Este Data Processing Agreement (“DPA”) integra os Termos de Serviço e demais instrumentos firmados entre:
BLACKBOURNE GROWTH MARKETING & SALES LTDA, CNPJ nº 65.048.671/0001-78, operadora da BlackFlow CRM, doravante “BlackFlow”;
e
a pessoa jurídica ou organização que contrata a BlackFlow CRM, doravante “Cliente”.
1. OBJETO
Este DPA estabelece condições aplicáveis ao tratamento de Dados Pessoais realizado pela BlackFlow em nome do Cliente através da BlackFlow CRM.
Em caso de conflito entre este DPA e disposições gerais dos Termos relacionadas especificamente ao tratamento de Dados do Cliente, prevalecerá este DPA.
2. PAPÉIS DAS PARTES
Quando o Cliente determina as finalidades e elementos essenciais do tratamento:
Cliente = Controlador / Controller / Business
e
BlackFlow = Operadora / Processor / Service Provider
A BlackFlow poderá atuar como Controladora independente para tratamentos relacionados à sua própria operação, incluindo faturamento, segurança, cadastro, relacionamento e cumprimento de obrigações legais.
3. INSTRUÇÕES
A BlackFlow tratará Dados Pessoais em nome do Cliente:
- conforme este DPA;
- conforme o contrato;
- conforme configurações da Plataforma;
- conforme comandos e instruções documentadas do Cliente;
- conforme exigido pela legislação.
As próprias configurações, automações, integrações e ações realizadas pelo Cliente poderão constituir instruções documentadas.
Caso a BlackFlow considere que determinada instrução viola legislação aplicável, poderá alertar o Cliente e suspender o tratamento relacionado quando necessário.
4. FINALIDADE
O tratamento poderá ser realizado para disponibilização de funcionalidades como:
- CRM;
- contatos;
- marketing;
- vendas;
- atendimento;
- automação;
- comunicação;
- WhatsApp;
- telefonia;
- e-mail;
- SMS;
- calendários;
- formulários;
- integrações;
- relatórios;
- inteligência artificial;
- pagamentos;
- suporte;
- segurança.
5. DURAÇÃO
O tratamento ocorrerá durante a vigência da relação contratual e durante os períodos técnicos ou legais de retenção aplicáveis após seu encerramento.
6. CATEGORIAS DE TITULARES
Poderão incluir:
- leads;
- prospects;
- clientes;
- consumidores;
- pacientes, quando legalmente permitido;
- colaboradores;
- fornecedores;
- parceiros;
- representantes;
- usuários;
- demais contatos inseridos pelo Cliente.
7. CATEGORIAS DE DADOS
Poderão incluir:
- nome;
- e-mail;
- telefone;
- endereço;
- CPF/CNPJ;
- empresa;
- cargo;
- mensagens;
- gravações;
- transcrições;
- oportunidades;
- histórico comercial;
- campos personalizados;
- agendamentos;
- arquivos;
- formulários;
- eventos;
- dados técnicos;
- demais informações inseridas pelo Cliente.
8. DADOS SENSÍVEIS
O Cliente reconhece que poderá tecnicamente inserir informações sensíveis.
Antes de fazê-lo deverá assegurar:
- necessidade;
- base jurídica;
- transparência;
- proporcionalidade;
- medidas de segurança adequadas.
O Cliente não deverá utilizar a Plataforma para processamento sujeito a requisitos especiais que a BlackFlow não tenha expressamente aceitado contratualmente.
9. HIPAA / PHI
O Cliente não deverá utilizar a BlackFlow para tratamento de PHI/ePHI sujeito ao HIPAA quando a BlackFlow precisar atuar como Business Associate, salvo se:
- o serviço tiver sido previamente aprovado para essa finalidade; e
- as Partes tiverem firmado BAA aplicável.
10. CONFIDENCIALIDADE
A BlackFlow assegurará que pessoas autorizadas a acessar Dados do Cliente estejam sujeitas a obrigações apropriadas de confidencialidade.
O acesso será limitado a pessoas que necessitem dele para execução de suas funções.
11. SEGURANÇA
A BlackFlow implementará ou utilizará medidas técnicas e organizacionais razoáveis e proporcionais ao risco.
Poderão incluir:
- autenticação;
- controles de acesso;
- gestão de permissões;
- logs;
- criptografia quando aplicável;
- monitoramento;
- proteção de infraestrutura;
- processos de segurança;
- resposta a incidentes.
O Cliente permanece responsável pela segurança de seus usuários, dispositivos, credenciais e configurações.
12. SUBOPERADORES
O Cliente concede à BlackFlow autorização geral para utilizar Suboperadores necessários à prestação do serviço.
A BlackFlow manterá registro atualizado de Suboperadores relevantes.
A lista será disponibilizada através do Trust Center, página de subprocessadores ou mecanismo equivalente.
Quando exigido pelo GDPR ou por contrato, a BlackFlow informará alterações materiais na cadeia de Suboperadores, permitindo ao Cliente apresentar objeção fundamentada.
A BlackFlow exigirá dos Suboperadores obrigações de proteção de dados compatíveis com a natureza dos serviços contratados.
13. INTEGRAÇÕES DO CLIENTE
Quando o Cliente conectar serviço externo sob sua própria conta ou contrato, esse fornecedor poderá ser considerado destinatário escolhido diretamente pelo Cliente.
A BlackFlow não será responsável pelos termos independentes de tratamento adotados por esse terceiro.
14. TRANSFERÊNCIAS INTERNACIONAIS
O Cliente reconhece que a prestação dos serviços poderá envolver processamento internacional de Dados.
As Partes utilizarão mecanismos legalmente válidos quando exigidos.
Poderão ser utilizados, conforme aplicável:
Brasil
- decisão de adequação;
- cláusulas-padrão aprovadas pela ANPD;
- demais mecanismos permitidos pela LGPD.
União Europeia / EEE
- decisões de adequação;
- Standard Contractual Clauses — SCCs;
- demais mecanismos previstos pelo GDPR.
Quando houver transferência posterior para Suboperador localizado em jurisdição que exija salvaguarda adicional, a BlackFlow buscará exigir mecanismo compatível.
15. SCCs EUROPEIAS
Quando o GDPR exigir SCCs para uma transferência abrangida por este DPA, as cláusulas-padrão adotadas pela Comissão Europeia serão consideradas incorporadas à relação na modalidade aplicável.
Quando:
Cliente = Controller e BlackFlow = Processor, será utilizada a modalidade correspondente à transferência Controller-to-Processor.
Quando a relação possuir estrutura diferente, será aplicada a modalidade compatível.
As SCCs não serão modificadas de forma incompatível com sua validade.
16. DIREITOS DOS TITULARES
O Cliente será responsável primário por responder solicitações relacionadas a Dados tratados em sua qualidade de Controlador.
Caso a BlackFlow receba diretamente pedido relacionado à base de um Cliente, poderá:
- encaminhá-lo ao Cliente;
- orientar o titular a contatar o Cliente;
- responder quando autorizada ou legalmente obrigada.
A BlackFlow prestará assistência razoável ao Cliente, considerando a natureza do processamento e informações disponíveis.
17. LGPD
Quando a LGPD for aplicável, a BlackFlow tratará os Dados em conformidade com instruções legítimas do Cliente e com as obrigações aplicáveis aos Operadores.
A BlackFlow auxiliará o Cliente, dentro das informações disponíveis, no atendimento a direitos dos titulares e obrigações de segurança.
18. GDPR
Quando a BlackFlow atuar como Processor sob GDPR, compromete-se, na extensão aplicável, a:
- tratar dados sob instruções documentadas;
- manter confidencialidade;
- adotar medidas apropriadas de segurança;
- observar requisitos de Subprocessors;
- auxiliar no atendimento aos direitos dos titulares;
- cooperar em incidentes;
- auxiliar, de maneira razoável, em DPIAs quando necessárias;
- fornecer informações razoavelmente necessárias para demonstrar conformidade.
19. ESTADOS UNIDOS
Quando leis estaduais americanas aplicáveis classificarem a BlackFlow como Service Provider, Contractor ou Processor, a BlackFlow:
- tratará informações para os fins empresariais contratados;
- não venderá as bases privadas do Cliente;
- não utilizará essas informações para publicidade própria;
- não combinará informações do Cliente para finalidades incompatíveis com a função contratada, salvo quando legalmente permitido;
- auxiliará o Cliente no cumprimento de direitos aplicáveis dentro dos limites técnicos disponíveis.
20. INCIDENTES
A BlackFlow comunicará ao Cliente incidente de segurança envolvendo Dados do Cliente sem atraso indevido após obter conhecimento suficiente de evento que exija comunicação.
A comunicação poderá incluir, conforme disponível:
- natureza do incidente;
- dados potencialmente envolvidos;
- medidas adotadas;
- possíveis impactos;
- medidas de mitigação.
Informações poderão ser complementadas posteriormente conforme investigação.
A comunicação não constitui reconhecimento de culpa ou responsabilidade.
21. COMUNICAÇÃO A AUTORIDADES
Quando o Cliente for o Controlador, ele será responsável pelas comunicações obrigatórias a titulares e autoridades, salvo quando a legislação estabelecer obrigação direta diferente à BlackFlow.
A BlackFlow fornecerá cooperação razoável.
22. AVALIAÇÃO DE IMPACTO
Quando legalmente necessário e considerando a natureza do tratamento, a BlackFlow prestará informações razoavelmente disponíveis para auxiliar o Cliente em:
- DPIA;
- RIPD;
- avaliações de risco;
- consultas regulatórias.
Consultorias jurídicas ou projetos personalizados poderão depender de contratação separada.
23. INTELIGÊNCIA ARTIFICIAL
Quando funcionalidades de IA forem utilizadas:
- o processamento deverá permanecer relacionado à prestação do serviço;
- serão aplicados princípios de minimização;
- poderão existir Suboperadores especializados;
- a BlackFlow buscará evitar utilização das bases do Cliente para treinamento geral de terceiros sem autorização apropriada.
O Cliente é responsável por verificar a adequação de decisões tomadas com apoio de IA.
24. GRAVAÇÕES
Quando o Cliente habilitar gravação, transcrição ou análise de comunicações, será responsável por determinar sua base jurídica e fornecer avisos ou obter consentimentos quando exigidos.
A BlackFlow processará esse conteúdo para disponibilização da funcionalidade contratada.
25. PAGAMENTOS
Quando houver pagamentos processados através da Plataforma, poderão ser utilizados provedores especializados.
A BlackFlow buscará evitar armazenamento desnecessário de dados completos de cartão.
O Cliente não deverá utilizar campos do CRM para armazenar CVV ou credenciais financeiras secretas.
26. RETENÇÃO E EXCLUSÃO
Após término da contratação, a BlackFlow:
- interromperá o tratamento operacional quando aplicável;
- permitirá exportação quando tecnicamente disponível;
- excluirá ou tornará inacessíveis Dados conforme seus ciclos técnicos;
- observará períodos legalmente obrigatórios de conservação.
Determinadas infraestruturas poderão manter a conta recuperável por até 90 dias após cancelamento.
Após o ciclo aplicável, os Dados poderão ser eliminados definitivamente.
27. RETORNO DE DADOS
Antes do encerramento, o Cliente deverá utilizar as ferramentas disponíveis para exportar as informações que deseja conservar.
Solicitações extraordinárias de recuperação após término poderão estar sujeitas à disponibilidade técnica e custos adicionais.
28. AUDITORIA E COMPROVAÇÃO
A BlackFlow fornecerá informações razoavelmente necessárias para demonstrar cumprimento deste DPA.
Quando auditoria adicional for legalmente necessária, as Partes buscarão primeiro utilizar:
- certificações;
- relatórios;
- documentação;
- questionários de segurança;
- evidências equivalentes.
Auditorias presenciais ou personalizadas dependerão de necessidade comprovada, confidencialidade, razoabilidade operacional e acordo prévio.
29. SOLICITAÇÕES GOVERNAMENTAIS
Quando legalmente permitido, a BlackFlow buscará:
- avaliar solicitações governamentais;
- limitar divulgação ao necessário;
- contestar pedidos manifestamente excessivos quando houver fundamento adequado;
- comunicar o Cliente quando permitido.
30. RESPONSABILIDADE DO CLIENTE
O Cliente garante que:
- possui autoridade sobre os Dados fornecidos;
- suas instruções são legítimas;
- realizou os avisos necessários;
- possui bases jurídicas apropriadas;
- suas configurações estão em conformidade com a legislação.
31. TÉRMINO
Este DPA permanecerá vigente enquanto a BlackFlow processar Dados em nome do Cliente.
Obrigações que por sua natureza devam sobreviver ao encerramento permanecerão válidas, especialmente:
- confidencialidade;
- exclusão;
- segurança;
- responsabilidade.
ANEXO I — DESCRIÇÃO DO TRATAMENTO
Objeto: prestação da BlackFlow CRM.
Duração: vigência contratual e períodos de retenção aplicáveis.
Natureza:
- coleta;
- registro;
- armazenamento;
- organização;
- consulta;
- comunicação;
- transmissão;
- análise;
- modificação;
- exclusão.
Finalidades:
prestação de CRM, marketing, vendas, automação, atendimento, comunicação, inteligência artificial, integrações e funcionalidades contratadas.
Titulares:
leads, clientes, prospects, consumidores, funcionários, representantes, fornecedores, parceiros e demais pessoas cadastradas pelo Cliente.
Dados:
identificação, contato, dados comerciais, comunicações, gravações, transcrições, arquivos, campos personalizados, dados técnicos e demais informações inseridas pelo Cliente.
ANEXO II — MEDIDAS DE SEGURANÇA
As medidas poderão incluir, conforme aplicável:
- autenticação;
- controle de acesso;
- MFA;
- gestão de usuários;
- logs;
- criptografia;
- segregação lógica;
- monitoramento;
- proteção de infraestrutura;
- controle de permissões;
- processos internos de confidencialidade;
- gestão de incidentes;
- medidas herdadas dos provedores de infraestrutura.
ANEXO III — SUBOPERADORES
A relação atualizada de Suboperadores será mantida pela BlackFlow em:
BlackFlow Trust Center / Registro de Suboperadores
A identificação pública poderá incluir:
- fornecedor;
- finalidade;
- categoria de serviço;
- país/região de processamento.
CONTATO
BlackFlow CRM
BLACKBOURNE GROWTH MARKETING & SALES LTDA
CNPJ: 65.048.671/0001-78
Av. Gov. Bley, 155 - Centro
Vitória - ES, 29010-150
Brasil
E-mail: suporte@blackflowcrm.com
WhatsApp: +55 (27) 3189-0021