Aditivo de tratamento de dados

Papéis e alcance

O cliente é o controlador de dados (Responsable del Tratamiento) e [Razão social da Sixto, S.A.S.] é o encarregado do tratamento (Encargado del Tratamiento) dos dados pessoais que o cliente ou seus hóspedes colocam no Sixto. O DPA cobre o objeto (prestar o Sixto), a duração (a assinatura mais o período de exclusão), a natureza e a finalidade (hospedar e tratar dados para reservas, comunicação com hóspedes, obrigações de conformidade, contabilidade e operação), os tipos de dados (identificação e contato, viagem, documento de identidade, registros de pagamento, mensagens, registros da equipe) e as categorias de pessoas (hóspedes, membros da equipe, proprietários, contatos).

Para dados de visitantes do site e de titulares de conta, o Sixto atua como controlador, como descrito na Política de privacidade.

Deveres do encarregado

O Sixto vai:

• tratar dados pessoais apenas segundo as instruções documentadas do cliente, que são os Termos, o DPA e o uso que o cliente faz do produto, e avisar o cliente se uma instrução parecer contrária à lei;
• garantir que as pessoas com acesso a dados pessoais estejam sujeitas a confidencialidade;
• não vender os dados, não usá-los para publicidade ou para criar perfis e não usá-los para treinar modelos de IA;
• manter registros das suas atividades de tratamento e cooperar com as autoridades do cliente quando a lei exigir;
• tratar os dados em conformidade com a Ley 1581 de 2012 e seus regulamentos, e com o GDPR quando ele se aplicar.

Subprocessadores

O cliente dá uma autorização geral para o Sixto usar subprocessadores. Cada um fica sujeito a um contrato escrito com obrigações de proteção de dados pelo menos tão protetivas quanto o DPA, e o Sixto continua responsável por eles. As categorias e finalidades estão na página de Subprocessadores e a lista nominal atual está disponível sob pedido.

Avisamos os clientes antes de acrescentar ou substituir um subprocessador que trate dados pessoais de clientes, por e-mail ou no app, em geral com pelo menos 30 dias de antecedência. O cliente pode se opor por motivos razoáveis de proteção de dados, e vamos buscar uma solução com ele ou, se não houver, ele pode encerrar o serviço afetado.

Medidas de segurança

O Sixto mantém medidas técnicas e organizacionais adequadas ao risco, inclusive:

• criptografia dos dados em trânsito;
• separação lógica dos dados de cada cliente, aplicada no aplicativo;
• permissões por papel, com chaves de API de escopo limitado e agentes conectados que nunca recebem mais permissão do que a pessoa que os configurou;
• registros de auditoria de ações sensíveis;
• um cofre de credenciais para os segredos das integrações;
• mascaramento de dados sensíveis antes de o texto ser enviado a provedores de IA, e leitura de documentos de identidade do hóspede por IA apenas com o consentimento do hóspede;
• acesso de suporte à conta de um cliente apenas com o consentimento do cliente, somente leitura por padrão e auditado;
• backups regulares e controles de acesso nos sistemas de produção.

Os detalhes estão na página de Segurança e no DPA completo.

Incidente com dados pessoais

Se o Sixto souber de uma violação de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado, acidentais ou ilícitos, a dados pessoais de clientes, ele avisará o cliente sem demora injustificada e, quando viável, em até 72 horas depois de tomar conhecimento. O aviso descreve o que se sabe sobre a natureza do incidente, os dados e as pessoas afetadas, as consequências prováveis e as medidas tomadas ou propostas, e será atualizado à medida que soubermos mais. O cliente decide se avisa a SIC (Superintendencia de Industria y Comercio), outras autoridades ou as pessoas afetadas, e o Sixto ajuda.

Apoio ao cliente

Levando em conta a natureza do tratamento, o Sixto ajuda o cliente a responder pedidos de pessoas que exercem seus direitos (acesso, atualização, retificação, exclusão, revogação, portabilidade e oposição), a fazer avaliações de impacto e a consultar autoridades. O produto inclui ferramentas de exportação e exclusão. Se uma pessoa escrever diretamente ao Sixto sobre dados do cliente, passamos o pedido ao cliente e não respondemos nós mesmos, salvo quando a lei exigir.

Transferências internacionais

Dados pessoais de clientes podem ser tratados fora da Colômbia. O Sixto garante que as transferências se apoiem em um mecanismo lícito, como os padrões e salvaguardas reconhecidos pela SIC ou, para dados sujeitos ao GDPR, cláusulas contratuais padrão, e as inclui no DPA completo quando necessário.

Devolução e exclusão

O cliente pode exportar seus dados enquanto a conta estiver ativa. Depois do encerramento, o Sixto mantém os dados disponíveis para exportação por 30 dias e então os exclui dos sistemas ativos e dos backups à medida que eles expiram, salvo quando a lei exigir a guarda de alguns registros. Sob pedido, o Sixto confirma a exclusão por escrito.

Auditorias e informações

O Sixto entrega ao cliente as informações necessárias para demonstrar o cumprimento do DPA, por exemplo respostas a um questionário de segurança razoável e um resumo das suas medidas. Se isso não bastar, o cliente pode fazer uma auditoria, no máximo uma vez por ano, salvo se houver um incidente, com aviso razoável, em horário comercial, sob confidencialidade e sem expor dados de outros clientes. Os custos razoáveis da auditoria são do cliente.

Pedir o DPA completo

Para receber o DPA completo, uma cópia para assinar, a lista atual de subprocessadores ou fazer uma pergunta, escreva para [email protected]. Inclua o nome da empresa e o e-mail do titular da conta.