Acordo de Processamento de Dados (DPA)
Effective date:
Este Adendo de Processamento de Dados (DPA) é celebrado nos termos do Artigo 28 do Regulamento (UE) 2016/679 (GDPR) como o adendo de proteção de dados do seu acordo com a PDFLean: você, como controlador de dados, determina as finalidades e os meios do processamento; a PDFLean, como processadora de dados (data processor), executa o processamento na nuvem somente de acordo com suas instruções documentadas e nunca usa dados de clientes para seu próprio marketing, criação de perfis ou treinamento de modelos. Ao usar ferramentas WASM locais do navegador, os arquivos nunca saem do seu dispositivo e não surge nenhuma delegação de processamento sob este DPA.
1. Escopo e Precedência do Acordo
Este DPA se aplica ao processamento de dados pessoais enviados por ou gerados em nome do cliente por meio dos serviços de computação em nuvem do PDFLean. Ferramentas locais do navegador que operam no lado do cliente em WebAssembly sem transmitir arquivos para a infraestrutura do PDFLean não criam relação de processador, e este DPA não se aplica a elas. Se houver qualquer conflito entre este DPA e os Termos de Serviço gerais, este DPA prevalecerá em relação à privacidade e proteção de dados.
2. Funções do Controlador e do Processador
Para fins da lei de proteção de dados aplicável, o cliente atua como Controlador de Dados, e o PDFLean atua como Processador de Dados. O PDFLean processa documentos de clientes exclusivamente com base em instruções documentadas do controlador (iniciadas por meio de comandos web interativos, como mesclar, dividir, OCR ou conversão) e nunca processa dados pessoais para seus próprios fins de marketing, criação de perfis ou treinamento de aprendizado de máquina.
3. Obrigações Estatutárias do Processador
O PDFLean se compromete a cumprir as seguintes obrigações legais sob o Art. 28 do GDPR:
- Instruções Documentadas e Minimização de Dados: Processar dados exclusivamente de acordo com as instruções do cliente, reter documentos temporários apenas pelo ciclo de vida técnico necessário para concluir o processamento (limpos automaticamente após a conclusão ou expiração) e notificar o cliente se uma instrução parecer violar os regulamentos de proteção de dados aplicáveis.
- Confidencialidade do Pessoal: Garantir que todo o pessoal autorizado a lidar com a infraestrutura ou tickets de suporte ao cliente esteja sujeito a estrita confidencialidade contratual.
- Notificação de Incidentes: No caso de um incidente de segurança de dados pessoais confirmado, notificar os controladores afetados dentro de 72 horas com avaliações abrangentes de risco técnico.
- Assistência e Direitos dos Titulares dos Dados: Auxiliar os controladores no cumprimento de suas obrigações de responder aos titulares dos dados que exercem direitos estatutários (acesso, apagamento, retificação).
4. Subprocessadores de Infraestrutura Autorizados
As certificações de subprocessadores são aquelas divulgadas publicamente por cada provedor (por exemplo, Cloudflare, Stripe). O próprio PDFLean não faz nenhuma reivindicação de certificação SOC 2 / ISO 27001:
| Subprocessador | Função de Serviço | Localização | Padrão de Conformidade |
|---|---|---|---|
| Cloudflare, Inc. | Computação de borda, defesa DDoS e armazenamento criptografado R2 | Nós de Borda da UE e dos EUA | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Gateway de pagamento e faturamento com VAT em conformidade | Hubs Globais de Nível 1 | PCI-DSS Level 1 |
| Resend, Inc. | Entrega de e-mail de sistema transacional | Canais dos EUA / UE | SOC 2 Type II |
| DeepSeek | Resumo/tradução com IA opcional (somente proxy do lado do servidor) | China (continente) — transferência transfronteiriça | Pesos do modelo MIT; invocado somente quando recursos de IA são solicitados; transferência sob SCCs / suas instruções |
5. Medidas Técnicas e Organizacionais (TOMs)
Implantamos medidas de defesa em profundidade: criptografia TLS 1.3 em trânsito; criptografia AES-256 em repouso; nenhum armazenamento permanente de documentos de clientes (limpos automaticamente após a expiração); e controle de acesso com privilégio mínimo.
6. Execução do DPA e Contato Legal
Equipes empresariais e jurídicas que exijam um DPA formalmente assinado com Cláusulas Contratuais Padrão (SCCs) podem solicitar o pacote de execução por meio do nosso balcão de conformidade legal: support@pdflean.com; nossa equipe jurídica fornecerá o pacote de execução em um dia útil.