1. Scope and parties

This Data Processing Addendum ("Addendum") is part of the Terms of Service between Tony Belleza Consulting, which operates Bússola ("Bússola", "we", "us"), and the company that subscribes to the Service ("Customer", "you"). It applies automatically whenever we process Customer Personal Data in providing the Service, with no separate signature needed. Capitalized terms not defined here have the meaning given in the Terms.

2. Definitions

• Customer Personal Data: personal information within Customer Data that we process on the Customer's behalf, such as information about Candidates, new hires and Users.
• Data Protection Laws: the privacy and data protection laws that apply to the processing, which may include US state privacy laws such as the California Consumer Privacy Act as amended by the CPRA, and Brazil's Lei Geral de Proteção de Dados (LGPD).
• Data Subject: the person the personal information is about.
• Personal Data Breach: a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, Customer Personal Data.
• Subprocessor: a third party we engage to process Customer Personal Data.

3. Roles of the parties

The Customer is the controller (a "business" under California law and a "controlador" under the LGPD) of Customer Personal Data. Bússola is the processor (a "service provider" under California law and an "operador" under the LGPD) and processes Customer Personal Data only on the Customer's behalf. Each party will comply with the Data Protection Laws that apply to it. The Customer is responsible for having a lawful basis and any notices and consents required to collect Customer Personal Data and to have us process it, including for recorded AI screening calls and text messages.

As a service provider, we will not sell or share Customer Personal Data, will not retain, use or disclose it for any purpose other than providing the Service, and will not combine it with personal information we receive from other sources, except as permitted by Data Protection Laws.

4. Details of the processing

5. Customer instructions

We process Customer Personal Data only on the Customer's documented instructions. The Terms, this Addendum and the Customer's configuration and use of the Service are the Customer's complete instructions. We will tell the Customer if we believe an instruction violates Data Protection Laws, and we may suspend that processing until the instruction is changed. If the law requires us to process data in another way, we will tell the Customer first unless the law prohibits it.

6. Confidentiality of personnel

We allow access to Customer Personal Data only to personnel and contractors who need it to provide or support the Service and who are bound by confidentiality obligations.

7. Subprocessors

The Customer gives general authorization for us to use Subprocessors. We impose on each Subprocessor data protection obligations that protect Customer Personal Data at least as much as this Addendum, and we remain responsible for their performance. Our current Subprocessors are:

We will notify the Customer by email and in the app at least 30 days before adding or replacing a Subprocessor. The Customer may object on reasonable data protection grounds within that period. If we cannot address the objection, the Customer may end the affected subscription and receive a refund of prepaid fees for the unused period.

8. Security measures

We maintain technical and organizational measures appropriate to the risk, including:

• Encryption at rest for sensitive onboarding fields (such as Social Security and document numbers, dates of birth and bank details) and onboarding files.
• Encryption in transit using TLS (HTTPS) for all connections to the Service.
• Access controls per company: each company's data is logically separated, access is role based, and passwords are stored only as secure hashes.
• Audit log: an access history records which User viewed or changed which record, when, and from which IP address.
• Backups: 14 daily backups are kept and then expire automatically.
• Limited staff access: our own access is limited to what is needed to run, secure and support the Service.

We may update these measures over time, provided the overall level of protection does not decrease.

9. Personal data breaches

We will notify the Customer without undue delay, and in any case within 72 hours after becoming aware of a Personal Data Breach affecting its Customer Personal Data. The notice will describe, as far as we know at the time, the nature of the breach, the data and people affected, the likely consequences and the measures taken or proposed, and we will send updates as we learn more. We will take reasonable steps to contain and remedy the breach and will help the Customer meet its own obligations to notify authorities and individuals. Our notice is not an admission of fault.

10. Assistance with requests and compliance

• The Service lets the Customer access, correct, export, anonymize and delete Candidate and employee data, and mark people as "do not call".
• If we receive a request directly from a Data Subject about Customer Personal Data, we will forward it to the Customer promptly and will not respond ourselves except to confirm that the request was forwarded, unless the Customer authorizes us or the law requires it.
• Taking into account the nature of the processing, we will provide reasonable help to the Customer in responding to Data Subject requests, carrying out data protection impact assessments and consulting regulators, where the Customer cannot do so through the Service.

11. Deletion and return of data

During the subscription, the Customer can export and delete its data through the Service. After cancellation, the Customer may export its data for 30 days. We then delete or anonymize Customer Personal Data within 60 days after the account is closed, including asking ElevenLabs to delete call recordings. Backups expire automatically within 14 days after that. We may keep data only where the law requires, and it remains protected by this Addendum while we keep it. If a trial ends without a subscription, the data is kept for 30 days and then deleted or anonymized on the same basis.

12. Audits

We will make available to the Customer the information reasonably necessary to show compliance with this Addendum, such as written answers to security questionnaires. If that information is not enough, the Customer may audit our compliance once a year, on at least 30 days written notice, during business hours, in a way that does not disrupt the Service or expose other customers' data, and under confidentiality obligations. The Customer bears its own audit costs. Additional audits are allowed when required by a regulator or after a Personal Data Breach.

13. International transfers

Customer Personal Data is stored in the United States, and our Subprocessors process it in the United States. When Customer Personal Data is transferred from another country, including Brazil, we protect the transfer with contractual safeguards with our providers, including data protection terms and standard contractual clauses where the provider offers them, and with the measures in this Addendum. The Customer is responsible for any notices to Data Subjects that the law requires about these transfers.

14. Liability and order of precedence

Each party's liability under this Addendum is subject to the limitations and exclusions of liability in the Terms. If this Addendum conflicts with the Terms on the processing of Customer Personal Data, this Addendum prevails. Translations are provided for convenience; if there is a conflict, the English version prevails.

15. Term, changes and contact

This Addendum stays in effect for as long as we process Customer Personal Data. We may update it to reflect changes in law or in the Service, with at least 30 days notice by email and in the app for material changes, and no update will reduce the overall protection of Customer Personal Data.

Privacy contact and LGPD encarregado: Tony Belleza, privacy@tonybelleza.com
Website: https://rh.tonybelleza.com
Mailing address available on request at privacy@tonybelleza.com.

1. Abrangência e partes

Este Aditivo de Tratamento de Dados ("Aditivo") faz parte dos Termos de Uso entre a Tony Belleza Consulting, que opera a Bússola ("Bússola", "nós"), e a empresa que assina o Serviço ("Cliente", "você"). Ele se aplica automaticamente sempre que tratamos Dados Pessoais do Cliente para prestar o Serviço, sem necessidade de assinatura separada. Termos com inicial maiúscula não definidos aqui têm o significado dado nos Termos.

2. Definições

• Dados Pessoais do Cliente: dados pessoais contidos nos Dados do Cliente que tratamos em nome do Cliente, como dados de Candidatos, novos contratados e Usuários.
• Leis de Proteção de Dados: as leis de privacidade e proteção de dados aplicáveis ao tratamento, que podem incluir leis estaduais de privacidade dos EUA, como a California Consumer Privacy Act alterada pela CPRA, e a Lei Geral de Proteção de Dados (LGPD) do Brasil.
• Titular: a pessoa a quem os dados pessoais se referem.
• Incidente com Dados Pessoais: uma falha de segurança que cause a destruição, perda, alteração, divulgação ou acesso não autorizado, acidental ou ilícito, a Dados Pessoais do Cliente.
• Suboperador: um terceiro que contratamos para tratar Dados Pessoais do Cliente.

3. Papéis das partes

O Cliente é o controlador (um "business" pela lei da Califórnia) dos Dados Pessoais do Cliente. A Bússola é a operadora (um "service provider" pela lei da Califórnia) e trata os Dados Pessoais do Cliente apenas em nome do Cliente. Cada parte cumprirá as Leis de Proteção de Dados que se aplicam a ela. O Cliente é responsável por ter base legal e os avisos e consentimentos exigidos para coletar os Dados Pessoais do Cliente e para que nós os tratemos, inclusive para as ligações de triagem gravadas feitas por IA e para os SMS.

Como prestadora de serviço, não venderemos nem compartilharemos os Dados Pessoais do Cliente, não vamos guardá-los, usá-los ou divulgá-los para nenhuma finalidade além de prestar o Serviço e não vamos combiná-los com dados pessoais que recebemos de outras fontes, salvo quando as Leis de Proteção de Dados permitirem.

4. Detalhes do tratamento

5. Instruções do Cliente

Tratamos os Dados Pessoais do Cliente apenas conforme as instruções documentadas do Cliente. Os Termos, este Aditivo e a configuração e o uso do Serviço pelo Cliente formam as instruções completas do Cliente. Avisaremos o Cliente se acreditarmos que uma instrução viola as Leis de Proteção de Dados e poderemos suspender esse tratamento até que a instrução seja alterada. Se a lei nos obrigar a tratar os dados de outra forma, avisaremos o Cliente antes, salvo se a lei proibir.

6. Confidencialidade da equipe

Só permitimos o acesso aos Dados Pessoais do Cliente a pessoas da equipe e prestadores que precisem dele para fornecer ou dar suporte ao Serviço e que tenham obrigação de confidencialidade.

7. Suboperadores

O Cliente nos dá autorização geral para usar Suboperadores. Impomos a cada Suboperador obrigações de proteção de dados que protegem os Dados Pessoais do Cliente pelo menos tanto quanto este Aditivo, e continuamos responsáveis pelo trabalho deles. Nossos Suboperadores atuais são:

Avisaremos o Cliente por e-mail e no aplicativo com pelo menos 30 dias de antecedência antes de incluir ou substituir um Suboperador. O Cliente pode se opor por motivos razoáveis de proteção de dados dentro desse prazo. Se não conseguirmos resolver a objeção, o Cliente pode encerrar a assinatura afetada e receber o reembolso dos valores pagos antecipadamente pelo período não usado.

8. Medidas de segurança

Mantemos medidas técnicas e organizacionais adequadas ao risco, incluindo:

• Criptografia em repouso para campos sensíveis do onboarding (como números de Social Security e de documentos, datas de nascimento e dados bancários) e para os arquivos do onboarding.
• Criptografia em trânsito com TLS (HTTPS) em todas as conexões com o Serviço.
• Controle de acesso por empresa: os dados de cada empresa ficam separados logicamente, o acesso depende do perfil do usuário e as senhas são guardadas apenas como hashes seguros.
• Histórico de acessos: um registro de auditoria mostra qual Usuário viu ou alterou qual registro, quando e de qual endereço IP.
• Cópias de segurança: mantemos 14 cópias diárias, que depois expiram automaticamente.
• Acesso limitado da equipe: o nosso próprio acesso se limita ao necessário para operar, proteger e dar suporte ao Serviço.

Podemos atualizar essas medidas com o tempo, desde que o nível geral de proteção não diminua.

9. Incidentes com dados pessoais

Avisaremos o Cliente sem demora injustificada e, em qualquer caso, em até 72 horas depois de tomarmos conhecimento de um Incidente com Dados Pessoais que afete os seus Dados Pessoais do Cliente. O aviso descreverá, na medida do que soubermos no momento, a natureza do incidente, os dados e as pessoas afetados, as consequências prováveis e as medidas tomadas ou propostas, e enviaremos atualizações conforme soubermos mais. Tomaremos medidas razoáveis para conter e corrigir o incidente e ajudaremos o Cliente a cumprir suas próprias obrigações de comunicar autoridades, como a ANPD, e os titulares. O nosso aviso não é admissão de culpa.

10. Apoio em pedidos e conformidade

• O Serviço permite que o Cliente acesse, corrija, exporte, anonimize e exclua dados de Candidatos e funcionários, e marque pessoas como "não ligar".
• Se recebermos diretamente de um Titular um pedido sobre Dados Pessoais do Cliente, vamos encaminhá-lo ao Cliente prontamente e não responderemos nós mesmos, exceto para confirmar que o pedido foi encaminhado, salvo se o Cliente autorizar ou a lei exigir.
• Considerando a natureza do tratamento, daremos ajuda razoável ao Cliente para responder a pedidos de Titulares, fazer relatórios de impacto à proteção de dados e consultar autoridades, quando o Cliente não puder fazer isso pelo próprio Serviço.

11. Exclusão e devolução dos dados

Durante a assinatura, o Cliente pode exportar e excluir seus dados pelo Serviço. Depois do cancelamento, o Cliente pode exportar seus dados durante 30 dias. Depois, excluímos ou anonimizamos os Dados Pessoais do Cliente em até 60 dias após o encerramento da conta, incluindo o pedido à ElevenLabs para apagar as gravações das ligações. As cópias de segurança expiram automaticamente em até 14 dias depois disso. Só podemos manter dados quando a lei exigir, e eles continuam protegidos por este Aditivo enquanto os mantivermos. Se um teste termina sem assinatura, os dados ficam guardados por 30 dias e depois são excluídos ou anonimizados da mesma forma.

12. Auditorias

Disponibilizaremos ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste Aditivo, como respostas por escrito a questionários de segurança. Se essas informações não bastarem, o Cliente pode auditar o nosso cumprimento uma vez por ano, com pelo menos 30 dias de aviso por escrito, em horário comercial, de forma que não atrapalhe o Serviço nem exponha dados de outros clientes, e com obrigação de confidencialidade. O Cliente arca com os custos da própria auditoria. Auditorias adicionais são permitidas quando exigidas por uma autoridade ou depois de um Incidente com Dados Pessoais.

13. Transferências internacionais

Os Dados Pessoais do Cliente são guardados nos Estados Unidos, e os nossos Suboperadores os tratam nos Estados Unidos. Quando Dados Pessoais do Cliente são transferidos de outro país, inclusive do Brasil, protegemos a transferência com salvaguardas contratuais com nossos fornecedores, incluindo termos de proteção de dados e cláusulas contratuais padrão quando o fornecedor as oferece, e com as medidas deste Aditivo. O Cliente é responsável pelos avisos aos Titulares que a lei exigir sobre essas transferências.

14. Responsabilidade e prevalência

A responsabilidade de cada parte com base neste Aditivo está sujeita às limitações e exclusões de responsabilidade dos Termos. Se este Aditivo conflitar com os Termos quanto ao tratamento de Dados Pessoais do Cliente, prevalece este Aditivo. As traduções são fornecidas por conveniência; em caso de conflito, prevalece a versão em inglês.

15. Vigência, mudanças e contato

Este Aditivo vale enquanto tratarmos Dados Pessoais do Cliente. Podemos atualizá-lo para refletir mudanças na lei ou no Serviço, com pelo menos 30 dias de aviso por e-mail e no aplicativo em mudanças relevantes, e nenhuma atualização vai reduzir a proteção geral dos Dados Pessoais do Cliente.

Contato de privacidade e encarregado pela LGPD: Tony Belleza, privacy@tonybelleza.com
Site: https://rh.tonybelleza.com
Endereço postal disponível mediante pedido em privacy@tonybelleza.com.

1. Alcance y partes

Este Anexo de Tratamiento de Datos ("Anexo") forma parte de los Términos de Uso entre Tony Belleza Consulting, que opera Bússola ("Bússola", "nosotros"), y la empresa que contrata el Servicio ("Cliente", "usted"). Se aplica automáticamente siempre que tratamos Datos Personales del Cliente para prestar el Servicio, sin necesidad de una firma aparte. Los términos con mayúscula inicial no definidos aquí tienen el significado que les dan los Términos.

2. Definiciones

• Datos Personales del Cliente: datos personales incluidos en los Datos del Cliente que tratamos en nombre del Cliente, como datos de Candidatos, nuevas contrataciones y Usuarios.
• Leyes de Protección de Datos: las leyes de privacidad y protección de datos aplicables al tratamiento, que pueden incluir leyes estatales de privacidad de EE. UU., como la California Consumer Privacy Act modificada por la CPRA, y la Lei Geral de Proteção de Dados (LGPD) de Brasil.
• Titular: la persona a quien se refieren los datos personales.
• Brecha de Datos Personales: una falla de seguridad que cause la destrucción, pérdida, alteración, divulgación o acceso no autorizado, accidental o ilícito, a Datos Personales del Cliente.
• Subencargado: un tercero que contratamos para tratar Datos Personales del Cliente.

3. Funciones de las partes

El Cliente es el responsable (un "business" según la ley de California y un "controlador" según la LGPD) de los Datos Personales del Cliente. Bússola es el encargado (un "service provider" según la ley de California y un "operador" según la LGPD) y trata los Datos Personales del Cliente solo en nombre del Cliente. Cada parte cumplirá las Leyes de Protección de Datos que le apliquen. El Cliente es responsable de contar con una base legal y con los avisos y consentimientos exigidos para recopilar los Datos Personales del Cliente y para que nosotros los tratemos, incluidas las llamadas de entrevista grabadas hechas por IA y los SMS.

Como proveedor de servicios, no venderemos ni compartiremos los Datos Personales del Cliente, no los conservaremos, usaremos ni divulgaremos para ninguna finalidad distinta de prestar el Servicio y no los combinaremos con datos personales que recibimos de otras fuentes, salvo cuando las Leyes de Protección de Datos lo permitan.

4. Detalles del tratamiento

5. Instrucciones del Cliente

Tratamos los Datos Personales del Cliente solo según las instrucciones documentadas del Cliente. Los Términos, este Anexo y la configuración y el uso del Servicio por parte del Cliente son las instrucciones completas del Cliente. Avisaremos al Cliente si creemos que una instrucción infringe las Leyes de Protección de Datos y podremos suspender ese tratamiento hasta que la instrucción cambie. Si la ley nos obliga a tratar los datos de otra forma, avisaremos antes al Cliente, salvo que la ley lo prohíba.

6. Confidencialidad del personal

Solo permitimos el acceso a los Datos Personales del Cliente al personal y a los contratistas que lo necesiten para prestar o dar soporte al Servicio y que tengan obligaciones de confidencialidad.

7. Subencargados

El Cliente nos da una autorización general para usar Subencargados. Imponemos a cada Subencargado obligaciones de protección de datos que protegen los Datos Personales del Cliente al menos tanto como este Anexo, y seguimos siendo responsables de su desempeño. Nuestros Subencargados actuales son:

Avisaremos al Cliente por correo y en la aplicación con al menos 30 días de anticipación antes de agregar o reemplazar un Subencargado. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no podemos resolver la objeción, el Cliente puede terminar la suscripción afectada y recibir el reembolso de lo pagado por adelantado por el período no usado.

8. Medidas de seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado en reposo para los campos sensibles del onboarding (como números de Social Security y de documentos, fechas de nacimiento y datos bancarios) y para los archivos del onboarding.
• Cifrado en tránsito con TLS (HTTPS) en todas las conexiones con el Servicio.
• Control de acceso por empresa: los datos de cada empresa están separados lógicamente, el acceso depende del rol y las contraseñas se guardan solo como hashes seguros.
• Registro de auditoría: un historial de accesos muestra qué Usuario vio o cambió qué registro, cuándo y desde qué dirección IP.
• Copias de seguridad: se mantienen 14 copias diarias, que luego vencen automáticamente.
• Acceso limitado del personal: nuestro propio acceso se limita a lo necesario para operar, proteger y dar soporte al Servicio.

Podemos actualizar estas medidas con el tiempo, siempre que el nivel general de protección no disminuya.

9. Brechas de datos personales

Avisaremos al Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas posteriores a tener conocimiento de una Brecha de Datos Personales que afecte sus Datos Personales del Cliente. El aviso describirá, en la medida de lo que sepamos en ese momento, la naturaleza de la brecha, los datos y las personas afectados, las consecuencias probables y las medidas tomadas o propuestas, y enviaremos actualizaciones a medida que sepamos más. Tomaremos medidas razonables para contener y corregir la brecha y ayudaremos al Cliente a cumplir sus propias obligaciones de notificar a las autoridades y a las personas. Nuestro aviso no es una admisión de culpa.

10. Asistencia con solicitudes y cumplimiento

• El Servicio permite al Cliente acceder, corregir, exportar, anonimizar y eliminar datos de Candidatos y empleados, y marcar personas como "no llamar".
• Si recibimos directamente de un Titular una solicitud sobre Datos Personales del Cliente, la enviaremos al Cliente de inmediato y no responderemos nosotros, salvo para confirmar que la solicitud fue enviada, a menos que el Cliente nos autorice o la ley lo exija.
• Teniendo en cuenta la naturaleza del tratamiento, daremos una ayuda razonable al Cliente para responder solicitudes de Titulares, hacer evaluaciones de impacto en la protección de datos y consultar a las autoridades, cuando el Cliente no pueda hacerlo desde el propio Servicio.

11. Eliminación y devolución de los datos

Durante la suscripción, el Cliente puede exportar y eliminar sus datos desde el Servicio. Después de la cancelación, el Cliente puede exportar sus datos durante 30 días. Luego, eliminamos o anonimizamos los Datos Personales del Cliente dentro de los 60 días posteriores al cierre de la cuenta, incluida la solicitud a ElevenLabs para eliminar las grabaciones de las llamadas. Las copias de seguridad vencen automáticamente dentro de los 14 días siguientes. Solo podemos conservar datos cuando la ley lo exija, y siguen protegidos por este Anexo mientras los conservemos. Si una prueba termina sin suscripción, los datos se conservan durante 30 días y luego se eliminan o anonimizan de la misma forma.

12. Auditorías

Pondremos a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este Anexo, como respuestas por escrito a cuestionarios de seguridad. Si esa información no es suficiente, el Cliente puede auditar nuestro cumplimiento una vez al año, con al menos 30 días de aviso por escrito, en horario laboral, de una forma que no afecte el Servicio ni exponga datos de otros clientes, y bajo obligaciones de confidencialidad. El Cliente asume los costos de su propia auditoría. Se permiten auditorías adicionales cuando las exija una autoridad o después de una Brecha de Datos Personales.

13. Transferencias internacionales

Los Datos Personales del Cliente se guardan en Estados Unidos, y nuestros Subencargados los tratan en Estados Unidos. Cuando se transfieren Datos Personales del Cliente desde otro país, incluido Brasil, protegemos la transferencia con salvaguardas contractuales con nuestros proveedores, incluidos términos de protección de datos y cláusulas contractuales tipo cuando el proveedor las ofrece, y con las medidas de este Anexo. El Cliente es responsable de los avisos a los Titulares que la ley exija sobre estas transferencias.

14. Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este Anexo está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos. Si este Anexo entra en conflicto con los Términos en cuanto al tratamiento de Datos Personales del Cliente, prevalece este Anexo. Las traducciones se ofrecen por conveniencia; si hay conflicto, prevalece la versión en inglés.

15. Vigencia, cambios y contacto

Este Anexo sigue vigente mientras tratemos Datos Personales del Cliente. Podemos actualizarlo para reflejar cambios en la ley o en el Servicio, con al menos 30 días de aviso por correo y en la aplicación ante cambios relevantes, y ninguna actualización reducirá la protección general de los Datos Personales del Cliente.

Contacto de privacidad y encargado de la LGPD: Tony Belleza, privacy@tonybelleza.com
Sitio web: https://rh.tonybelleza.com
Dirección postal disponible a solicitud en privacy@tonybelleza.com.