Seus registros, tratados conforme suas instruções.

1. Quem faz o quê

Este adendo se aplica quando o seu negócio usa a Rosa ONE para os registros dos seus clientes e da sua equipe. Para esses registros, o seu negócio é o controlador e a Rosa Group Ltd é a operadora, nos termos da LGPD (no Reino Unido, controller e processor). A Rosa Group é controladora das informações que usa para as próprias contas, assinaturas, suporte e segurança, como explica a nossa Política de Privacidade.

Ele vale enquanto tratarmos esses registros: durante o uso da Rosa ONE pelo seu negócio e até que os registros sejam excluídos, como descreve a seção 9. Se este adendo e os Termos de Serviço divergirem sobre dados pessoais, prevalece este adendo.

2. O que tratamos e por quê

Finalidade e natureza: oferecer, proteger e dar suporte à Rosa ONE para o seu negócio: guardar e organizar os registros, executar o que as pessoas autorizadas pedem no painel e pela Rosa, enviar as mensagens que o negócio ativa e oferecer os recursos da assistente descritos na nossa Política de Privacidade.

Titulares: os clientes do seu negócio e as pessoas que entram em contato com ele, os integrantes da equipe e outras pessoas citadas nos registros, como fornecedores. Dados: nomes, telefones e e-mails; agendamentos e serviços; registros de pagamento (nunca números completos de cartão); mensagens e a situação da entrega; anotações da equipe; agendas, funções, custos e divisões de receita da equipe; conversas com a assistente e, quando as mensagens de voz estão ativadas, as transcrições delas.

A Rosa ONE não foi criada para dados de saúde ou outros dados pessoais sensíveis: não os registre. Não vendemos dados pessoais nem usamos os seus registros para publicidade, e só os usamos para oferecer a Rosa ONE a você, salvo exigência legal. As mensagens do WhatsApp, inclusive as de voz, nunca são usadas para treinar ou aprimorar modelos de IA. Podemos produzir estatísticas anônimas sobre o uso da Rosa ONE, como contagens de agendamentos ou de pedidos à assistente, somente de forma que não identifique nenhuma pessoa nem nenhum negócio, para operar e melhorar a Rosa ONE.

3. As suas instruções

Tratamos esses registros somente conforme as suas instruções documentadas: estes termos, este adendo, as suas configurações e o que as pessoas que você autoriza pedem à Rosa ONE. Se entendermos que uma instrução viola a legislação de proteção de dados, avisaremos você e poderemos deixar de segui-la. Se a lei nos obrigar a tratar os registros de outra forma, avisaremos você antes, salvo se a lei proibir.

As pessoas que autorizamos a acessar os registros, inclusive a nossa equipe, têm dever de confidencialidade e só os acessam quando necessário para oferecer, dar suporte e proteger o serviço.

4. Segurança

Protegemos os registros com medidas adequadas ao risco, como HTTPS, credenciais e backups criptografados, um banco de dados e um ambiente de execução separados para cada negócio, controle de acesso e permissões por função, proteções de acesso e testes de restauração dos backups. Revisamos essas medidas conforme a Rosa ONE muda.

5. Suboperadores

Você autoriza o uso dos provedores listados abaixo, que tratam registros do espaço para nós nas funções indicadas. Cada um está sujeito a termos escritos que protegem os dados pelo menos tanto quanto este adendo, e continuamos responsáveis perante você por eles.

Avisaremos os responsáveis pelo seu negócio sobre um novo provedor pelo menos 30 dias antes de ele começar a tratar os seus registros, por e-mail e nesta página, salvo quando uma mudança urgente for necessária para manter o serviço seguro ou funcionando; nesse caso, avisaremos assim que possível. Se você se opuser por motivos razoáveis de proteção de dados, conversaremos com você; se não conseguirmos resolver a objeção, você poderá cancelar o serviço afetado e reembolsaremos o período pago antecipadamente e não utilizado.

6. Transferências internacionais

A Rosa ONE está hospedada nos Estados Unidos (Ashburn, Virgínia), com backups criptografados na Finlândia. A Rosa Group está estabelecida no Reino Unido; nossa equipe de suporte autorizada e nossos provedores podem tratar dados em outros países, conforme a nossa Política de Privacidade e os termos deles.

Dados do Reino Unido: quando a legislação britânica restringir uma transferência, nós e os nossos provedores usamos as decisões de adequação do Reino Unido, incluindo a ponte de dados entre o Reino Unido e os Estados Unidos quando o destinatário é certificado, ou o Acordo Internacional de Transferência de Dados do Reino Unido (IDTA) ou o Adendo do Reino Unido às cláusulas contratuais-padrão da União Europeia. Dados do Espaço Econômico Europeu: uma decisão de adequação ou as cláusulas contratuais-padrão da União Europeia.

Dados do Brasil: quando a LGPD se aplicar a uma transferência, as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) fazem parte deste adendo, com o seu negócio como exportador e a Rosa Group como importadora, atuando como sua operadora; exigimos proteção equivalente dos provedores que recebem os dados. Mediante solicitação, enviamos uma cópia das cláusulas aplicáveis aos seus registros.

7. Pedidos e assistência

Se alguém nos pedir acesso, correção, exclusão ou portabilidade de dados guardados no seu espaço, encaminharemos o pedido prontamente a você e não o responderemos diretamente, exceto para informar que o encaminhamos. O painel e as exportações permitem atender à maioria dos pedidos; para os demais, ajudamos você.

Ajudamos você, na medida do razoável, com os seus deveres de segurança, relatórios de impacto à proteção de dados e consultas às autoridades, considerando o tratamento e as informações de que dispomos. Se uma autoridade nos pedir os seus registros, avisaremos você, salvo proibição legal, pediremos que a autoridade procure você, contestaremos um pedido ilegal, divulgaremos apenas o que a lei exigir e manteremos um registro do pedido.

8. Se algo der errado

Se tomarmos conhecimento de um incidente de segurança que afete dados pessoais dos registros do seu espaço, avisaremos os responsáveis pelo seu negócio sem demora injustificada e, em qualquer caso, em até 48 horas, por e-mail. Informaremos o que aconteceu e quando, os tipos de dados e o número aproximado de pessoas afetadas, as consequências prováveis, o que fizemos e faremos para conter o incidente e com quem falar; se ainda não soubermos tudo, informaremos o que sabemos e atualizaremos você conforme soubermos mais.

Ajudamos você a cumprir os seus próprios deveres: no Brasil, comunicar a ANPD e os titulares afetados em até 3 dias úteis quando o incidente puder acarretar risco ou dano relevante a eles; no Reino Unido, comunicar o ICO em até 72 horas depois de tomar conhecimento de um incidente que coloque em risco os direitos das pessoas; e avisar as pessoas afetadas sempre que a lei exigir. Não comunicamos um incidente com os seus registros aos seus clientes ou a uma autoridade em seu nome sem a sua concordância, salvo exigência legal. Mantemos registro de todos os incidentes, inclusive dos que não exigem comunicação.

9. Quando o serviço termina

Antes de encerrar uma conta, você pode exportar os seus registros ou pedir a nossa ajuda. Depois que o serviço termina, não excluímos os seus registros por prazo automático: eles são excluídos após a revisão de uma pessoa autorizada, como descrevem os nossos Termos de Serviço, salvo quando a lei exigir que parte deles seja mantida. As cópias nos nossos backups criptografados são usadas apenas para recuperar o serviço, e as cópias externas expiram em até 12 meses. Mediante solicitação, confirmamos por escrito quando a exclusão for concluída.

10. Como comprovamos o cumprimento

Mediante solicitação, fornecemos as informações de que você razoavelmente precisa para verificar que cumprimos este adendo, como este documento, a nossa Política de Privacidade e um resumo das nossas medidas de segurança. Se isso não bastar, você, ou um auditor sujeito a confidencialidade, poderá auditar o nosso cumprimento uma vez por ano, com 30 dias de antecedência, às suas custas e sem acesso a dados de outros negócios; também cooperamos com uma auditoria exigida por uma autoridade.

11. Estados Unidos e outras leis

Quando uma lei estadual de privacidade dos Estados Unidos se aplicar, atuamos como seu prestador de serviços ou operador: não vendemos nem compartilhamos as informações pessoais do seu espaço, nem as guardamos, usamos ou divulgamos para qualquer finalidade além de oferecer a Rosa ONE a você, e avisaremos você se não pudermos mais cumprir esses deveres. Quando outra lei de proteção de dados se aplicar aos seus registros, seguimos as partes deste adendo que atendem às exigências dela e trabalhamos com você no que mais ela exigir.

Este adendo segue a mesma legislação dos Termos de Serviço (seção 14). Os nossos Termos de Serviço explicam como cada um de nós pode apresentar uma preocupação.