Acordo de tratamento de dados (DPA)

O presente Acordo de tratamento de dados (doravante o “Acordo” ou “DPA”) enquadra os tratamentos de dados pessoais que a **KAWLET EURL, editora do serviço TITU, realiza por conta de um parceiro profissional, nos casos e segundo as modalidades descritas no Anexo 1**.

Ele é celebrado em aplicação do artigo 28 do Regulamento (UE) 2016/679 (doravante o “RGPD”) e forma um todo indissociável com o contrato de serviços, o convênio de referenciamento ou o convênio de integração celebrados entre as Partes (doravante o “Contrato principal”).

1.1. As Partes

• O “Subcontratante” designa a KAWLET EURL, sociedade por quotas de responsabilidade limitada com sócio único, de direito francês, com sede em 15 Square Rameau, 59000 Lille (França), inscrita no RCS de Lille Métropole sob o número 993 159 250, editora do serviço TITU.
• O “Parceiro” designa a pessoa jurídica profissional signatária do Contrato principal, agindo na qualidade de responsável pelo tratamento: administrador de instalação esportiva, clube, associação, federação, liga, distrito, ou parceiro de integração técnica.

1.2. Definições

Os termos “dados pessoais”, “tratamento”, “responsável pelo tratamento”, “subcontratante”, “titular dos dados”, “violação de dados pessoais” e “autoridade de controle” têm o sentido que lhes dá o artigo 4 do RGPD.

“Dados confiados” designa unicamente os dados pessoais que o Parceiro transmite ao Subcontratante, ou aos quais lhe dá acesso, para fins de execução do Contrato principal.

1.3. O que este Acordo não cobre

O presente Acordo não se aplica aos tratamentos em que a KAWLET age na qualidade de responsável pelo tratamento, os quais estão descritos no parágrafo 2.2 e são regidos pela política de privacidade do serviço TITU, com exclusão do presente Acordo.

Ele tampouco se aplica aos usuários pessoas físicas do serviço TITU. Nenhum jogador, nenhum membro de um grupo e nenhum gestor de grupo é parte do presente Acordo, não o assina e não tem vocação para assiná-lo.

A qualificação de uma parte não resulta nem da sua denominação contratual nem da vontade das Partes, mas da determinação efetiva das finalidades e dos meios do tratamento (artigo 4.7 do RGPD). As Partes convencionam expressamente a seguinte repartição.

2.1. Tratamentos cobertos pelo presente Acordo

Para os tratamentos descritos no Anexo 1 e apenas para eles, realizados sob instrução documentada do Parceiro e no interesse dele:

• o Parceiro é responsável pelo tratamento;
• a KAWLET é subcontratante.

2.2. Tratamentos excluídos: KAWLET responsável pelo tratamento

Para o conjunto da superfície de usuário do serviço TITU, a KAWLET age na qualidade de responsável pelo tratamento e não de subcontratante. Isso abrange, em especial:

• a criação e a gestão de uma conta de jogador, a autenticação por código de uso único recebido por SMS, o perfil e o idioma da conta;
• a vida de um grupo: sessões recorrentes, presenças, fila de espera, reservas, convidados, placares, classificações e votos;
• as notificações dirigidas aos jogadores;
• a medição de uso do produto;
• a vinculação facultativa de uma conta de jogador aos resultados públicos das competições, quando o jogador a pede e a confirma.

Fica expressamente convencionado que:

1. O consentimento de um titular dos dados não acarreta nenhuma transferência de responsabilidade. Um jogador que declara seu clube e depois confirma uma correspondência proposta fornece um fundamento jurídico ao tratamento na acepção do artigo 6.1.a do RGPD. Ele continua sendo o titular dos dados e não se torna, a nenhum título, responsável pelo tratamento.
2. A KAWLET determina sozinha as finalidades e os meios desses tratamentos: quais fontes públicas são consultadas e em que momento, a anonimização das pessoas não envolvidas, os prazos de disponibilização, os contadores de limitação de abusos, o procedimento de contestação e de retirada.
3. Um gestor ou administrador de grupo não é responsável pelo tratamento dos dados dos membros do seu grupo. As funções de administração previstas pelo serviço (admin, co-admin) são funções aplicativas de governança de um grupo amador. Elas não acarretam nenhuma qualificação na acepção do RGPD, nenhuma obrigação do artigo 28, e nenhuma responsabilidade pessoal do gestor a título do tratamento.

2.3. Tratamentos em que cada Parte é responsável independente

Quando o Parceiro e a KAWLET perseguem, cada um, suas próprias finalidades sobre dados distintos — por exemplo, o Parceiro para a sua relação com clientes, a KAWLET para a exploração do seu diretório —, cada Parte age como responsável pelo tratamento independente e assume sozinha as suas obrigações. O presente Acordo não se aplica a esses tratamentos.

As características dos tratamentos realizados pela KAWLET por conta do Parceiro — objeto, natureza, finalidade, duração, categorias de dados e categorias de titulares de dados — estão descritas no Anexo 1 do presente Acordo, em conformidade com o artigo 28.3 do RGPD.

O Anexo 1 é taxativo. **Todo tratamento não descrito no Anexo 1 é tido como fora do âmbito do presente Acordo** e só pode ser implementado após alteração escrita desse anexo, assinada pelas duas Partes.

As Partes reconhecem que, em vários dos casos de uso descritos no Anexo 1, **nenhum dado pessoal é transmitido à KAWLET**: o referenciamento de uma instalação, de uma oferta de reserva ou de um clube se apoia em dados de organização (denominação, endereço, horários, preços, capacidades) que não se referem a uma pessoa física identificada ou identificável. Nesses casos, o presente Acordo permanece sem objeto para a prestação em questão, sem que as Partes tenham de rescindi-lo.

Na qualidade de responsável pelo tratamento, o Parceiro se compromete a:

• Licitude. Transmitir à KAWLET apenas dados coletados e tratados licitamente, com fundamento jurídico válido na acepção do artigo 6 do RGPD, e dispor do direito de confiá-los a um subcontratante para as finalidades descritas no Anexo 1.
• Informação dos titulares dos dados. Assegurar a informação dos titulares dos dados nos termos dos artigos 13 e 14 do RGPD, inclusive sobre o recurso à KAWLET na qualidade de subcontratante, e recolher, se for o caso, o consentimento deles.
• Instruções documentadas. Formular suas instruções por escrito, inclusive por via eletrônica. O Contrato principal e o presente Acordo, inclusive o Anexo 1, constituem as instruções iniciais do Parceiro. Toda instrução posterior deve ser dirigida ao contato mencionado no artigo 8.
• Minimização. Transmitir apenas os dados estritamente necessários à prestação. O Parceiro se proíbe, em especial, de transmitir à KAWLET, por qualquer canal que seja, dados das categorias especiais do artigo 9 do RGPD (notadamente dados de saúde, opiniões, filiação sindical, dados biométricos), dados relativos a condenações penais (artigo 10), bem como dados de contato de atletas federados, de dirigentes, de árbitros ou de menores, dos quais o serviço TITU não tem nem uso nem estrutura de acolhimento.
• Exatidão. Zelar pela exatidão e pela atualização dos dados confiados, e notificar sem demora à KAWLET toda retificação, oposição ou exclusão que deva ser repercutida.
• Direitos das pessoas. Responder ele próprio às solicitações de exercício de direitos dos titulares dos dados, com a assistência da KAWLET prevista no artigo 5.5.
• Segurança do seu próprio ambiente. Assegurar a confidencialidade das credenciais de acesso entregues aos seus colaboradores e notificar sem demora qualquer comprometimento suspeito.
• Documentação. Manter seu próprio registro das atividades de tratamento e, se for o caso, realizar a avaliação de impacto sobre a proteção de dados prevista no artigo 35 do RGPD.

O Parceiro garante a KAWLET contra qualquer reclamação, ação ou sanção resultante do descumprimento das obrigações que lhe incumbem a título do presente artigo.

Em conformidade com o artigo 28.3 do RGPD, a KAWLET se compromete ao que segue.

5.1. Tratamento sob instrução documentada

A KAWLET trata os Dados confiados apenas sob instrução documentada do Parceiro, inclusive em matéria de transferência para um país terceiro, salvo obrigação legal a que a KAWLET estivesse sujeita. Nesse último caso, a KAWLET informa o Parceiro dessa obrigação jurídica antes do tratamento, a menos que o direito aplicável proíba tal informação por motivos importantes de interesse público.

A KAWLET informa imediatamente o Parceiro se, na sua opinião, uma instrução recebida constitui uma violação do RGPD ou de outra disposição aplicável em matéria de proteção de dados. Ela pode, nesse caso, suspender a execução da instrução controversa até confirmação ou alteração escrita pelo Parceiro.

A KAWLET se proíbe de usar os Dados confiados para as suas próprias finalidades, notadamente para fins de prospecção, de enriquecimento do seu diretório, de constituição de estatísticas comercializáveis ou de treinamento de modelos de aprendizado de máquina.

5.2. Confidencialidade

A KAWLET garante que os Dados confiados permanecem estritamente confidenciais. A esse título:

• o acesso aos dados é limitado às pessoas que dele precisam para a execução da prestação, segundo o princípio do menor privilégio;
• as pessoas autorizadas a tratar os dados estão sujeitas a uma obrigação contratual ou legal de confidencialidade, inclusive após o fim da sua missão;
• a KAWLET não comunica nenhum dado a terceiros, exceto aos subcontratantes ulteriores listados no Anexo 2 e salvo requisição de uma autoridade competente;
• em caso de requisição judicial ou administrativa relativa aos Dados confiados, a KAWLET informa o Parceiro com a maior brevidade, salvo proibição legal.

5.3. Segurança dos tratamentos

A KAWLET implementa as medidas técnicas e organizacionais adequadas na acepção do artigo 32 do RGPD, descritas no Anexo 3. Essas medidas são enunciadas tal como são efetivamente implementadas na data do presente Acordo; **a KAWLET não reivindica nenhuma certificação** de segurança ou de conformidade.

A KAWLET pode fazer evoluir essas medidas para levar em conta o estado da arte, desde que não reduza o nível global de segurança. O Anexo 3 é então atualizado.

5.4. Subcontratação ulterior

O Parceiro dá ao Subcontratante uma autorização escrita geral para recorrer a subcontratantes ulteriores, nas condições do artigo 28.2 e 28.4 do RGPD.

A lista dos subcontratantes ulteriores em vigor na data do presente Acordo consta do Anexo 2. Essa lista é estabelecida como um **inventário exaustivo dos serviços de terceiros efetivamente acionados** pelo serviço TITU, inclusive aqueles que não tratam nenhum dado pessoal, a fim de que o Parceiro disponha de uma visão completa dos fluxos.

A KAWLET se compromete a:

• informar o Parceiro de qualquer acréscimo ou substituição de um subcontratante ulterior com aviso prévio razoável, e em todo caso antes que o novo subcontratante trate Dados confiados;
• conceder ao Parceiro um prazo de trinta (30) dias para formular objeção fundamentada. Em caso de objeção que as Partes não consigam superar, o Parceiro pode rescindir a prestação em questão sem indenização;
• impor contratualmente a cada subcontratante ulterior obrigações de proteção de dados substancialmente equivalentes às do presente Acordo;
• permanecer plenamente responsável perante o Parceiro pela execução, por seus subcontratantes ulteriores, das obrigações destes.

5.5. Assistência ao Parceiro

Levando em conta a natureza do tratamento e as informações à sua disposição, a KAWLET assiste o Parceiro:

• Direitos dos titulares dos dados. Implementando as medidas técnicas e organizacionais adequadas para permitir que o Parceiro atenda às solicitações de acesso, de retificação, de apagamento, de limitação, de oposição e de portabilidade. Toda solicitação recebida diretamente pela KAWLET é transmitida ao Parceiro sem demora e não é tratada pela KAWLET, salvo instrução em contrário.
• Segurança, violações, avaliações de impacto. Fornecendo as informações necessárias ao cumprimento, pelo Parceiro, das obrigações previstas nos artigos 32 a 36 do RGPD, inclusive a avaliação de impacto e a consulta prévia à autoridade de controle.

5.6. Violação de dados pessoais

A KAWLET notifica ao Parceiro toda violação de dados pessoais que afete os Dados confiados com a maior brevidade após dela ter tomado conhecimento, em conformidade com o artigo 33.2 do RGPD, a fim de permitir que o Parceiro cumpra, se for o caso, sua obrigação de notificação à autoridade de controle em 72 horas prevista no artigo 33.1.

A notificação comporta, na medida das informações disponíveis no momento em que é emitida: a natureza da violação, as categorias e o número aproximado de pessoas e de registros afetados, as consequências prováveis, as medidas tomadas ou propostas, e um ponto de contato. As informações faltantes são comunicadas à medida que surgem, sem demora adicional indevida.

Nenhuma cláusula do presente artigo faz da KAWLET a devedora da notificação à autoridade de controle ou aos titulares dos dados, que incumbe ao Parceiro na sua qualidade de responsável pelo tratamento.

5.7. Documentação e auditoria

A KAWLET disponibiliza ao Parceiro todas as informações necessárias para demonstrar o cumprimento das obrigações do artigo 28 do RGPD.

A KAWLET permite a realização de auditorias, inclusive de inspeções, pelo Parceiro ou por um auditor por ele mandatado, desde que:

• a auditoria seja notificada por escrito com aviso prévio de pelo menos trinta (30) dias, salvo urgência motivada por um incidente de segurança comprovado;
• ela se realize durante o horário comercial, sem perturbação desproporcional da atividade;
• ela não atente contra a confidencialidade dos dados de outros clientes ou usuários da KAWLET, nem contra o segredo de negócio;
• o auditor esteja sujeito a um compromisso de confidencialidade;
• sua frequência não exceda uma vez por ano civil, salvo incidente de segurança comprovado ou solicitação de uma autoridade de controle.

A KAWLET pode cumprir essa obrigação fornecendo a documentação pertinente, inclusive, quando existirem, os relatórios de auditoria ou atestados dos seus próprios subcontratantes ulteriores.

5.8. Registro dos tratamentos

A KAWLET mantém, em conformidade com o artigo 30.2 do RGPD, um registro das categorias de atividades de tratamento realizadas por conta do Parceiro, e o disponibiliza mediante solicitação da autoridade de controle.

5.9. Transferências para fora da União Europeia

A KAWLET hospeda os Dados confiados no território da União Europeia. As transferências para um país terceiro decorrentes do recurso aos subcontratantes ulteriores listados no Anexo 2 são enquadradas pelas garantias adequadas mencionadas nesse anexo, notadamente as cláusulas contratuais padrão adotadas pela Comissão Europeia.

A KAWLET não procede a nenhuma outra transferência para fora da União Europeia sem instrução documentada do Parceiro.

6.1. Restituição

A qualquer momento durante a vigência do Contrato principal, e durante **trinta (30) dias** a contar do seu término, o Parceiro pode pedir a restituição dos Dados confiados. A KAWLET os fornece em formato estruturado, de uso corrente e legível por máquina.

6.2. Exclusão

Ao fim desse prazo de trinta (30) dias, ou imediatamente sob instrução escrita do Parceiro, a KAWLET exclui os Dados confiados, bem como as cópias existentes, salvo obrigação legal de conservação. A KAWLET atesta por escrito essa exclusão mediante solicitação do Parceiro.

6.3. O que não é excluído

Não são abrangidos pela exclusão prevista no 6.2:

• os dados que a KAWLET trata na qualidade de responsável pelo tratamento a título do parágrafo 2.2, que seguem o seu próprio ciclo de vida;
• os fatos de organização não pessoais (denominação de uma instalação ou de um clube, endereço, características de um campo, calendário esportivo) oriundos de fontes públicas ou do referenciamento, que não constituem dados pessoais e permanecem regidos pelo Contrato principal e não pelo presente Acordo;
• os logs técnicos e os backups, que são excluídos segundo o seu próprio ciclo de rotação.

Cada Parte assume a responsabilidade que lhe incumbe a título dos artigos 82 e 83 do RGPD, em razão das obrigações que lhe são próprias.

A KAWLET só é responsável pelo dano causado por um tratamento se não tiver cumprido as obrigações do RGPD que incumbem especificamente aos subcontratantes, ou se tiver agido fora das instruções lícitas do Parceiro ou contrariamente a elas (artigo 82.2 do RGPD).

Os limites e exclusões de responsabilidade estipulados no Contrato principal se aplicam ao presente Acordo, no limite do que a regulamentação aplicável permite.

Toda questão, instrução, notificação ou solicitação relativa ao presente Acordo é dirigida a:

KAWLET EURL 15 Square Rameau 59000 Lille — França RCS Lille Métropole 993 159 250

Contato de proteção de dados: yo@titu.app

8.1. Ausência de encarregado da proteção de dados

A KAWLET não designou encarregado da proteção de dados (DPO) na acepção do artigo 37 do RGPD, por não preencher até hoje as condições que tornam essa designação obrigatória. O contato mencionado acima é o ponto de entrada único para os assuntos que dizem respeito ao presente Acordo; ele não se beneficia do estatuto nem das garantias de independência associados à função de encarregado.

Essa situação é reexaminada a cada evolução significativa da atividade. A designação de um encarregado, se ocorrer, será objeto de uma atualização do presente artigo.

8.2. Autoridade de controle

A autoridade de controle competente para a KAWLET é a **Commission nationale de l'informatique et des libertés (CNIL)**, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, França.

9.1. Hierarquia dos documentos

O presente Acordo é parte integrante do Contrato principal. Em caso de contradição entre uma cláusula do Contrato principal e uma cláusula do presente Acordo relativa ao tratamento de dados pessoais, o presente Acordo prevalece. Para qualquer outra questão, o Contrato principal prevalece.

Em caso de contradição entre o presente Acordo e cláusulas contratuais padrão adotadas pela Comissão Europeia e assinadas pelas Partes, estas últimas prevalecem.

9.2. Vigência

O presente Acordo entra em vigor na data de efeito do Contrato principal e permanece aplicável enquanto a KAWLET tratar Dados confiados por conta do Parceiro. As cláusulas dos artigos 5.2 (confidencialidade), 6 (destino dos dados) e 7 (responsabilidade) sobrevivem a ele.

9.3. Alteração

A KAWLET pode alterar o presente Acordo para levar em conta uma evolução da regulamentação, uma decisão de uma autoridade de controle ou uma evolução técnica do serviço. Toda alteração substancial é notificada ao Parceiro com aviso prévio razoável. Na falta de objeção escrita e fundamentada em trinta (30) dias, a alteração é tida como aceita.

Os Anexos 2 e 3 podem ser atualizados segundo as modalidades previstas respectivamente nos artigos 5.4 e 5.3, sem que essa atualização constitua uma alteração substancial do Acordo.

9.4. Nulidade parcial

Se uma cláusula do presente Acordo for declarada nula ou inaplicável, as demais cláusulas permanecem em vigor. As Partes se esforçam para substituir a cláusula invalidada por uma cláusula válida de efeito econômico e jurídico equivalente.

9.5. Direito aplicável e foro competente

O presente Acordo é regido pelo direito francês. Na falta de resolução amigável, todo litígio relativo à sua validade, à sua interpretação ou à sua execução é da competência exclusiva dos tribunais da comarca de Lille, ressalvadas as regras imperativas de competência aplicáveis.

O presente anexo descreve, em conformidade com o artigo 28.3 do RGPD, os tratamentos realizados pela KAWLET por conta do Parceiro. Ele é taxativo.

A1.1. Disponibilização do diretório de instalações e de clubes

O Parceiro é convidado a transmitir contatos de função (“recepção”, “secretaria”) e não nominais. Quando nenhum dado pessoal é transmitido, o presente Acordo permanece sem objeto para essa prestação.

A1.2. Referenciamento de uma oferta de reserva de um administrador

A reserva em si não é operada pela KAWLET. O jogador que clica é redirecionado ao serviço do Parceiro, onde se torna cliente deste. Os dados coletados a partir desse redirecionamento são de responsabilidade exclusiva do Parceiro, na qualidade de responsável pelo tratamento independente, e saem do âmbito do presente Acordo.

A1.3. Envio agregado de cliques em uma oferta

Quando um jogador aciona o link de uma oferta do Parceiro, a KAWLET incrementa um contador diário agregado.

Esse contador — tabela venue_offer_click_daily — contém exclusivamente os seguintes campos:

**Ele não contém nem endereço IP, nem cookie ou identificador de terminal, nem conta, nem identificador de jogador, nem cabeçalho ou carga útil de requisição.** Essa ausência é estrutural: a tabela não comporta nenhuma coluna capaz de acolher esses elementos, e a função de incremento recebe apenas o identificador da oferta e a superfície.

Daí resultam três consequências que as Partes reconhecem expressamente:

1. Esse contador não constitui um tratamento de dados pessoais. Nenhuma pessoa física é identificada nem identificável a partir desses seis campos.
2. Esse contador não constitui uma medição de audiência individual. Ele não permite contar visitantes únicos, nem reconstituir um percurso, nem distinguir dez cliques de uma pessoa de um clique de dez pessoas. Ele não deve ser apresentado, nem pela KAWLET nem pelo Parceiro, como uma medição de audiência, um dado de faturamento por desempenho, ou um dispositivo de detecção de fraude ou de abuso.
3. Ele é comunicado ao Parceiro a título indicativo, como sinal bruto de produto, sem garantia de exatidão, de completude nem de correspondência com as conversões constatadas pelo Parceiro no seu próprio sistema.

A1.4. Integração técnica de um parceiro

Nenhuma integração pode ser posta em produção sem que as categorias de dados e de titulares de dados tenham sido enumeradas por escrito. As exclusões do artigo 4 (categorias especiais, condenações, contatos de dirigentes, de árbitros ou de menores) se aplicam integralmente.

A1.5. Tratamentos excluídos do Anexo 1

Para evitar qualquer ambiguidade, não se enquadram no presente Acordo e são tratados pela KAWLET na qualidade de responsável pelo tratamento:

• o conjunto dos dados de conta, de grupo e de partida dos jogadores;
• as notificações dirigidas aos jogadores;
• a coleta, a verificação e a republicação de fatos de organização oriundos de fontes públicas ou de federações (denominação de clube, endereço, estádio, divisão, calendário, classificação), que não comportam nenhum dado pessoal;
• a vinculação facultativa, sob demanda e mediante confirmação do jogador, entre a conta dele e os resultados públicos das competições.

A presente lista é estabelecida como um **inventário exaustivo dos serviços de terceiros efetivamente acionados** pelo serviço TITU na data do presente Acordo, inclusive aqueles aos quais nenhum dado pessoal é transmitido. Ela é um superconjunto dos subcontratantes ulteriores na acepção do artigo 28.4 do RGPD.

A2.1. Prestadores suscetíveis de tratar dados pessoais

A2.2. Prestadores que não tratam nenhum dado pessoal

Esses serviços são listados por transparência: eles são acionados pelo serviço ou pelas suas cadeias de tratamento de dados públicos, sem que nenhum dado de conta, de jogador ou de titular de dados lhes seja transmitido.

A2.3. Situação real do recurso ao Google Gemini

O serviço TITU comporta dois usos distintos de um modelo de linguagem, ambos limitados a fatos e descrições relativos a campos. Nos dois casos:

• nenhum dado de jogador, de conta, de grupo ou de titular de dados entra em um prompt; o conteúdo submetido provém exclusivamente de fichas de instalações e de fontes públicas;
• nenhuma ferramenta de navegação, de busca externa ou de acesso a uma base de lugares comercial é ativada;
• nenhuma saída do modelo é publicada automaticamente.

Uso 1 — extração de fatos técnicos. Esse fluxo está desativado por padrão e nunca foi executado em produção. Seu acionamento pressupõe a reunião simultânea de várias condições independentes: um indicador explícito na linha de comando, a ativação em um manifesto versionado, uma variável de ambiente dedicada, um alvo de execução correspondente, a impressão criptográfica exata do plano, e um banco de dados local. A simples presença de uma chave de API não basta para acionar nada. O perímetro está limitado a três casos de validação em pré-lançamento.

Uso 2 — rascunhos de descrição. Um fluxo distinto pode produzir **rascunhos de descrição de campos. Esses rascunhos são marcados como não publicáveis** e não revisados, jamais são postos no ar sem revisão humana identificada, e não alimentam nem o diretório público nem as páginas indexáveis. Esse fluxo só é executado se uma chave de API estiver configurada no ambiente de integração contínua.

Esta descrição reflete o estado efetivo do serviço na data do presente Acordo e não antecipa nenhuma implantação futura.

A2.4. Serviços configurados mas inativos

Por transparência, os serviços a seguir são objeto de referências técnicas no serviço sem serem acionados até hoje: Google Maps / Places (nenhuma chamada existe no código; apenas um identificador de lugar opaco poderia ser conservado no futuro, em uma tabela separada, sem que nenhum conteúdo seja retomado), Mapbox e OpenCage (serviços de geocodificação de reserva, não ativados). Nenhum desses serviços recebe dado algum na data do presente Acordo. A ativação deles seria objeto de uma atualização do presente anexo nos termos do artigo 5.4.

As medidas abaixo estão descritas tal como são efetivamente implementadas na data do presente Acordo. A KAWLET não reivindica nenhuma certificação de segurança ou de conformidade (notadamente nem ISO/IEC 27001, nem SOC 2, nem HDS, nem PCI-DSS) e não invoca nenhuma a título do presente Acordo.

A3.1. Controle de acesso aos dados

• Compartimentação em nível de linha. A segurança em nível de linha (row level security) do PostgreSQL está ativada em todas as tabelas de aplicação, inclusive as partições. Uma consulta só pode retornar as linhas que a política vinculada à tabela autoriza para quem consulta.
• Privilégios concedidos explicitamente. O papel anônimo não dispõe de nenhum privilégio sobre as tabelas. O papel autenticado dispõe apenas dos verbos estritamente necessários, concedidos tabela por tabela. O acesso é assim recusado no nível dos privilégios antes mesmo da avaliação das políticas de segurança.
• Papel de serviço. Um papel técnico de confiança, reservado aos tratamentos de servidor, não está sujeito às políticas de segurança em nível de linha — é uma propriedade necessária do seu uso. Suas credenciais nunca são difundidas em uma aplicação cliente, notadamente não na aplicação web pública.

A3.2. Integridade dos tratamentos

• A lógica de negócio reside no servidor. As operações sensíveis são executadas em procedimentos transacionais no banco, com privilégios definidos, que travam a linha em questão antes de decidir. O cliente chama uma operação; ele não determina o resultado dela.
• As decisões não são delegadas ao cliente. Os valores críticos — notadamente a posição em uma fila de espera — são atribuídos pelo banco de dados. Nenhuma assinatura de chamada permite que um cliente os imponha.
• As transições temporais são disparadas pelo servidor, por uma tarefa agendada no banco, e não pela aplicação. A alteração do relógio de um terminal não tem efeito.

A3.3. Compartimentação dos dados de fontes externas

• As tabelas que constituem a reserva interna de dados de federações estão sob segurança em nível de linha sem nenhuma política e são objeto de uma revogação explícita dos privilégios para os papéis anônimo e autenticado. Nenhuma rota pública e nenhum procedimento acessível sem autenticação as lê.
• Somente uma projeção pública distinta, limitada a fatos de organização e desprovida de qualquer coluna capaz de acolher uma pessoa, é exposta.
• A ausência de dados pessoais nessas tabelas é uma propriedade estrutural do esquema, e não uma orientação de uso.

A3.4. Armazenamento dos arquivos

• O compartimento de armazenamento das fotografias de perfil é privado; esse estado é reaplicado de forma idempotente a cada migração.
• Nenhum endereço público permanente é gerado. O acesso se faz por URL assinada de curta duração, limitada ao proprietário do arquivo ou a um companheiro de time do mesmo grupo.
• A exclusão de uma conta dispara o expurgo do arquivo por uma tarefa agendada dedicada, com retomada em caso de falha.

A3.5. Gestão dos segredos

• Os segredos usados pelo banco de dados (endereços e tokens de chamada das funções de servidor, chave de criptografia dos tokens de vinculação de identidade) são conservados no cofre integrado ao provedor de banco de dados, e lidos no momento do uso.
• Nenhum segredo de produção consta do repositório de código nem do seu histórico.

A3.6. Criptografia

• Em trânsito. As trocas entre as aplicações, o banco de dados e os serviços de terceiros se fazem em HTTPS/TLS. Nenhuma chamada em claro existe em um caminho que trate dados pessoais. A terminação TLS é assegurada pelas plataformas de hospedagem.
• No nível da aplicação. Os tokens de vinculação de identidade são criptografados no banco (pgcrypto) com uma chave conservada no cofre, e expiram em dez minutos.
• Em repouso. A criptografia em repouso dos dados de aplicação é assegurada pelo subcontratante de hospedagem, em conformidade com os compromissos contratuais dele. A KAWLET não a apresenta como uma medida que ela própria implementa.

A3.7. Minimização e ausência de rastreadores

• A medição de uso se apoia em uma lista fechada de eventos nomeados, sem captura automática nem gravação de sessão; as bibliotecas que permitem essas funções não estão instaladas.
• O redirecionamento para a oferta de um parceiro não grava nem lê nenhum cookie e não conserva nem endereço IP, nem identificador de terminal, nem identificador de conta (ver Anexo 1, A1.3).
• Os dados transmitidos para a composição de uma notificação estão limitados ao estritamente necessário à exibição dela.

A3.8. Apagamento e ciclo de vida dos dados

• Apagamento sob demanda. Um procedimento de apagamento de conta está implementado. Ele é disparado pelo próprio usuário, não comporta nenhum parâmetro que designe um terceiro, exige uma confirmação explícita, libera as vagas ocupadas nas sessões futuras antes de encerrar a conta, fecha o acesso à conta antes de tentar o expurgo (de modo que a conta permaneça inacessível mesmo se o expurgo falhar), e exclui os dados vinculados.
• Verificação por varredura. Um teste automatizado busca as impressões da conta excluída em cada coluna textual e estruturada dos esquemas de aplicação, de autenticação e de armazenamento, em vez de em uma lista de tabelas predefinida.
• Prazos funcionais. Vários prazos técnicos são aplicados por construção: expiração dos tokens de vinculação (dez minutos), janela de cancelamento de uma desistência, prazo antirrepetição das chamadas, expiração das vagas reservadas e das ofertas, expiração dos horários de reserva.
• Alcance deste compromisso. A KAWLET não reivindica política de expurgo periódico automático dos logs de aplicação e dos históricos de partida: o apagamento dos dados pessoais é disparado pelo titular dos dados ou pelo responsável pelo tratamento, e verificado. Os dados de partida remanescentes são anonimizados.

A3.9. Organização

• Acesso aos ambientes de produção limitado às pessoas que dele têm uso.
• Separação dos ambientes de desenvolvimento, de teste e de produção; os dados de desenvolvimento são dados de demonstração.
• Acompanhamento das alterações do esquema por migrações versionadas e revisadas.
• Testes automatizados incidindo notadamente sobre a compartimentação, a reciprocidade de acesso aos votos, o apagamento de conta e o caráter privado do armazenamento dos arquivos.