Acordo de Tratamento de Dados

1. Objeto e partes

Este acordo faz parte dos Termos de Uso do BoviMonitor. É celebrado entre o Cliente —o titular da Conta—, como controlador, e Inversiones Anaguaya S.A.S., sociedade domiciliada em Barranquilla, Colombia (a «Companhia»), como operadora. Regula o tratamento dos dados pessoais que fazem parte do Conteúdo do Cliente (os «Dados do Cliente») realizado pela Companhia para prestar o serviço. Os termos com inicial maiúscula têm o significado que lhes dão os Termos de Uso.

Os dados das contas e dos usuários dos quais a Companhia é responsável regem-se pela Política de Privacidade, não por este acordo.

Este acordo cumpre a função do contrato de transmissão de dados pessoais da norma colombiana (artigo 2.2.2.25.5.2 do Decreto 1074 de 2015), do contrato com o operador do artigo 28 do Regulamento (UE) 2016/679 («RGPD») e do seu equivalente do Reino Unido (UK GDPR), e do contrato com o operador previsto no artigo 39 da Lei nº 13.709/2018 («LGPD»).

2. Instruções do Cliente

A Companhia trata os Dados do Cliente apenas para prestar o serviço e segundo as instruções documentadas do Cliente, que são: os Termos de Uso, este acordo, e a configuração e o uso que o Cliente e seus Usuários fazem da Plataforma, incluído o plano que contrata, que define por quanto tempo as fotografias são conservadas. Se, no entender da Companhia, uma instrução violar a legislação de proteção de dados, ela informará o Cliente. O Cliente também autoriza a Companhia a anonimizar os Dados do Cliente para obter os números agregados previstos na seção 8 dos Termos de Uso, que não permitem identificar ninguém.

O Cliente garante que tem uma base legal para inserir os Dados do Cliente na Plataforma e que informou as pessoas a quem eles se referem —em particular, quem trabalha nas suas fazendas— de que nela são registradas suas atividades, localizações e fotografias.

3. Confidencialidade e segurança

As pessoas autorizadas pela Companhia a tratar os Dados do Cliente estão obrigadas a manter confidencialidade. A Companhia aplica as medidas técnicas e organizacionais do anexo 2 e as revisa periodicamente; pode alterá-las desde que o nível de proteção não diminua.

4. Suboperadores

O Cliente autoriza a Companhia a recorrer aos suboperadores do anexo 3. A Companhia avisará o Cliente com pelo menos 30 dias de antecedência, por e-mail ao titular da Conta ou por um aviso na Plataforma, antes de incluir ou substituir algum. O Cliente pode se opor por motivos razoáveis de proteção de dados; se as partes não chegarem a um acordo, o Cliente pode encerrar o serviço afetado, com efeito imediato e sem penalidade. A Companhia impõe a cada suboperador obrigações de proteção de dados equivalentes às deste acordo e responde perante o Cliente pelo cumprimento delas.

5. Direitos dos titulares

A Plataforma permite ao Cliente consultar, corrigir e exportar os Dados do Cliente, e excluir um Usuário ou a Conta inteira; com isso ele pode atender sozinho às solicitações das pessoas a quem os dados se referem. Se uma delas se dirigir à Companhia por causa de Dados do Cliente, a Companhia encaminhará a solicitação ao Cliente sem respondê-la por conta própria, salvo instrução do Cliente. Se o Cliente não puder atender a uma solicitação com as ferramentas da Plataforma, a Companhia o ajudará no que for razoável.

6. Incidentes de segurança

A Companhia notificará o Cliente de qualquer incidente de segurança que afete os Dados do Cliente sem demora injustificada e, no máximo, 48 horas depois de tomar conhecimento dele. A notificação descreverá, na medida em que se conheça, a natureza do incidente, as categorias e o número aproximado de pessoas e registros afetados, suas consequências prováveis e as medidas tomadas ou propostas, e será complementada à medida que se obtenham mais informações.

7. Colaboração e auditorias

A Companhia colocará à disposição do Cliente as informações razoáveis de que ele precise para fazer avaliações de impacto, consultar uma autoridade de proteção de dados e demonstrar o cumprimento deste acordo.

O Cliente pode auditar esse cumprimento uma vez por ano, às suas custas, com 30 dias de aviso, em horário comercial e sem acesso a dados de outros clientes, por si mesmo ou por meio de um auditor independente obrigado à confidencialidade. A Companhia pode atendê-la primeiro com documentação e respostas escritas; a auditoria presencial procede se estas não bastarem ou se uma autoridade a determinar.

8. Fim do serviço

Encerrada a relação, os Dados do Cliente são conservados por 90 dias para que o Cliente possa exportá-los, como diz a seção 13 dos Termos de Uso. Vencido esse prazo, a Companhia os exclui de forma permanente, salvo se a lei exigir sua conservação. Os backups que ainda os contenham são renovados automaticamente em um prazo máximo de 90 dias.

9. Transferências internacionais

A Companhia está na Colômbia e hospeda os Dados do Cliente no Chile; alguns suboperadores estão nos Estados Unidos (anexo 3).

• União Europeia e Espaço Econômico Europeu. Quando o RGPD se aplica à transferência dos Dados do Cliente à Companhia, as partes celebram as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, módulo dois (de responsável pelo tratamento para subcontratante), que se incorporam por referência a este acordo com estas opções: a cláusula 7 não se aplica; na cláusula 9, a opção 2 (autorização geral), com o aviso de 30 dias da seção 4; na cláusula 11, sem a opção; na cláusula 13, a autoridade de controle é a do Estado-Membro onde o Cliente está estabelecido ou, se não estiver, a que corresponder segundo essa cláusula; na cláusula 17, o direito da Irlanda, e na cláusula 18, os tribunais da Irlanda. Os anexos I, II e III das cláusulas são completados com os anexos 1, 2 e 3 deste acordo.
• Reino Unido. Quando o UK GDPR se aplica à transferência, vale também o adendo do Information Commissioner's Office para as transferências internacionais (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, versão B1.0), cujas tabelas são completadas com este acordo e seus anexos; nenhuma das partes pode encerrá-lo com base na sua seção 19.
• Brasil. Quando a LGPD se aplica à transferência, as partes adotam, integralmente e sem alterações, as cláusulas-padrão contratuais do anexo II da Resolução CD/ANPD nº 19/2024, com o Cliente como exportador e a Companhia como importadora; as informações que essas cláusulas pedem são completadas com este acordo e seus anexos.

Com os suboperadores dos Estados Unidos, a Companhia se apoia no Quadro de Privacidade de Dados UE-EUA quando o suboperador é certificado e, caso contrário, nas cláusulas contratuais-tipo previstas nas condições dele.

Em caso de contradição, as cláusulas-padrão prevalecem sobre este acordo, e este acordo sobre os Termos de Uso no que se refere à proteção dos Dados do Cliente.

10. Responsabilidade e vigência

A responsabilidade de cada parte perante a outra rege-se pelos Termos de Uso, sem prejuízo do que as cláusulas-padrão dispõem perante as pessoas a quem os dados se referem. Este acordo vigora enquanto a Companhia tratar Dados do Cliente. As dúvidas sobre ele são atendidas em privacidad@bovimonitor.com.

Anexo 1. Descrição do tratamento

• Titulares dos dados: os Usuários da Conta —proprietários, administradores e quem trabalha nas fazendas— e outras pessoas que o Cliente registrar na Plataforma.
• Categorias de dados: nome, usuário, e-mail e telefone de contato; função e fazendas atribuídas; registros da operação com data, hora e quem os fez; coordenadas GPS dos registros que as capturam; fotografias e anexos; identificadores técnicos dos telefones.
• Dados pessoais sensíveis: a Plataforma não os pede, e o Cliente se compromete a não inseri-los.
• Natureza do tratamento: hospedagem, armazenamento, sincronização com os telefones, cálculo de relatórios, backups e exclusão.
• Finalidade: prestar o serviço contratado e o suporte.
• Frequência e duração: contínua, enquanto durar a relação e durante os prazos da seção 8. Enquanto ela durar, o arquivo de cada fotografia é conservado pelo prazo do seu plano: um ano no plano Básico e cinco no plano Completo, contados a partir do fim do mês em que foi tirada (seção 6 da Política de Privacidade).

Anexo 2. Medidas técnicas e organizacionais

• Criptografia em trânsito: todas as conexões usam HTTPS com TLS 1.2 ou superior, e o navegador é obrigado a usá-lo (HSTS).
• Criptografia em repouso: o banco de dados, os arquivos e seus backups são criptografados (AES-256) no Google Cloud.
• Separação entre clientes: cada consulta se limita à conta e às fazendas de quem a faz, e as fotografias e os anexos só abrem com uma credencial própria de imagens.
• Acesso por funções: o que cada Usuário vê e faz depende da função que o Cliente lhe atribui.
• Senhas: são guardadas com Argon2id, nunca em texto legível.
• Proteção da entrada: verificação contra acessos automatizados (Cloudflare na web, Play Integrity no Android), limite de tentativas por endereço IP e bloqueio da conta por 15 minutos depois de 10 tentativas falhas.
• Sessões: o token de acesso expira em 15 minutos; a chave de renovação muda a cada uso e, se for detectado o reuso de uma antiga, as chaves dessa sessão são revogadas. Na web, a chave fica em um cookie que o código da página não consegue ler, e a página só executa o próprio código (política de segurança de conteúdo).
• Telefones: as credenciais são guardadas no armazenamento seguro do Android, e um telefone perdido pode ser bloqueado pela web. Desde a versão 0.0.1386, o aplicativo fica fora do backup do Android e da transferência de dados para outro telefone.
• Registros: quais partes da Plataforma cada conta consulta, com data, hora e endereço IP, e os registros técnicos de cada requisição, por 30 dias.
• Backups: diários, com os 14 mais recentes e recuperação a qualquer momento dos últimos 7 dias.
• Ambientes e pessoal: produção, testes e desenvolvimento usam bancos de dados separados, cada um com seu próprio usuário; as credenciais ficam em um gerenciador de segredos, o acesso à produção é restrito e cada implantação em produção exige uma aprovação manual.

Anexo 3. Suboperadores

• Google Cloud (Google LLC): hospeda o aplicativo, o banco de dados, as fotografias e os arquivos na região de Santiago do Chile, e os registros técnicos.
• Zoho Corporation (servidores nos Estados Unidos): envia os e-mails da Plataforma, inclusive os alertas, que podem conter Dados do Cliente.
• Mapbox, Inc. (Estados Unidos): imagens de satélite e miniaturas de mapas, na web e no aplicativo Android. Recebe o endereço IP e as coordenadas da área exibida; nas miniaturas, também o contorno do lugar.
• Esri (Environmental Systems Research Institute, Inc., Estados Unidos): imagens de satélite na web. Recebe o endereço IP e as coordenadas da área exibida.
• Google LLC (Estados Unidos), com o Google Maps Platform: miniaturas de mapas na web. Recebe o endereço IP e o contorno do lugar.

A Cloudflare, Inc. e a Google LLC, com o Play Integrity, protegem a entrada na Plataforma e não recebem Dados do Cliente.