1. Objeto, naturaleza y control
Este Acuerdo de Procesamiento de Datos (DPA) establece pautas generales obligatorias para los operadores que procesan datos en nombre de Lumus Assessoria Publicitaria Ltda, CNPJ 43.873.616/0001-80 ('LUMUS' o 'controlador'), ya sea en el desarrollo, mantenimiento, alojamiento o soporte de este sitio y sus servicios asociados. No sustituye los acuerdos específicos que detallen la operación.
2. Posición y partes
LUMUS actúa como controlador al decidir sobre el tratamiento de datos de visitantes, clientes, prospectos y colaboradores. Los proveedores, desarrolladores (incluido Replit), proveedores en la nube (AWS) y agencias que procesen datos bajo las instrucciones de LUMUS actuarán como encargados (operadores).
Bme - Administracao, Incorporacao e Assessoria de Propriedades LTDA, CNPJ 59.240.559/0001-31, puede actuar como destinatario afiliado, controlador para fines corporativos propios o encargado bajo instrucciones documentadas, según el flujo efectivo.
3. Instrucciones, finalidad y duración
El operador tratará los datos únicamente según las instrucciones documentadas del controlador, para la provisión del sitio, seguridad, relación, infraestructura, análisis autorizado y ejecución de los servicios contratados. El procesamiento durará mientras exista una relación contractual o necesidad legal de retención.
4. Categorías de datos y titulares
- Titulares: visitantes, leads, clientes, representantes, colaboradores y contactos comerciales.
- Datos: identificación y contacto, datos profesionales, contenido enviado, datos del contrato, registros de navegación, IP, dispositivo, cookies, eventos, clics e información de seguridad.
- No se deben enviar datos sensibles, salvo necesidad expresa, base legal adecuada e instrucciones específicas.
5. Obligaciones del operador
- Procesar datos solo para los fines autorizados y mantener la confidencialidad.
- Adoptar controles técnicos y administrativos adecuados al riesgo, incluyendo cifrado aplicable, control de acceso, registros y gestión de vulnerabilidades.
- Apoyar al controlador en la asistencia a los titulares de datos, evaluaciones de impacto, auditorías razonables y obligaciones ante la ANPD.
- Notificar incidentes de seguridad sin demora indebida, proporcionando la información disponible para evaluación y cumplimiento de plazos legales.
- Eliminar o devolver los datos a la terminación, salvo obligaciones legales de retención.
6. Suboperadores
Pueden usarse suboperadores necesarios para la prestación de servicios, incluidos AWS, Google, Meta, Replit y Wix. El operador deberá imponer obligaciones de protección compatibles y responder por la selección y gestión de estos proveedores dentro de su ámbito de actuación.
Los cambios relevantes en la lista de suboperadores se informarán actualizando este documento o por canal contractual. Los clientes podrán presentar objeción fundamentada en la protección de datos, la cual será evaluada de buena fe.
7. Transferencia internacional
Las transferencias internacionales observarán los mecanismos previstos en la LGPD y en la reglamentación de la ANPD. Las partes adoptarán salvaguardas contractuales, organizativas y técnicas compatibles con el riesgo y el país de destino.
8. Intercambio comercial
Los datos tratados en nombre de los clientes no serán vendidos. Los datos controlados directamente por LUMUS solo podrán ser compartidos con socios con fines comerciales, incluso mediante remuneración, cuando exista consentimiento específico, destacado y revocable u otra base legal válida y claramente informada. La mera aceptación de la Política de Privacidad no constituye autorización.
9. Auditoría y responsabilidad
Previa solicitud razonable y deber de confidencialidad, el operador proporcionará información suficiente para demostrar cumplimiento. Cada parte será responsable por sus propias decisiones, instrucciones e infracciones, según la LGPD y el contrato aplicable.
10. Contactos y prevalencia del contrato específico
Asuntos de protección de datos: dpo@lumus.company. Asuntos legales: juridicolumus@biomebr.com. Este DPA público no sustituye el anexo de tratamiento de datos de una contratación específica, que deberá indicar objeto, duración, naturaleza, finalidad, categorías de datos, titulares e instrucciones particulares.