Adendo de Tratamento de Dados

Escopo

Este Adendo de Tratamento de Dados (“DPA”) integra os Termos de serviço sempre que o seu uso do Storelift envolver dados pessoais protegidos pelo GDPR da UE, pelo UK GDPR ou pela Lei nº 6.698 da Turquia (KVKK).

Clientes Enterprise que precisem de uma via contra-assinada podem solicitá-la em hello@storelift.net; o texto é o mesmo desta página.

Papéis

Você é o controlador dos dados pessoais que traz para o Storelift: os membros da sua equipe, as avaliações dos seus apps e os relatórios das contas que você conecta. O Storelift, operado por Volkan Günay (pessoa física na Turquia), trata esses dados em seu nome, na qualidade de operador.

Quanto aos dados de que precisamos para manter a sua própria conta (o seu e-mail de login, a cobrança e os registros de segurança), o Storelift é controlador independente, conforme descrito na Política de Privacidade.

De quem são os dados e por quê

Tratamos esses dados para fornecer os recursos que você usa: medir os seus apps e gerar relatórios sobre eles, redigir rascunhos de respostas e sugestões quando você usa os recursos de IA, enviar os alertas e relatórios que você configura e responder às suas solicitações de suporte. Isso envolve armazenar, ler, combinar, enviar aos destinatários indicados neste DPA e excluir os dados.

As pessoas a quem eles podem se referir:

• A sua equipe: as pessoas que você convida para o seu espaço de trabalho.
• Autores de avaliações: pessoas que publicaram uma avaliação pública dos seus apps na App Store ou no Google Play.
• Usuários finais dos seus apps: pessoas cujos eventos de assinatura ou compra chegam até nós por um webhook do RevenueCat ou da Adapty que você configurou.
• Qualquer pessoa cujas informações pessoais apareçam em um texto que você nos envia, como uma pergunta aos recursos de IA ou uma mensagem ao suporte.

O que tratamos

• Membros da equipe: nome, endereço de e-mail, função e o registro de auditoria das alterações que fizeram.
• Avaliações nas lojas de apps: o texto da avaliação, a nota e o nome de exibição público de quem avaliou, além das respostas que você escreve.
• Contas conectadas (App Store Connect, Google Play, Apple Ads, RevenueCat, Google Analytics, AdMob, Adapty): relatórios agregados, como downloads, receita, sessões e gasto com campanhas.
• Os webhooks do RevenueCat e da Adapty incluem também eventos de assinatura e compra e identificadores de usuário ou perfil associáveis a um usuário final do app, com informações de produto, loja, país, valor e origem ou coorte. Os registros de eventos normalizados recebem uma configuração de retenção de 400 dias, e os registros de usuário ou coorte, de 800 dias; algumas atualizações de registros de usuário renovam esse prazo. Registros vencidos são removidos em segundo plano.
• Recursos de IA: perguntas, contexto da conversa e da página, texto de avaliações e dados relevantes de relatórios acessados dentro das permissões do usuário. Informações pessoais contidas nessas entradas podem ser enviadas ao fornecedor de IA. As perguntas e respostas do Ask, os nomes das ferramentas, o usuário que fez a pergunta, as informações do modelo e os comentários são armazenados no histórico do espaço de trabalho com uma configuração de retenção de 90 dias; o acesso depende das funções e das permissões de dados. Isso é independente da retenção nos sistemas do próprio fornecedor.
• Suporte: as mensagens que você nos envia.
• Duração: os prazos específicos acima se aplicam a esses registros; os demais dados da conta são mantidos enquanto a conta permanecer aberta, e depois a exclusão segue o processo descrito abaixo.

Nossos compromissos

• Tratamos os dados somente conforme as suas instruções documentadas: estes termos, as suas configurações e as ações que você realiza no produto.
• Todas as pessoas com acesso a eles estão obrigadas à confidencialidade.
• Ajudamos você a responder às solicitações dos titulares dos dados: membros da equipe e conexões podem ser alterados e removidos em Configurações, e, mediante solicitação, enviamos uma cópia dos dados ou os excluímos.
• Ajudamos nas avaliações de impacto sobre a proteção de dados e nas consultas às autoridades quando você solicita, com as informações de que dispomos.
• Ao fim do serviço, excluímos os dados conforme descrito abaixo.

Medidas de segurança

• Os dados ficam armazenados na AWS em Frankfurt (eu-central-1) e são criptografados em repouso; todas as conexões usam TLS.
• As chaves de conexão recém-salvas são seladas com o AWS KMS e vinculadas à sua conta. Registros criptografados mais antigos podem continuar usando o contexto anterior até serem salvos de novo; a conclusão dessa migração não foi verificada. Os serviços de tratamento autorizados que precisam das chaves para fornecer os recursos conectados podem descriptografá-las. Nenhuma tela e nenhuma resposta da API devolve as chaves de conexão armazenadas.
• As chaves de API são armazenadas apenas como hash SHA-256 e exibidas uma única vez.
• As funções do espaço de trabalho (leitor, membro, administrador, dono) limitam quem pode alterar o quê; toda alteração fica em um registro de auditoria por 365 dias.
• Os backups contínuos com recuperação para um ponto no tempo e a rotação de chaves do KMS estão ativados.
• Mais detalhes: Confiança.

Suboperadores

A lista atual está em Suboperadores. Avisamos os inscritos nessa página com pelo menos 30 dias de antecedência antes de um novo suboperador começar a tratar dados pessoais.

Você pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo. Se não conseguirmos resolver a objeção, você pode encerrar o serviço afetado antes de a mudança entrar em vigor.

Impomos a cada suboperador condições de proteção de dados no mínimo tão protetivas quanto as deste DPA e continuamos responsáveis pelo trabalho deles.

Transferências internacionais

Os dados do próprio Storelift permanecem na UE (Frankfurt). Quando um suboperador trata dados pessoais fora do EEE, do Reino Unido ou da Turquia, a transferência se apoia em uma decisão de adequação ou nas Cláusulas Contratuais Padrão da Comissão Europeia e, no caso da Turquia, nos contratos-padrão previstos no artigo 9º da KVKK.

Violações de dados pessoais

Notificamos você sem demora injustificada e, no máximo, em até 72 horas depois de tomarmos conhecimento de uma violação que afete os seus dados, com o que soubermos naquele momento: a natureza da violação, as categorias e o número aproximado de registros, as consequências prováveis e as medidas adotadas. Acrescentamos detalhes à medida que os apuramos.

Auditorias

Respondemos a um questionário de segurança razoável uma vez por ano, sem custo; envie-o para hello@storelift.net. Clientes Enterprise podem acordar outras condições de auditoria em contrato.

Exclusão ao fim do serviço

A exclusão da conta tem uma janela de recuperação de 30 dias. Após esse prazo, uma tarefa programada limpa os registros da conta e dos apps no banco de dados principal e solicita a remoção dos registros de login. Um marcador mínimo de conta excluída tem uma configuração de expiração de mais 30 dias; os registros vencidos são removidos de forma assíncrona. Os backups expiram conforme a própria política de retenção. Totais anônimos e caches compartilhados de dados públicos das lojas são tratados à parte.

Os registros financeiros necessários à contabilidade são mantidos separadamente pelo Storelift e pela Polar pelos prazos exigidos por suas respectivas obrigações. Registros de bloqueio de e-mail são mantidos para evitar que e-mails indesejados sejam enviados de novo. As cópias já enviadas aos destinos que você conecta seguem as configurações de retenção desses destinatários. Consulte a Política de Privacidade para ver o processo de exclusão da conta e como falar conosco sobre os seus dados.

Se quiser uma cópia dos dados antes da exclusão, peça em hello@storelift.net enquanto a conta estiver aberta ou durante a janela de recuperação.

Contato

Dúvidas sobre este DPA: hello@storelift.net.