Acordo de tratamento de dados

Última atualização: 29 de outubro de 2026

Imprimir ou salvar em PDF

Acordo de tratamento de dados pessoais nos termos do art. 28 do Regulamento (UE) 2016/679 (RGPD, Regulamento Geral sobre a Proteção de Dados). É parte integrante dos Termos de serviço do Quizhat e se aplica automaticamente, sem necessidade de assinatura, a toda conta que use o Quizhat com dados de participantes. Para obter uma cópia assinada ou em caso de dúvidas, escreva para info@quizhat.app.

1. Partes e objeto

• Controlador (responsável pelo tratamento, “Controlador”): o cliente titular da conta Quizhat, ou a organização (entidade de formação, empresa, escola, organizador de eventos) em nome da qual atua, que organiza as sessões.
• Operador (subcontratante, “Operador”): FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), Itália, P. IVA e codice fiscale (número de identificação fiscal italiano) 05743150285, REA PD-489570, capital social de € 1.000,00 totalmente integralizado, PEC festalaurea@pec.it, que fornece o Quizhat.
• Objeto: o tratamento, pelo Operador e por conta do Controlador, dos dados pessoais dos participantes das sessões e dos inscritos, necessário para fornecer o serviço Quizhat. Os dados da conta do Controlador, por sua vez, são tratados pela FESTALAUREA SRLS como controlador autônomo, de acordo com a Política de privacidade.

2. Descrição do tratamento

• Natureza e finalidade: coleta, registro, conservação, consulta, processamento, comunicação ao Controlador e exclusão dos dados para realizar quizzes e avaliações ao vivo ou a distância, calcular pontuações e resultados, gerar relatórios, atas, certificados e exportações, e enviar por e-mail os links para os testes e os questionários de follow-up solicitados pelo Controlador.
• Categorias de titulares dos dados: participantes das sessões (por exemplo, trabalhadores em formação, estudantes, convidados de um evento) e inscritos carregados pelo Controlador.
• Tipos de dados: apelido, avatar e equipe; nome e sobrenome; empresa e os demais campos que o Controlador escolher solicitar; e-mail dos inscritos, se o Controlador o inserir; respostas, tempos, pontuações, resultados e tentativas; eventos da sessão (entrada, saída, entrega, saídas da página durante a avaliação); dados dos certificados (nome, curso, data, resultado, código de verificação); respostas aos questionários de follow-up; avaliações opcionais ao final do quiz (estrelas e comentário); dados técnicos de conexão necessários ao funcionamento em tempo real.
• Dados sensíveis e judiciais: o serviço não foi concebido para tratar categorias especiais de dados (art. 9 do RGPD) nem dados relativos a condenações e infrações penais (art. 10). O Controlador se compromete a não coletá-los por meio dos campos adicionais ou das perguntas.
• Duração: pela duração do contrato, ressalvado o disposto no ponto 11.

3. Obrigações do Controlador

• O Controlador determina as finalidades e os meios do tratamento e garante que possui uma base jurídica válida, que forneceu aos titulares dos dados as informações exigidas (arts. 13 e 14 do RGPD), inclusive sobre o uso do Quizhat, o envio dos e-mails e os follow-ups, e que coleta apenas os dados necessários (minimização).
• Para os participantes menores de idade, o Controlador respeita as regras aplicáveis à escola ou à entidade e dá preferência ao uso de apelidos não identificativos.
• O Controlador guarda as credenciais da própria conta e gerencia com cuidado os relatórios, as atas e as exportações que baixa, pelos quais responde depois que saem do serviço.

4. Instruções

O Operador trata os dados somente mediante instruções documentadas do Controlador (art. 28.3.a do RGPD). As instruções são constituídas por este acordo, pelos Termos de serviço e pelas configurações e ações que o Controlador realiza no serviço (por exemplo, campos a solicitar, envio dos links, programação dos follow-ups, exclusão de uma sessão ou da conta). Instruções adicionais devem ser dadas por escrito, inclusive por e-mail, e, se implicarem custos ou atividades não previstas pelo serviço, podem ser acordadas à parte. O Operador informa sem demora o Controlador se considerar que uma instrução viola o RGPD ou outras normas sobre proteção de dados. Se o direito da União ou o direito italiano impuser um tratamento diferente, o Operador informa o Controlador antes do tratamento, salvo se a lei o proibir.

5. Confidencialidade

O Operador autoriza a realizar o tratamento apenas as pessoas que precisam dele para fornecer, manter e dar suporte ao serviço, instrui essas pessoas e garante que tenham assumido um compromisso de confidencialidade ou estejam sujeitas a uma obrigação legal de confidencialidade (art. 28.3.b). O Operador não acessa os conteúdos das sessões, exceto para fornecer o serviço, para o suporte solicitado pelo Controlador, por motivos de segurança ou por obrigações legais.

6. Medidas de segurança

O Operador adota medidas técnicas e organizativas adequadas ao risco (art. 32 do RGPD), entre as quais:

• conexões sempre criptografadas (HTTPS/TLS), inclusive para a conexão em tempo real dos telefones;
• controle de acesso: cada conta vê apenas as próprias sessões e os próprios relatórios; senhas armazenadas apenas como hash Argon2; login com Google ou Microsoft via OpenID Connect;
• servidores em um data center na Itália, com firewall, acesso administrativo apenas por meio de chave criptográfica e proteção contra tentativas de acesso repetidas;
• limites às tentativas de login e aos cadastros, verificações dos arquivos enviados;
• backup diário do banco de dados e das imagens, com verificação da integridade da cópia, e procedimento de restauração;
• atualização do software e testes automáticos dos controles de acesso.

O Operador pode atualizar as medidas ao longo do tempo, desde que o nível de segurança global não diminua.

7. Suboperadores

O Controlador concede uma autorização geral para a contratação de outros operadores (suboperadores, art. 28.2 e 28.4 do RGPD). O Operador impõe a cada um deles, por contrato, obrigações de proteção de dados substancialmente equivalentes às deste acordo e continua responsável perante o Controlador pela atuação deles. Os suboperadores atuais são:

O Operador comunica ao Controlador por e-mail, com pelo menos 15 dias de antecedência, a inclusão ou a substituição de um suboperador e atualiza esta página. O Controlador pode se opor por motivos razoáveis ligados à proteção de dados dentro do mesmo prazo; se não for encontrada uma solução, o Controlador pode rescindir o contrato com o reembolso da parte da assinatura não usufruída.

Não são suboperadores, porque atuam como controladores autônomos e não recebem do Operador os dados dos participantes por conta dele: Stripe (pagamentos do Controlador), Google e Microsoft (login na conta do Controlador). Nos quizzes com vídeo do YouTube inseridos pelo Controlador, o dispositivo do participante carrega o player diretamente do YouTube (Google) somente se o participante tocar em «Carregar o vídeo». O YouTube recebe o endereço IP como controlador autônomo: o Controlador leva isso em conta nas próprias informações sobre privacidade ou usa quizzes sem vídeo.

8. Transferências para fora da UE

O banco de dados, as imagens e os backups são armazenados na Itália. Uma transferência de dados para países fora do Espaço Econômico Europeu, inclusive por meio de um suboperador, ocorre apenas se for assegurada uma garantia prevista no capítulo V do RGPD: uma decisão de adequação (como o EU-US Data Privacy Framework, Quadro de Privacidade de Dados UE-EUA, para os fornecedores certificados) ou as cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

9. Assistência ao Controlador

• Direitos dos titulares dos dados (art. 28.3.e): o serviço permite ao Controlador consultar e exportar os dados das sessões e excluí-los eliminando a sessão individual do seu relatório. O Operador encaminha ao Controlador, sem demora e, em regra, em até 5 dias úteis, as solicitações que recebe diretamente dos titulares dos dados, sem responder quanto ao mérito salvo instrução do Controlador, e o auxilia a dar seguimento às solicitações que o Controlador não consegue atender sozinho com as funções do serviço (por exemplo, excluindo a pedido dele um único participante).
• Segurança, avaliações de impacto e consulta prévia (art. 28.3.f): o Operador fornece ao Controlador as informações razoavelmente necessárias para as obrigações dos artigos 32 a 36 do RGPD, tendo em conta a natureza do tratamento e as informações à sua disposição.

10. Violações de dados

O Operador informa o Controlador sem demora injustificada, e em qualquer caso em até 48 horas a partir do momento em que tomou conhecimento dela, de toda violação de dados pessoais que diga respeito aos dados tratados por conta dele (art. 33.2 do RGPD). A comunicação é enviada ao e-mail da conta e contém, na medida em que estejam disponíveis, a natureza da violação, as categorias e o número aproximado de titulares dos dados e de dados envolvidos, as prováveis consequências, as medidas adotadas ou propostas e um contato; as informações não disponíveis de imediato são fornecidas assim que possível. O Operador adota sem demora as medidas para conter a violação e auxilia o Controlador nas notificações ao Garante per la protezione dei dati personali (autoridade italiana de proteção de dados) e aos titulares dos dados.

11. Exclusão e devolução dos dados

• Durante o contrato, o Controlador pode baixar a qualquer momento relatórios, atas, certificados e a exportação completa dos dados da conta (formato JSON) na página Conta.
• O Controlador pode excluir a qualquer momento uma sessão individual do seu relatório («Excluir sessão»): o Operador exclui imediatamente participantes, respostas, pontuações, saídas da página, inscritos e links pessoais, certificados (a página de verificação deles deixa de mostrá-los como válidos) e follow-ups da sessão. As cópias nos backups são sobrescritas em até 14 dias.
• Quando o Controlador exclui a conta, o Operador exclui imediatamente os dados tratados por conta dele (art. 28.3.g). As cópias nos backups são sobrescritas em até 14 dias; até lá, não são usadas, exceto para a restauração em caso de falha.
• Se o contrato terminar por outros motivos, o Operador conserva os dados por 30 dias para permitir que o Controlador os baixe e depois os exclui, salvo se o direito da União ou o direito italiano impuser sua conservação.
• A pedido do Controlador, o Operador confirma por escrito que a exclusão foi realizada.

12. Informações e auditorias

O Operador disponibiliza ao Controlador as informações necessárias para demonstrar o cumprimento do art. 28 do RGPD e permite e contribui para as atividades de auditoria, incluindo as inspeções, realizadas pelo Controlador ou por um auditor por ele designado e vinculado à confidencialidade (art. 28.3.h). Salvo em caso de violações de dados ou de solicitações de uma autoridade, as auditorias ocorrem, em regra, uma vez por ano, com aviso prévio por escrito de pelo menos 30 dias, em horário comercial, sem acesso aos dados de outros clientes e sem comprometer a segurança do serviço; são realizadas em primeiro lugar por meio da documentação e das respostas por escrito do Operador. Os custos da auditoria ficam a cargo do Controlador, salvo se forem constatadas violações relevantes por parte do Operador.

13. Duração e disposições finais

• Este acordo vigora enquanto o Operador tratar dados por conta do Controlador e cessa com a exclusão prevista no ponto 11.
• Cada parte responde perante os titulares dos dados e perante a outra parte nos termos do art. 82 do RGPD. Nas relações entre as partes, aplicam-se os limites de responsabilidade dos Termos de serviço, na medida permitida pela lei.
• Em caso de conflito entre este acordo e os Termos de serviço em matéria de proteção de dados, prevalece este acordo.
• Aplicam-se a lei italiana e o foro indicado nos Termos de serviço. O Operador pode atualizar o acordo nas formas previstas nos Termos de serviço, sem reduzir as garantias para os titulares dos dados.