES-GCM.
3. 3.Armazenamento mínimo: endereços de entrega e telefones não são armazenados. Os webhooks de pedidos são reduzidos aos campos necessários, guardados temporariamente e excluídos após o processamento.
4. 4.Restrição de acesso: o acesso administrativo ao ambiente de produção é limitado aos nossos operadores. As telas de administração ficam disponíveis apenas para funcionários autenticados pela Shopify.
5. 5.Registro de acessos: as consultas a romaneios (com endereços e telefones) e os downloads de exportações de dados de clientes são registrados com ID do funcionário, quantidade e horário, e mantidos por 365 dias (sem registrar os dados pessoais).
6. 6.Separação entre dados de produção e de teste: os testes são feitos em um ambiente de hospedagem, um banco de dados e um app da Shopify separados, com lojas de desenvolvimento; dados de produção não são usados em testes.
7. 7.Autenticação: as contas dos operadores usam senhas fortes e têm a verificação em duas etapas ativada.

1. 1.Consideramos as configurações do App e as ações do Lojista por meio da Shopify como instruções de tratamento.
2. 2.Quando um comprador solicita acesso, correção ou exclusão, respondemos por meio de customers/data_request e customers/redact da Shopify. Os dados divulgados podem ser baixados por 7 dias em "Solicitações de dados de clientes" nas telas de administração.

1. 1.Ao tomarmos conhecimento de uma violação de dados pessoais ou de suspeita de violação, notificaremos a Shopify em até 24 horas.
2. 2.Notificaremos os Lojistas afetados sem demora injustificada e, no máximo, 72 horas após tomarmos conhecimento, com o seguinte, na medida do que for conhecido: quando e o que aconteceu, os dados afetados e o número estimado de registros, as medidas adotadas, as ações necessárias por parte do Lojista e nosso contato. Informações complementares serão enviadas assim que disponíveis.
3. 3.As notificações serão enviadas ao e-mail cadastrado na loja Shopify do Lojista.
4. 4.Contemos, investigamos, recuperamos e prevenimos a repetição de incidentes conforme nosso procedimento interno de resposta a incidentes, e mantemos registros deles.

1. 1.Quando o Lojista desinstala o App, excluímos os dados dessa loja ao receber o evento. O mesmo ocorre ao recebermos shop/redact.
2. 2.As cópias que restarem nos snapshots automáticos desaparecem em no máximo 5 dias. Em todos os casos, todas as cópias são apagadas em até 30 dias após a desinstalação.
3. 3.Podemos manter agregados anônimos que não contenham dados pessoais nem identifiquem a loja.

1. 1.A pedido do Lojista, forneceremos informações que demonstrem o cumprimento deste Acordo (este Acordo, os prazos de retenção, uma descrição das medidas de segurança e o número de registros de acesso).
2. 2.Auditorias presenciais dependem de acordo prévio por escrito, aviso com 30 dias de antecedência e escopo e frequência razoáveis (no máximo uma vez por ano), com custos a cargo do Lojista.