Anexo aos termos dos salões parceiros. Este acordo rege as operações feitas pela Néspoli em nome do Salão e as obrigações de cooperação. A qualificação de controlador ou operador deve corresponder às decisões efetivamente tomadas, não apenas ao nome usado neste instrumento.
1 Papéis e instruções
O Salão normalmente atua como controlador dos dados de seus clientes e profissionais ao decidir finalidades e dados necessários para seu atendimento e sua gestão. A Néspoli atua como operadora nas operações da agenda executadas por instruções lícitas do Salão. Atua como controladora nas finalidades próprias, como administrar contas de parceiros, proteger a plataforma e cumprir obrigações próprias. Nas vendas de cosméticos feitas pela própria Néspoli, ela também decide as finalidades relacionadas à venda. Havendo decisões conjuntas, as partes documentarão a responsabilidade real de cada uma.
2 Escopo do tratamento
As operações contratadas compreendem receber, organizar, armazenar, consultar, atualizar e exportar dados necessários aos recursos habilitados, bem como prestar suporte autorizado. Podem envolver nome, telefone, e-mail, aniversário opcional, identificação de acesso, horários, serviços, profissionais, comandas, valores e saldos. Dados de fornecedores e representantes também podem ser pessoais. Não se autoriza o uso indiscriminado da base para propaganda, enriquecimento de perfis ou negociação de contatos.
3 Instruções e acesso administrativo
O Salão registra instruções por uso dos recursos, solicitações autenticadas ou canal de suporte. A Néspoli informará quando considerar uma instrução ilegal e poderá recusá-la de modo fundamentado. O acesso administrativo aos registros deve ocorrer apenas quando necessário à operação, suporte, segurança ou obrigação legal, por pessoal autorizado e sujeito a confidencialidade. Este dever não presume que já exista auditoria de toda leitura; a implantação deve verificar e completar esse controle.
4 Fornecedores e subcontratação
As funções atuais utilizam serviços tecnológicos externos. Antes da vigência, as partes preencherão o cadastro de fornecedores do capítulo 7 com entidades contratadas, funções, acesso, localização e salvaguardas. A Néspoli poderá usar fornecedores ali informados para executar as operações contratadas, exigindo obrigações de proteção compatíveis e comunicando mudanças relevantes. Serviços contratados diretamente pelo Salão devem ser avaliados por ele. A autorização contratual não dispensa requisitos legais de compartilhamento ou transferência internacional.
5 Confidencialidade e proteção
As partes limitarão acesso por função, revogarão contas desnecessárias e protegerão comunicações e exportações de acordo com o risco. A Néspoli deverá manter gestão de vulnerabilidades, recuperação, registros de operação e proteção de credenciais proporcionais à plataforma; o Salão deverá assegurar treinamento e segurança de seus dispositivos. A existência de autenticação e separação de salões não é certificação de conformidade integral ou promessa de inviolabilidade.
6 Solicitações dos titulares
O Salão decide as solicitações referentes aos dados que controla e a Néspoli oferece a assistência necessária dentro de sua função. A Néspoli responde diretamente pelas finalidades próprias. Pedidos recebidos pelo destinatário incorreto serão encaminhados com segurança, informando o titular. Confirmação ou acesso seguirão os formatos e prazos legais; o prazo legal de até 15 dias para declaração completa não se aplica indiscriminadamente a toda solicitação. A autenticação deverá exigir apenas prova proporcional, evitando cópias excessivas de documentos.
7 Incidentes de segurança
A parte que identificar incidente relacionado a dados compartilhados informará a outra sem demora injustificada. Como meta contratual proposta, a comunicação inicial ocorrerá em até 24 horas após ciência, ainda que incompleta, com atualizações sucessivas. O controlador avalia risco, decide e realiza as comunicações legalmente exigidas à ANPD e aos titulares. A regra geral do regulamento é de três dias úteis nas situações sujeitas a comunicação, com particularidades e exceções legais. A meta interna de 24 horas não amplia nem suspende o prazo legal.
8 Informações sobre incidentes
A comunicação interna indicará fatos conhecidos, momento da ciência, categorias de dados, titulares potencialmente atingidos, impacto, contenção, medidas propostas e ponto de contato, sem especulação tratada como fato. Serão preservadas evidências de forma restrita. O registro do incidente seguirá o prazo mínimo de cinco anos previsto no regulamento aplicável, inclusive quando a comunicação externa não for necessária, ressalvadas exigências de prazo maior.
9 Transferências internacionais
Quando houver armazenamento, suporte ou acesso que configure transferência internacional, o controlador e o operador identificarão a base de tratamento e o mecanismo válido de transferência. O aviso de privacidade informará as transferências efetivas. Se forem utilizadas cláusulas padrão da ANPD, seu texto oficial deverá ser incorporado integralmente ao contrato pertinente com o importador; este anexo não substitui esse instrumento nem presume que ele já foi celebrado.
10 Retenção término e cópias
Os dados serão mantidos segundo finalidade documentada e prazo necessário, com avaliação de obrigações legais e defesa de direitos. No término, a Néspoli cooperará na entrega e na eliminação ou anonimização do que deva ser eliminado. Cópias e auditoria não autorizam retenção indefinida. O Salão também deverá eliminar suas exportações quando não houver fundamento de conservação. A restauração não poderá reativar dados cuja eliminação tenha sido validamente determinada; para isso, deverá existir controle de exclusões nas cópias.
11 Verificação e reparação
As partes manterão evidências das operações, instruções e medidas sob sua responsabilidade e cooperarão com investigação de incidente, atendimento a direitos e fiscalização. A verificação de segurança respeitará confidencialidade, outros salões e limites necessários à proteção do serviço. As regras legais de responsabilidade e eventual solidariedade prevalecem sobre este contrato. Nenhuma cláusula transfere integralmente ao Salão a responsabilidade pelo tratamento realizado pela Néspoli.