Acordo de Processamento de Dados

Este DPA é celebrado entre:

Para efeitos deste DPA, adotam-se as seguintes definições da LGPD:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, LGPD).
• Tratamento: toda operação realizada com dados pessoais — coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, X).
• Controlador: pessoa natural ou jurídica que toma as decisões referentes ao tratamento de dados pessoais (art. 5º, VI). Neste contexto: o fotógrafo.
• Operadora: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador (art. 5º, VII). Neste contexto: a Lensly.
• Titular: pessoa natural a quem se referem os dados pessoais tratados. Neste contexto: os clientes dos fotógrafos cadastrados na plataforma.
• ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública responsável por zelar pela proteção de dados pessoais (art. 5º, XIX).

A Lensly trata dados pessoais de clientes dos fotógrafos exclusivamente para prestação dos serviços contratados. O tratamento abrange:

A Lensly se compromete a:

• Tratar os dados pessoais dos clientes do fotógrafo apenas conforme instruções documentadas do controlador, exceto quando obrigada por lei.
• Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a obrigações de confidencialidade.
• Manter medidas de segurança técnicas e organizacionais adequadas ao risco, conforme detalhado na Seção 8.
• Comunicar imediatamente ao controlador (fotógrafo) qualquer solicitação direta de titular de dados, sem responder por conta própria, salvo autorização expressa.
• Auxiliar o controlador no cumprimento das obrigações referentes a direitos dos titulares, segurança, notificação de incidentes e avaliação de impacto.
• Excluir ou devolver todos os dados pessoais ao controlador ao término da prestação de serviços, conforme opção do controlador.
• Fornecer ao controlador todas as informações necessárias para demonstrar conformidade com este DPA e com a LGPD.
• Notificar o controlador sobre qualquer instrução que, na opinião da Lensly, viole a LGPD ou outras leis aplicáveis de proteção de dados.
• Não subcontratar o tratamento de dados para subprocessadores não listados na Seção 6 sem consentimento prévio do controlador.

O fotógrafo, como controlador dos dados de seus clientes, é responsável por:

• Garantir que possui base legal adequada para o tratamento dos dados de seus clientes (consentimento, execução de contrato, legítimo interesse etc.).
• Informar seus clientes (titulares) sobre o uso da plataforma Lensly para gestão de seus dados, por meio de sua própria política de privacidade ou cláusula contratual.
• Utilizar a plataforma exclusivamente para finalidades lícitas e compatíveis com as previstas neste DPA.
• Não inserir na plataforma dados sensíveis (saúde, biometria, origem racial, convicções religiosas) sem necessidade objetiva e base legal específica.
• Atender às solicitações de direitos dos titulares que lhe forem endereçadas, podendo solicitar apoio da Lensly via suporte.
• Manter as credenciais de acesso à plataforma sob sigilo e comunicar imediatamente qualquer comprometimento detectado.
• Assegurar que membros de sua equipe com acesso à plataforma estejam cientes e cumpram as obrigações deste DPA.

O controlador autoriza a Lensly a utilizar os seguintes subprocessadores no tratamento dos dados. A Lensly celebra contratos de proteção de dados com cada um deles:

Notificaremos o controlador com antecedência mínima de 10 dias sobre a adição de novos subprocessadores, via e-mail ou notificação na plataforma. Caso o controlador se oponha, poderá rescindir o contrato sem penalidade, nos termos da Seção 13.

Alguns subprocessadores listados na Seção 6 estão localizados fora do Brasil. A Lensly adota as seguintes salvaguardas para transferências internacionais:

• Cláusulas Contratuais Padrão (SCCs): utilizadas com subprocessadores nos EUA que não estejam cobertos por decisão de adequação.
• Acordos de processamento de dados: celebrados com cada subprocessador, exigindo conformidade com LGPD e/ou GDPR.
• Minimização de dados: apenas os dados estritamente necessários para cada serviço são transmitidos a subprocessadores externos.

Para subprocessadores que oferecem regiões de hospedagem no Brasil (ex: Cloudflare R2), a Lensly prioriza o armazenamento local.

A Lensly implementa e mantém as seguintes medidas técnicas e organizacionais:

Em caso de incidente de segurança que envolva dados pessoais dos clientes do fotógrafo:

• A Lensly notificará o controlador (fotógrafo) em até 72 horas após tomar conhecimento do incidente, por e-mail cadastrado na conta.
• A notificação incluirá: natureza do incidente, categorias e número aproximado de titulares afetados, dados possivelmente comprometidos, medidas tomadas ou propostas e contato do DPO para esclarecimentos.
• O controlador é responsável por notificar seus clientes (titulares) e a ANPD, quando exigido pela LGPD, com apoio das informações fornecidas pela Lensly.
• A Lensly tomará todas as medidas razoáveis para conter o incidente, investigar sua causa e prevenir recorrências.

O controlador tem o direito de verificar a conformidade da Lensly com este DPA:

• Solicitando relatórios de conformidade e certificações de segurança disponíveis, via e-mail para privacidade@lensly.com.br.
• Conduzindo auditorias com aviso prévio mínimo de 30 dias e em horário comercial, limitadas a uma vez por ano, salvo na ocorrência de incidente de segurança.
• Os custos de auditoria são arcados pelo controlador, salvo quando a Lensly tiver causado o incidente que motivou a auditoria.

Ao término da prestação de serviços ou rescisão do contrato:

• A Lensly manterá os dados por um período de carência de 90 dias em soft delete, permitindo exportação pelo controlador.
• Após o período de carência, os dados serão excluídos permanentemente ou anonimizados de forma irreversível, salvo obrigação legal de retenção.
• O controlador pode solicitar exportação de todos os seus dados em formato estruturado (JSON/CSV) a qualquer momento via suporte.
• Dados sujeitos a obrigação legal de retenção (ex: registros fiscais — 5 anos; audit trail de contratos — 10 anos) serão mantidos pelo prazo legal e excluídos na sequência.
• A Lensly fornecerá confirmação escrita da exclusão ou anonimização quando solicitada pelo controlador.

A responsabilidade das partes neste DPA é regida pelos seguintes princípios:

• Cada parte é responsável pelos danos causados a titulares decorrentes do descumprimento de suas obrigações específicas previstas na LGPD e neste DPA.
• A Lensly não será responsável por danos decorrentes de instruções ilegais do controlador, desde que tenha notificado o controlador sobre a ilegalidade.
• O controlador responde perante seus clientes finais pela legalidade do tratamento de dados e pela adequação das bases legais utilizadas.
• A responsabilidade total da Lensly neste DPA está limitada ao valor pago pelo controlador nos 12 meses anteriores ao evento, conforme previsto nos Termos de Serviço.

Este DPA entra em vigor com a aceitação dos Termos de Serviço e permanece vigente enquanto o controlador utilizar os serviços da Lensly.

O controlador pode rescindir este DPA a qualquer momento encerrando sua conta. A rescisão do DPA implica rescisão dos Termos de Serviço.

Alterações materiais a este DPA serão comunicadas com antecedência mínima de 30 dias. A objeção do controlador às alterações confere direito de rescisão sem penalidade dentro do período de aviso.

Para questões relacionadas a este DPA, proteção de dados ou exercício de direitos dos titulares:

Veja também nossa Política de Privacidade para informações sobre o tratamento de dados dos próprios usuários da plataforma (fotógrafos e membros de equipe).