# Adendo de Tratamento de Dados Última atualização em 26 de abril de 2026 Esta é uma tradução para a sua conveniência. A [versão em inglês](https://v3.shoprocket.io/gdpr.md) é a versão juridicamente vinculante e prevalece se houver divergência. Este Adendo de Tratamento de Dados da Shoprocket ("Adendo") altera os Termos e Condições da Shoprocket ("Contrato") entre você ("Você") e a **Shoprocket LTD** (empresa nº 12656598, registrada na Inglaterra e no País de Gales em 20-22 Wenlock Road, London, NG 17U). Se você tiver um SLA separado com a Shoprocket, as referências ao Contrato significam esse SLA. Este Adendo está sujeito ao Contrato e incorporado a ele. Qualquer termo iniciado em maiúscula e não definido aqui tem o significado dado no Contrato. --- ## Definições - **Configurações da Conta**: Configurações da sua Conta Shoprocket (incluindo segurança) que permitem gerenciar como a Shoprocket trata Dados Pessoais. - **Finalidades Comerciais**: Os Serviços definidos no Contrato. - **Dados da Conta do Cliente**: Dados Pessoais sobre a sua relação com a Shoprocket (por exemplo, contatos autorizados, dados de cobrança), além das informações que a Shoprocket coleta para gestão da conta, verificações de identidade ou exigências legais. - **Dados de Uso do Cliente**: Dados de uso tratados pela Shoprocket em relação ao seu uso dos Serviços (por exemplo, logs, métricas de desempenho, dados de prevenção de abuso). - **Legislação de Proteção de Dados**: Inclui o CCPA, o GDPR da UE, a Lei Federal Suíça de Proteção de Dados, o GDPR do Reino Unido, o DPA 2018 e o PECR 2003, cada um conforme atualizado. Os termos (por exemplo, "Controlador de Dados" e "Operador de Dados") seguem o GDPR da UE. - **EEE**: Espaço Econômico Europeu. - **SCCs da UE**: As Cláusulas Contratuais Padrão conforme a Decisão 2021/914 da Comissão. - **Transferência Ex-EEE**: Uma transferência de Dados Pessoais (sob o GDPR da UE) para fora do EEE sem decisão de adequação nos termos do Artigo 45 do GDPR da UE. - **Transferência Ex-Reino Unido**: Uma transferência de Dados Pessoais (sob o GDPR do Reino Unido) para fora do Reino Unido sem decisão de adequação do Secretário de Estado do Reino Unido. - **Prestador de Serviços**: Conforme definido no CCPA. - **Serviços**: As ferramentas da Shoprocket para criar/gerenciar lojas online ("Loja Shoprocket"), tratar produtos, pagamentos, envio, marketing e qualquer ferramenta ou serviço que a Shoprocket possa oferecer. - **Conta Shoprocket**: Sua conta que dá acesso aos Serviços, incluindo as Configurações da Conta, em [https://www.shoprocket.io](https://www.shoprocket.io). - **Política de Privacidade da Shoprocket**: O aviso em [https://shoprocket.io/privacy](https://shoprocket.io/privacy), conforme atualizado. - **Loja Shoprocket**: Seu site de comércio eletrônico hospedado ou viabilizado pela Shoprocket. - **Dados de Categoria Especial**: Conforme definido nos Artigos 4(13), 4(14), 4(15) e 9 do GDPR da UE/Reino Unido (conforme aplicável). - **Cláusulas Contratuais Padrão (SCCs)**: As SCCs da UE e as SCCs do Reino Unido, conforme o caso. - **SCCs do Reino Unido**: As SCCs da UE conforme alteradas pelo Adendo IDTA do ICO do Reino Unido. - **Nós/Nos/Nosso**: Shoprocket LTD (incluindo "Shoprocket" e "Shoprocket.io"). - **Você/Seu**: A parte contratual nomeada no Contrato. --- ## Instruções do Cliente Este Adendo e o Contrato (incluindo as instruções nas Configurações da sua Conta) constituem as **Instruções Documentadas** sobre como a Shoprocket trata Dados Pessoais. A Shoprocket tratará Dados Pessoais somente conforme instruído. Instruções adicionais fora destes termos exigem acordo prévio por escrito (e podem implicar taxas extras). A Shoprocket pode rescindir este Adendo e o Contrato se as suas instruções contrariarem a Legislação de Proteção de Dados ou se desviarem das instruções acordadas. Dada a natureza do tratamento, a Shoprocket geralmente não consegue avaliar se as suas instruções infringem a lei; se formar tal entendimento, informará você, que poderá modificar ou retirar as instruções. --- ## Tratamento de Dados 1. **Tratamento pela Shoprocket** - **Operador de Dados/Prestador de Serviços**: Exceto quanto aos Dados da Conta do Cliente e aos Dados de Uso do Cliente, a Shoprocket trata Dados Pessoais (sob o GDPR da UE/Reino Unido) ou informações pessoais (sob o CCPA) em seu nome. - **Controlador de Dados Independente**: A Shoprocket é Controladora de Dados quanto aos Dados Pessoais coletados diretamente dos clientes da Loja e quanto aos Dados da Conta do Cliente ou aos Dados de Uso do Cliente. 2. **Armazenamento** - Os Dados Pessoais são armazenados em: 1. servidores da AWS na Irlanda (ou em outras regiões do EEE), 2. servidores da Hetzner em Nuremberg/Falkenstein (Alemanha). 3. **Escopo e Finalidade** - A Shoprocket trata Dados Pessoais somente conforme necessário para as Finalidades Comerciais que você especificar (de acordo com os Serviços adquiridos) e em conformidade com a Legislação de Proteção de Dados. - Se a lei exigir um tratamento diferente, a Shoprocket avisará você, a menos que a lei o proíba. - A Shoprocket cumpre prontamente as suas instruções por escrito para alterar, transferir ou excluir Dados Pessoais, ou para interromper o tratamento não autorizado. - A Shoprocket mantém os Dados Pessoais confidenciais, a menos que a divulgação seja autorizada ou exigida por lei. - A Shoprocket auxilia no cumprimento das suas obrigações (por exemplo, solicitações de titulares de dados, DPIAs) sem custo adicional. - A Shoprocket avisa você sobre mudanças legais que possam afetar o Contrato ou este Adendo. 4. **Shoprocket como Controladora de Dados Independente** - Quanto aos Dados da Conta do Cliente e aos Dados de Uso do Cliente, a Shoprocket não é controladora conjunta, mas trata esses dados para gerenciar a sua relação com você, prevenir fraudes/incidentes de segurança, cumprir obrigações legais etc., de acordo com a Política de Privacidade da Shoprocket. 5. **CCPA** - Exceto quanto aos Dados da Conta do Cliente e aos Dados de Uso do Cliente, a Shoprocket é seu Prestador de Serviços nos termos do CCPA; não "venderá" essas informações pessoais e as usará apenas para executar os Serviços ou conforme de outro modo permitido por lei. 6. **Complementos** - Você pode integrar complementos de terceiros ("Complementos") sob EULAs separados com cada editor. A Shoprocket transfere os Dados Pessoais necessários ao Editor do Complemento, mas não é responsável pelo tratamento feito por ele. Os Complementos atualmente divulgados pela Shoprocket incluem: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Atendimento e sincronização multicanal. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Integrações de pagamento que oferecem suporte a vários métodos/moedas. - **Zapier**: Automatiza transferências de dados/fluxos de trabalho entre a Shoprocket e outros aplicativos. - Se a Shoprocket e você tiverem SCCs, a sua instrução de integrar Complementos é o consentimento para transferir Dados Pessoais a esses Editores de Complementos, se exigido pelas SCCs. 7. **Suas Responsabilidades** - Você é o Controlador de Dados de quaisquer Dados Pessoais coletados ou tratados pela Shoprocket em seu nome. - Você é responsável por cumprir as exigências de avisos/consentimentos e por garantir a conformidade com a Legislação de Proteção de Dados. --- ## Tipos de Dados Pessoais e Finalidades do Tratamento - **Objeto**: Dados Pessoais que você carrega nos Serviços, incluindo a sua Conta ou Loja Shoprocket. - **Duração**: Determinada por você (até que suspenda/encerre a sua assinatura da Shoprocket ou as integrações relevantes). - **Finalidade**: Prestar os Serviços conforme a sua instrução (por exemplo, operar a sua Loja/Conta Shoprocket). - **Natureza do Tratamento**: A plataforma de comércio eletrônico da Shoprocket (e quaisquer Suboperadores/Editores de Complementos) pode armazenar ou tratar Dados Pessoais. - **Tipos de Dados Pessoais**: Dados que você carrega (por exemplo, informações de contato, dados de clientes, registros de transações). - **Titulares dos Dados**: Você, seus clientes, funcionários, contratados, agentes, fornecedores ou prestadores. --- ## Segurança do Tratamento de Dados A Shoprocket manterá medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais contra tratamento não autorizado ou ilícito, perda acidental ou destruição, em linha com o **Artigo 32** do GDPR da UE/Reino Unido. As medidas incluem (conforme apropriado): - Pseudonimização/criptografia de dados; - Garantia de confidencialidade, integridade, disponibilidade e resiliência dos sistemas; - Restabelecimento da disponibilidade dos dados em tempo hábil após incidentes; - Testes, avaliações e análises regulares dessas medidas. ### Funcionários da Shoprocket - A Shoprocket garante que funcionários, contratados e agentes que lidam com Dados Pessoais sejam treinados, vinculados por confidencialidade e plenamente cientes de suas obrigações de proteção de dados. ### Segurança (Reiteração) - A Shoprocket atualiza continuamente as salvaguardas técnicas/organizacionais para evitar tratamento não autorizado, incluindo criptografia, resiliência dos sistemas, capacidade de recuperação e testes de eficácia. --- ## Violação de Dados Pessoais 1. **Notificação** - A Shoprocket notifica você em até **72 horas** (e sem demora injustificada) caso tome conhecimento de: 1. Perda/dano de Dados Pessoais; 2. Qualquer tratamento acidental, não autorizado ou ilícito; 3. Uma Violação de Dados Pessoais. 2. **Informações** - A Shoprocket fornece uma descrição do incidente, as categorias/quantidades de dados afetados e as medidas tomadas ou propostas para mitigar o impacto. 3. **Cooperação** - A Shoprocket coordena com você a investigação e não informará terceiros sem o seu consentimento por escrito, salvo se exigido por lei. 4. **Custos** - A Shoprocket arca com as despesas razoáveis dessas obrigações, a menos que o incidente decorra das suas instruções, negligência ou violação; nesse caso, você arca com as despesas razoáveis da Shoprocket (incluindo consultores profissionais). --- ## Suboperadores Atualmente, a Shoprocket usa estes **Suboperadores** para hospedagem/tratamento de dados, serviços de infraestrutura/rede ou outras funções de serviço: | **Nome** | **Descrição** | **Localização** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Relatórios/análises de assinaturas. | MA, EUA | | **Amazon Web Services EMEA SARL** | Hospedagem em nuvem, computação, armazenamento. | Luxemburgo, UE | | **Automattic, Inc. (Gravatar)** | Permite que usuários carreguem imagens de perfil nas contas da Shoprocket. | CA, EUA | | **Cloudflare, Inc.** | Segurança e conectividade de rede. | CA, EUA | | **Crisp IM SAS** | Aplicativo de chat ao vivo e mensagens com clientes para suporte aos usuários. | França, UE | | **Facebook Technologies Ireland** | Pixels do Facebook para conversões, otimização de anúncios, criação de públicos. | Irlanda, UE | | **Google Ireland Limited** | Google Analytics (análise de comportamento), Adwords (veiculação/monetização de anúncios). | Irlanda, UE | | **GmbH** | Hospedagem em nuvem, computação e armazenamento. | Alemanha, UE | | **TPS Unlimited, Inc. (Taxjar)** | Automação de impostos para IVA da UE e imposto sobre vendas dos EUA nas Lojas Shoprocket. | CA, EUA | | **Twilio, Inc. (Sendgrid)** | Mensagens multicanal (e-mail, SMS, WhatsApp). | Irlanda, UE | | **Twitter, Inc.** | Pixel do Twitter para rastreamento de conversões e métricas de desempenho de anúncios. | CA, EUA | Você autoriza a Shoprocket a usar os Suboperadores acima e concede autorização geral para que a Shoprocket adicione outros ("Suboperadores Autorizados"). A Shoprocket dará um aviso prévio de pelo menos **30 dias** (pelo site, e-mail ou notificação na Conta) antes de usar um novo Suboperador. Você pode se opor, por escrito, em até **10 dias** após o aviso, por motivos razoáveis de proteção de dados. Se um Suboperador essencial estiver envolvido e nenhuma alternativa for encontrada em até **90 dias**, você poderá descontinuar ou encerrar os Serviços relevantes (pagando as taxas devidas). Se você não se opuser em até 10 dias, o novo Suboperador é considerado aprovado. Quando a Shoprocket contrata um Suboperador, ela: - Restringe o acesso apenas ao que for necessário para prestar ou melhorar os Serviços; - Impõe a ele as mesmas obrigações de proteção de dados; - Permanece responsável pelo cumprimento dele. Se as SCCs se aplicarem, a sua autorização conta como consentimento prévio por escrito nos termos da Cláusula 9(c) ou das cláusulas relevantes das SCCs do Reino Unido. A Shoprocket pode ocultar detalhes comerciais não essenciais antes de compartilhar com você os contratos de suboperação. --- ## Transferências de Dados Pessoais A Shoprocket pode transferir Dados Pessoais para fora do EEE, do Reino Unido ou da Suíça para prestar os Serviços (por exemplo, alguns Editores de Complementos/Suboperadores nos EUA). Quando nenhuma decisão de adequação se aplicar, a Shoprocket garantirá salvaguardas adequadas conforme a Legislação de Proteção de Dados. - **Transferências Ex-EEE**: Cobertas pelas SCCs da UE (Módulo Um para a Shoprocket como Controladora, Módulo Dois para a Shoprocket como Operadora). Certas cláusulas (por exemplo, o acoplamento da Cláusula 7) não se aplicam; as disputas ficam sujeitas à lei e aos tribunais irlandeses. - **Transferências Ex-Reino Unido**: Cobertas pelo Adendo IDTA. - **Transferências da Suíça**: Semelhantes às SCCs da UE, com modificações para a FADP suíça. - **Medidas Suplementares**: - Não existem solicitações formais de acesso a dados por governos até a data deste Adendo. - Se for obrigada a divulgar os seus dados, a Shoprocket notificará você (a menos que seja proibida) e ajudará você a buscar medidas de proteção. - A Shoprocket e você discutirão regularmente se as leis do país importador oferecem proteção equivalente ou exigem medidas adicionais. - Se qualquer mecanismo de transferência deixar de ser válido ou uma Autoridade de Supervisão o suspender, a Shoprocket poderá implementar arranjos alternativos ou suspender as transferências. Quando você aprovar um Suboperador/Complemento fora do EEE, você também autoriza a Shoprocket a assinar SCCs em seu nome. --- ## Reclamações, Solicitações de Titulares de Dados e Direitos de Terceiros A Shoprocket fornecerá prontamente a você qualquer informação ou assistência de que precise para: 1. Cumprir os direitos dos Titulares dos Dados (acesso, retificação, apagamento, portabilidade, oposição etc.). 2. Atender ou cumprir avisos de informação/avaliação de órgãos reguladores. A Shoprocket notifica você imediatamente se receber reclamações ou comunicações sobre o tratamento e, em até **14 dias**, se receber uma solicitação de Titular dos Dados. A Shoprocket ajuda a responder e não divulgará Dados Pessoais a terceiros, salvo se exigido por lei ou pelas suas instruções. --- ## Vigência e Rescisão Este Adendo permanece em vigor enquanto o Contrato estiver em vigor ou a Shoprocket retiver quaisquer Dados Pessoais relacionados. As disposições que devam subsistir para a proteção de dados permanecem em vigor. Qualquer violação material deste DPA é uma violação material do Contrato, o que dá a você o direito de rescindir imediatamente sem responsabilidade adicional. Se mudanças na Legislação de Proteção de Dados impedirem uma parte de cumprir suas obrigações, as partes podem suspender o tratamento até que a conformidade seja alcançada. Se não for resolvido em até **90 dias**, qualquer das partes pode rescindir com efeito imediato mediante aviso. --- ## Devolução e Destruição de Dados - **Mediante solicitação**, a Shoprocket fornece a você (ou a um terceiro que você indicar por escrito) cópias ou acesso aos Dados Pessoais em um formato que você especificar (quando razoável). - **Na rescisão**, a Shoprocket devolve ou exclui os Dados Pessoais, a menos que o armazenamento contínuo seja exigido por lei. Se a exclusão for impraticável ou ilegal, a Shoprocket bloqueia o tratamento posterior e continua a proteger os dados. - **Certificações das SCCs**: Se as SCCs se aplicarem, a Shoprocket certificará a exclusão nos termos da Cláusula 8.1(d) das SCCs da UE (ou das SCCs do Reino Unido) mediante solicitação por escrito sua. - Se alguma lei/regulamento exigir que a Shoprocket retenha certos dados, ela informará você sobre o fundamento e o prazo e, depois, os excluirá quando deixarem de ser exigidos. - A Shoprocket certifica a exclusão em até **30 dias** após concluí-la. --- ## Registros A Shoprocket mantém registros detalhados, precisos e atualizados de todo o tratamento de Dados Pessoais (por exemplo, medidas de segurança, suboperadores, finalidades do tratamento, quaisquer transferências internacionais). Esses registros devem permitir que você verifique a conformidade da Shoprocket. Cópias são fornecidas mediante solicitação. --- ## Garantias A Shoprocket garante que: 1. Seus funcionários, subcontratados ou agentes com acesso a Dados Pessoais são confiáveis, idôneos e adequadamente treinados. 2. Tratará os Dados Pessoais em total conformidade com a Legislação de Proteção de Dados e as leis relacionadas. 3. Não tem motivo para acreditar que a lei impeça a prestação dos Serviços acordados. 4. Considerando a tecnologia e os custos, tomará medidas adequadas para evitar tratamento não autorizado ou dano/perda acidental, garantindo segurança proporcional ao risco e à sensibilidade dos dados. --- ## Execução e Modificações Ao assinar o Contrato, você concorda com este Adendo e fica vinculado a ele. A Shoprocket pode atualizar este Adendo mediante **aviso por escrito de 30 dias**, se necessário por motivos legais ou regulatórios. Se você se opuser e nenhuma solução mútua for alcançada, você poderá rescindir os Serviços afetados mediante aviso por escrito dentro desse prazo (devendo as taxas incorridas). Nenhuma outra reivindicação decorre dessa rescisão. ## Anexo A **Padrões de Segurança da Shoprocket** (Os termos iniciados em maiúscula e não definidos aqui têm os significados atribuídos no Adendo.) Este Anexo descreve as medidas técnicas e organizacionais da Shoprocket para: 1. Proteger os Dados Pessoais contra perda, acesso ou divulgação acidental ou ilícita; 2. Identificar riscos previsíveis à segurança e impedir o acesso não autorizado aos Serviços (incluindo a sua conta Shoprocket); 3. Minimizar riscos de segurança por meio de avaliação de riscos e testes. A Shoprocket designa um ou mais funcionários para supervisionar essas práticas de segurança da informação e responder a dúvidas relacionadas. --- ## 1. Modelo de Responsabilidade Compartilhada A Shoprocket é um aplicativo **baseado em nuvem, SaaS**, hospedado por: - **Amazon Web Services (AWS)** na região eu-west-1 (Irlanda) - **Hetzner Online** em Falkenstein, Alemanha A **AWS** executa a plataforma principal da Shoprocket, a infraestrutura e a hospedagem de dados. A **Hetzner Online** fornece espaço adicional em servidores dedicados para imagens, downloads digitais, logs e faturas. Sob este modelo: - A **Shoprocket** gerencia a segurança no nível do aplicativo (por exemplo, acesso de usuários, correções do aplicativo). - A **AWS / Hetzner** gerenciam a segurança física e o ambiente de nuvem subjacente. Para mais detalhes sobre a segurança da AWS e da Hetzner, consulte a respectiva documentação. --- ## 2. Servidores da AWS e da Hetzner Online ### AWS A Shoprocket escolheu a AWS após análise cuidadosa nos termos dos Artigos 28(3)(c) e 32 do GDPR do Reino Unido. A AWS é certificada em diversos padrões (por exemplo, SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) e fornece ampla documentação de conformidade. A Shoprocket configura a AWS para armazenar Dados Pessoais somente na UE/EEE. ### Hetzner Online A Hetzner Online, certificada conforme a DIN ISO/IEC 27001, fornece espaço em servidores dedicados para determinados backups e logs de dados. Os data centers da Hetzner Online em Nuremberg e Falkenstein são auditados e certificados por terceiros, implementando um Sistema de Gestão de Segurança da Informação (SGSI). --- ## 3. Projeto, Integridade e Disponibilidade do Aplicativo Shoprocket - **Arquitetura**: Construído com um framework JavaScript, o aplicativo Shoprocket usa o Amazon Relational Database Service (Amazon RDS) para MySQL. - **Alto Desempenho e Redundância**: A AWS cuida automaticamente do balanceamento de carga, e a Shoprocket mantém backups diários no Amazon S3. Os backups são armazenados em diferentes regiões da AWS para dar resiliência. Além disso, os backups são armazenados nos servidores dedicados da Hetzner Online (com sistemas de disco RAID-1). - **Segurança desde a Concepção**: A Shoprocket verifica regularmente vulnerabilidades web conhecidas (por exemplo, OWASP Top Ten) e implementa proteção contra XSS e sanitização. Um especialista terceirizado testa anualmente o código e a infraestrutura em busca de vulnerabilidades, complementado por um serviço terceirizado de varredura de vulnerabilidades. --- ## 4. Criptografia - **Em Repouso**: Os Dados Pessoais na AWS/Hetzner são criptografados com **AES-256** ou superior. - **Gerenciamento de Chaves**: O AWS Key Management Service (KMS) garante que ninguém (inclusive a equipe da AWS) possa acessar chaves em texto simples; as chaves são rotacionadas anualmente. A Hetzner implementa criptografia AES-256 de disco completo, além de autenticação obrigatória. - **Em Trânsito**: Todas as transferências externas de dados usam **TLS 1.2+**. APIs e interfaces web exigem HTTPS (sem conexões não criptografadas). --- ## 5. Restrição da Localização dos Servidores ao EEE/UE A Shoprocket armazena dados **exclusivamente no EEE** (AWS na Irlanda, Hetzner na Alemanha), minimizando riscos ligados a transferências de dados para fora do EEE (por exemplo, conformidade com a decisão Schrems II). --- ## 6. Zonas de Disponibilidade Os sistemas de front-end/back-end da Shoprocket são **distribuídos de forma redundante** por várias zonas de disponibilidade (tanto na AWS quanto na Hetzner). Cada zona tem vários provedores de internet, fontes de energia e links de alta velocidade, garantindo alta disponibilidade e desempenho ideal. --- ## 7. Detecção de Intrusão A Shoprocket usa um **Sistema de Detecção de Intrusão (IDS)** para monitorar: - Arquivos de log em busca de entradas incomuns, - Alterações na integridade de arquivos, - Tráfego de rede (spoofing, exploits conhecidos, rootkits), - Alterações de portas e - Eventos da conta AWS (por exemplo, alterações de configuração). Anomalias críticas acionam medidas preventivas automáticas. O IDS também apoia os requisitos do PCI DSS 3.0. --- ## 8. Registro / Trilha de Auditoria A Shoprocket registra: - Eventos do sistema, - Erros, - Atividade de usuários, - Logins/solicitações ao banco de dados, - Outros eventos relacionados à segurança. Usando o **AWS CloudTrail**, a Shoprocket registra todos os eventos em seus ambientes de nuvem para fins de transparência e perícia. --- ## 9. Monitoramento A Shoprocket emprega várias **ferramentas de monitoramento** para garantir disponibilidade e desempenho, acompanhando: - **Disponibilidade**: Acessibilidade do aplicativo, integridade do back-end/sistema; - **Recursos**: CPU, interfaces de rede, uso de armazenamento; - **Desempenho**: Tempos de resposta do aplicativo/banco de dados; - **Segurança**: Status do IDS, atualizações do sistema, logs de erros/acesso. A equipe da Shoprocket também acompanha atualizações de segurança, relatórios de vulnerabilidades e blogs de segurança relevantes (como o OWASP). --- ## 10. Auditorias de Segurança e Testes de Intrusão A Shoprocket realiza periodicamente **testes de segurança internos e externos**. Provedores externos verificam vulnerabilidades, enquanto auditorias internas avaliam a eficácia das medidas técnicas e organizacionais. --- ## 11. Gestão de Mudanças A Shoprocket mantém **repositórios** com controle de versão para alterações de código, com um ambiente de homologação que espelha a produção. As alterações são testadas antes da implantação, garantindo a rastreabilidade de data/conteúdo. --- ## 12. Controle de Acesso - **Princípio da Necessidade de Conhecer**: Somente funcionários cujas funções exigem acesso ao sistema o recebem. - **Sistemas IAM**: O controle de acesso usa o gerenciamento de identidades da AWS/Hetzner. - **Segurança**: Os sistemas de back-end só são acessíveis por conexões seguras e autenticadas. Um número muito limitado de pessoas tem acesso direto aos dados para fins de diagnóstico; esse acesso é registrado e monitorado. ## Anexo B **Transferências Internacionais** ## PARTE 1 - Transferências Ex-EEE 1. **Anexo I.A das Cláusulas Contratuais Padrão (SCCs)** - **Exportador de Dados**: Você (conforme o Contrato). - Dados de contato: Conforme o Contrato. - Função: Controlador de Dados. - **Módulo Um**: O Importador de Dados é Controlador de Dados (para Dados da Conta do Cliente e Dados de Uso do Cliente). - **Módulo Dois**: O Importador de Dados é Operador de Dados (para todos os demais Dados Pessoais). - Assinatura/Data: Ao celebrar o Contrato e o DPA, considera-se que o Exportador de Dados assinou as SCCs na Data de Vigência. - **Importador de Dados**: Shoprocket. - Dados de contato: Conforme o Contrato. - Assinatura/Data: Ao celebrar o Contrato e o DPA, considera-se que o Importador de Dados assinou as SCCs na Data de Vigência. 2. **Anexo I.B das SCCs** - Titulares dos Dados: Descritos na cláusula 4.6 do Adendo. - Categorias de Dados Pessoais: Descritas na cláusula 4.5 do Adendo. - Não se pretende transferir Dados de Categoria Especial. - Frequência: De forma contínua durante a vigência do Contrato. - Natureza: Ver cláusula 4.4 do Adendo. - Finalidade: Ver cláusula 4.3 do Adendo. - Retenção: Duração do Contrato, salvo disposição em contrário. - Transferências a suboperadores: Objeto, natureza e duração conforme a cláusula 9 do Adendo. 3. **Anexo I.C das SCCs** - Autoridade de Supervisão Competente: Conforme a cláusula 10(e) do Adendo. - Os **Padrões de Segurança da Shoprocket (Anexo A)** cumprem os requisitos do Anexo II das SCCs. 4. **Conflito** - Se surgir qualquer conflito entre as SCCs e o DPA ou o Contrato, as SCCs prevalecem. --- ## PARTE 2 - Transferências Ex-Reino Unido 1. O **Adendo IDTA** se aplica às Transferências Ex-Reino Unido, com vigência a partir de **21 de março de 2022**. 2. Os termos não definidos no Contrato ou no DPA seguem o significado da **Parte 2 do Anexo 2** (Cláusulas Obrigatórias). ### Parte 1: Tabelas ### Tabela 1 do Adendo IDTA 1. **Tabela 1** - **Exportador de Dados**: Você (conforme o Contrato). - Dados de contato: Conforme o Contrato. - Assinatura/Data: Ao celebrar o Contrato e o Adendo, considera-se que o Exportador assinou o Adendo IDTA na Data de Vigência. - **Importador de Dados**: Shoprocket. - Dados de contato: Conforme o Contrato. - Assinatura/Data: Ao celebrar o Contrato e o DPA, considera-se que o Importador assinou o Adendo IDTA na Data de Vigência. ### Tabela 2 do Adendo IDTA 1. **Tabela 2** - **SCCs da UE Aprovadas**: As cláusulas/módulos das SCCs da UE Aprovadas em vigor para este Adendo. - Módulos/cláusulas utilizados: - Módulo 1 e Módulo 2, a Cláusula 7 e a Cláusula 11 (opção) não se aplicam, a Cláusula 9a é Autorização Geral com prazo de aviso de 30 dias (cláusula 9.2 do Adendo). - Não há combinação de Dados Pessoais do Importador com dados do Exportador. ### Tabela 3 do Adendo IDTA 1. **Anexo I.A** - **Exportador de Dados**: Você (controlador). - **Importador de Dados**: Shoprocket (controladora quanto aos Dados da Conta/de Uso do Cliente; operadora quanto aos demais Dados Pessoais). - Assinatura/Data: Considera-se assinado ao celebrar o Contrato e o DPA. 2. **Anexo I.B** - Titulares dos dados, categorias de dados, ausência de Dados de Categoria Especial, transferências contínuas, natureza/finalidade do tratamento e retenção correspondem às cláusulas 4.4, 4.3, 4.5 e 4.6 do Adendo. - Informações sobre suboperadores conforme a cláusula 9 do Adendo. - O Anexo III (lista de Suboperadores) não se aplica, pois a Shoprocket usa autorização geral. ### Tabela 4 do Adendo IDTA 1. O Importador pode encerrar este Adendo IDTA nos termos da cláusula 26 deste Adendo IDTA. ### Parte 2: Cláusulas Obrigatórias 1. Cada Parte fica vinculada a estes termos do Adendo IDTA em troca da concordância da outra Parte, permitindo que os titulares dos dados exerçam os direitos nele previstos. 2. Celebrar este Adendo IDTA equivale a assinar as SCCs da UE Aprovadas (incluindo qualquer assinatura exigida conforme o Anexo 1A/Cláusula 7). ### Interpretação 1. Os termos das SCCs da UE Aprovadas têm aqui o mesmo significado; termos adicionais relevantes (por exemplo, "SCCs da UE do Adendo", "Adendo Aprovado", "Leis de Proteção de Dados do Reino Unido") são definidos neste Adendo IDTA. 2. Este Adendo IDTA deve ser interpretado de forma consistente com as Leis de Proteção de Dados do Reino Unido e deve atender às "Salvaguardas Adequadas". 3. Qualquer alteração às SCCs da UE Aprovadas não permitida por elas ou pelo Adendo Aprovado é nula. Disposições conflitantes voltam aos termos originais, não alterados, das SCCs. 4. Em caso de conflito com as Leis de Proteção de Dados do Reino Unido, prevalecem estas últimas. 5. Qualquer ambiguidade é resolvida de modo a alinhar-se da melhor forma às Leis de Proteção de Dados do Reino Unido. 6. As referências à legislação incluem quaisquer versões revisadas ou consolidadas. ### Hierarquia 1. A Cláusula 5 das SCCs da UE Aprovadas estabelece que elas prevalecem sobre outros acordos, mas, para Transferências Restritas, aplica-se a hierarquia da Seção 17 abaixo. 2. Se for inconsistente ou conflitante com as SCCs da UE Aprovadas, o Adendo Aprovado prevalece, exceto quando as SCCs oferecerem **maior proteção** aos titulares dos dados, caso em que prevalecem os termos das SCCs. 3. Nada aqui afeta quaisquer SCCs que as partes usem para cumprir o GDPR da UE. ### Incorporação e Alterações às SCCs da UE 1. O Adendo IDTA incorpora as SCCs da UE Aprovadas com as modificações necessárias para que funcionem em transferências relacionadas ao Reino Unido, substituem a hierarquia da Cláusula 5 e garantem que sejam regidas pela **lei/tribunais ingleses** (salvo escolha diversa para a Escócia ou a Irlanda do Norte). 2. Se nenhuma alternativa específica for acordada, aplica-se a Seção 22. 3. Não são permitidas outras alterações às SCCs da UE Aprovadas além do necessário na Seção 19. 4. As **Alterações** às SCCs da UE do Adendo incluem esclarecimentos sobre referências às Leis de Proteção de Dados do Reino Unido, a substituição de referências ao Regulamento (UE) 2016/679 por "Leis de Proteção de Dados do Reino Unido", a remoção de referências ao Regulamento (UE) 2018/1725, o ajuste das Cláusulas 17/18 para a lei/tribunais ingleses etc. As notas de rodapé não fazem parte do IDTA, exceto as notas de rodapé 8, 9, 10 e 11. ### Alterações a este IDTA 1. As partes podem alterar as Cláusulas 17 ou 18 para se referir a tribunais escoceses ou norte-irlandeses. 2. As partes também podem ajustar a formatação das Tabelas mediante acordo mútuo por escrito, assegurando que o mesmo nível de proteção seja mantido. 3. O ICO pode emitir, de tempos em tempos, um Adendo Aprovado revisado, que altera automaticamente este Adendo IDTA a partir de sua data de vigência, podendo exigir uma revisão pelas partes. 4. Se as alterações do ICO aumentarem de forma substancial e desproporcional os custos ou o risco de uma parte, e nenhuma redução desses custos/riscos for viável, essa parte poderá encerrar este IDTA mediante aviso razoável à outra antes da entrada em vigor do Adendo revisado. 5. Não é exigido o consentimento de terceiros para as alterações, mas as modificações devem atender aos termos deste Adendo IDTA. --- - HTML version: https://v3.shoprocket.io/pt/rgpd - Language: Português (pt) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)