Esta é uma tradução para a sua comodidade. A versão em inglês é a juridicamente vinculante.
Adendo de tratamento de dados
Última atualização: 15 de outubro de 2026. Este Adendo de tratamento de dados (“DPA”) faz parte dos Termos de Serviço do IQ Deco entre você (o “Cliente”, controlador) e a MOZIX d.o.o. (“IQ Deco”, operador). Aplica-se sempre que você insere no Serviço dados pessoais de terceiros. Atende ao artigo 28 do GDPR (Regulamento Geral sobre a Proteção de Dados da UE) e do UK GDPR.
1. Objeto e duração
O IQ Deco trata os Dados de Cliente apenas para prestar o Serviço a você, enquanto existir a sua conta e até a exclusão dos dados conforme a seção 8.
| Elemento | Detalhes |
|---|---|
| Natureza e finalidade | hospedar, armazenar, exibir e transmitir dados dos seus projetos; exibir as páginas de brief e folha de pedido que você compartilha; gerar documentos; o tratamento por IA que você solicita |
| Titulares dos dados | seus clientes e os contatos deles, contatos do local, sua equipe e subcontratados |
| Dados pessoais | nomes, telefones, e-mails, endereços postais, números fiscais (opcional), detalhes do evento (data, local, convidados, orçamento, preferências), fotos e imagens, notas |
| Categorias especiais | nenhuma prevista; você não deve inseri-las a menos que seja estritamente necessário e lícito |
As informações do cliente que você digita para gerar contratos e outros documentos são usadas apenas para gerar o documento no seu navegador; o Serviço não as armazena.
2. Suas instruções
Tratamos os Dados de Cliente apenas conforme as suas instruções documentadas: estes Termos, este DPA e o seu uso das funções do Serviço. Se acreditarmos que uma instrução infringe a legislação de proteção de dados, avisaremos você. Só tratamos dados de outro modo se a legislação da UE ou de um Estado-membro o exigir, e então informamos você, a menos que a lei o proíba.
3. Confidencialidade e segurança
Nosso pessoal com acesso está sujeito a confidencialidade. Aplicamos as medidas técnicas e organizacionais do Anexo 2 e podemos atualizá-las se o nível de proteção não diminuir.
4. Suboperadores
Você autoriza de forma geral os suboperadores do Anexo 1. Avisaremos você por e-mail pelo menos 30 dias antes de adicionar ou substituir um; você pode se opor por motivos razoáveis de proteção de dados, e, se não pudermos resolver a objeção, você pode rescindir o contrato e receber um reembolso proporcional. Vinculamos cada suboperador a termos de proteção de dados não menos protetores do que este DPA e continuamos responsáveis por eles.
5. Transferências internacionais
Quando um suboperador trata os Dados de Cliente fora do EEE, da Suíça ou do Reino Unido, nos baseamos em uma decisão de adequação, no Marco de Privacidade de Dados UE–EUA, ou nas Cláusulas Contratuais Padrão (e no Adendo do Reino Unido), com medidas complementares onde for necessário.
6. Assistência ao Cliente
Levando em conta a natureza do tratamento, ajudamos você a responder as solicitações dos titulares dos dados (você mesmo pode ver, exportar, editar e excluir os Dados de Cliente no Serviço), e com a segurança, a notificação de violações, as avaliações de impacto e as consultas às autoridades. As solicitações que recebemos diretamente dos seus clientes encaminhamos a você sem demora indevida.
7. Violações de dados pessoais
Notificamos você sem demora indevida, e quando for viável dentro de 48 horas, após tomarmos conhecimento de uma violação que afete os Dados de Cliente, com as informações razoavelmente disponíveis para ajudar você a cumprir os seus deveres de notificação.
8. Exclusão e devolução
Quando você exclui um projeto ou a sua conta, ou a sua conta é excluída conforme os Termos, excluímos os Dados de Cliente que eles contêm dos sistemas ativos no prazo de 7 dias e das cópias de segurança no prazo de 30 dias, a menos que a lei nos exija mantê-los. Antes da exclusão, você pode baixar os seus documentos e imagens do Serviço.
9. Auditorias
Disponibilizamos as informações necessárias para demonstrar o cumprimento deste DPA, em primeiro lugar por meio de respostas por escrito e desta documentação. Com aviso prévio razoável e no máximo uma vez por ano, você pode nos auditar por meio de um auditor independente sujeito a confidencialidade, às suas custas.
10. Responsabilidade e ordem de prevalência
Os limites de responsabilidade dos Termos se aplicam a este DPA. Se este DPA entrar em conflito com os Termos em matéria de proteção de dados, prevalece este DPA.
Anexo 1 — Suboperadores
| Suboperador | Serviço | Local do tratamento | Garantia de transferência |
|---|---|---|---|
| Infomaniak Network SA | hospedagem, banco de dados, e-mail | Suíça | decisão de adequação |
| fal.ai (Features & Labels, Inc.) | geração de imagens por IA e remoção de fundo; provedores de modelos e moderação que utiliza | Estados Unidos | Cláusulas Contratuais Padrão |
| Infomaniak Network SA (Swiss Backup) | cópias de segurança criptografadas | Suíça | decisão de adequação |
A Stripe trata os dados de pagamento dos compradores como Merchant of Record e controlador independente, não como suboperador nosso.
Anexo 2 — Medidas de segurança
- Criptografia em trânsito (TLS) para todo o tráfego; as senhas são guardadas como hashes bcrypt.
- Acesso à produção limitado a pessoal nomeado, somente com chaves SSH, sem login com senha.
- Confirmação por código de e-mail para a exclusão de conta e as alterações de senha e de e-mail.
- Limites de frequência e monitoramento de tentativas de login contra a força bruta e o abuso.
- Os links públicos de brief e folha de pedido usam tokens aleatórios longos, são excluídos dos buscadores e nunca mostram o telefone, o orçamento nem o contato do local do cliente na folha da equipe.
- As imagens enviadas aos provedores de IA são expostas por meio de links de curta duração e são excluídas do nosso lado no prazo de 1 hora.
- Os registros do servidor são mantidos por 30 dias; as cópias de segurança, no máximo 30 dias.
- Duas instâncias de aplicativo separadas e rollback testado para a disponibilidade.