Acordo de processamento de dados

Botpress Acordo de Processamento de Dados (DPA)

O presente APD é complementar e faz parte integrante do acordo entre a entidade do grupo Botpress identificada nos Termos de Serviço e o Cliente. O presente APD entra em vigor após a sua incorporação no referido acordo por referência.

1) Definições

1.a Os termos em maiúsculas não definidos no presente documento têm o significado que lhes é atribuído no Acordo.

1.b Na presente DPA :

(a) "Acordo" tem o significado atribuído a esse termo nas Condições de Serviço.

(b)"GrupoBotpress " significa Botpress e quaisquer afiliadas do mesmo.

(c) "Informações Pessoais da Califórnia" significa Dados Pessoais que estão sujeitos à proteção da CCPA.

(d) "Leis canadianas de proteção de dados" significa a Lei de Proteção de Informações Pessoais e Documentos Electrónicos, SC 2000, c 5 e a Lei relativa à proteção de informações pessoais no sector privado, CQLR c P-39.1, tal como pode ser alterada, substituída ou revogada.

(e) "CCPA" significa California Civil Code Sec. 1798.100 et seq. (também conhecido como California Consumer Privacy Act of 2018).

(f) "Consumidor", "Empresa", "Venda" e "Prestador de Serviços" terão os significados que lhes são atribuídos na CCPA.

(g) "Responsável pelo tratamento", qualquer pessoa que, individualmente ou em conjunto com outras, determine as finalidades e os meios de tratamento dos dados pessoais.

(h) "Leis de Proteção de Dados" significa toda a legislação mundial aplicável relativa à proteção de dados e à privacidade que se aplica a uma parte do presente APD, incluindo, sem limitação, as Leis Europeias de Proteção de Dados, as Leis Canadianas de Proteção de Dados e a CCPA, em cada caso com as alterações, revogações, consolidações ou substituições periódicas.

(i) "Titular dos dados" significa a pessoa a quem os dados pessoais dizem respeito.

(j) "Europa" significa a União Europeia, o Espaço Económico Europeu e/ou os seus Estados membros, a Suíça e o Reino Unido.

(k) "Legislação europeia em matéria de proteçãode dados", a legislação em matéria de proteção de dados aplicável na Europa, que pode ser alterada, substituída ou revogada.

(l) "Dados Europeus" significa Dados Pessoais que estão sujeitos à proteção das Leis Europeias de Proteção de Dados.

(m) "Afiliados Autorizados" significa quaisquer Afiliados do Cliente que (i) estão autorizados a utilizar os Serviços de Software de acordo com o Acordo, (ii) se qualificam como um Controlador de Dados Pessoais Processados por Botpress, e (iii) estão sujeitos às Leis Europeias de Proteção de Dados.

(n) "Pessoa" deve ser interpretado de forma ampla e inclui qualquer indivíduo, corporação, sociedade de responsabilidade limitada, sociedade em comandita, empresa, associação, parceria, trust ou património, joint venture, entidade governamental ou subdivisão política da mesma, ou qualquer outra entidade.

(o) "Dados pessoais", qualquer informação relativa a uma pessoa singular identificada ou identificável.

(p) "Tratamento" ou "Processo" significa qualquer operação ou conjunto de operações efectuadas por um Subcontratante sobre dados pessoais, com ou sem meios automáticos;

(q) "Subcontratante" significa uma pessoa que processa dados pessoais em nome de um responsável pelo tratamento.

(r) "Regulador" significa, conforme aplicável, qualquer Pessoa ou agência de aplicação da lei ou outra agência que tenha autoridade reguladora, supervisora ou governamental (quer ao abrigo de um regime estatutário ou de outra forma) sobre a totalidade ou qualquer parte do Processamento de Dados Pessoais em relação à prestação ou receção dos Serviços, incluindo, sem limitação, as autoridades europeias de supervisão da proteção de dados;

(s) "Violação de Segurança" significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada de, ou acesso a, Dados Pessoais transmitidos, armazenados ou de outra forma processados por Botpress e/ou Subcontratantes no âmbito da prestação dos Serviços, não incluindo eventos que não comprometam a segurança dos Dados Pessoais, incluindo tentativas de início de sessão mal sucedidas, pings, análises de portas, ataques de negação de serviço e outros ataques de rede a firewalls ou sistemas em rede.

(t) "Serviços" significa os Serviços de Software ou Serviços Profissionais fornecidos por qualquer entidade do Grupo Botpress ao Cliente ou às suas Afiliadas.

(u) "Cláusulas contratuais-tipo": as cláusulas contratuais-tipo anexadas à Decisão (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, que podem ser alteradas, substituídas ou anuladas.

(v) "Subcontratante" significa qualquer Processador contratado por Botpress ou Botpress Afiliadas para ajudar a cumprir as obrigações de Botpress relativamente à prestação dos Serviços ao abrigo do Acordo. Os Subprocessadores podem incluir terceiros ou Afiliadas de Botpress mas não incluirão indivíduos empregados ou contratados por Botpress.

(w) "País terceiro" significa uma jurisdição ou destinatário: (i) não reconhecido pela Comissão Europeia como assegurando um nível adequado de proteção dos dados pessoais; e (ii) não abrangido por um quadro adequado reconhecido pelas autoridades ou tribunais competentes como assegurando um nível adequado de proteção dos dados pessoais;

(x) "Dados de Utilização" significa dados relativos à Utilização do Software por parte dos Utilizadores Autorizados, que podem conter Dados Pessoais quando for necessário identificar utilizadores individuais, mas excluindo quaisquer Dados de Conversação. Os Dados de Utilização podem incluir Dados Pessoais sobre os funcionários e contratantes do Cliente, mas não sobre os utilizadores finais que interagem com os Bots do Cliente.

2) Papel das partes

2.a Ao processar Dados de Conversação através dos Serviços, as partes reconhecem e concordam que o Cliente actua como Controlador e que Botpress actua como Processador.

2.b Se o Cliente atuar como Processador em nome de um Controlador, Botpress será considerado um subprocessador do Cliente.

2.c Botpress será um Controlador no que diz respeito aos Dados de Utilização.

3) Conformidade com as leis de proteção de dados

3.a Cada uma das partes efectuará qualquer tratamento de dados pessoais em conformidade com todas as leis de proteção de dados aplicáveis.

3.b Botpress não é responsável pelo cumprimento de quaisquer Leis de Proteção de Dados aplicáveis ao Cliente ou à indústria do Cliente que não sejam geralmente aplicáveis a Botpress.

3.c Se Botpress tomar conhecimento de que não pode Processar Dados Pessoais de acordo com as instruções do Cliente devido a um requisito legal ao abrigo de qualquer lei aplicável, Botpress irá (i) notificar prontamente o Cliente desse requisito legal na medida permitida pela lei aplicável; e (ii) quando necessário, interromper todo o Processamento (para além do mero armazenamento e manutenção da segurança dos Dados Pessoais afectados) até que o Cliente emita novas instruções em conformidade com a lei aplicável. Se esta disposição for invocada, Botpress não será responsável perante o Cliente ao abrigo do Acordo por qualquer falha na execução dos Serviços de Software ou Serviços Profissionais aplicáveis até que Botpress determine, de forma razoável, que as instruções do Cliente são legais.

4.Botpress Obrigações

4.a Botpress só processará os Dados Pessoais para as finalidades descritas neste APD ou conforme acordado de outra forma no âmbito das instruções legais recebidas do Cliente, exceto quando e na medida em que seja exigido pela lei aplicável.

4.b Botpress implementará e manterá medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais de Incidentes de Segurança, incluindo as descritas no Anexo 2 da presente APD ("Medidas de Segurança"). Botpress pode modificar ou atualizar as Medidas de Segurança à sua discrição, desde que tal modificação ou atualização não resulte numa degradação material da proteção oferecida pelas Medidas de Segurança.

4.c Botpress tratará os Dados Pessoais como informações confidenciais do Cliente e assegurará que qualquer um dos seus funcionários ou contactores autorizados a aceder ou Processar Dados Pessoais está sujeito a obrigações de confidencialidade adequadas (contratuais ou estatutárias) relativamente a esses Dados Pessoais.

4.d Botpress eliminará ou devolverá todos os Dados Pessoais Processados de acordo com este APD, após a rescisão ou expiração do Acordo. Botpress pode reter cópias de Dados Pessoais quando exigido pela lei aplicável, ou quando os Dados Pessoais tiverem sido arquivados em sistemas de back-up, cujos dados serão isolados e protegidos de forma segura de qualquer Processamento adicional e eliminados de acordo com as práticas de eliminação aplicáveis.

5) Obrigações do cliente

5.a O Cliente é responsável por garantir que a sua utilização dos Serviços de Software ou do Software está em conformidade com todas as Leis de Proteção de Dados aplicáveis, incluindo a garantia de que (i) está autorizado a nomear Botpress para Processar Dados Pessoais em seu nome, em conformidade com este DPA, (ii) tem o direito de transferir ou fornecer acesso aos Dados Pessoais para Botpress para Processamento de acordo com os termos do Acordo (incluindo este DPA), (iii) garantindo que as instruções do Cliente relativamente ao Processamento de Dados Pessoais cumprem as leis aplicáveis, incluindo as Leis de Proteção de Dados;

5.b O Cliente deve notificar imediatamente Botpress por escrito se tiver motivos para acreditar ou se tiver sido notificado de que o Processamento de Dados Pessoais efectuado pelo Cliente através dos Serviços está ou pode estar em violação da lei aplicável, incluindo as Leis de Proteção de Dados.

5.c O Cliente é responsável por determinar se as medidas de segurança implementadas por Botpress cumprem adequadamente as obrigações do Cliente ao abrigo das Leis de Proteção de Dados aplicáveis. O Cliente também é responsável por garantir que o seu acesso aos Serviços de Software é seguro e reservado ao pessoal autorizado.

6) Violação da segurança

6.a Botpress notificará prontamente o Cliente se tiver conhecimento de qualquer Violação de Segurança e fornecerá informações atempadas relacionadas com essa Violação de Segurança, à medida que forem conhecidas ou razoavelmente solicitadas pelo Cliente.

6.b Mediante pedido, Botpress fornecerá prontamente assistência razoável ao Cliente, conforme necessário, para permitir que o Cliente notifique uma Violação de Segurança aos Reguladores e/ou aos Titulares de Dados afectados, se tal notificação for exigida ao abrigo das Leis de Proteção de Dados.

7. subprocessadores

7.a Botpress pode contratar Subcontratantes para processar os Dados Pessoais. Os actuais Subcontratantes estão listados no Anexo 3, qualquer alteração aos Subcontratantes será notificada ao Cliente.

7.b Botpress seleciona Subcontratantes que oferecem compromissos de proteção de dados que fornecem, pelo menos, o mesmo nível de proteção para os Dados Pessoais que os deste DPA (incluindo, quando apropriado, as Cláusulas Contratuais Padrão), na medida aplicável à natureza dos serviços prestados por tais Subcontratantes. Botpress permanece responsável pela conformidade de cada Subcontratante com as obrigações deste DPA e por quaisquer actos ou omissões de tal Subcontratante que causem uma violação de qualquer uma das obrigações de Botpressao abrigo deste DPA.

7.c Se o Botpress processar dados europeus em nome do cliente, o cliente pode opor-se a um novo subcontratante, por razões razoáveis baseadas na proteção de dados. Se for notificado de tal objeção, Botpress concorda em discutir o assunto de boa fé para alcançar uma resolução comercialmente razoável. Se tal resolução não puder ser alcançada, Botpress pode optar por renunciar à nomeação do novo Subcontratante ou permitir que o Cliente termine a sua subscrição da parte dos Serviços de Software que dependem desse novo Subcontratante sem responsabilidade para qualquer das partes (mas sem prejuízo de quaisquer taxas incorridas antes da rescisão).

7.d Se exigido por lei ou ao abrigo das Cláusulas Contratuais Padrão, Botpress envidará esforços razoáveis para disponibilizar ao Cliente as informações necessárias sobre os acordos de Botpresscom os Subcontratantes. O Cliente concorda que algumas informações podem ser redigidas a partir de tais acordos ou fornecidas numa base confidencial.

8. transferência de dados pessoais

8.a O processamento de Dados Pessoais que não sejam Dados Europeus pelas entidades do Grupo Botpress terá lugar em qualquer jurisdição onde tal processamento seja permitido pelas leis aplicáveis da Jurisdição de Privacidade.

8.b O tratamento dos dados europeus é efectuado exclusivamente :

a) Na Europa;

b) numa jurisdição que proporcione um nível de proteção adequado ao abrigo de uma decisão da Comissão Europeia baseada na legislação aplicável em matéria de proteção de dados;

c) em qualquer jurisdição, por uma organização ou entidade que ofereça garantias adequadas, nomeadamente através das cláusulas contratuais-tipo;

d) em qualquer jurisdição, com o consentimento escrito do Cliente ou da pessoa em causa.

8.c Quando o tratamento de dados europeus tiver lugar num país terceiro, considera-se que as partes celebraram as cláusulas contratuais-tipo apenas no que diz respeito aos dados pessoais relevantes e ao tratamento relevante. As partes acordam que, para efeitos das Cláusulas Contratuais-tipo :

a) Se o Cliente for um Responsável pelo Tratamento e o Botpress for um Subcontratante, aplicar-se-á o Módulo 2 (Responsável pelo Tratamento para Subcontratante).

b) Se o Cliente for um Subcontratante e Botpress for um subcontratante, aplicar-se-á o Módulo 3 (Subcontratante a Subcontratante).

c) No que respeita aos dados de utilização, aplica-se o Módulo 1 (Controlador a Controlador).

d) Na cláusula 7 das cláusulas contratuais-tipo, não se aplica a cláusula facultativa de atracagem;

e) Na cláusula 9 das cláusulas contratuais-tipo, aplica-se a opção 2 e o prazo para a notificação prévia por escrito das alterações do subcontratante ulterior é de 10 dias;

f) Na cláusula 11 das cláusulas contratuais-tipo, a linguagem facultativa não se aplica;

g) Na cláusula 17 (opção 1), as cláusulas contratuais-tipo serão regidas pelo direito irlandês;

h) Na cláusula 18(b) das cláusulas contratuais-tipo, os litígios serão resolvidos pelos tribunais da Irlanda;

i)Botpress será o "importador de dados" e o Cliente será o "exportador de dados" (em seu nome e em nome de Afiliados Autorizados);

j) as informações relevantes constantes do Anexo 1 e do Anexo 2 do presente DPA devem ser consideradas incluídas nos anexos das cláusulas contratuais-tipo;

k) se e na medida em que as cláusulas contratuais-tipo entrarem em conflito com qualquer disposição do presente APD, as cláusulas contratuais-tipo prevalecerão na medida desse conflito.

8.d Transferências da Suíça e do Reino Unido. Na medida em que uma transferência de Dados Pessoais entre o Cliente e Botpress e/ou um Subcontratante esteja sujeita às Leis de Proteção de Dados da Suíça ou do Reino Unido, as Cláusulas Contratuais Padrão devem ser consideradas alteradas para refletir os requisitos das Leis de Proteção de Dados aplicáveis da Suíça e do Reino Unido, incluindo referências à legislação, lei aplicável e autoridades e tribunais competentes.

9. processamento da CCPA

9.a Ao processar as Informações Pessoais da Califórnia de acordo com as instruções do Cliente, as partes reconhecem e concordam que o Cliente é uma Empresa e Botpress é um Provedor de Serviços para os fins da CCPA. As partes concordam que o Botpress processará as Informações Pessoais da Califórnia como um Prestador de Serviços estritamente com o objetivo de executar os Serviços de Software e os Serviços Profissionais ao abrigo do Contrato (a "Finalidade Comercial") ou conforme permitido pela CCPA.

10) Pedidos de terceiros

10.a O Cliente será responsável por responder a qualquer pedido de um Titular de Dados ou de um Regulador relativamente aos seus Dados Pessoais e o Cliente utilizará as funcionalidades dos Serviços de Software disponíveis para obter informações relevantes sobre o processamento de Dados Pessoais.

10.b Se o Cliente não for capaz de abordar de forma independente um pedido de um Titular de Dados ou Regulador ("Pedido"), Botpress fornecerá assistência razoável ao Cliente, a fim de responder a quaisquer pedidos relacionados com o Processamento de Dados Pessoais ao abrigo do Acordo. Exceto quando e na medida em que um pedido se baseia na falha de Botpress em respeitar as suas obrigações ao abrigo deste DPA, o Cliente deverá reembolsar Botpress pelas suas despesas razoáveis na prestação de qualquer assistência ao Cliente.

10.c Se um Pedido ou outra comunicação relativa ao Processamento de Dados Pessoais ao abrigo do Acordo for feita diretamente para Botpress, Botpress informará imediatamente o Cliente e aconselhará o Titular dos Dados ou o Regulador a submeter o seu Pedido diretamente ao Cliente. O Cliente será o único responsável por responder substancialmente a tais Pedidos ou comunicações que envolvam Dados Pessoais.

11. auditoria relativa a dados pessoais

11.a Mediante solicitação e aviso prévio razoável para Botpress, o Cliente está autorizado, às suas próprias custas, a realizar as verificações necessárias para garantir que os Dados Pessoais processados por Botpress em nome do Cliente sejam processados de acordo com as instruções do Cliente. A pedido do Cliente, Botpress deve permitir a auditoria e inspeção do processamento realizado por Botpress. Tal auditoria pode ser conduzida pelo Cliente e/ou por um terceiro (selecionado pelo Cliente e razoavelmente aceite por Botpress) agindo em nome do Cliente. O Cliente tomará todas as medidas necessárias para evitar causar quaisquer danos ou perturbações nas instalações, equipamentos, pessoal e actividades das entidades do Grupo Botpress .

11.b. O Cliente e o Botpress acordarão antecipadamente a natureza, o âmbito e a duração de qualquer auditoria efectuada pelo Cliente e o Cliente reembolsará o Botpress por todos os custos razoáveis associados a tal auditoria, que podem ser estimados a pedido do Cliente antes do início da auditoria. Na medida do possível, quaisquer requisitos de auditoria do Cliente devem ser cumpridos através de relatórios de auditoria de terceiros fornecidos por Botpress, se o mesmo estiver disponível.

11.c Se Botpress processar dados europeus em nome do cliente, Botpress fornecerá ao cliente, mediante pedido razoável, (numa base confidencial) (i) uma cópia resumida do(s) seu(s) relatório(s) de teste de segurança e (ii) respostas por escrito a todos os pedidos razoáveis de informação feitos pelo cliente necessários para confirmar a conformidade de Botpress com esta DPA, desde que o cliente não exerça esse direito mais do que uma vez por ano civil, a menos que o cliente possa mostrar motivos razoáveis para suspeitar da não conformidade de Botpresscom a DPA.

12) Limitação da responsabilidade

12.a A responsabilidade de Botpresse das suas Afiliadas, considerada em conjunto, decorrente ou relacionada com este APD (e quaisquer outros APDs entre as partes) e as Cláusulas Contratuais Padrão (quando aplicável), seja em contrato, ato ilícito ou ao abrigo de qualquer outra teoria de responsabilidade, será limitada ao montante agregado das Taxas pagas pelo Cliente a Botpress em consideração aos Serviços durante o período de 12 meses anterior à ocorrência que dá origem à responsabilidade.

13. jurisdição

Salvo disposição em contrário da legislação aplicável em matéria de proteção de dados, o presente APD será regido e interpretado de acordo com a legislação aplicável ao Acordo e qualquer litígio relativo ao presente Acordo será resolvido pelos tribunais competentes da jurisdição indicada na Proposta.

Na medida em que as Leis de Proteção de Dados exijam que este DPA seja regido pelas leis de um estado membro da União Europeia, este DPA será regido pelas leis da Irlanda e os litígios relativos a este Acordo serão resolvidos pelos tribunais irlandeses.

14. geral

14.a Precedência. Em caso de incoerência entre qualquer disposição do presente APD e qualquer outra disposição do Acordo, as disposições do APD prevalecerão sempre, exceto se e na medida em que for expressamente estipulado que outra disposição do Acordo prevalecerá ou que uma disposição do presente APD será posta de lado ou modificada.

14.b Alterações. Botpress pode alterar este APD para refletir alterações nas suas práticas de processamento de dados. Qualquer alteração que não seja para clarificar a linguagem (que será regularmente comunicada ao Cliente) será submetida ao Cliente e não será aplicável a menos que seja aceite pelo Cliente. Se uma modificação do presente ATD for exigida pela legislação aplicável, o Cliente

tem a opção de aceitar essa modificação ou terminar a sua subscrição dos Serviços de Software.

14.c Divisibilidade. Se alguma das disposições individuais do presente APD for considerada inválida ou inaplicável, a validade e a aplicabilidade das outras disposições do presente APD não serão afectadas.

Anexo 1 - Detalhes do processamento

Identificação do responsável pelo controlo

O cliente

Pessoa de contacto : a pessoa identificada na proposta aceite pelo Cliente. Identificação do Subcontratante

Se o cliente estiver localizado no Canadá: Technologies Botpress Inc.

Se o cliente estiver localizado noutro local: Botpress, Inc.

Pessoa de contacto:

Jean-Bernard Perrron

[email protected]

Categorias de titulares de dados

O Cliente pode submeter Dados Pessoais no decurso da utilização do Serviço de Software, cuja extensão é determinada e controlada pelo Cliente a seu exclusivo critério, sujeita aos termos de serviço aplicáveis, e que pode incluir, mas não se limita a Dados Pessoais relacionados com as seguintes categorias de Titulares de Dados:

• Indivíduos que utilizam o Software em nome do Cliente
• Utilizadores finais de Customer Bots

Categorias de dados pessoais

O Cliente pode submeter Dados Pessoais aos Serviços de Software e pode permitir que os Utilizadores Finais submetam Dados Pessoais aos Serviços de Software, sendo que a extensão dos mesmos é determinada e controlada pelo Cliente, a seu exclusivo critério, sujeito aos termos de serviço aplicáveis.

O Serviço de Software não foi concebido com o objetivo de processar dados sensíveis, pelo que o Cliente deve ser responsável por determinar a adequação dos Serviços de Software ao processamento de dados sensíveis.

Botpress processará informações de contacto sobre os Utilizadores autorizados (nome, e-mail, telefone) e dados de utilização e comportamentais sobre a utilização do produto para fins de apoio técnico e estatísticos.

Natureza do tratamento

• Armazenamento e outro processamento necessário para fornecer, manter e melhorar os Serviços fornecidos ao Cliente;
• Divulgação em conformidade com o Acordo (incluindo o presente APD) e/ou conforme exigido pela legislação aplicável;
• Botpress processará os Dados Pessoais na medida do necessário para prestar os Serviços nos termos do Contrato e de acordo com as instruções do Cliente na sua utilização dos Serviços.
• Botpress Processa os Dados de Utilização para fornecer apoio técnico e para fins estatísticos (para melhoria e desenvolvimento de produtos).

Período durante o qual os dados pessoais serão conservados

Sujeito à obrigação do Botpressde eliminar ou devolver os dados ao Cliente, ao abrigo do Acordo, o Botpress processará os Dados Pessoais durante a vigência do Acordo, salvo acordo em contrário por escrito.

Anexo 2 - Medidas de segurança

1. governação

Botpress implementa políticas e procedimentos adequados relativamente aos dados pessoais, incluindo

• Procedimentos de segurança da informação;
• Políticas sobre a utilização de dados pessoais ;
• Procedimento de comunicação de incidentes de segurança e privacidade ;
• Mecanismos de avaliação dos riscos;
• Procedimentos de auditoria interna ;
• Medidas contratuais;

2) Acesso dos utilizadores

• As funções e responsabilidades dos utilizadores do Botpress e dos perfis de utilizadores com acesso aos dados pessoais e aos sistemas de informação estão claramente definidas.
• Botpress adopta medidas para informar os seus utilizadores sobre as regras de segurança que afectam o desempenho das suas funções e as consequências da sua violação.
• Os protocolos de texto claro não são utilizados para aceder ou transferir dados pessoais. Apenas o protocolo SSL é aceite para estas operações.
• Botpress garante a segurança dos processos e procedimentos para o manuseamento ou eliminação de suportes físicos ou equipamentos que possam conter dados pessoais.
• Os Dados Pessoais são fisicamente separados, ou logicamente separados se estiverem numa base de dados ou ambiente virtual, de outros dados de Botpress . Se os Dados Pessoais não estiverem fisicamente separados de outros dados, sistemas ou aplicações não relacionados com o Cliente, o Botpress utiliza controlos de segurança adequados, incluindo controlos de acesso.

3) Controlo de acesso

Botpress mantém os servidores, bases de dados relevantes e outros componentes de hardware e/ou software que armazenam Dados Pessoais num centro de dados seguro com acesso controlado e monitorizado para admitir apenas pessoal autorizado.

Botpress emprega medidas eficazes de controlo de acesso lógico em todos os sistemas utilizados para criar, transmitir ou processar Dados Pessoais, medidas essas que incluem, mas não se limitam a:

• Autenticação do utilizador, que deve utilizar identificadores únicos ("user IDs") e nomes.
• Uma estratégia de palavra-passe suficientemente complexa e sólida.

• Os direitos/privilégios de acesso dos utilizadores a recursos de informação que contenham dados pessoais devem ser concedidos com base na necessidade de conhecimento relacionada com os deveres e responsabilidades do utilizador.
• O acesso dos utilizadores aos sistemas informáticos que permitem o acesso aos dados pessoais deve ser apagado imediatamente após a saída do utilizador ou se o utilizador mudar de emprego e o novo emprego não exigir o acesso.
• As palavras-passe e as definições de segurança predefinidas devem ser alteradas nos produtos/aplicações de terceiros utilizados para suportar os dados pessoais.
• Os prestadores de serviços terceiros devem estar sujeitos a requisitos e obrigações de segurança equivalentes aos dos utilizadores autorizados do Botpress quando processam Dados Pessoais.
• Revalidação anual da justificação das contas de utilizador e das autorizações associadas com acesso a informações pessoais.

4) Arquitetura de segurança da rede

Botpress emprega medidas eficazes de controlo do acesso à rede em todos os sistemas utilizados para criar, transmitir ou processar Dados Pessoais, medidas essas que incluem, mas não se limitam a:

• As firewalls estão sempre operacionais e estão instaladas no perímetro da rede entre a rede interna (privada) de Botpress e a rede pública (Internet).
• São utilizados sistemas de deteção e prevenção de intrusões corretamente configurados e monitorizados na rede Botpress .
• Apenas os serviços/processos e portas necessários para executar programas de rotina são activados na base de dados e noutros sistemas de informação utilizados para o tratamento de Dados Pessoais. Todos os outros serviços/processos no anfitrião estão desactivados.
• Todos os sistemas de informação, repositórios e outros sistemas utilizados para processar Dados Pessoais devem estar fisicamente localizados num ambiente de centro de dados controlado e utilizados com o objetivo de proteger os sistemas de informação.
• Os canais seguros (por exemplo, TLS, SFTP, SSH, IPSEC, etc.) devem ser utilizados de forma consistente para comunicações com o centro de dados Botpress .

5. controlos de gestão de vulnerabilidades

Botpress emprega controlos eficazes de gestão de vulnerabilidades em todos os sistemas utilizados para criar, transmitir ou processar Dados Pessoais, medidas essas que incluem, mas não se limitam a:

• Implementação de dispositivos de prevenção e deteção de redes para ajudar a filtrar e-mails de phishing e malware antes de chegarem às estações de trabalho geridas por Botpress e que tenham acesso direto ou indireto a dados pessoais.
• Implementação de software de prevenção e deteção de antivírus e anti-malware em todas as estações de trabalho geridas por Botpress e que processam Dados Pessoais.
• Manter um processo e uma prática normalizados de gestão de patches para garantir a proteção de todos os dispositivos utilizados para aceder, processar ou armazenar dados pessoais.

• Os dispositivos e documentos que contêm Dados Pessoais devem permitir a identificação da informação acedida, ser inventariados e acessíveis apenas aos utilizadores autorizados a aceder aos dados, de acordo com o documento de segurança.
• Medidas para evitar roubo, perda ou acesso não autorizado aos Dados Pessoais durante as operações de transmissão e transferência.

6. cópia de segurança, recuperação e disponibilidade de dados

Botpress implementa os seguintes planos de recuperação de desastres e de continuidade das actividades para minimizar ao máximo o tempo de inatividade e a perda de dados.

• Botpress implementa funções de recuperação de desastres concebidas para restaurar a funcionalidade do sistema que contém dados pessoais num período de tempo acordado pelas partes ou, na sua falta, num período de tempo razoável dada a natureza dos dados pessoais.
• Botpress deve garantir sistematicamente que os Dados Pessoais são inacessíveis a outros que não o pessoal autorizado do Botpress (por exemplo, as cópias de segurança externas devem ser sistematicamente encriptadas).
• Para reduzir os riscos decorrentes de ameaças ambientais, perigos e oportunidades de acesso não autorizado, o equipamento deve estar localizado longe de locais sujeitos a riscos ambientais de alta probabilidade e complementado por equipamento redundante localizado a uma distância razoável.
• Devem ser implementados mecanismos de segurança e redundâncias para proteger o equipamento contra interrupções do serviço público (por exemplo, falhas de energia, interrupções da rede, etc.).
• Devem ser estabelecidas políticas e procedimentos para a retenção e armazenamento de dados e implementados mecanismos de backup ou redundância para garantir a conformidade com requisitos regulamentares, estatutários, contratuais ou comerciais. O teste da recuperação de cópias de segurança em disco ou em fita deve ser efectuado a intervalos planeados.

7) Auditoria de segurança

Botpress emprega controlos em todos os sistemas utilizados para criar, transmitir ou processar dados pessoais, controlos esses que incluem, mas não se limitam a:

• Análises ou auditorias de vulnerabilidades efectuadas por terceiros a dispositivos de infra-estruturas exteriores (públicas) que contenham dados pessoais.
• Testes de penetração por terceiros dos sistemas Botpress que armazenam e processam dados pessoais.
• Avaliação periódica por terceiros quando as aplicações ou os processos suportam informações financeiras.
• Botpress compromete-se a tratar todas as vulnerabilidades identificadas na sequência de testes de penetração e a notificar o Cliente das acções de correção.

8. formação e sensibilização

Botpress implementa um programa de sensibilização para a segurança destinado aos seus funcionários e prestadores de serviços que interagem com os sistemas que tratam os dados pessoais, incluindo

• Botpress assegurará que o seu pessoal tenha conhecimento das ameaças e preocupações em matéria de gestão do risco de informação relacionadas com os serviços do sítio Botpress e das políticas pertinentes em matéria de gestão do risco de informação.
• Botpress o pessoal deve receber formação e actualizações regulares sobre as políticas e procedimentos pertinentes de gestão dos riscos de informação do sistema normalizado de classificação da gestão dos riscos e dos procedimentos adequados.
• O pessoal dos subcontratantes deve ter conhecimento do sistema de classificação da gestão dos riscos de informação do sítio Botpress e dos procedimentos adequados.
• Devem ser estabelecidas políticas e procedimentos para limpar os documentos visíveis que contenham dados sensíveis quando um espaço de trabalho não é vigiado e para impor o encerramento da sessão da estação de trabalho por um período de inatividade.

Anexo 3 - Subprocessadores Salvo indicação em contrário, o local de processamento é : EUA.

Serviços Web da Amazon

• A AWS aloja os nossos serviços de nuvem e todos os Dados do Cliente.
• A AWS processa informações analíticas sobre a utilização dos serviços de nuvem Botpress .

Google Analytics

• O Google Analytics processa informações analíticas sobre a utilização dos serviços em nuvem do Botpress .

Freshdesk

• O Freshdesk fornece serviços de help desk.
• O Freshdesk processa todos os dados fornecidos pelos utilizadores para fins de apoio técnico.

Hotjar

• Utilizamos os serviços Hotjar no serviço.
• O Hotjar fornece informações sobre o comportamento dos visitantes do serviço.

OpenAI

• OpenAI é utilizado para processar as entradas de texto do utilizador para gerar respostas de texto.

Mixpanel

• O Mixpanel é utilizado para recolher dados analíticos sobre o produto e a utilização do sítio Web, que são utilizados para melhorar o serviço.

Intercom

• Intercom é utilizada para prestar apoio em direto aos visitantes do serviço e do sítio Web.