Este Acordo de Processamento de Dados (DPA) complementa nossos Termos de Serviço para clientes estabelecidos na União Europeia ou que processam dados pessoais de sujeitos de dados da UE. Ele se aplica quando o uso de nossa API envolve o processamento de dados pessoais em nome do cliente, conforme o significado do Art. 28 do GDPR. Uma cópia assinada está disponível mediante solicitação. Entre em contato com info@vehicleimagery.com.
O cliente é o controlador, Vehicle Imagery é o processador. O assunto é a resolução de identificadores de veículos enviados pelo cliente, como números de identificação de veículos (VINs) ou números de placas de licença, em especificações e imagens de veículos. Placas de licença, e dependendo do contexto, VINs, podem constituir dados pessoais. Este Acordo de Processamento de Dados existe exatamente para esses casos.
O processamento em nome do cliente é limitado a receber identificadores de veículos por meio de solicitação API, resolvê-los contra dados de veículos, retornar a especificação e imagem correspondente, e o registro técnico necessário para operar, proteger e cobrar o serviço. Além disso, processamos dados de solicitação anonimizados para nossos próprios fins como controlador independente: melhorar a qualidade de resolução, fechar lacunas de cobertura de catálogo e manter as taxas de erro baixas. Este conjunto de dados de qualidade contém identificadores de veículos, resultados de resolução e códigos de erro, e está permanentemente desvinculado de endereços IP, identidade do cliente e qualquer contexto do cliente final. Não utilizamos dados enviados pelo cliente para construir perfis de pessoas físicas.
O processamento dura pelo tempo da relação com o cliente. Registros completos de solicitações, contendo identificadores de veículos juntamente com endereços IP e contexto do cliente, são mantidos por 6 meses para operações, segurança e faturamento, e depois excluídos. Antes da exclusão, identificadores de veículos e seus resultados de resolução são transferidos para o conjunto de dados de qualidade desidentificado descrito na seção 2, sem endereços IP e vinculação ao cliente; números de placas de licença não são transferidos após a resolução para um veículo. Registros de faturamento agregados sem dados pessoais são mantidos por até dez anos para atender às obrigações estatutárias comerciais e fiscais de retenção. Na rescisão, os dados pessoais processados em nome do cliente são excluídos em até 30 dias, sujeitos a essas obrigações estatutárias. Imagens armazenadas em cache pelo cliente na infraestrutura do próprio cliente estão fora do nosso controle e são de responsabilidade do cliente.
O cliente concede autorização geral para os sub-processadores listados abaixo. Informamos os clientes sobre mudanças pretendidas com antecedência, e o cliente pode se opor por razões razoáveis de proteção de dados.
Subprocessadores atuais: Cloudflare, Inc. (EUA), fornecendo hospedagem global, entrega de conteúdo e infraestrutura de borda para a API. Ferramentas usadas apenas para o nosso site de marketing e produção de conteúdo não processam dados da API do cliente e não são subprocessadores conforme este DPA.
Nossa API funciona na rede global da Cloudflare, o que significa que o processamento de solicitações pode ocorrer fora da EEA. As transferências para a Cloudflare, Inc. são protegidas pelas Cláusulas Contratuais Padrão da UE incorporadas nos termos de processamento de dados da Cloudflare, juntamente com a participação da Cloudflare no Quadro de Privacidade de Dados EU-EUA.
Um resumo das nossas medidas técnicas e organizacionais está disponível mediante solicitação: criptografia em trânsito para todo o tráfego da API, controle de acesso baseado em chave de API, separação de ambientes de clientes, registro de acesso e administração de privilégios mínimos.
Nós apoiamos auditorias principalmente através de documentação e questionários concluídos. Com aviso prévio razoável, e não mais do que uma vez por ano, salvo motivo concreto, o cliente pode verificar a conformidade através de um auditor independente obrigado à confidencialidade, durante o horário comercial e sem acesso aos dados de outros clientes.
A responsabilidade segue os Termos de Serviço. Se disposições individuais deste APA forem inválidas, o restante permanece inalterado. A lei que rege os Termos de Serviço aplica-se. Quando existir um APA individual assinado entre as partes, ele prevalece sobre esta versão publicada.
