DPA

Última atualização: 11 de agosto de 2026

Esta DPA aplica-se a todos os clientes que aceitam os nossos Termos de Serviço. Não é necessária assinatura separada. Uma cópia pré-assinada em nome da Dedupely está disponível para download no topo desta página.

Esta Adenda de Tratamento de Dados ("DPA") faz parte dos Termos de Serviço entre o Cliente e a Dedupely Software, Inc. ("Dedupely"), ao abrigo dos quais o Cliente acessa ao Serviço. Registra o acordo das partes quanto ao tratamento de dados pessoais.

Se a entidade Cliente que celebra este DPA tiver assinado um formulário de pedido, declaração de trabalho ou outro acordo escrito com a Dedupely (um "Documento de Pedido") mas não for parte dos Termos, este DPA constitui um aditivo a esse Documento de Pedido e às renovações aplicáveis.

1. Definições

"CCPA" designa a California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 e seguintes, conforme alterada pela California Privacy Rights Act, e os respetivos regulamentos de execução.

"Dados Pessoais do Cliente" designa os dados pessoais contidos nos registros que o Cliente sincroniza com o Serviço para deduplicação.

"Legislação de Proteção de Dados" designa o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) ("GDPR"); o UK GDPR e o Data Protection Act 2018; a Lei Federal Suíça de Proteção de Dados de 25 de setembro de 2020; a Personal Information Protection and Electronic Documents Act (Canadá); e qualquer outra lei aplicável relativa ao tratamento de dados pessoais e à privacidade, em cada caso conforme alterada ou substituída ao longo do tempo e na medida em que seja aplicável ao tratamento de Dados Pessoais do Cliente.

"Serviço" designa o dedupe.ly e o aplicativo Dedupely em app.dedupe.ly.

"Cláusulas Contratuais-Tipo" ou "SCCs" designa as cláusulas anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia, Módulo Dois (responsável pelo tratamento para subcontratante).

"Adenda do Reino Unido" designa a International Data Transfer Addendum às SCCs emitida pelo Information Commissioner do Reino Unido ao abrigo da seção 119A do Data Protection Act 2018.

"Responsável pelo tratamento", "operador", "titular dos dados", "dados pessoais", "tratamento" e "medidas técnicas e organizacionais adequadas" têm os significados atribuídos na Legislação de Proteção de Dados. Os demais termos em maiúscula têm os significados definidos nos Termos.

2. Funções

O Cliente é o responsável pelo tratamento e a Dedupely é o subcontratante relativamente aos Dados Pessoais do Cliente.

Este DPA não se aplica a dados pessoais em relação aos quais a Dedupely seja responsável pelo tratamento, incluindo dados sobre os titulares de conta e usuários do Cliente, que são abrangidos pela nossa Política de Privacidade.

O objeto do tratamento é o Serviço contratado pelo Cliente. O tratamento prossegue durante a vigência da contratação do Serviço pelo Cliente e pelo período de conservação previsto na cláusula 3(9). Mais detalhes constam do Anexo 1.

3. Obrigações da Dedupely

Relativamente aos Dados Pessoais do Cliente, a Dedupely:

• tratará os Dados Pessoais do Cliente apenas de acordo com as instruções documentadas do Cliente, que incluem a configuração estabelecida pelo Cliente na sua conta e os termos deste DPA e dos Termos. O Cliente instrui a Dedupely a tratar os Dados Pessoais do Cliente para fornecer, manter, dar suporte e melhorar o Serviço. Se a Dedupely for obrigada a tratar os Dados Pessoais do Cliente para outra finalidade ao abrigo da lei aplicável, informará o Cliente antes de o fazer, salvo se essa lei proibir tal aviso por motivos importantes de interesse público;
• notificará o Cliente sem demora injustificada se, no entender da Dedupely, uma instrução violar a Legislação de Proteção de Dados;
• implementará e manterá as medidas técnicas e organizativas previstas no Anexo 2, concebidas para proteger os Dados Pessoais do Cliente contra o tratamento não autorizado ou ilícito e contra a perda, destruição, dano, roubo, alteração ou divulgação acidentais, adequadas ao risco e à natureza dos dados protegidos;
• pode contratar suboperadores para prestar serviços limitados em seu nome, nos termos desta cláusula. Os suboperadores só podem tratar os Dados Pessoais do Cliente para prestar os serviços para os quais a Dedupely os contratou, e estão proibidos de usá-los para qualquer outra finalidade. A Dedupely continua responsável pelo cumprimento deste DPA por seus suboperadores e celebra com eles acordos por escrito em termos não menos protetivos do que os aqui previstos. Uma lista atualizada é mantida em dedupe.ly/trust#subprocessors. A Dedupely notificará o Cliente, nos endereços de email dos administradores da conta, com pelo menos trinta (30) dias de antecedência antes que um novo suboperador seja autorizado a tratar Dados Pessoais do Cliente em produção. O Cliente pode se opor dentro desse prazo, com fundamentos razoáveis e documentados relativos ao descumprimento da Legislação de Proteção de Dados por esse suboperador. Se a Dedupely não conseguir resolver uma objeção legítima, o Cliente pode rescindir os Termos mediante notificação por escrito;
• assegurará que todo o pessoal autorizado a acessar aos Dados Pessoais do Cliente tem acesso apenas na medida do necessário, é informado da sua natureza confidencial e está vinculado a obrigações de confidencialidade;
• prestará assistência ao Cliente, na medida do possível e tendo em vista a natureza do tratamento, na resposta a pedidos dos titulares dos dados no exercício dos seus direitos. Quando um indivíduo contatar diretamente a Dedupely a respeito de Dados Pessoais do Cliente, a Dedupely não responderá quanto ao mérito: além de confirmar o recebimento, pedir informações para identificar o indivíduo ou encaminhá-lo ao Cliente como controlador: e encaminhará o pedido ao Cliente sem demora injustificada;
• tomará medidas razoáveis para assistir o Cliente no cumprimento das suas obrigações nos termos dos artigos 32.º a 36.º do GDPR, incluindo assistência com avaliações de impacto sobre a proteção de dados e obrigações de consulta prévia quando razoavelmente necessário, tendo em conta a natureza do tratamento e a informação disponível à Dedupely. Quando o Cliente solicitar assistência que vá além das obrigações da Dedupely ao abrigo da Legislação de Proteção de Dados ou deste DPA, a Dedupely pode cobrar uma taxa razoável;
• informará o Cliente sobre qualquer solicitação recebida de autoridade governamental ou órgão de aplicação da lei que exija a divulgação de Dados Pessoais do Cliente, salvo se a lei aplicável proibir tal comunicação. Sempre que possível, a Dedupely direcionará a autoridade requisitante para que solicite os dados diretamente ao Cliente e empregará esforços comercialmente razoáveis para contestar qualquer solicitação ilícita ou excessivamente ampla antes da divulgação, quando legalmente permitido;
• eliminará as contas do Cliente, juntamente com todos os Dados Pessoais do Cliente, incluindo dados de CRM e CSV e o respetivo histórico de mesclagens, o mais tardar vinte e quatro (24) meses após a conta deixar de ter uma assinatura ou período de avaliação ativos. A Dedupely enviará um aviso para o endereço de email da conta com pelo menos catorze (14) dias de antecedência dessa eliminação. Em qualquer caso, à escolha do Cliente, a Dedupely eliminará ou devolverá esses dados no prazo de trinta (30) dias após pedido escrito do Cliente. Os Dados Pessoais do Cliente serão devolvidos num formato eletrônico comum e comercialmente razoável. Os dados eliminados dos sistemas de produção são removidos das cópias de segurança no prazo de sete (7) dias. A Dedupely só pode reter uma cópia na medida exigida pela lei aplicável;
• disponibilizará ao Cliente, mediante pedido, os seus certificados ISO 27001, ISO 27017 e ISO 27018, um resumo do seu teste de intrusão mais recente e respostas escritas a questionários de segurança razoáveis, para demonstrar o cumprimento deste DPA. Quando isso for insuficiente, a Dedupely permitirá que o Cliente, ou uma entidade de inspeção independente vinculada à confidencialidade, realize uma auditoria no máximo uma vez por ano, consistindo em informação escrita fornecida pela Dedupely e entrevistas com o pessoal informático da Dedupely. Todos os relatórios, documentação e respostas a questionários fornecidos são informação confidencial da Dedupely. As auditorias serão normalmente satisfeitas através da documentação acima descrita. Quando a lei aplicável exigir uma inspeção presencial, o Cliente dará um aviso escrito com pelo menos sessenta (60) dias de antecedência, a inspeção limitar-se-á às instalações de tratamento diretamente controladas pela Dedupely, e as partes acordarão previamente termos razoáveis de âmbito, calendário e confidencialidade. A Dedupely pode cobrar uma taxa razoável pelo tempo despendido em auditorias e inspeções;
• deverá, ao tomar conhecimento de qualquer destruição, perda, alteração, divulgação ou acesso acidentais, não autorizados ou ilícitos a Dados Pessoais do Cliente (um "Incidente"), notificar o Cliente sem demora injustificada e, em qualquer caso, no prazo de quarenta e oito (48) horas quando o Incidente afetar dados pessoais sujeitos ao GDPR ou ao UK GDPR. Um Incidente não inclui tentativas malsucedidas ou atividades que não comprometam a segurança dos Dados Pessoais do Cliente, incluindo tentativas de login malsucedidas, pings, varreduras de portas e ataques de negação de serviço ou outros ataques de rede a firewalls ou sistemas em rede. Para este fim, a Dedupely toma conhecimento de um Incidente quando ele é confirmado como tal no âmbito do processo de resposta a incidentes da Dedupely. A notificação deve descrever a natureza do Incidente, as categorias e o volume aproximado de dados afetados, as consequências prováveis e as medidas tomadas ou propostas. A Dedupely deverá fornecer atualizações periódicas e agir para investigar o Incidente e mitigar os seus efeitos;
• não transferirá Dados Pessoais do Cliente para um destinatário fora do país de tratamento, exceto quando o destinatário esteja vinculado a garantias adequadas ao abrigo da Legislação de Proteção de Dados;
• não enviará Dados Pessoais do Cliente para serviços de inteligência artificial, nem os utilizará para treinar ou desenvolver modelos de inteligência artificial ou de aprendizagem automática.

4. Obrigações do Cliente

O Cliente deve:

• dar apenas instruções lícitas à Dedupely;
• cumprir as suas obrigações ao abrigo da Legislação de Proteção de Dados, incluindo no que respeita aos direitos dos titulares dos dados, à segurança dos dados e à confidencialidade, e assegurar que dispõe de um fundamento jurídico adequado para o tratamento descrito neste DPA;
• fornecer todos os avisos necessários aos titulares dos dados e obter deles todos os direitos, permissões e consentimentos necessários para permitir à Dedupely tratar licitamente os Dados Pessoais do Cliente que sincroniza com o Serviço. O Cliente é o único responsável pelo conteúdo dos avisos que fornece; e
• ser o único responsável pela exatidão, qualidade e licitude dos Dados Pessoais do Cliente e pelos meios através dos quais foram obtidos.

5. CCPA

Na medida em que a CCPA se aplique, a Dedupely atua como prestador de serviços. A Dedupely não deverá: (a) vender ou compartilhar Dados Pessoais do Cliente, conforme esses termos são definidos na CCPA; (b) reter, utilizar ou divulgar Dados Pessoais do Cliente fora da sua relação comercial direta com o Cliente, salvo para fornecer o Serviço e conforme exigido para cumprir a lei aplicável; ou (c) combinar Dados Pessoais do Cliente com informações pessoais recebidas de qualquer outra parte, ou em nome desta, ou recolhidas nas interações da própria Dedupely com um indivíduo. A Dedupely certifica que compreende e cumprirá estas restrições, e informará o Cliente se determinar que já não consegue cumprir as suas obrigações ao abrigo da CCPA.

6. Transferências internacionais

A Dedupely trata dados pessoais nos Estados Unidos. Quando o Cliente transferir para a Dedupely dados pessoais sujeitos ao GDPR, ao UK GDPR ou à lei suíça de proteção de dados, aplicam-se as SCCs (Módulo Dois), incorporadas a este DPA por referência, com:

• a Cláusula 7 (cláusula de adesão) não aplicável;
• a Cláusula 9, Opção 2 (autorização escrita geral) aplicável, com o prazo de aviso previsto na cláusula 3(4) acima;
• a Cláusula 11, a disposição facultativa de resolução independente de litígios, não aplicável;
• Cláusula 17, Opção 1, regida pelo direito da Irlanda;
• Cláusula 18(b), os tribunais da Irlanda;
• Anexos I.A e I.B preenchidos conforme estabelecido no Anexo 1 deste DPA;
• Anexo II preenchido conforme estabelecido no Anexo 2 deste DPA.

Quando os dados pessoais estiverem sujeitos ao GDPR do Reino Unido, a Adenda do Reino Unido aplica-se às SCC conforme preenchidas acima. Quando os dados pessoais estiverem sujeitos ao direito suíço, as referências ao GDPR entendem-se como referências à Lei Federal Suíça de Proteção de Dados e a autoridade competente é o Comissário Federal Suíço para a Proteção de Dados e a Informação.

Ao aceitar os Termos, considera-se que o Cliente e a Dedupely assinaram as SCC e a Adenda do Reino Unido.

7. Responsabilidade

A Dedupely não será responsável por qualquer reclamação apresentada por um titular de dados decorrente de, ou relacionada com, o tratamento de Dados Pessoais do Cliente pela Dedupely, na medida em que a Dedupely tenha atuado de acordo com as instruções do Cliente.

8. Conflito

Caso a Dedupely e o Cliente tenham celebrado um acordo de tratamento de dados negociado separadamente, esse acordo prevalece na medida de qualquer conflito com este DPA. As Cláusulas Contratuais-Tipo incorporadas nos termos da seção 6 continuam a aplicar-se, salvo se o acordo negociado previr o seu próprio mecanismo de transferência. De resto, na medida de qualquer conflito entre este DPA e os Termos quanto ao tratamento de dados pessoais, prevalece este DPA. Na medida de qualquer conflito entre este DPA e as Cláusulas Contratuais-Tipo, prevalecem as Cláusulas Contratuais-Tipo.

9. Alterações a este DPA

Podemos atualizar este DPA periodicamente. As alterações passam a valer quando publicamos aqui o DPA revisado, ou quando damos aviso prévio conforme exigido por lei, o que ocorrer por último. Se fizermos alterações relevantes, avisaremos por email ou com um aviso no nosso site.

Anexo 1. Detalhes do tratamento

Partes. Exportador de dados: o Cliente, na qualidade de responsável pelo tratamento. Importador de dados: Dedupely Software, Inc., 11871 Horseshoe Way #1103, Richmond, BC V7A 5H5, Canadá, na qualidade de subcontratante. Contato: compliance@dedupe.ly.

Categorias de titulares de dados. Os potenciais clientes, clientes, usuários finais e outras pessoas cujos dados constem dos registros que o Cliente opte por sincronizar com o Serviço.

Categorias de dados pessoais. O Cliente define o escopo ao selecionar os objetos a sincronizar. Isso pode incluir contatos, empresas, negócios, tickets e objetos personalizados. O Dedupely processa o registro completo de cada objeto selecionado, incluindo campos nativos e personalizados, identificadores de registro e metadados. Na prática, isso normalmente inclui nomes, endereços de email, números de telefone, endereços postais, URLs de perfis sociais, cidade, estado e país, e carimbos de data e hora de criação e modificação.

Natureza e finalidade do tratamento. Identificação de registros duplicados, apresentação de correspondências para revisão pelo Cliente, aplicação das mesclagens que o Cliente aprova ou configura, e fornecimento, manutenção, suporte e melhoria do Serviço.

Origens. Os Dados Pessoais do Cliente são recebidos a partir dos registros do CRM do Cliente, por meio de integrações com o CRM e por meio de arquivos CSV enviados pelo Cliente.

Frequência da transferência. Contínua, durante o período de utilização do Serviço pelo Cliente.

Local do tratamento. Estados Unidos. Amazon Web Services (região do Norte da Virgínia) e Google Cloud.

Duração. Enquanto a conta do Cliente estiver ativa e, posteriormente, conforme estabelecido na cláusula 3(9).

Subcontratantes ulteriores. Conforme indicados em dedupe.ly/trust#subprocessors.

Autoridade de controle competente. Determinada pelo local de estabelecimento do Cliente ou, caso o Cliente não esteja estabelecido no EEE, pelo seu representante nos termos do artigo 27.º.

Anexo 2. Medidas técnicas e organizativas

Certificação. A Dedupely mantém certificação segundo as normas ISO/IEC 27001:2022, ISO/IEC 27017 (segurança na cloud) e ISO/IEC 27018 (proteção de dados pessoais na cloud). Os certificados estão disponíveis mediante pedido.

Encriptação. Os Dados Pessoais do Cliente são encriptados em trânsito e em repouso.

Controle de acessos. O acesso aos Dados Pessoais do Cliente está limitado ao pessoal autorizado que dele necessite para operar o Serviço e apoiar o Cliente. O acesso é concedido por função e requer autenticação. As senhas são armazenadas encriptadas e com hash.

Autenticação. O Serviço oferece autenticação de dois fatores, expiração de sessão, login federado e listas de IPs permitidos. O Cliente controla as funções e permissões dos usuários dentro da própria conta.

Separação de tenants. Os Dados Pessoais do Cliente são logicamente segregados, de modo que os registros de cada cliente sejam acessíveis apenas dentro da conta desse cliente. Os serviços internos operam segundo o princípio do privilégio mínimo, e a produção está separada dos ambientes de desenvolvimento e teste.

Segurança das integrações. As conexões com o CRM do Cliente usam OAuth quando disponível. Os tokens OAuth são renovados continuamente, e as permissões são limitadas às necessárias para prestar o Serviço. Quando o CRM não usa OAuth, o Cliente se conecta com suas chaves de API privadas e é responsável pela rotação delas.

Registros. A Dedupely mantém registros de atividade que documentam as mesclagens e as ações dos usuários.

Cópias de segurança. As cópias de segurança encriptadas da infraestrutura são mantidas por um subcontratante ulterior e conservadas durante sete (7) dias.

Continuidade de negócio. A Dedupely mantém procedimentos documentados de continuidade de negócio e recuperação de desastres, testa periodicamente as capacidades de recuperação e mantém processos de cópia de segurança adequados aos riscos apresentados.

Segurança física. A infraestrutura de produção está alojada na Amazon Web Services e na Google Cloud, que são responsáveis pelos controles de acesso físico nos seus centros de dados.

Testes de segurança. São realizados testes de intrusão independentes e análises de segurança num ambiente de staging que replica a produção. Os fornecedores de testes não têm acesso aos Dados Pessoais do Cliente em produção.

Resposta a incidentes. A Dedupely mantém um plano documentado de resposta a incidentes alinhado com as suas certificações ISO, que cobre detecção e classificação de gravidade, contenção, investigação e análise de causa raiz, notificação, correção, revisão pós-incidente e registro para efeitos de auditoria.

Pessoal. O pessoal com acesso aos Dados Pessoais do Cliente está vinculado a obrigações de confidencialidade e recebe formação regular em proteção de dados e segurança.