Última atualização: 19 de outubro de 2026
1. Escopo
Este Acordo de Tratamento de Dados (“DPA”) integra os Termos de Serviço celebrados entre a RentalSaga, Inc. (“RentalSaga”, “nós”) e a empresa cliente (“Cliente”, “você”). Ele se aplica sempre que tratamos dados pessoais em seu nome na prestação do Serviço (“Dados Pessoais do Cliente”). Ele entra em vigor quando você aceita os Termos, sem necessidade de assinatura separada.
Em relação aos Dados Pessoais do Cliente, você é o controlador e nós somos o seu operador. Quando você mesmo for operador para outra empresa, nós somos o seu suboperador, e você repassa esses compromissos de forma correspondente.
Termos como “dados pessoais”, “tratamento”, “controlador”, “operador”, “titular dos dados” e “incidente de segurança com dados pessoais” têm o significado que lhes é atribuído pelo Regulamento Geral sobre a Proteção de Dados da UE (“GDPR”), e os termos equivalentes de outras leis de proteção de dados se aplicam da mesma forma.
2. Detalhes do tratamento
Objeto e finalidade: hospedar e tratar os Dados Pessoais do Cliente para que você possa gerir o seu negócio de locação com o Serviço, e prestar suporte.
Duração: durante a vigência dos Termos de Serviço e até que os dados sejam excluídos conforme previsto na seção 10.
Natureza do tratamento: armazenamento, organização, exibição, transmissão (por exemplo, por e-mail), exportação e exclusão de dados, conforme instruído por meio do seu uso do Serviço.
Titulares dos dados: os seus locatários, condutores, clientes potenciais e os respectivos contatos; a sua equipe e os seus usuários; e contatos nos seus parceiros, fornecedores e clientes corporativos.
Categorias de dados: dados de identificação e de contato; endereços; datas de nascimento; dados da carteira de habilitação e de documentos de identidade; registros de reservas, locações, veículos e pagamentos; registros de danos, multas de trânsito e sinistros; e o conteúdo das mensagens enviadas por meio do Serviço. Números de cartões de pagamento não são tratados no Serviço.
Dados pessoais sensíveis não são necessários para o Serviço. Você não deve inseri-los, a menos que a sua legislação local o exija e você tenha uma base legal para fazê-lo.
3. Nossas obrigações
Tratamos os Dados Pessoais do Cliente apenas mediante as suas instruções documentadas. As suas instruções são estes Termos, este DPA e o seu uso e a sua configuração do Serviço. Se formos obrigados por lei a tratá-los de outra forma, informamos você previamente, salvo se a lei o proibir. Se entendermos que uma instrução viola a legislação de proteção de dados, informamos você.
Garantimos que as pessoas que autorizamos a tratar os Dados Pessoais do Cliente estejam sujeitas a dever de confidencialidade.
Não vendemos os Dados Pessoais do Cliente, não os usamos para os nossos próprios fins nem para publicidade, e não os combinamos com outros dados, exceto para prestar o Serviço.
4. Segurança
Mantemos medidas técnicas e administrativas adequadas ao risco, incluindo: criptografia dos dados em trânsito; um banco de dados separado para cada empresa cliente; criptografia dos campos pessoais sensíveis com uma chave específica de cada empresa; senhas armazenadas como hashes e verificação em duas etapas opcional; direitos de acesso limitados por função dentro do Serviço; acesso restrito e autenticado aos sistemas de produção; registro de logins e de alterações; backups regulares; e a atualização do nosso software e da nossa infraestrutura.
Podemos atualizar essas medidas ao longo do tempo, desde que o nível geral de proteção não seja reduzido.
5. Suboperadores
Você nos autoriza a utilizar outras empresas para auxiliar na prestação do Serviço, por exemplo para hospedagem, armazenamento, envio de e-mails e proteção contra bots (“suboperadores”). A lista atual está disponível mediante solicitação em [email protected].
Impomos contratualmente a cada suboperador obrigações de proteção de dados que protejam os Dados Pessoais do Cliente no mínimo tão bem quanto este DPA, e permanecemos responsáveis pelo desempenho deles.
Notificamos você antes de adicionarmos ou substituirmos um suboperador. Você pode se opor, por motivos razoáveis relacionados à proteção de dados, no prazo de 30 dias a contar da notificação. Se não pudermos atender razoavelmente à sua objeção, você poderá encerrar o Serviço afetado, e reembolsaremos quaisquer valores pagos antecipadamente referentes ao período posterior ao encerramento.
6. Transferências internacionais
O Serviço é hospedado principalmente na União Europeia. Os Dados Pessoais do Cliente podem ser tratados em outros países, inclusive nos Estados Unidos, onde estão localizados a RentalSaga, Inc. e alguns suboperadores.
Quando uma transferência exigir salvaguardas nos termos do GDPR, do GDPR do Reino Unido, da legislação suíça ou de outra lei, as Cláusulas Contratuais-Padrão da Comissão Europeia (Módulo 2, de controlador para operador, ou Módulo 3, de operador para operador, conforme o caso) são incorporadas a este DPA por referência, juntamente com o Adendo de Transferência Internacional de Dados do Reino Unido e os ajustes suíços, quando aplicáveis. Para fins das Cláusulas: aplica-se a cláusula de adesão opcional; a autorização geral da seção 5 aplica-se aos suboperadores; a Cláusula 17 e a Cláusula 18 remetem à lei e aos tribunais da Irlanda; e os detalhes da seção 2 e as medidas da seção 4 completam os Anexos.
7. Como auxiliamos você
Solicitações de titulares dos dados: o Serviço permite que você acesse, corrija, exporte e elimine os dados pessoais dos seus locatários e usuários. Se você não puder fazer algo por meio do Serviço, nós o auxiliamos na medida do razoavelmente possível. Se um titular dos dados entrar em contato diretamente conosco a respeito de Dados Pessoais do Cliente, encaminhamos a solicitação a você e não a respondemos nós mesmos, a menos que você nos peça.
Avaliações e autoridades: fornecemos a você informações e auxílio razoáveis para avaliações de impacto à proteção de dados e consultas a autoridades relativas ao Serviço.
8. Incidentes de segurança com dados pessoais
Notificamos você sem demora injustificada e, em qualquer caso, em até 48 horas após tomarmos conhecimento de um incidente de segurança com dados pessoais que afete os Dados Pessoais do Cliente. Informamos o que sabemos sobre a sua natureza, os dados e as pessoas afetados, as suas prováveis consequências e as medidas adotadas ou propostas, e complementamos as informações à medida que se tornarem disponíveis.
Adotamos medidas razoáveis para conter o incidente e limitar os seus efeitos. A nossa notificação não constitui reconhecimento de culpa.
9. Solicitações de autoridades
Se uma autoridade pública nos solicitar Dados Pessoais do Cliente, nós a remetemos a você sempre que possível, notificamos você, salvo se a lei o proibir, e divulgamos apenas o que formos legalmente obrigados a divulgar, após avaliar a legalidade da solicitação.
10. Devolução e exclusão
Você pode exportar os seus dados do Serviço a qualquer momento enquanto a sua conta estiver ativa e, quando encerrar a sua conta, por 30 dias após o fim do período pago.
No 90º dia após essa data de término, excluímos permanentemente os Dados Pessoais do Cliente, salvo se uma lei nos obrigar a manter parte deles. As cópias em backups são excluídas à medida que os backups expiram e, até lá, permanecem protegidas por este DPA.
11. Auditorias
Mediante solicitação, fornecemos a você as informações razoavelmente necessárias para demonstrar que cumprimos este DPA, como respostas a questionários de segurança e descrições das nossas medidas.
Se essas informações não forem suficientes, ou se uma autoridade o exigir, você poderá auditar a nossa conformidade uma vez por ano, mediante aviso prévio por escrito de pelo menos 30 dias, em horário comercial, às suas próprias custas e por meio de um auditor sujeito a dever de confidencialidade que não seja nosso concorrente. A auditoria não deve comprometer a segurança do Serviço nem os dados de outros clientes.
12. Suas obrigações
Você é responsável pela licitude dos Dados Pessoais do Cliente que insere no Serviço e das suas instruções: dispor de uma base legal, informar os titulares dos dados por meio do seu próprio aviso de privacidade e manter apenas os dados de que necessita.
13. Outras leis de privacidade
Quando a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act) se aplicar, atuamos como seu prestador de serviços: não vendemos nem compartilhamos Dados Pessoais do Cliente, não os retemos, usamos ou divulgamos fora da nossa relação comercial direta com você nem para qualquer finalidade que não seja a prestação do Serviço, e não os combinamos com outros dados, exceto na medida permitida pela lei.
Quando a LGPD do Brasil ou outra lei nacional se aplicar, atuamos como seu operador ou processador nos termos dessa lei, e os compromissos deste DPA se aplicam com o mesmo efeito.
14. Responsabilidade e ordem de prevalência
A responsabilidade de cada parte nos termos deste DPA está sujeita aos limites dos Termos de Serviço, exceto quando a lei não os permitir. Em caso de conflito entre este DPA e os Termos no que se refere a dados pessoais, prevalece este DPA; se as Cláusulas Contratuais-Padrão forem aplicáveis e conflitarem com este DPA, prevalecem as Cláusulas.
15. Contato
Dúvidas sobre este DPA ou sobre como tratamos dados pessoais em seu nome? Envie um e-mail para [email protected].