O Regulamento Geral de Proteção de Dados da União Europeia (GDPR)

Este artigo detalha como a SharpSpring protege as informações e os dados dos clientes da União Europeia e da Área Econômica Europeia (EU/AEE). Também, detalha como a SharpSpring está em plena conformidade com o GDPR.

Aviso Legal: este documento não é um aconselhamento jurídico. O objetivo dele é apenas fornecer informações gerais sobre os aspectos selecionados do GDPR. Embora este documento aborde alguns aspectos jurídicos do GDPR, não se destina a fornecer aconselhamento jurídico. A SharpSpring recomenda que você consulte o seu advogado sobre a melhor maneira de estar em acordo com o GDPR.

Anteriormente, a Diretiva de Proteção de Dados (Diretiva 95/46/CE) era a legislação que a SharpSpring e outras organizações seguiam. A diretiva relativa à proteção de dados incidiu sobre a proteção dos indivíduos no que diz respeito ao tratamento e à livre circulação de dados pessoais. Esta diretiva, adotada em 1995, regulamenta o tratamento de dados pessoais na União Europeia. Nos termos desta diretiva, os dados pessoais só podiam ser transferidos para países fora da União Europeia se a organização fornecesse um nível adequado de proteção.

Esta diretiva foi revogada e substituída pelo Regulamento Geral de Proteção de Dados da União Europeia (GDPR). O GDPR é uma lei que amplia o escopo sobre as leis de dados originais da União Europeia. A lei foi promulgada em 27 de abril de 2016 e implementada em 25 de maio de 2018. Como tal, a SharpSpring tem feito e continua a fazer progressos para assegurar a conformidade total.

Quando a Diretiva de Proteção de Dados era uma diretiva e não um regulamento, não tinha pleno apoio legislativo. O GDPR é um regulamento e, como tal, tem o total apoio legislativo e jurídico proporcionado pela União Europeia.

O GDPR afeta organizações e indivíduos de maneiras semelhantes. No entanto, há várias diferenças importantes a serem consideradas.

A SharpSpring, assim como todos os provedores de automação de marketing que têm clientes da União Europeia, são impactados pelo GDPR. Esses novos regulamentos são destinados a regular o fluxo, a aquisição e o uso de dados entre os controladores e os processadores de dados. O artigo 4 do GDPR diz o seguinte:

O GDPR impacta as organizações que atendem pelo menos uma das situações a seguir:

O GDPR aplica-se não só às organizações sedidas na União Europeia, mas também aos clientes ou organizações situadas fora da União Europeia - desde que interajam com os indivíduos da UE/AEE. Essa interação inclui bens ou serviços padrão, ou o monitoramento mais moderno dos dados e do comportamento dos indivíduos. Como tal, o GDPR se aplica a todas as organizações, entidades e empresas processando e mantendo os dados pessoais de indivíduos residentes na União Europeia, independentemente de onde a organização, a entidade ou a empresa está localizada. Para obter mais informações, consulte a seção de Ações recomendadas no artigo Como o GDPR impacta a SharpSpring e você.

Os termos, políticas de privacidade, software e infraestrutura atualizados da SharpSpring estão em total conformidade com as novas regulamentações, a partir da entrada em vigor do GDPR (25 de maio de 2018). Para obter mais informações sobre as alterações do software e de políticas da SharpSpring, consulte o artigo Como o GDPR impacta a SharpSpring e você.

Para os clientes da União Européia, a SharpSpring transfere dados para fora da União Europeia. Os dados são armazenados, principalmente, em centros de dados nos Estados Unidos, e esses dados podem ser acessados pelos recursos dos Estados Unidos e internacionais que trabalham para a SharpSpring durante o curso do relacionamento com o cliente. Cada uma dessas subsidiárias da SharpSpring, que apóia a base global de clientes da SharpSpring, entrou em acordos Cláusula Contratual Padrão com a subsidiária UE/AEE no momento em que o GDPR entrou em vigor.

O não cumprimento do GDPR resultará em penalidades monetárias. Existem dois níveis de multas relacionados ao descumprimento, relacionadas à gravidade da violação:

Além disso, se uma organização violar várias regras no GDPR, a organização será multada somente pela violação mais notória, e não por cada violação separada.

O GDPR foi criado com os direitos de dados e a privacidade em mente. Os princípios fundamentais do regulamento refletem isso. Estes direitos protegidos incluem, mas não estão limitados a:

Com o GDPR, as proteções de consentimento foram consideradas primordiais. Por isso, as condições e qualificações de consentimento foram amplamente melhoradas e reforçadas. Com o GDPR, o consentimento é afetado da seguinte forma:

O GDPR fornece direitos e seguranças para indivíduos em relação ao acesso. Mais especificamente:

A eliminação de dados, conhecida também como o direito de ser esquecido, confere aos indivíduos os seguintes direitos:

A eliminação de dados é condicional, no entanto. As condições incluem os dados que não são mais relevantes para propósitos originais de processamento ou indivíduos que retiraram o consentimento.

De acordo com o GDPR, as notificações sobre violações de dados são obrigatórias e devem ser feitas dentro de 72 horas após a organização ter tomado conhecimento da violação. Além disso, os processadores de dados também serão obrigados a notificar os indivíduos afetados sem demora, após tomar conhecimento de uma violação de dados.

A portabilidade de dados é o direito de um indivíduo receber seus dados pessoais e todos os dados associados aos quais são afiliados. Esses dados devem ser fornecidos em um formato eletrônico comum e de fácil leitura. Com a portabilidade de dados, os indivíduos têm o direito de transmitir esses dados conforme necessário.

A privacidade por design requer a proteção de dados como recurso principal ao projetar sistemas, em vez de ser uma adição posterior. Além disso, os controladores podem reter e processar apenas os dados essenciais necessários para que um sistema ou serviço funcione. A privacidade por design também define limites para quem tem acesso aos dados pessoais.

Os Agentes de Proteção de Dados (DPOs), também conhecidos como agentes de privacidade de dados, são funcionários de segurança. Os DPOs são um requisito fundamental para estar em conformidade com o GDPR. Embora não seja necessário para todas as organizações, com o GDPR essas funções são obrigatórias para qualquer organização que processe ou armazene grandes quantidades ou dados pessoais. Tais dados pessoais referem-se a funcionários, clientes ou fornecedores de uma organização ou quaisquer outros indivíduos cobertos pelo GDPR.

Os DPOs auditam as organizações para garantir a conformidade e devem ser tratadas como qualquer outro auditor. Assim, de acordo com o GDPR, os DPOs exigem independência operacional. Isso significa que as organizações podem interagir com seus DPOs de maneiras muito específicas. O GDPR requer o seguinte para DPOs:

As principais tarefas do DPO são garantir que uma organização esteja em conformidade e agindo com total confiança para com o GDPR. Os aspectos individuais desses deveres incluem: