Esta tradução é fornecida para a sua conveniência. A versão em inglês é a que prevalece. English
Última atualização: 11 de outubro de 2026
Este aditivo (“DPA”) faz parte dos Termos de Serviço do HolaReply para Shopify e dos termos de serviço do HolaReply para qualquer site, celebrado entre o lojista ou proprietário do site (“você”, o controlador) e a SEO Agency Inc (“HolaReply”, “nós”, o operador). Ele se aplica aos dados pessoais dos clientes da sua loja, ou dos visitantes do seu site, que tratamos para fornecer o app ou o serviço. No caso de um site, “loja” abaixo significa o seu site e “cliente” o visitante dele; o que é dito sobre as solicitações de dados e as consultas de pedidos da Shopify vale apenas para a Shopify. Ele se destina a atender ao Artigo 28 do GDPR e do UK GDPR e a leis de privacidade semelhantes (quando atuamos como o seu “service provider” ou “processor”).
1. Detalhes do tratamento
| Objeto e finalidade | Fornecer o app: responder aos clientes no chat da vitrine com base no conteúdo da sua loja, encaminhar solicitações e temas bloqueados à sua equipe, consultar o status de pedidos, mostrar conversas e solicitações a você e atender às solicitações de dados da Shopify |
| Duração | Enquanto o app estiver instalado ou o site estiver no HolaReply; depois, exclusão conforme a seção 8 |
| Titulares dos dados | Os clientes e visitantes da sua loja que usam o chat |
| Dados pessoais | Mensagens do chat (perguntas e respostas); dados de contato que um cliente opta por fornecer (nome, e-mail, telefone, empresa) e a mensagem da solicitação dele; apenas para o rastreamento de pedidos, o número do pedido e o e-mail digitados pelo cliente e o e-mail, o status e o rastreamento do pedido (exibidos, não armazenados); o idioma do cliente |
| Categorias especiais | Nenhuma prevista. Não peça esses dados aos clientes; ainda assim, um cliente pode digitá-los no chat |
| Não tratados | Dados de pagamento, endereços, contas de clientes, endereços IP junto com as conversas (apenas um hash unidirecional em um contador de limite de requisições de curta duração) |
2. As nossas obrigações
Nós vamos:
- tratar os dados pessoais apenas de acordo com as suas instruções documentadas, que são estes termos, este DPA e as suas configurações no app, salvo se a lei exigir o contrário (nesse caso, avisaremos você antes, a menos que a lei o proíba);
- garantir que todas as pessoas que autorizamos a tratá-los estejam sujeitas a confidencialidade;
- aplicar as medidas de segurança da seção 4;
- usar suboperadores apenas conforme a seção 5;
- ajudar você, na medida do razoável, a atender aos clientes que exerçam os seus direitos (acesso, exclusão e outros): as solicitações
customers/data_requestecustomers/redactda Shopify são tratadas automaticamente pelo app, e as solicitações podem ser visualizadas e baixadas no app; - ajudar você com segurança, notificação de violações, avaliações de impacto e consultas às autoridades, na medida em que digam respeito ao nosso tratamento;
- excluir os dados ao fim do serviço (seção 8);
- disponibilizar as informações necessárias para demonstrar a conformidade com este DPA e permitir auditorias conforme a seção 9;
- avisar você imediatamente se acreditarmos que uma instrução viola a legislação de proteção de dados.
Não vendemos dados pessoais, não os compartilhamos para publicidade comportamental entre contextos, não os usamos para treinar modelos de IA nem os combinamos com dados de outras lojas.
3. As suas obrigações
Você confirma que tem uma base legal para o tratamento, que fornece aos seus clientes as informações exigidas por lei (o seu aviso de privacidade deve mencionar o chat e o HolaReply) e que as suas instruções estão em conformidade com a lei.
4. Medidas de segurança
- Criptografia em trânsito: HTTPS (TLS) para o chat da vitrine, o painel administrativo e os webhooks.
- Criptografia em repouso: as mensagens do chat, os dados de contato de uma conversa e todos os campos das solicitações são criptografados no banco de dados (XSalsa20-Poly1305, com chaves mantidas fora do banco de dados); os clientes são localizados apenas por hashes com chave do e-mail ou telefone. Tokens de acesso e chaves de IA também são criptografados. Os backups diários são criptografados (AES-256-GCM) com uma chave separada.
- Isolamento: os dados de cada loja são mantidos separados; cada requisição é verificada em relação ao token de sessão ou à assinatura de webhook da Shopify.
- Minimização: e-mails e números de telefone são removidos de tudo o que é enviado a um provedor de IA; os campos de contato nunca são enviados a ele; os dados de pedidos nunca são armazenados nem enviados a uma IA.
- Controle de acesso e registros: acesso ao servidor apenas por chaves SSH, para no máximo duas pessoas; cada visualização de dados de clientes (no app ou por nós) é registrada em um log de acesso mantido por um ano, que você pode ver no app referente aos últimos 90 dias.
- Retenção: as conversas são mantidas até que você as exclua, ou excluídas 30, 90 ou 365 dias após a última mensagem, se você escolher um período; tudo é excluído 48 horas após a desinstalação; backups mantidos por 14 dias.
- Resposta a incidentes: uma política escrita (seção 6).
- Cópia externa: cada backup diário, ainda criptografado, também é mantido por 14 dias em um bucket privado do Cloudflare R2.
5. Suboperadores
Você concede autorização geral para os suboperadores abaixo. Avisaremos você com pelo menos 30 dias de antecedência antes de adicionar ou substituir algum deles (no app ou por e-mail e nesta página); você pode se opor por motivos razoáveis de proteção de dados e, se não conseguirmos atender à objeção, pode deixar de usar o app. Vinculamos cada suboperador a termos de proteção de dados pelo menos tão protetivos quanto este DPA e continuamos responsáveis por eles.
| Suboperador | Finalidade | Dados | Localização |
|---|---|---|---|
| Google LLC (API Gemini) | Respostas da IA e o índice de busca (HolaReply AI, ou a sua chave Gemini) | Conteúdo da loja; perguntas dos clientes com e-mails e números de telefone removidos | Fora do EEE |
| OpenAI, L.L.C. | Apenas se você escolher a OpenAI com a sua própria chave | O mesmo | Fora do EEE |
| Anthropic, PBC | Apenas se você escolher o Claude com a sua própria chave | O mesmo | Fora do EEE |
| Resend (Plus Five Five, Inc.) | E-mails para você, para a sua equipe e as respostas da sua equipe aos clientes | Endereços de e-mail e o conteúdo dos e-mails | Fora do EEE |
| Hostinger International Ltd | O servidor em que o app é executado (um servidor virtual privado) | Todos os dados que armazenamos (campos criptografados conforme acima) | Fora do EEE |
| Cloudflare, Inc. | Rede e segurança na frente de app.holareply.com; armazenamento da cópia de backup externa criptografada (R2) | Requisições em trânsito; backups criptografados (14 dias) | Rede global; backups fora do EEE |
| Shopify | A plataforma e a cobrança | O que a Shopify já possui | — |
6. Violações de dados pessoais
Notificamos você sem demora injustificada, e em até 72 horas, após tomarmos conhecimento de uma violação de dados pessoais que afete os dados da sua loja, no endereço de e-mail da sua loja, com o que soubermos: a natureza da violação, os dados e as pessoas afetados, as consequências prováveis, o que fizemos e o que você deve fazer, e um contato (support@holareply.com). Enviamos atualizações à medida que soubermos mais. A nossa política de resposta a incidentes descreve o processo.
7. Transferências internacionais
Nós e alguns dos nossos suboperadores tratamos dados fora do EEE, do Reino Unido e da Suíça. Quando esses dados são transferidos, a transferência é amparada pelas cláusulas contratuais-tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914 da Comissão: módulo 2, de controlador para operador, e módulo 3 para transferências subsequentes aos nossos suboperadores), pelo Aditivo Internacional de Transferência de Dados do Reino Unido (UK International Data Transfer Addendum) e, para dados suíços, pelas adaptações suíças dessas cláusulas, que são incorporados a este aditivo por referência, ou por outro mecanismo legal, como a certificação de um suboperador no Data Privacy Framework.
8. Exclusão
Quando você desinstala o app, todos os dados da sua loja são excluídos 48 horas depois (para que uma reinstalação dentro desse prazo não perca nada), ou imediatamente quando a Shopify envia a solicitação shop/redact. Os dados excluídos podem permanecer em backups criptografados por até 14 dias, depois dos quais deixam de existir. Você pode baixar as suas solicitações em CSV no app antes de desinstalá-lo.
No caso de um site, peça a exclusão a nós (support@holareply.com): as conversas, as solicitações, o conteúdo e a equipe dele são excluídos em até 7 dias e deixam os backups criptografados 14 dias depois disso. Até lá, são mantidos até que você os exclua, ou pelo período que você escolher no Desk.
9. Auditorias
Mediante solicitação por escrito, no máximo uma vez por ano (ou após uma violação), responderemos a um questionário de segurança razoável e forneceremos os documentos que demonstram a conformidade com este DPA. Quando a lei exigir uma inspeção, ela será feita com aviso prévio de 30 dias, em horário comercial, por um auditor sujeito a confidencialidade, às suas custas, sem acesso aos dados de outros clientes.
10. Ordem de prevalência
Se este DPA e os termos entrarem em conflito quanto a dados pessoais, prevalece este DPA; as Cláusulas Contratuais Padrão, quando aplicáveis, prevalecem sobre ambos.
Contato
SEO Agency Inc (HolaReply) — support@holareply.com