Adendo de Processamento de Dados Pessoais Menelier (DPA)

Data de vigência: 1º de setembro de 2026
Versão: 2026-09-01-professional-legal-review

Este Adendo de Processamento de Dados ("DPA") faz parte dos Termos de Serviço da Menelier ou de outro contrato (o "Contrato") entre o cliente identificado no Contrato ("Cliente") e Martin Mayer, operador de Menelier ("Menelier").

1. Escopo e funções

Este DPA aplica-se quando Menelier trata dados pessoais em nome do Cliente para prestar o serviço Menelier.

O Cliente atua como controlador e Menelier como operador quando o Cliente carrega, cria, importa, publica ou de outra forma envia dados pessoais relativos a seus funcionários, prestadores, fornecedores, convidados ou outras pessoas ("Dados Pessoais do Cliente").

Menelier continua sendo um controlador independente dos dados que processa para seus próprios fins, incluindo administração de contas, faturamento direto, registros fiscais, segurança, prevenção de fraudes, comunicações de serviços e sua própria conformidade legal. Essas atividades são cobertas pela Política de Privacidade da Menelier e estão fora deste DPA.

2. Instruções do cliente

A Menelier processará apenas os Dados Pessoais do Cliente:

• para fornecer, proteger, manter e apoiar o serviço sob o Contrato;
• de acordo com o uso e configuração documentados do serviço pelo Cliente;
• em instruções adicionais documentadas acordadas pelas partes; ou
• quando o processamento for exigido pela lei aplicável, caso em que a Menelier informará o Cliente antes do processamento, a menos que a lei proíba a notificação.

O Contrato, este DPA, o uso do serviço pelo Cliente e as solicitações de suporte constituem instruções documentadas.

O Cliente é responsável por garantir que suas instruções e Dados Pessoais do Cliente estejam em conformidade com a lei aplicável, que tenha uma base legal para o processamento e que forneça as informações necessárias aos titulares dos dados.

3. Detalhes do tratamento

O objeto, a natureza, a finalidade e a duração do tratamento, juntamente com as categorias de dados e os titulares dos dados, estão descritos no Anexo 1.

4. Confidencialidade

A Menelier garantirá que as pessoas autorizadas a processar os Dados Pessoais do Cliente estejam vinculadas a obrigações de confidencialidade e recebam acesso apenas na medida necessária para o seu trabalho.

5. Segurança

Tendo em conta o estado da arte, os custos de implementação, o contexto de processamento e os riscos, a Menelier manterá medidas técnicas e organizacionais adequadas destinadas a proteger os Dados Pessoais do Cliente contra destruição, perda, alteração, divulgação ou acesso não autorizado, acidental ou ilícito.

As medidas atuais são descritas no Anexo 2. Menelier pode atualizá-las, desde que o nível geral de proteção não seja significativamente reduzido.

6. Suboperadores

O Cliente concede à Menelier autorização geral por escrito para contratar suboperadores necessários para fornecer o Serviço. Os suboperadores autorizados a partir da Data de Vigência estão listados no Anexo 3. A Menelier notificará o Cliente por escrito pelo menos 30 dias antes de adicionar ou substituir um suboperador, dando ao Cliente a oportunidade de se opor por motivos razoáveis ​​de proteção de dados.

Menelier irá:

• exigir que cada suboperador, por acordo escrito, assuma as mesmas obrigações de proteção de dados impostas à Menelier por este DPA, na medida aplicável ao processamento do suboperador, incluindo os requisitos do Artigo 28(4) do RGPD;
• permanecer responsável ​​pelo desempenho do suboperador de suas obrigações de proteção de dados na medida exigida pela lei aplicável; e
• avisar com antecedência razoável sobre um novo suboperador por meio da lista publicada, e-mail ou serviço.

O Cliente pode se opor a um novo suboperador por motivos razoáveis de proteção de dados dentro 15 dias após notificação. As partes trabalharão de boa fé para encontrar uma solução razoável. Se nenhuma solução estiver disponível, qualquer uma das partes poderá encerrar o serviço afetado; qualquer reembolso é regido pelo Contrato e pela lei aplicável.

7. Assistência ao Cliente

Considerando a natureza do processamento e das informações disponíveis para a Menelier, a Menelier ajudará razoavelmente o Cliente com:

• responder a solicitações dos titulares dos dados;
• obrigações de segurança e violação de dados pessoais;
• avaliações de impacto na proteção de dados; e
• consulta prévia com uma autoridade supervisora, quando necessário.

Se a Menelier receber uma solicitação diretamente de um titular de dados relativa aos Dados Pessoais do Cliente, a Menelier redirecionará o solicitante para o Cliente sempre que razoavelmente possível e não atenderá a solicitação de forma independente, a menos que o Cliente o instrua ou a lei exija.

O Cliente reembolsará os custos razoáveis ​​por assistência excepcionalmente extensa não causada pela violação da Menelier, se acordado antecipadamente.

8. Violações de dados pessoais

A Menelier notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A notificação incluirá informações disponíveis razoavelmente necessárias para as obrigações legais do Cliente, que poderão ser fornecidas em fases à medida que a investigação se desenvolve.

A notificação de Menelier não é uma admissão de culpa ou responsabilidade.

Contato de segurança: info@menelier.com

9. Exclusão e devolução

Durante a vigência do serviço, o Cliente poderá usar as funções de exportação e exclusão disponíveis.

Após o término ou a expiração do serviço, Menelier, à escolha do Cliente, excluirá ou devolverá os Dados Pessoais do Cliente, salvo se o direito da União Europeia ou de um Estado-Membro exigir sua conservação. Os dados mantidos em backups protegidos serão excluídos de acordo com o ciclo normal de backups e permanecerão sujeitos a este DPA enquanto forem conservados.

Período de exclusão operacional: A exclusão self-service de um usuário inclui um período de 14 dias durante o qual a solicitação pode ser cancelada. Instruções verificadas para exclusão de uma conta completa são tratadas sem demora indevida e normalmente em até 30 dias, observadas a verificação de titularidade da conta, as obrigações legais de retenção e as dependências técnicas.
Período de retenção de backup: 35 days

A Menelier poderá reter dados do controlador, como faturas, registros de segurança da conta e comprovante de aceitação legal, nos termos da Política de Privacidade e da legislação aplicável.

10. Auditorias e informações

A Menelier disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade com o Artigo 28 do RGPD. O Cliente poderá solicitar documentação de segurança relevante ou relatórios independentes, quando disponíveis.

Se essas informações forem insuficientes, o Cliente poderá realizar uma auditoria no máximo uma vez por ano, exceto após um incidente material ou quando uma autoridade supervisora ​​exigir o contrário. As auditorias devem:

• ser organizado com antecedência razoável;
• ocorrer durante o horário comercial normal;
• evitar interrupção e acesso aos dados de outros clientes;
• ser realizadas pelo Cliente ou por auditor independente qualificado por ele designado, em ambos os casos sujeito a obrigações adequadas de confidencialidade; e
• respeite os requisitos razoáveis de segurança de Menelier.

O cliente arca com seus custos de auditoria, a menos que a auditoria identifique uma violação material por parte da Menelier.

11. Transferências internacionais

A Menelier não transferirá Dados Pessoais do Cliente para fora do Espaço Econômico Europeu ou de outra região de origem, violando as regras de transferência aplicáveis.

Quando necessário, as partes confiarão em uma decisão de adequação, nas Cláusulas Contratuais Padrão da Comissão Europeia, nas Cláusulas Contratuais Padrão da UE-EUA. Estrutura de privacidade de dados para um destinatário elegível ou outra salvaguarda válida. Os módulos de transferência aplicáveis ​​e as medidas complementares serão incorporados por referência ou disponibilizados mediante solicitação.

Região de hospedagem principal: República Tcheca
Detalhes do mecanismo de transferência: A hospedagem principal e os backups criptografados estão localizados na União Europeia. O tratamento opcional por IA pode envolver transferências para a OpenAI e seus suboperadores. Quando uma transferência para fora do EEE exigir uma garantia adequada, a Menelier utiliza os mecanismos previstos nos termos de tratamento de dados aplicáveis da OpenAI, incluindo, conforme o caso, Cláusulas Contratuais Padrão ou um mecanismo de adequação aplicável.

12. Instruções incompatíveis com a legislação

A Menelier informará imediatamente o Cliente se, na sua opinião razoável, uma instrução infringir a lei de proteção de dados aplicável. A Menelier poderá suspender o tratamento afetado até que as partes resolvam a questão.

13. Responsabilidade e hierarquia de documentos

A responsabilidade sob este DPA está sujeita às disposições de responsabilidade do Contrato, exceto quando a lei aplicável exigir o contrário.

Se este DPA entrar em conflito com o Contrato sobre processamento de Dados Pessoais do Cliente, este DPA prevalecerá. Se as cláusulas contratuais padrão aplicáveis ​​entrarem em conflito com este DPA, essas cláusulas prevalecerão a transferência relevante.

14. Vigência

Este DPA permanece em vigor enquanto a Menelier processa os Dados Pessoais do Cliente em nome do Cliente.

Anexo 1 - Descrição do tratamento

Anexo 2 - Medidas técnicas e organizacionais

• criptografia de transporte usando HTTPS/TLS;
• hashing de senha usando hashing de senha PHP atual;
• acesso baseado em funções e separação do espaço de trabalho do cliente;
• superadministrador restrito e acesso de produção;
• Proteção CSRF, tratamento seguro de sessões e verificação de e-mail;
• webhooks Stripe assinados e validação de eventos de pagamento;
• limitação de taxa, prevenção de abuso e registro de auditoria/segurança;
• armazenamento privado para uploads não públicos e publicação pública controlada;
• restrições de acesso a banco de dados, arquivos e backup;
• processo de manutenção de vulnerabilidades e dependências: Vulnerabilidades divulgadas publicamente que afetem componentes usados pela Menelier são avaliadas de acordo com sua gravidade e relevância. Correções de segurança e atualizações de dependências são aplicadas como parte da manutenção contínua, com prioridade para questões de segurança relevantes.;
• frequência de backup e testes de restauração: A Menelier cria diariamente um backup criptografado da aplicação que abrange o banco de dados e uploads privados, mantém uma cópia criptografada remota no WEDOS Disk, monitora a atualidade dos backups e conserva os backups da aplicação por 35 dias. O procedimento de validação de restauração descriptografou e inspecionou com sucesso um arquivo de backup de produção; atualmente não é garantido um exercício completo e periódico de recuperação de desastre.;
• resposta e escalonamento de incidentes: Incidentes de segurança são tratados pelo Operador de acordo com as circunstâncias, incluindo contenção, avaliação de impacto, correção e documentação. Clientes afetados e autoridades competentes são informados quando exigido pela legislação aplicável ou pelo contrato.;
• revisão e desligamento do acesso da equipe/contratado: O acesso administrativo é restrito ao Operador e a prestadores especificamente autorizados, de acordo com o princípio da necessidade de conhecimento. Os direitos de acesso são revistos quando funções ou vínculos mudam e são revogados sem demora indevida quando deixam de ser necessários.;
• controles de exclusão e retenção de dados: Os Dados Pessoais do Cliente são excluídos ou anonimizados após uma solicitação válida de exclusão ou o encerramento do Serviço, salvo quando a retenção for exigida pela legislação aplicável ou necessária para constituir, exercer ou defender direitos em processos ou reclamações. A exclusão self-service de um usuário inclui um período de 14 dias para cancelamento da solicitação. Dados excluídos podem permanecer em backups criptografados por até 35 dias.;
• objetivos de continuidade e recuperação de negócios: A recuperação do Serviço utiliza hospedagem WEDOS, backups criptografados diários da aplicação e uma cópia criptografada separada no WEDOS Disk. A Menelier não garante atualmente um Recovery Time Objective (RTO) ou Recovery Point Objective (RPO) específico; a recuperação é realizada com esforços razoáveis.

Anexo 3 – Suboperadores iniciais

Anexo 4 - Partes

Cliente / Controlador

O cliente identificado no Contrato ou na conta Menelier.

Menelier / Operador

• Nome legal: Martin Mayer
• Endereço: Holubice 366, 68351 Holubice
• N.º de identificação (IČO): 73507351
• N.º fiscal/IVA (DIČ): CZ8003301680
• Contato: info@menelier.com
• Telefone: +420 724 548 554