Acuerdo de Tratamiento de Datos Personales

Este Acuerdo de Tratamiento de Datos Personales (“DPA” o “Acuerdo”) forma parte integral del Contrato celebrado entre el Cliente y RD Station (“Términos de Uso” o “Contrato”) y regula las actividades de tratamiento de datos personales realizadas por las Partes en el contexto de la prestación de los Servicios, observando las funciones y responsabilidades de cada Parte, según se definen en este DPA y en la legislación aplicable. Salvo por las modificaciones aquí previstas, el Contrato celebrado entre el Cliente y RD Station permanece inalterado y en pleno vigor. En caso de conflicto entre este DPA, el Contrato o cualquier otro término, prevalecerá lo dispuesto en este DPA en materia de protección de datos, seguridad y privacidad.

 

1. Definiciones

Los siguientes términos tendrán los significados que se indican a continuación cuando se utilicen en este DPA. Cualquier término escrito con mayúscula inicial que no esté definido en este DPA tendrá el significado previsto en los Términos de Uso y en la legislación aplicable.

Cliente: significa la persona física o jurídica que acepta la contratación y/o utilización de los servicios ofrecidos por RD Station.

Controlador: significa la persona natural o jurídica, de derecho público o privado, que determina, individualmente, las finalidades y los elementos esenciales del Tratamiento de Datos Personales, siendo responsable de las decisiones relacionadas con la operación de tratamiento de datos personales, conforme a lo previsto en la Ley de Protección de Datos aplicable.

Datos Personales del Cliente: significa los Datos Personales compartidos por el Cliente en la Plataforma RD para utilizar las funcionalidades de los servicios ofrecidos.

Leyes de Protección de Datos: significa toda la legislación relacionada con la protección de datos y la privacidad aplicable a la Parte respectiva, teniendo en cuenta su función y sus actividades durante el Tratamiento de Datos Personales en el ámbito de este Acuerdo, incluyendo, entre otras, las siguientes normas: (i) la Ley General de Protección de Datos, Ley Federal n.º 13.709/2018, “LGPD”; (ii) el Marco Civil de Internet (Ley Federal n.º 12.965/2014) y su decreto reglamentario (Decreto n.º 8.771/2016); y (iii) cualquier otra legislación de protección de datos aplicable a la Parte respectiva en virtud de su función en el Tratamiento de Datos Personales.

Plataforma RD Station (“Plataforma RD”): conjunto integrado de soluciones ofrecidas por RD Station, incluyendo, entre otras, herramientas como RD Station Marketing, RD Station Vendas, RD Station Atendimento, RD Station para E-commerce y otras funcionalidades a las que pueden acceder los Clientes.

RD o Empresa: RD Gestão e Sistemas S.A.

Suboperador: significa cualquier Operador de datos contratado por RD para tratar Datos Personales del Cliente.

 

Los términos “Datos Personales”, “Titular de Datos”, “Operador”, “Tratamiento” y “Autoridad” tendrán los significados definidos en la LGPD.

 

2. Del Tratamiento

2.1. Las Partes declaran que realizan el Tratamiento de Datos Personales de conformidad con la Ley de Protección de Datos y demás legislación aplicable, y se comprometen a observar las bases legales pertinentes y a adoptar medidas técnicas y organizativas adecuadas para garantizar la regularidad y la seguridad del tratamiento. Cada Parte será responsable de los Tratamientos de Datos Personales que realice en calidad de Controlador u Operador de datos personales, según corresponda.

2.2. En el ámbito de este Acuerdo, las Partes reconocen y acuerdan que, con respecto a los Datos Personales del Cliente, el Cliente actuará como Controlador, mientras que RD actuará como Operadora, realizando el Tratamiento de los Datos Personales por cuenta del Cliente y de acuerdo con sus instrucciones documentadas.

2.3. El Cliente declara y garantiza que: (a) todas y cada una de las actividades de Tratamiento de Datos Personales realizadas en la Plataforma RD son legítimas y están autorizadas por la Ley de Protección de Datos, así como de conformidad con los Términos de Uso; (b) los Datos Personales introducidos en la Plataforma RD fueron recopilados legítimamente, con una base legal adecuada y habiendo informado al Titular; (c) tiene derecho a transferir o compartir los Datos Personales con RD; (d) no hará ningún uso indebido de los Datos Personales ni de otra información obtenida a través de la Plataforma RD; (e) garantizará la confidencialidad y seguridad de los datos de acceso a la Plataforma RD; (f) será el único responsable de gestionar el acceso de sus usuarios a la Plataforma RD, incluyendo la concesión, configuración, supervisión y revocación de credenciales; y (g) los mensajes, comunicaciones o correos electrónicos enviados a través de la Plataforma RD respetan el consentimiento de los destinatarios, cuando corresponda, y no constituyen spam ni contenido abusivo, fraudulento, discriminatorio, ilegal u ofensivo de ninguna naturaleza.

2.4. Los servicios disponibles en la Plataforma RD no están destinados, por regla general, al tratamiento de Datos Personales Sensibles. Se recomienda que el Cliente no introduzca ni utilice este tipo de datos en la Plataforma. Si el Cliente opta por tratar Datos Personales Sensibles, deberá hacerlo de conformidad con la legislación aplicable, bajo su responsabilidad, y adoptar las medidas necesarias para garantizar la adecuación de dicho tratamiento, incluyendo, cuando esté disponible, el uso de la identificación de esta categoría de datos en la Plataforma RD.

2.5. El Tratamiento de Datos Personales de niños, niñas y adolescentes deberá realizarse de conformidad con toda la legislación aplicable en la materia. Cuando corresponda, el Cliente deberá adoptar las medidas necesarias para obtener el consentimiento de los padres o representantes legales, observar las restricciones legales aplicables al uso de dichos datos e implementar medidas de protección compatibles con el interés superior de los niños, niñas y adolescentes.

2.6. RD se compromete a brindar asistencia razonable al Cliente en los casos de: (a) solicitudes de Titulares de Datos; (b) evaluaciones de impacto relativas a la protección de datos realizadas por el Cliente, cuando así lo exija la Ley de Protección de Datos; y (c) requerimientos de autoridades relacionados con el Tratamiento de Datos Personales del Cliente.

2.7. RD informa desde ahora que tratará los Datos Personales y demás datos almacenados en sus sistemas para las finalidades definidas en los Términos de Uso y de conformidad con la legislación aplicable, incluyendo: (a) prestar los servicios al Cliente; (b) crear copias de seguridad; (c) analizar, investigar y remediar posibles incidentes de seguridad que involucren datos personales, fraudes y/o registros de auditoría; (d) mejorar, personalizar y/o desarrollar funcionalidades y productos; y (e) realizar análisis y estudios estadísticos relacionados con el desempeño y el uso de la Plataforma RD, priorizando la minimización, anonimización y/o seudonimización de los datos siempre que sea posible y de conformidad con la legislación aplicable. Cuando RD realice el Tratamiento de Datos Personales para fines propios, actuará como Controladora independiente y será plenamente responsable de los Tratamientos realizados bajo su gestión, eximiendo al Cliente de cualquier responsabilidad a este respecto. El Cliente reconoce y acepta que dichos Tratamientos son compatibles, razonables y proporcionales a la prestación de los servicios.

2.8. RD tratará los Datos Personales del Cliente conforme a sus instrucciones y de conformidad con la Ley de Protección de Datos, y no venderá ni compartirá esta información con terceros ajenos a la prestación del servicio o para fines distintos de los especificados en este Acuerdo, en los Términos de Uso y en el Aviso de Privacidad.

2.9. Si, por cualquier motivo, el Cliente solicita a RD datos adicionales de su cuenta, declara que utilizará dicha información de manera responsable y de conformidad con la legislación aplicable. El Cliente será el único responsable de cualquier Tratamiento realizado con los Datos Personales compartidos por RD.

 

3. Incidente de Seguridad

3.1. RD declara que adopta y mantiene medidas técnicas y organizativas apropiadas y adecuadas para proteger los Datos Personales contra accesos no autorizados y situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier otra forma de Tratamiento inadecuado o ilícito que comprometa la seguridad, integridad, confidencialidad o disponibilidad de los Datos Personales tratados en el ámbito de este Acuerdo (“Incidente de Seguridad”).

3.1.1. RD notificará al Cliente, sin demora indebida y en un plazo máximo de 72 (setenta y dos) horas desde que tenga conocimiento de un Incidente de Seguridad relacionado con los Datos Personales del Cliente y, de conformidad con la Resolución CD/ANPD n.º 15/24, brindará toda la asistencia necesaria, incluyendo: (a) la adopción de medidas para mitigar los efectos del Incidente; y (b) el suministro al Cliente de toda la información exigida por ley, a medida que vaya tomando conocimiento de ella. Dicha notificación no constituye una admisión de culpa o responsabilidad por parte de RD. El Cliente será responsable de evaluar y decidir sobre la notificación a los Titulares o a las autoridades competentes, y se compromete a coordinar previamente con RD la redacción de las comunicaciones públicas o notificaciones oficiales que hagan referencia directa a la Plataforma RD o que puedan atribuirle responsabilidad.

 

4. Compartir Datos Personales

4.1. Los Datos Personales no podrán revelarse a terceros, salvo cuando la comunicación sea necesaria para cumplir las obligaciones derivadas de este Acuerdo y del Contrato, incluyendo, entre otros, el uso de servicios de almacenamiento en la nube, proveedores de tecnología, plataformas de soporte técnico, otros subcontratistas esenciales para la ejecución del objeto contractual, así como empresas pertenecientes al mismo grupo económico, sus sociedades controladas, controladoras, subsidiarias, afiliadas o sociedades en las que mantenga una participación, incluso mediante una joint venture o asociación societaria. En estos casos, la comunicación se realizará de conformidad con la legislación aplicable en materia de protección de Datos Personales y mediante la adopción de medidas técnicas y organizativas adecuadas para salvaguardar la confidencialidad, integridad y seguridad de la información.

4.1.1. Suboperadores. El Cliente reconoce y acepta que RD podrá recurrir a suboperadores para el Tratamiento de Datos Personales, según sea necesario para ejecutar este Acuerdo y el Contrato. La lista de suboperadores utilizados por RD se encuentra disponible en: https://www.rdstation.com/legal-e-privacidade/lista-de-suboperadores/. El Cliente acepta consultar periódicamente la lista para mantenerse informado sobre posibles actualizaciones. RD realizará esfuerzos comercialmente razonables para ajustar los servicios si el Cliente presenta una objeción fundamentada con respecto a un nuevo suboperador.

4.1.2. En relación con la interoperabilidad entre la Plataforma RD y los productos y sistemas de TOTVS S.A., el Tratamiento de Datos Personales derivado de ella se realizará para finalidades específicas y limitadas a lo necesario para ejecutar las integraciones contratadas por el Cliente, de conformidad con las disposiciones de este Acuerdo, las instrucciones del Cliente y la Ley de Protección de Datos. Las Partes involucradas en el Tratamiento derivado de estas integraciones tendrán sus funciones definidas y mantenidas conforme a los instrumentos contractuales aplicables a cada solución.

 

5. Derechos de los Titulares

5.1. RD se compromete a notificar por escrito al Cliente siempre que reciba una solicitud de un Titular de Datos relacionada con el Tratamiento de Datos Personales del Cliente en el ámbito de este Acuerdo y podrá, cuando corresponda, orientar al Titular para que dirija su solicitud a los canales oficiales de atención del Cliente.

5.2. El Cliente, en calidad de Controlador, es responsable de evaluar, decidir y responder a las solicitudes de los Titulares de Datos. RD brindará asistencia razonable al Cliente para responder a dichas solicitudes, incluyendo la ejecución de acciones como el acceso, la rectificación o la supresión de Datos Personales, cuando sea técnicamente aplicable y siguiendo las instrucciones del Cliente.

 

6. Transferencia Internacional

6.1. Para prestar los servicios de la Plataforma RD, RD podrá transferir datos a terceros ubicados fuera del territorio brasileño, en particular en relación con servicios de almacenamiento en la nube, cuyos centros de datos se encuentran predominantemente en los Estados Unidos.

6.1.1. En estos casos, RD se compromete a utilizar uno de los mecanismos previstos en el artículo 33 de la LGPD, incluyendo, cuando corresponda, las cláusulas contractuales establecidas por la Resolución CD/ANPD n.º 19/2024.

6.2. Para las transferencias internacionales de datos entre Brasil y la Unión Europea, será aplicable la decisión de adecuación mutua adoptada por la Agencia Nacional de Protección de Datos (“ANPD”) y la Comisión Europea, de conformidad con la legislación aplicable, sin que sea necesario adoptar mecanismos adicionales de transferencia internacional para dichos flujos.

 

7. Auditoría


7.1. RD declara tener conocimiento y autoriza, mediante previa notificación por escrito, la realización de una due diligence relativa al programa interno de privacidad y gobernanza de Datos Personales, limitada a los datos relacionados con este Acuerdo. El procedimiento se llevará a cabo exclusivamente mediante revisión documental, a través de la solicitud de evidencias e información específica, respetando los secretos comerciales y la confidencialidad, sin acceso físico a las instalaciones de RD.

 

8. Eliminación y Devolución de Datos

8.1. Mediante solicitud expresa del Cliente, en cualquier momento o tras la terminación del Contrato, RD eliminará los Datos Personales del Cliente de la Plataforma RD, salvo en los casos de conservación previstos por la ley.

8.2. La devolución de los Datos Personales del Cliente se realizará mediante su exportación directamente desde la Plataforma RD, siendo el Cliente el único responsable de realizar dicha exportación durante la vigencia del Contrato o dentro de los 60 (sesenta) días posteriores a su terminación, teniendo en cuenta que, para determinados productos, la eliminación automática se producirá al final de dicho plazo.

8.3. El Cliente declara ser consciente de que la eliminación de los Datos Personales del Cliente antes de la terminación del Contrato o de la finalización de los servicios podrá afectar negativamente el funcionamiento de la Plataforma RD, incluyendo la pérdida de funcionalidades y la eliminación definitiva del historial de datos asociado a la cuenta.

 

9. Inteligencia Artificial

9.1. RD podrá poner a disposición funcionalidades y soluciones que utilicen Inteligencia Artificial (“IA”) en la Plataforma RD, con el fin de mejorar los servicios ofrecidos y brindar un mejor apoyo a las estrategias del Cliente. El Cliente reconoce que los resultados generados por las funcionalidades de IA son de naturaleza probabilística y pueden contener imprecisiones, inconsistencias, alucinaciones o información incompleta o falsa, y que le corresponde evaluar su idoneidad antes de utilizarlos en procesos decisorios, operativos o comerciales.

9.2. RD se compromete a adoptar un enfoque ético y responsable, con medidas técnicas destinadas a la implementación de las funcionalidades de IA, de conformidad con las normas aplicables de seguridad de la información y protección de datos y demás legislación vigente. El Cliente reconoce que dichas funcionalidades pueden implicar procesos de aprendizaje para generar resultados y que su uso se realizará de conformidad con las disposiciones legales y regulatorias aplicables.

9.3. El Cliente reconoce que el uso de las funcionalidades de IA puede implicar el Tratamiento de Datos Personales de su base de datos, y será responsable de: (a) evaluar la idoneidad del uso de dichas funcionalidades para su operación y para el perfil de los Titulares de Datos involucrados; (b) informar a los Titulares sobre el uso de estas herramientas en el Tratamiento de sus datos, cuando así lo exija la legislación aplicable; y (c) garantizar que el Tratamiento de Datos Personales realizado mediante las funcionalidades de IA esté amparado por una base jurídica adecuada y válida, según lo exija la legislación aplicable.

9.4. El Cliente podrá optar por no utilizar las funcionalidades de IA disponibles en la Plataforma RD, sin perjuicio de la continuidad de los demás servicios contratados.

 

10. Confidencialidad

10.1. Las Partes se comprometen a mantener el secreto y la confidencialidad de toda la información, documentos, datos y secretos comerciales que puedan compartirse en el ámbito de este Acuerdo, incluyendo, entre otros, información sobre infraestructura tecnológica, procesos internos, estrategias comerciales, suboperadores y medidas de seguridad adoptadas. Las Partes deberán: (a) utilizar dicha información exclusivamente para los fines previstos en este Acuerdo; (b) restringir el acceso a la información confidencial a los empleados y prestadores de servicios que necesiten conocerla para cumplir las obligaciones aquí establecidas; y (c) adoptar las mismas medidas de protección que adoptan para su propia información confidencial, y nunca medidas inferiores a un estándar razonable de diligencia.

 

11. Responsabilidad

11.1. RD responderá únicamente por los casos de violación de Datos Personales y/o incumplimiento de la Ley de Protección de Datos que se demuestre que resulten de su acción u omisión dolosa o culposa durante la ejecución de este Acuerdo y, en dichos casos, deberá indemnizar al Cliente dentro de los límites establecidos en los Términos de Uso de RD, siempre que se demuestren el nexo causal y el daño sufrido.

11.2. En caso de que se reconozca la responsabilidad solidaria entre las Partes, cada una responderá exclusivamente en la medida de su participación efectiva y debidamente demostrada en el hecho.

 

12. Disposiciones Generales

12.1. Sin perjuicio de cualquier disposición en contrario contenida en los Términos de Uso, RD se reserva el derecho de realizar las modificaciones de este Acuerdo que sean necesarias para cumplir las Leyes de Protección de Datos.

12.2. La invalidez o ineficacia de cualquier disposición de este Acuerdo, ya sea como consecuencia de una modificación legislativa, una resolución judicial o administrativa o cualquier otro motivo, no afectará la validez y eficacia de las demás cláusulas, que permanecerán en pleno vigor.

12.3. Las comunicaciones, notificaciones y solicitudes relacionadas con la protección de datos y la privacidad en el ámbito de este Acuerdo deberán enviarse a RD exclusivamente a las siguientes direcciones de correo electrónico: privacidade@rdstation.com y dpo@rdstation.com.

12.4. Cualquier reclamación presentada con base en este Acuerdo estará sujeta a los términos y condiciones establecidos en los Términos de Uso, incluyendo, entre otras, las exclusiones y limitaciones de responsabilidad allí previstas.

12.5. Este Acuerdo permanecerá vigente mientras estén vigentes los Términos o mientras RD trate Datos Personales sujetos a este Acuerdo, lo que dure más.