Contrato de Tratamento de Dados Pessoais

1. Partes e objeto

De um lado, o Cliente, pessoa física ou jurídica titular da conta no UXTap, na qualidade de Controlador. De outro, a Qualitap Soluções e Serviços Ltda. (QualiTAP), CNPJ 59.701.681/0001-68, com sede em Osasco/SP, operadora da plataforma UXTap, na qualidade de Operadora.

1. 1.1Este anexo integra os Termos de Uso e disciplina o tratamento de dados pessoais dos participantes das pesquisas criadas pelo Cliente.
2. 1.2Em caso de conflito entre este anexo e os Termos de Uso quanto a proteção de dados, prevalece este anexo.
3. 1.3Sobre os dados de cadastro e uso da conta do Cliente, a QualiTAP atua como Controladora, conforme a Política de Privacidade, e este anexo não se aplica.

2. Descrição do tratamento

1. 2.1Objeto: coleta e processamento de respostas e comportamento de participantes em estudos de usabilidade e pesquisa configurados pelo Cliente.
2. 2.2Natureza e finalidade: hospedar o estudo, coletar respostas, registrar interações, gravar sessão quando o Cliente habilitar e o participante consentir, gerar análises, relatórios e transcrições para o Cliente.
3. 2.3Duração: enquanto vigorar o contrato, observados os prazos de retenção da cláusula 10.
4. 2.4Categorias de titulares: participantes de estudos, convidados pelo Cliente por link aberto ou por painel de recrutamento; pessoas que se inscrevem em agenda de entrevista; visitantes dos sites do Controlador onde ele instalar a tag ou o coletor do UXTap; e observadores convidados pelo Controlador para sessões moderadas.
5. 2.5Categorias de dados: respostas, inclusive texto livre; coordenadas de clique, telas visitadas, rolagem e tempos; dados técnicos de dispositivo, navegador e idioma; identificador opaco e variáveis do painel; situação da participação comunicada ao painel; gravação de tela; imagem da câmera; áudio de voz; capturas de tela de site real; nome, e-mail, fuso horário e respostas de seleção em entrevistas agendadas; áudio, vídeo e tela compartilhada em entrevistas moderadas; e, nos sites do Controlador, identificador pseudônimo do visitante, página de origem, país aproximado, páginas, cliques e rolagem.
6. 2.6A plataforma não solicita ao participante documento, senha ou dado financeiro. Nome e e-mail são pedidos apenas no agendamento de entrevistas moderadas. Se o Cliente configurar perguntas que capturem dado sensível, essa decisão e sua base legal são exclusivamente dele.

3. Papéis e responsabilidades

1. 3.1O Controlador define finalidades e meios essenciais, escolhe a base legal, informa o participante, obtém consentimento quando necessário e responde pelos pedidos dos titulares.
2. 3.2A Operadora trata os dados apenas segundo instruções documentadas do Controlador, representadas pelas configurações feitas na plataforma e por este anexo.
3. 3.3A Operadora informará o Controlador se, em sua avaliação, uma instrução violar a legislação de proteção de dados, podendo suspender a execução até esclarecimento.
4. 3.4A Operadora não usa os dados dos participantes para finalidade própria, não os comercializa, não os utiliza para treinar modelos próprios e não autoriza seus subprocessadores a utilizá-los para treinar modelos.

4. Instruções documentadas

1. 4.1São instruções do Controlador: a configuração do estudo, a escolha dos blocos e perguntas, a ativação ou não de gravação, de câmera e de áudio, o idioma, o prazo de retenção do plano, a configuração do painel de recrutamento e as ações de exclusão feitas no painel.
2. 4.2São também instruções do Controlador: a publicação de links públicos de relatório, clipe e coletânea; a instalação da tag ou do coletor em seus sites; a compra de recrutamento, que implica o envio da situação de cada participação ao painel parceiro; e a conexão de ferramentas externas por API ou MCP, cujo acesso ocorre por conta e risco do Controlador.
3. 4.3Instruções adicionais devem ser enviadas por escrito para contato@paineltap.com.br e podem implicar ajuste de escopo ou de preço, se exigirem desenvolvimento.

5. Confidencialidade e pessoal autorizado

1. 5.1O acesso aos dados é restrito ao pessoal que precisa dele para operar e dar suporte, sujeito a dever de confidencialidade.
2. 5.2O acesso administrativo é limitado a endereços de e-mail autorizados por configuração e toda ação administrativa fica registrada em trilha de auditoria com autor, ação, alvo e data.

6. Subprocessadores

1. 6.1O Controlador autoriza, de forma geral, a contratação dos subprocessadores listados e mantidos atualizados em uxtap.app/subprocessadores, com finalidade, dados tratados e país de hospedagem.
2. 6.2Os provedores de inteligência artificial aparecem nessa página agrupados por função e país. A lista nominal completa, inclusive desses provedores, é fornecida ao Controlador mediante solicitação, sob confidencialidade.
3. 6.3A inclusão de novo subprocessador que trate dados de participantes, ou a alteração do país de tratamento, é comunicada por e-mail ao titular da conta e publicada em uxtap.app/subprocessadores com 30 dias de antecedência.
4. 6.4O Controlador pode se opor de forma motivada. Não havendo alternativa técnica razoável, poderá rescindir o contrato sem multa quanto ao período não usufruído.
5. 6.5A Operadora responde perante o Controlador pelos atos de seus subprocessadores no que se refere a este anexo.

7. Medidas técnicas e organizacionais

As medidas abaixo estão implementadas na data desta versão.

1. 7.1Cifra em trânsito por HTTPS em toda a aplicação, com HSTS e cabeçalhos de segurança (nosniff, referrer-policy).
2. 7.2Autenticação por senha com armazenamento apenas de resumo criptográfico bcrypt, e sessão assinada com segredo do servidor.
3. 7.3Autorização por papel, verificada no servidor a cada requisição, com leitura da associação diretamente do banco.
4. 7.4Gravações e áudios em bucket privado, sem URL pública, com acesso somente por link assinado de validade curta, de 1 hora.
5. 7.5Tokens de integração de terceiros cifrados com AES-256-GCM em repouso.
6. 7.6Isolamento por workspace em todas as consultas de leitura e escrita de dados de estudo.
7. 7.7Limitação de requisições por endereço e por sessão nas rotas públicas, e tetos diários de consumo por conta, para conter abuso e custo.
8. 7.8Registro de eventos de coleta com deduplicação, impedindo duplicidade de resposta por reenvio.
9. 7.9Monitoramento de erros com higienização prévia, sem corpo de requisição nem conteúdo de resposta.
10. 7.10Cópias de segurança gerenciadas pelo provedor de banco de dados, com cifra em repouso, eliminadas em até 30 dias.
11. 7.11Rotina automática de expurgo das gravações vencidas conforme o prazo do plano.

A Operadora mantém programa de evolução dessas medidas. Itens ainda não implementados, como segundo fator de autenticação e certificação externa, não são objeto de compromisso contratual nesta versão.

8. Apoio ao Controlador

1. 8.1A Operadora disponibiliza no produto recursos para o Controlador atender titulares: exportação de respostas, exclusão de sessão com suas mídias, exclusão de gravação e exclusão de estudo.
2. 8.2Recebendo pedido de titular diretamente, a Operadora não responde ao mérito e encaminha ao Controlador em até 3 dias úteis, salvo quando puder atender por si, hipótese em que informa o Controlador.
3. 8.3A Operadora apoia o Controlador na elaboração de relatório de impacto e na resposta a autoridades, no que se refere a informação sob seu domínio.

9. Incidentes de segurança

1. 9.1A Operadora comunica o Controlador sem demora injustificada, e em no máximo 48 horas do conhecimento, sobre incidente que possa acarretar risco ou dano relevante aos dados sob responsabilidade dele.
2. 9.2A comunicação indica a natureza do incidente, os dados e titulares afetados, as medidas adotadas, os riscos envolvidos e o contato para esclarecimento.
3. 9.3A comunicação à ANPD e aos titulares, quando cabível, é obrigação do Controlador, observados os prazos da Resolução CD/ANPD nº 15/2024, com apoio da Operadora.
4. 9.4A Operadora mantém registro dos incidentes e das medidas tomadas por no mínimo 5 anos, com as informações exigidas pela regulamentação da ANPD.

10. Retenção, devolução e eliminação

1. 10.1Gravações e áudios são eliminados automaticamente ao fim do prazo de retenção do plano contratado.
2. 10.2Demais dados dos participantes permanecem enquanto o estudo existir na conta ou até exclusão comandada pelo Controlador.
3. 10.3Encerrado o contrato, o Controlador tem 30 dias para exportar os dados. Findo esse prazo, a Operadora elimina os dados dos participantes em até 60 dias, salvo obrigação legal de guarda.
4. 10.4A eliminação abrange registros do banco de dados e os arquivos correspondentes no armazenamento de objetos. Cópias de segurança são eliminadas em até 30 dias.
5. 10.5Mediante pedido, a Operadora emite declaração de eliminação.

11. Transferência internacional

1. 11.1Parte do tratamento ocorre fora do Brasil, nos Estados Unidos e na União Europeia, conforme a página de subprocessadores. Os servidores da aplicação e o banco de dados ficam nos Estados Unidos.
2. 11.2As transferências são realizadas com base no artigo 33 da Lei Geral de Proteção de Dados, sob as garantias contratuais de proteção de dados oferecidas por cada subprocessador. A Operadora adotará as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024 conforme o prazo regulatório.
3. 11.3Quando adotadas, as cláusulas-padrão da ANPD prevalecem sobre disposições contrárias deste anexo.

12. Auditoria

1. 12.1A Operadora disponibiliza, mediante pedido escrito e uma vez por ano, informações razoáveis para demonstrar o cumprimento deste anexo, incluindo descrição de medidas técnicas e resposta a questionário de segurança.
2. 12.2Auditoria presencial ou por terceiro independente pode ser acordada em contrato específico, com aviso de 30 dias, em horário comercial, sem interrupção da operação e mediante confidencialidade, correndo os custos por conta do Controlador.

13. Vigência e disposições finais

1. 13.1Este anexo vigora enquanto durar o tratamento de dados de participantes pela Operadora em favor do Controlador.
2. 13.2Sobrevivem ao término as obrigações de confidencialidade, eliminação e cooperação.
3. 13.3Alterações relevantes serão publicadas nesta página com 30 dias de antecedência, aplicando-se a regra de oposição motivada da cláusula 6.

14. Responsabilidade, lei e foro

1. 14.1Cada parte responde pelos danos que causar por descumprimento da Lei Geral de Proteção de Dados ou deste anexo, assegurado o direito de regresso, nos termos do artigo 42, §4º, da Lei Geral de Proteção de Dados.
2. 14.2Aplicam-se a lei brasileira e o foro previsto nos Termos de Uso.