Última atualização 18 de outubro de 2026

Adendo de processamento de dados

Esta tradução é fornecida por conveniência. Se ela diferir da versão em inglês, vale a versão em inglês.

Rascunho para revisão. Este adendo é um modelo para o responsável por este site. Peça a um advogado que o revise e preencha os dados destacados antes de usá-lo.

Partes e escopo

Este adendo de processamento de dados ("DPA") faz parte do acordo entre ScanMosaic, United Kingdom ("nós", o operador) e o cliente empresarial que usa o ScanMosaic ("você", o controlador), composto pelos nossos termos de serviço e por este DPA. Ele se aplica quando processamos dados pessoais para você, como seu operador, sob o UK GDPR, o GDPR da UE ou leis semelhantes. Não se aplica aos dados que processamos como controlador para nossas próprias finalidades, descritos na nossa política de privacidade, como os dados da sua conta e de cobrança.

Você aceita este DPA ao usar um plano pago para fins empresariais ou ao nos pedir uma cópia assinada em [email protected].

Objeto, duração, natureza e finalidade

Hospedamos seus QR codes, links curtos, páginas hospedadas e arquivos, redirecionamos quem os escaneia ou clica neles, contamos essas visitas e fornecemos o painel, os relatórios e a API. Processamos dados pessoais apenas enquanto você usa o serviço e pelos prazos de exclusão abaixo.

Dados pessoais e titulares dos dados

Pessoas que escaneiam seus códigos ou clicam nos seus links: horário, país e cidade (pela rede, não por GPS), tipo de dispositivo, sistema operacional, navegador, idioma, site de origem e uma chave de visitante que muda todo dia. Não guardamos endereços IP nem definimos cookies.
Pessoas que preenchem seus formulários ou páginas de feedback hospedados: o que o seu formulário pedir.
Pessoas citadas no seu conteúdo: por exemplo, dados de contato em um cartão de visita digital ou arquivos que você envia.
Sua equipe: e-mails e funções dos membros do espaço de trabalho e o registro de atividades das alterações deles.

Você não pode usar o serviço para coletar dados de categoria especial (como dados de saúde) por meio de formulários hospedados, a menos que tenha uma base legal e nos tenha informado por escrito.

Nossas obrigações

Tratamos dados pessoais apenas conforme suas instruções documentadas: estes termos, suas configurações e o seu uso do serviço. Avisamos você se acharmos que uma instrução viola a lei de proteção de dados.
Todas as pessoas com acesso aos seus dados pessoais estão sujeitas a confidencialidade.
Ajudamos você a responder a solicitações de pessoas que exercem seus direitos. A maioria pode ser resolvida no dashboard: exportar, editar e excluir códigos, links, respostas de formulários e registros de scans.
Ajudamos você com avaliações de impacto sobre a proteção de dados e consultas às autoridades de supervisão quando envolverem nosso serviço.

Medidas de segurança

Todo o tráfego usa HTTPS (TLS). Os dados ficam com nosso provedor de hospedagem, que os criptografa em repouso.
Nenhum endereço IP é guardado com os registros de escaneamentos; os limites de requisições e as contagens de visitantes únicos usam hashes unidirecionais com chave, que não podem ser revertidos.
Login sem senha com códigos de uso único; as sessões são guardadas como hashes unidirecionais e podem ser encerradas em todos os dispositivos.
Acesso por função em cada espaço de trabalho (proprietário, admin, editor, leitor), verificado no servidor a cada requisição. As chaves de API são restritas ao espaço de trabalho e guardadas em hash.
Os segredos de terceiros que você nos fornece, como segredos de API de integrações, são criptografados e nunca mais exibidos.
Os destinos são verificados no Google Web Risk; as páginas que exibem conteúdo dos seus usuários usam uma política de segurança de conteúdo rigorosa.
O acesso aos sistemas de produção é limitado às pessoas que operam o serviço.

Subprocessadores

Você nos autoriza a usar os suboperadores listados na nossa página de suboperadores. Vinculamos cada um por contrato a obrigações de proteção de dados pelo menos tão protetoras quanto este DPA e continuamos responsáveis por eles. Avisamos com pelo menos 30 dias de antecedência sobre um novo suboperador, por e-mail ao proprietário do espaço de trabalho. Se você se opuser por motivos razoáveis de proteção de dados e não conseguirmos resolver, você pode encerrar o serviço afetado e reembolsamos as taxas pagas antecipadamente pelo período restante.

Transferências internacionais

Alguns suboperadores processam dados fora do Reino Unido e do EEE. Nesses casos, nos apoiamos em uma decisão de adequação (incluindo o EU-US Data Privacy Framework e a extensão do Reino Unido, quando o destinatário é certificado) ou nas cláusulas contratuais padrão da UE com o UK International Data Transfer Addendum, junto com medidas complementares quando necessário.

Violações de dados pessoais

Avisamos você sem demora injustificada, e em qualquer caso em até 48 horas, após tomarmos conhecimento de uma violação de dados pessoais que afete os seus dados. Contamos o que aconteceu, quais dados e pessoas provavelmente foram afetados, as prováveis consequências e o que estamos fazendo a respeito, e atualizamos você conforme soubermos mais. Enviamos o aviso ao e-mail do proprietário do espaço de trabalho.

Exclusão e devolução

Você pode baixar seus dados a qualquer momento em Privacidade e dados, no painel, e excluir códigos, links, arquivos e respostas quando quiser. Os registros de escaneamentos são excluídos automaticamente após 13 meses. Quando você exclui sua conta ou espaço de trabalho, ou 30 dias após o fim do seu contrato, excluímos seus dados pessoais do serviço ativo, a menos que a lei nos obrigue a mantê-los. Os backups mantidos pelo nosso provedor de hospedagem são sobrescritos em até 30 dias depois disso.

Auditorias e informações

Disponibilizamos as informações necessárias para demonstrar nossa conformidade com este DPA, incluindo respostas a questionários de segurança razoáveis uma vez por ano. Quando isso não bastar, você pode auditar nossa conformidade uma vez por ano, com aviso prévio de pelo menos 30 dias, em horário comercial, por sua conta, sob confidencialidade e sem acesso aos dados de outros clientes. As auditorias dos nossos suboperadores são cobertas pelas certificações e relatórios deles.

Responsabilidade e ordem de precedência

A responsabilidade de cada parte sob este DPA está sujeita aos limites dos nossos termos de serviço, exceto onde a lei não permitir. Se este DPA entrar em conflito com os termos de serviço sobre dados pessoais, vale este DPA. Se as cláusulas contratuais padrão se aplicarem, elas prevalecem.

Contato

Dúvidas sobre este DPA ou pedidos de uma cópia assinada: [email protected].