Esta tradução é fornecida por conveniência. Em caso de divergência, prevalece a versão em inglês.

Acordo de Tratamento de Dados

Última atualização: 27 de outubro de 2026

Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Serviço entre a DIZZUS GmbH ("Operador", "nós") e o cliente ("Controlador", "você") que utiliza o ConvertFly.io ("Serviço"). Este DPA rege o tratamento de dados pessoais pelo Operador em nome do Controlador, em conformidade com a Lei Federal Suíça de Proteção de Dados (nFADP/nLPD) e, quando aplicável, com o Regulamento Geral sobre a Proteção de Dados da UE (RGPD).

1. Definições

• Dados pessoais: quaisquer dados relativos a uma pessoa natural identificada ou identificável, conforme definido no art. 5 nFADP e no art. 4(1) RGPD.
• Tratamento: qualquer operação realizada com dados pessoais (coleta, armazenamento, uso, transferência, exclusão).
• Suboperador: terceiro contratado pelo Operador para tratar dados pessoais em nome do Controlador.

2. Escopo e finalidade

O Operador trata dados pessoais exclusivamente para prestar o Serviço de conversão de arquivos descrito nos Termos de Serviço. O tratamento inclui:

• Receber e armazenar temporariamente os arquivos enviados pelo Controlador ou por seus usuários finais;
• Converter arquivos entre formatos por meio de motores de processamento automatizados;
• Armazenar temporariamente os resultados das conversões para download;
• Manter logs de conversão (somente metadados, sem conteúdo dos arquivos).

3. Tipos de dados pessoais

Os arquivos enviados para conversão podem conter dados pessoais. As categorias dependem do caso de uso do Controlador e podem incluir:

• Nomes, dados de contato, números de identificação;
• Dados financeiros em planilhas ou documentos;
• Imagens que contenham rostos ou informações pessoais;
• Quaisquer outros dados pessoais contidos nos arquivos enviados.

O Operador trata o conteúdo dos arquivos de forma automatizada, pelo software de conversão e apenas para a conversão; não o utiliza para nenhuma outra finalidade nem o divulga.

4. Obrigações do Operador

O Operador deverá:

• Tratar dados pessoais somente mediante instruções documentadas do Controlador (ou seja, realizar a conversão solicitada);
• Garantir que as pessoas autorizadas a tratar dados pessoais estejam sujeitas a obrigações de confidencialidade;
• Implementar medidas de segurança técnicas e organizacionais adequadas (ver Seção 7);
• Contratar suboperadores somente com a autorização do Controlador (ver Seção 6);
• Auxiliar o Controlador a responder às solicitações dos titulares dos dados;
• Excluir todos os dados pessoais ao término do Serviço, salvo se a retenção for exigida por lei;
• Disponibilizar todas as informações necessárias para demonstrar a conformidade e permitir auditorias.

5. Obrigações do Controlador

O Controlador deverá:

• Garantir que dispõe de uma base legal para o tratamento de dados pessoais por meio do Serviço;
• Fornecer aos titulares dos dados as informações necessárias sobre o uso do Serviço;
• Garantir que os arquivos enviados não contenham dados de categorias especiais (art. 9 RGPD), a menos que existam garantias adequadas.

6. Suboperadores

O Controlador concede ao Operador autorização geral para contratar os suboperadores a seguir. O Operador notificará o Controlador sobre qualquer alteração de suboperadores com pelo menos 30 dias de antecedência.

Para transferências para fora da Suíça/EEE, o Operador garante a existência de salvaguardas adequadas (Cláusulas Contratuais Padrão ou decisões de adequação).

7. Medidas de segurança

O Operador implementa as seguintes medidas técnicas e organizacionais:

• Criptografia em trânsito: todas as comunicações usam TLS 1.2+;
• Criptografia em repouso: arquivos armazenados em volumes criptografados no armazenamento operado pela Dizzus;
• Controle de acesso: autenticação por chave de API, gerenciamento de sessões, acesso baseado em funções;
• Segurança dos workers: requisições assinadas com HMAC-SHA256 entre a API e os workers de conversão;
• Minimização de dados: arquivos importados excluídos imediatamente após a conversão; arquivos de saída excluídos após 24 horas;
• Monitoramento: verificações de integridade automatizadas e logs centralizados;
• Segurança de rede: workers de conversão isolados em redes privadas (malha WireGuard); terminação TLS e limitação de requisições na borda.

8. Notificação de violação de dados

O Operador notificará o Controlador sem demora injustificada (e, em qualquer caso, em até 72 horas) após tomar conhecimento de uma violação de dados pessoais. A notificação incluirá a natureza da violação, as categorias e o número aproximado de titulares afetados, as consequências prováveis e as medidas adotadas para tratar a violação.

9. Solicitações dos titulares dos dados

O Operador auxiliará prontamente o Controlador no atendimento das solicitações dos titulares dos dados (acesso, retificação, eliminação, portabilidade, limitação, oposição). Dada a natureza automatizada e temporária do processamento de arquivos, a maioria das solicitações dos titulares é atendida automaticamente pela política de exclusão de arquivos em 24 horas.

10. Auditorias

O Controlador pode auditar a conformidade do Operador com este DPA. As auditorias serão realizadas mediante aviso prévio razoável (de pelo menos 30 dias) e durante o horário comercial normal. O Operador pode cobrar honorários razoáveis pelo apoio à auditoria além da documentação padrão.

11. Vigência e rescisão

Este DPA vigora durante todo o prazo do contrato de Serviço. Com a rescisão, o Operador excluirá todos os dados pessoais em até 30 dias, salvo se a retenção for exigida pelo direito suíço ou da UE. O Operador fornecerá confirmação por escrito da exclusão mediante solicitação.

12. Lei aplicável

Este DPA é regido pelas leis da Suíça. Os tribunais de Zug, Suíça, terão jurisdição exclusiva, salvo disposição legal imperativa em contrário.

13. Contato

Para questões relacionadas ao DPA:
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
Contato: convertfly.io/contact
E-mail: Mostrar o endereço de e-mail