Acordo de Processamento de Dados
Nos termos do artigo 28 do RGPD
Última atualização: 21 de outubro de 2026
Este Acordo de Processamento de Dados ("DPA") é celebrado entre você, o cliente ("você", o controlador), e Taras Shynkarenko, operando como AdaptlyPost, NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polônia ("AdaptlyPost", o processador).
Ele se aplica quando você processa dados pessoais pelo AdaptlyPost (o "Serviço"), por exemplo dados dos seus clientes, membros da equipe ou público. Ele é incorporado por referência aos nossos Termos de Serviço, e você o aceita ao usar o Serviço. Não é necessária assinatura. Se quiser uma cópia contra-assinada, envie um email para contact@adaptlypost.com.
1. Definições
Termos como "dados pessoais", "processamento", "controlador", "processador", "titular dos dados", "violação de dados pessoais" e "autoridade de controle" têm o significado dado no RGPD (Regulamento (UE) 2016/679).
"Dados Pessoais do Cliente" significa os dados pessoais que o AdaptlyPost processa em seu nome ao fornecer o Serviço. "Subprocessador" significa um terceiro que o AdaptlyPost contrata para processar Dados Pessoais do Cliente.
2. Papéis
Você é o controlador dos Dados Pessoais do Cliente, e o AdaptlyPost é o seu processador. Se você atua como processador para outra pessoa, o AdaptlyPost é o seu subprocessador, e você confirma que o seu controlador autorizou isso.
O AdaptlyPost é um controlador independente para os dados que processa para fins próprios, como sua conta, a cobrança, a segurança e o próprio site. Nossa Política de Privacidade cobre esse processamento, não este DPA.
3. Objeto, duração, natureza e finalidade
- •
Objeto: a prestação do Serviço conforme os Termos.
- •
Duração: enquanto você usar o Serviço e até os dados serem excluídos ou devolvidos conforme a seção 13.
- •
Natureza: armazenar, organizar, transformar, transmitir e excluir dados. Isso inclui publicar conteúdo nas redes sociais que você conecta, gerar o conteúdo de IA que você pede, coletar analytics e enviar notificações.
- •
Finalidade: fornecer, operar e dar suporte ao Serviço conforme descrito nos Termos e nas suas instruções. O AdaptlyPost não usa Dados Pessoais do Cliente para treinar nem fazer fine-tuning de modelos de IA.
4. Tipos de dados pessoais e titulares dos dados
Dependendo de como você usa o Serviço, os Dados Pessoais do Cliente podem incluir:
- •
Membros da sua equipe e usuários convidados: nomes, endereços de email e funções
- •
Contas sociais conectadas: IDs de conta, nomes, nomes de usuário, fotos de perfil e tokens de acesso
- •
Conteúdo: posts, legendas, comentários, imagens, vídeos e documentos que você cria, envia ou agenda, e quaisquer dados pessoais neles
- •
Analytics: estatísticas de engajamento e de público retornadas pelas redes sociais
- •
Entradas e saídas de IA: prompts, textos e imagens que você envia aos recursos de IA, e os resultados
- •
Dados técnicos: endereços IP, dados do dispositivo e logs
Os titulares dos dados são os membros da sua equipe e outros usuários que você convida, os donos das contas que você conecta e as pessoas que aparecem no seu conteúdo ou interagem com ele, como seus clientes, seguidores e público.
O Serviço não foi projetado para categorias especiais de dados pessoais (artigo 9 do RGPD) nem para dados sobre condenações penais. Não envie esses dados, a menos que tenha uma base legal para isso.
5. Suas instruções e responsabilidades
O AdaptlyPost processa Dados Pessoais do Cliente apenas mediante suas instruções documentadas, inclusive sobre transferências para fora do Espaço Econômico Europeu (EEE), a menos que o direito da UE ou o direito polonês exija o contrário. Nesse caso, o AdaptlyPost informa você sobre essa exigência legal antes do processamento, a menos que a lei o proíba por motivos importantes de interesse público.
Suas instruções são os Termos, este DPA e a forma como você configura e usa o Serviço. O AdaptlyPost informa você imediatamente se considerar que uma instrução viola o RGPD ou outra lei de proteção de dados da UE ou de um Estado-Membro.
Você é responsável por ter uma base legal para o processamento, pela exatidão dos dados e por dar aos titulares dos dados as informações a que eles têm direito.
6. Obrigações do AdaptlyPost
Conforme exigido pelo artigo 28(3) do RGPD, o AdaptlyPost:
- •
(a) processa Dados Pessoais do Cliente apenas mediante suas instruções documentadas, conforme descrito na seção 5;
- •
(b) garante que todas as pessoas autorizadas a processar Dados Pessoais do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a um dever legal de confidencialidade (seção 7);
- •
(c) adota as medidas de segurança exigidas pelo artigo 32 do RGPD (seção 8);
- •
(d) contrata subprocessadores apenas nas condições da seção 9;
- •
(e) ajuda você, por meio de medidas técnicas e organizacionais adequadas, a responder a pedidos de titulares dos dados que exercem seus direitos (seção 11);
- •
(f) ajuda você a cumprir suas obrigações previstas nos artigos 32 a 36 do RGPD sobre segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia, tendo em conta a natureza do processamento e as informações de que dispõe (seções 8, 11 e 12);
- •
(g) ao final do Serviço, exclui ou devolve os Dados Pessoais do Cliente, conforme sua escolha, a menos que o direito da UE ou o direito polonês exija sua conservação (seção 13);
- •
(h) disponibiliza todas as informações necessárias para demonstrar o cumprimento do artigo 28 do RGPD e permite e contribui para auditorias, incluindo inspeções (seção 14).
7. Confidencialidade
O AdaptlyPost dá acesso aos Dados Pessoais do Cliente apenas às pessoas que precisam dele para fornecer, manter ou dar suporte ao Serviço. Cada uma delas está sujeita a um dever de confidencialidade que continua após o fim do seu trabalho para o AdaptlyPost.
8. Medidas de segurança
O AdaptlyPost adota medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente, tendo em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do processamento, e os riscos para os titulares dos dados. Elas incluem:
- •
Hospedagem na UE: os servidores da aplicação e o banco de dados rodam na Hetzner em Helsinque, Finlândia. Os backups do banco de dados são armazenados na Hetzner em Falkenstein, Alemanha. Os arquivos de mídia são armazenados no Cloudflare R2, na UE.
- •
Criptografia em trânsito: todas as conexões com o Serviço usam TLS.
- •
Credenciais criptografadas: os tokens de acesso e de atualização OAuth das contas sociais conectadas são criptografados com AES-256.
- •
Controle de acesso: o acesso aos sistemas de produção é limitado às pessoas que precisam dele, e as funções e permissões dos espaços de trabalho controlam o que cada membro da sua equipe pode ver e fazer.
- •
Login em duas etapas: cada usuário pode ativar a autenticação em duas etapas com um app autenticador, códigos por SMS ou por email. Depois disso, mudar um método ou excluir a conta exige um código.
- •
Backups: backups do banco de dados a cada hora, mantidos por 3 dias, e depois um backup por dia por até 14 dias, com restauração para um ponto no tempo.
- •
Logs e monitoramento: logs e traces da aplicação para detectar erros, abusos e incidentes de segurança, mantidos por até 90 dias.
O AdaptlyPost pode atualizar essas medidas ao longo do tempo, desde que o nível geral de proteção não diminua.
9. Subprocessadores
Você dá ao AdaptlyPost autorização geral para contratar subprocessadores. A lista atual está na nossa página de subprocessadores.
O AdaptlyPost informa você sobre qualquer inclusão ou substituição prevista de um subprocessador atualizando essa página pelo menos 30 dias antes de o novo subprocessador começar a processar Dados Pessoais do Cliente. Para receber esses avisos por email, escreva para contact@adaptlypost.com.
Você pode se opor a um novo subprocessador por motivos razoáveis de proteção de dados, enviando um email para contact@adaptlypost.com dentro desse prazo de 30 dias. O AdaptlyPost vai então trabalhar com você de boa-fé para encontrar uma solução. Se nenhuma for encontrada, você pode deixar de usar o Serviço antes que o novo subprocessador comece a processar seus dados.
O AdaptlyPost impõe a cada subprocessador, por contrato, obrigações de proteção de dados que oferecem o mesmo nível de proteção deste DPA, em especial garantias suficientes de medidas técnicas e organizacionais adequadas. O AdaptlyPost continua plenamente responsável perante você pelo cumprimento das obrigações de cada subprocessador.
10. Transferências internacionais
O AdaptlyPost hospeda o Serviço na UE. Alguns subprocessadores processam dados fora do EEE, conforme mostrado na página de subprocessadores.
O AdaptlyPost só transfere Dados Pessoais do Cliente para fora do EEE com uma garantia válida nos termos do capítulo V do RGPD: uma decisão de adequação, incluindo o EU-US Data Privacy Framework quando o destinatário é certificado por ele, ou, nos demais casos, as Cláusulas Contratuais Padrão adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, usando o Módulo 2 (controlador para processador) ou o Módulo 3 (processador para processador), conforme os papéis das partes.
11. Ajuda com pedidos de titulares dos dados e avaliações
Tendo em conta a natureza do processamento, o AdaptlyPost ajuda você a responder a pedidos de titulares dos dados, como pedidos de acesso, retificação, exclusão, limitação, portabilidade ou oposição. Você mesmo pode atender a muitos pedidos no Serviço: pode editar e excluir posts, espaços de trabalho e contas conectadas, exportar analytics em CSV, XLSX ou PDF e ler posts e rascunhos pela API REST. Para todo o resto, envie um email para contact@adaptlypost.com.
Se o AdaptlyPost receber um pedido sobre Dados Pessoais do Cliente diretamente de um titular dos dados, ele encaminha o pedido a você e não responde por conta própria, a menos que você peça ou a lei exija.
O AdaptlyPost também fornece as informações de que você razoavelmente precisa para realizar uma avaliação de impacto sobre a proteção de dados, ou uma consulta prévia a uma autoridade de controle, quando a lei a exigir.
12. Violações de dados pessoais
O AdaptlyPost notifica você de uma violação de dados pessoais que afete Dados Pessoais do Cliente sem demora injustificada e, em qualquer caso, em até 48 horas depois de tomar conhecimento dela. O aviso é enviado para o endereço de email do dono da sua conta.
O aviso descreve, na medida em que as informações estiverem disponíveis: a natureza da violação, incluindo as categorias e o número aproximado de titulares dos dados e de registros afetados; as consequências prováveis; as medidas adotadas ou propostas para tratar a violação e limitar seus efeitos; e um ponto de contato para mais informações. Quando nem tudo isso for conhecido de uma vez, o AdaptlyPost fornece as informações em etapas, sem nova demora injustificada.
O AdaptlyPost ajuda você a cumprir suas próprias obrigações de notificar a autoridade de controle e os titulares dos dados. Um aviso não é uma admissão de culpa ou de responsabilidade.
13. Exclusão e devolução de dados
Ao final do Serviço, você escolhe se o AdaptlyPost exclui ou devolve os Dados Pessoais do Cliente. Você mesmo pode exportar seus dados antes (seção 11) ou pedir a devolução ou uma exportação completa por email para contact@adaptlypost.com. O AdaptlyPost responde a esses pedidos em até 30 dias.
Você pode excluir sua conta em Configurações. Se você é dono de uma organização que tem outros membros, transfira a propriedade ou remova esses membros antes. Excluir sua conta exclui todo o seu histórico de IA e as organizações em que você é o único membro, com seus espaços de trabalho, contas conectadas e posts, e cancela uma assinatura ativa. A exclusão tem efeito imediato. Você também pode nos pedir para excluir seus dados enviando um email para contact@adaptlypost.com, e nós os excluímos em até 30 dias.
Os dados excluídos saem dos nossos backups em até 21 dias. Até lá, os backups continuam protegidos por este DPA e não são usados para nenhuma outra finalidade. O AdaptlyPost só mantém Dados Pessoais do Cliente por mais tempo quando o direito da UE ou o direito polonês o exige, e apenas para essa finalidade.
14. Auditorias
O AdaptlyPost disponibiliza a você todas as informações necessárias para demonstrar o cumprimento do artigo 28 do RGPD. Mediante pedido, ele primeiro responde a perguntas por escrito e fornece documentação, como este DPA, a lista de subprocessadores e uma descrição das suas medidas de segurança.
Se essas informações não bastarem para demonstrar o cumprimento, ou se uma autoridade de controle o exigir, você pode auditar o AdaptlyPost, inclusive por meio de uma inspeção no local, diretamente ou por um auditor independente sujeito a confidencialidade. Você deve avisar por escrito com antecedência razoável, realizar a auditoria em horário comercial normal sem perturbação excessiva e arcar com os custos dela.
15. Responsabilidade
A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações e exclusões de responsabilidade dos Termos de Serviço. Isso não limita a responsabilidade de nenhuma das partes perante os titulares dos dados nos termos do artigo 82 do RGPD, nem qualquer responsabilidade que não possa ser limitada por lei.
16. Vigência, prevalência e alterações
Este DPA se aplica enquanto o AdaptlyPost processar Dados Pessoais do Cliente para você. Se este DPA estiver em conflito com os Termos, este DPA prevalece no que diz respeito ao processamento de dados pessoais.
O AdaptlyPost pode atualizar este DPA para refletir mudanças na lei ou no Serviço. Ele publica a nova versão nesta página e atualiza a data acima. Uma atualização não vai reduzir a proteção dos Dados Pessoais do Cliente.
17. Lei aplicável
Este DPA é regido pela lei polonesa. Os tribunais de Gdańsk, Polônia, têm jurisdição, conforme previsto nos Termos. Isso não afeta os direitos dos titulares dos dados nem os poderes das autoridades de controle.
18. Contato
Para qualquer assunto sobre este DPA, incluindo uma cópia contra-assinada, envie um email para contact@adaptlypost.com.
Taras Shynkarenko (operando como AdaptlyPost), NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polônia.