Contrato de Processamento de Dados

FARENIO ECOSSISTEMA

(GDPR Artigo 28)

1. FESTAS

Este Contrato de Processamento de Dados ("DPA") faz parte da relação contratual entre

GQ VENTURES SAS

Nome Comercial: FARENIO ("Processador") e O Cliente, Anfitrião, Gerente de Propriedade, Agência, Cliente Empresarial ou outra organização que usa a Plataforma FARENIO ("Controlador").

2. OBJETIVO

Este DPA rege o processamento de Dados Pessoais por FARENIO em nome do Controlador.

Satisfaz os requisitos de:

• Regulamento (EU) 2016/679 (GDPR)
• Lei Francesa de Proteção de Dados
• Reino Unido GDPR (quando aplicável)
• Outra legislação de privacidade aplicável.

3. DEFINIÇÕES

Salvo definição em contrário, os termos terão os significados indicados em GDPR.

Incluindo:

• Controlador
• Processador
• Titular dos dados
• Dados Pessoais
• Processamento
• Subprocessador
• Violação de dados pessoais
• Autoridade Supervisora

4. ASSUNTO

FARENIO processa dados pessoais exclusivamente para fornecer:

• SaaS serviços
• Serviços de mercado
• PMS integrações
• Operações de Propriedade
• Gestão de rotatividade
• Coordenação de fornecedores
• AI automação do fluxo de trabalho
• Suporte ao cliente

5. DURAÇÃO

O processamento continuará apenas pelo período necessário para a execução dos Serviços, a menos que uma retenção mais longa seja exigida por lei.

6. NATUREZA DO PROCESSAMENTO

O processamento pode incluir:

Coleção

Gravação

Organização

Estruturação

Armazenar

Recuperação

Consulta

Usar

Transmissão

Alinhamento

Restrição

Eliminação

Destruição

7. OBRIGAÇÕES PROCESSUAIS

FARENIO deverá:

Processe dados apenas de acordo com instruções documentadas.

Mantenha a confidencialidade.

Implemente a segurança apropriada.

Auxiliar o Controlador.

Notifique violações de dados pessoais.

Exclua ou retorne dados quando apropriado.

Permitir auditorias em condições razoáveis.

Manter registros de processamento.

8. CONFIDENCIALIDADE

FARENIO garantirá que cada funcionário, contratado e pessoa autorizada

tratamento de dados pessoais:

• está sujeito a obrigações de confidencialidade;
• recebe treinamento de privacidade apropriado;
• acessa apenas os dados necessários para os fins autorizados.

9. SEGURANÇA

FARENIO implementará Medidas Técnicas e Organizacionais (TOMs) apropriadas.

Anexo B.

10. SUBPROCESSOS

FARENIO poderá nomear Subprocessadores.

Anexo C.

FARENIO deverá:

Permaneça responsável por seu cumprimento.

Exigir contratos compatíveis com GDPR.

Notifique alterações materiais.

11. TRANSFERÊNCIAS INTERNACIONAIS

Onde os Dados Pessoais saem do EEE,

FARENIO usará salvaguardas apropriadas, incluindo:

Cláusulas Contratuais Padrão

Decisões de Adequação

Outros mecanismos de transferência legais.

Anexo D.

12. ASSISTÊNCIA

FARENIO auxiliará o Controlador em relação a:

Solicitações de acesso

Solicitações de exclusão

Solicitações de correção

Portabilidade

Restrição

Objeções

Avaliações de impacto

Consultas regulatórias

13. VIOLAÇÕES DE DADOS PESSOAIS

FARENIO notificará o Controlador sem demora injustificada após tomar conhecimento de uma violação de dados pessoais confirmada.

Anexo F.

14. RETORNO E EXCLUSÃO DE DADOS

Após a rescisão,

FARENIO deverá:

Excluir ou devolver dados pessoais, a menos que a retenção seja legalmente exigida.

15. DIREITOS DE AUDITORIA

O Controlador pode realizar auditorias razoáveis.

As auditorias devem:

Seja proporcional.

Proteja informações confidenciais.

Evite interrupções.

Estar sujeito a aviso prévio razoável.

16. RESPONSABILIDADE

A responsabilidade será regida por:

GDPR

O Acordo SaaS

O CGU/CGV

Lei aplicável.

17. LEI APLICÁVEL

Direito francês.

18. ACEITAÇÃO

O uso da Plataforma constitui aceitação deste DPA.

ANEXO A

DESCRIÇÃO DAS ATIVIDADES DE PROCESSAMENTO

Finalidade do Processamento

FARENIO processa Dados Pessoais para:

• Cadastro de usuário
• Verificação de identidade
• SaaS entrega
• Serviços de mercado
• Operações de Propriedade
• Limpeza de rotatividade
• PMS Sincronização
• Gestão de Fornecedores
• AI Agendamento
• AI Preços
• AI Despacho
• Suporte ao Cliente
• Cobrança
• Prevenção de Fraude
• DAC7 Relatórios
• AML/KYC Conformidade
• Análise
• Monitoramento de segurança

Categorias de dados pessoais

Dados de identidade

Dados de contato

Dados de propriedade

Dados de reserva

Dados dos convidados

Informações de pagamento

Informações comerciais

Informações do dispositivo

Dados de uso

Dados de localização (quando autorizado)

Registros de Comunicação

Solicitações de suporte

Fotos enviadas por provedores

Relatórios de inspeção

Dados operacionais gerados por AI

Categorias de titulares de dados

Anfitriões

Gerentes de Propriedade

Convidados

Limpadores

Empresas de limpeza

Fornecedores

Parceiros

Funcionários

Empreiteiros

Visitantes do site

Clientes em potencial

Contatos de suporte

Base jurídica

Artigo 6.º, n.º 1, alínea a)

Consentimento

Artigo 6.º, n.º 1, alínea b)

Contrato

Artigo 6.º, n.º 1, alínea c)

Obrigação Legal

Artigo 6.º, n.º 1, alínea f)

Interesses legítimos

Artigo 9.º, quando aplicável.

Operações de processamento

Coleção

Gravação

Armazenar

Recuperação

Organização

Análise

Correspondência

Sincronização

Relatórios

Eliminação

Anonimização

ANEXO B

MEDIDAS TÉCNICAS E ORGANIZACIONAIS (TOMs)

FARENIO implementa medidas de segurança, incluindo:

Governança

Programa de governança de privacidade

Política de Segurança da Informação

Avaliações de risco

Revisões Anuais

Controle de acesso

Acesso baseado em função

Menor privilégio

Autenticação multifator

Políticas de senha

Monitoramento de Acesso Privilegiado

Segurança de infraestrutura

Criptografia em trânsito (TLS)

Criptografia em repouso

Proteção de firewall

Segmentação de rede

Proteção de endpoint

Gerenciamento de vulnerabilidades

Gerenciamento de patches

Segurança de aplicativos

Ciclo de vida de desenvolvimento seguro

Revisão de código

Verificação de dependência

Teste de penetração

API Autenticação

Gerenciamento de sessão

Registro de auditoria

Segurança Operacional

Cópias de segurança

Recuperação de desastres

Continuidade de Negócios

Monitoramento

Gerenciamento de incidentes de segurança

Gestão de Riscos de Fornecedores

Segurança Pessoal

Acordos de Confidencialidade

Verificações de antecedentes onde são legais

Treinamento de conscientização de segurança

Procedimentos de revogação de acesso

ANEXO C

REGISTRO DE SUBPROCESSOS APROVADO

Localização dos dados de finalidade do serviço

Aplicativo de infraestrutura em nuvem

Hospedagem EU/EEA quando disponível

Processador de Pagamento Processamento de Pagamento De acordo com a infraestrutura do provedor

Provedor de e-mail transacional

Email EU/Global conforme acordado contratualmente

Notificações globais de provedores de SMS com proteções

Suporte ao Cliente

Tickets de suporte da plataforma EU/Global com salvaguardas

Análise da plataforma do provedor de análise agregada/pseudonimizada sempre que possível

AI Provedor de serviços AI Recursos De acordo com locais de processamento aprovados

Recuperação de desastres do provedor de backup EU/EEA sempre que possível

FARENIO manterá e atualizará este registro à medida que provedores de serviços forem adicionados, removidos ou substituídos.

ANEXO D

MECÂNICO INTERNACIONAL DE TRANSFERÊNCIA DE DADOSISMS

As transferências para fora do EEE basear-se-ão:

Decisões de Adequação ou Cláusulas Contratuais Padrão ou Outro mecanismo legal de transferência de GDPR.

Salvaguardas adicionais podem incluir:

Criptografia

Controles de acesso

Avaliações de impacto de transferência

Cláusulas de Segurança Contratual

Due Diligence do Fornecedor

ANEXO E

CRONOGRAMA DE RETENÇÃO DE DADOS

Período de retenção típico do tipo de dados

Registros da conta Duração da conta + período de retenção legal aplicável

Registros de reservas De acordo com obrigações legais, fiscais e contratuais

Registros de pagamento De acordo com as leis contábeis e fiscais aplicáveis

Tickets de suporte Conforme razoavelmente necessário para fins legais e de suporte

AI Logs Período limitado necessário para melhoria do serviço e segurança

Logs de auditoria de acordo com requisitos de segurança e conformidade

Consentimento de Marketing Até ser retirado ou não ser mais necessário

Logs de segurança De acordo com as necessidades de segurança cibernética e resposta a incidentes

Sempre que possível, os dados serão anonimizados em vez de retidos de forma identificável.

ANEXO F

PROCEDIMENTO DE RESPOSTA À VIOLAÇÃO DE DADOS PESSOAIS

Estágio 1

Detecção

Incidente identificado.

Contenção imediata iniciada.

Estágio 2

Avaliação

Determinar:

Natureza da violação

Categorias de dados

Número de indivíduos afetados

Riscos prováveis

Etapa 3

Contenção

Isole os sistemas afetados.

Revogue credenciais comprometidas.

Impedir novos acessos não autorizados.

Estágio 4

Notificação

Notifique o Controlador sem demora injustificada.

Onde legalmente exigido:

Notificar a Autoridade Supervisora.

Notifique os indivíduos afetados.

Estágio 5

Recuperação

Restaurar serviços.

Valide a segurança.

Monitorar sistemas.

Estágio 6

Documentação

Registro:

Linha do tempo

Causa raiz

Avaliação de impacto

Ações corretivas

Lições aprendidas

Mantenha um registro de violações de acordo com os requisitos de responsabilidade GDPR.

Estágio 7

Revisão pós-incidente

Faça uma revisão formal.

Implementar ações corretivas.

Atualize os controles de segurança.

Revise as políticas e o treinamento da equipe.

Revise as avaliações de risco sempre que necessário.