Acordo de Tratamento de Dados (DPA)

1. Definições

• "Controlador" significa a pessoa física ou jurídica (o Cliente / Proprietário do Site) que determina as finalidades e os meios do tratamento de Dados Pessoais.
• "Operador" significa o MousePlayer, que trata Dados Pessoais em nome do Controlador.
• "Dados Pessoais" significa qualquer informação relativa a uma pessoa física identificada ou identificável (Usuário Final) tratada pelo Operador em nome do Controlador.
• "Usuário Final" significa um visitante do site do Controlador cujas interações são gravadas pelo MousePlayer.
• "Suboperador" significa qualquer outro terceiro contratado pelo Operador para tratar Dados Pessoais em nome do Controlador.

2. Papéis e âmbito do tratamento

O MousePlayer fornece infraestrutura de gravação de sessões em tempo real, mapas de calor e análise. Ao prestar esses serviços, o MousePlayer trata dados exclusivamente em nome do Controlador e de acordo com suas instruções documentadas.

3. Obrigações do Controlador

• Obtenção de consentimento lícito: o Controlador é responsável por obter consentimento válido e informado dos Usuários Finais antes de o script do MousePlayer ser inicializado, em conformidade com a Diretiva ePrivacy e o GDPR. O MousePlayer lê o sinal de consentimento; não obtém o consentimento.
• Proibição de categorias especiais: é proibido ao Controlador transmitir categorias especiais de dados pessoais (incluindo dados de saúde, números de cartão de crédito, senhas ou identificadores governamentais) ao MousePlayer.
• Transparência: o Controlador deve divulgar o uso da gravação de sessões em sua própria política de privacidade.
• Base lícita: o Controlador garante que todos os Dados Pessoais transferidos ao MousePlayer foram coletados licitamente.
• Marcação de áreas sensíveis: o Controlador é responsável por identificar regiões de seu site que exibem dados pessoais e marcá-las com data-mp-mask ou a classe mp-masked, e por excluir caminhos que não devem ser gravados de forma alguma. Veja a seção 4 sobre os limites do mascaramento automático.

4. Obrigações do Operador

• Instruções: O MousePlayer trata Dados Pessoais apenas segundo instruções documentadas do Controlador, salvo se o direito da União ou de um Estado-Membro exigir o contrário; nesse caso, o MousePlayer informa o Controlador sobre essa exigência legal antes do tratamento, salvo se essa lei proibir tal informação. Constituem instruções este acordo, as configurações feitas pelo Controlador em seu projeto e instruções em forma textual para office@mouseplayer.com. Quando o MousePlayer considerar que uma instrução viola a legislação de proteção de dados, informará o Controlador sem demora injustificada (art. 28(3), segundo parágrafo, do GDPR).
• Confidencialidade: as pessoas autorizadas a tratar os dados estão vinculadas à confidencialidade ou sujeitas a uma obrigação legal adequada de confidencialidade.
• Nenhum tratamento antes do consentimento: o script não atribui identificador, não define cookie, não armazena nada e não abre conexão até que exista um sinal de consentimento. Um sinal ausente é tratado como recusa, exceto em uma região expressamente liberada pelo Controlador nos termos da seção 11.3 dos Termos de Serviço; regiões em que o consentimento é exigido por lei, incluindo a UE e o EEE, não podem ser liberadas. Um sinal de Global Privacy Control prevalece sobre qualquer outro sinal.
• Mascaramento de IP: o endereço IP completo é usado na memória de trabalho para estabelecer a conexão, derivar o país e defender contra abusos. Quando a defesa contra abusos bloqueia um endereço, ele é mantido em um cache durante o bloqueio, por no máximo 24 horas. Os logs do servidor web, que registram todas as solicitações, incluindo as conexões do script de rastreamento, contêm o endereço completo e são eliminados após 14 dias. O endereço de um Usuário Final só é gravado no banco de dados de forma mascarada e não é exibido no painel.
• Ocultação em URLs: valores de parâmetros na consulta e no fragmento de um endereço que normalmente contêm dados pessoais ou credenciais de acesso (por exemplo ?email=, ?token=, ?code=, #access_token=) são ocultados no navegador antes de o endereço ser transmitido.
• Mascaramento de entradas de formulários – três níveis: mascaramento completo substitui cada caractere de cada entrada antes de ela sair do navegador e é o padrão para todas as propriedades. Mascaramento seletivo mantém nomes, endereços, e-mail, telefone, campos de pagamento e áreas de texto livre totalmente mascarados e substitui apenas dígitos nos demais locais. Sem mascaramento grava a entrada como digitada.
• Os dois níveis mais fracos exigem aprovação por escrito: o MousePlayer só os habilita para uma propriedade identificada, mediante solicitação fundamentada do Controlador, e registra a aprovação com horário e pessoa que a concedeu. A restrição é imposta nos servidores do MousePlayer: quando um nível armazenado ultrapassa a aprovação, ele é reduzido ao nível aprovado antes de a configuração chegar ao navegador. A revogação de uma aprovação produz efeitos na próxima conexão e devolve a propriedade ao mascaramento completo.
• Dois limites que nenhuma aprovação afasta: campos reconhecidos como senhas ou dados de pagamento permanecem totalmente mascarados em todos os níveis; e o mascaramento nunca abrange o conteúdo que o próprio site renderiza na página – uma página de confirmação que imprime um endereço faz parte da captura do DOM e, portanto, da reprodução. O reconhecimento verifica o nome, id, tipo e atributo autocomplete do campo em relação a uma lista que abrange termos em inglês, alemão e polonês; um campo que não corresponde a nada é considerado comum. Regiões marcadas com data-mp-mask ou mp-masked são inteiramente excluídas. O Controlador não pode confiar apenas no reconhecimento automático.
• Assistência: o MousePlayer auxilia o Controlador no atendimento de solicitações dos Usuários Finais nos termos do Capítulo III do GDPR e no cumprimento de suas obrigações nos termos dos art. 32 a 36 do GDPR.
• Ponto de contato e ausência de encarregado da proteção de dados: questões de proteção de dados nos termos deste acordo chegam ao MousePlayer em office@mouseplayer.com. Nenhum encarregado da proteção de dados foi designado. A avaliação nos termos do art. 37(1)(b) do GDPR está registrada, com data e fundamentação, na seção 9 do Registro das Atividades de Tratamento: o monitoramento regular e sistemático é atendido; a larga escala não é atendida pelos números atuais. Como o segundo requisito depende do número de usuários finais observados – um número determinado pelo tráfego do próprio Controlador, não pelo MousePlayer – ele é medido diariamente e a avaliação é repetida acima de 100000 usuários finais por mês em todos os Controladores e, em qualquer caso, anualmente. Uma designação, obrigatória ou voluntária, é publicada neste acordo e notificada à autoridade de controle.

5. Segurança do tratamento

O MousePlayer implementa medidas técnicas e organizacionais adequadas ao risco, incluindo criptografia em trânsito, separação lógica dos espaços de trabalho dos Clientes em todos os caminhos de leitura e escrita, aplicação do modelo de funções no servidor e encerramento automático de conexões não autorizadas de visualização ao vivo. Todas as conexões provenientes da internet usam exclusivamente HTTPS ou WSS: as do script de rastreamento – normalmente por WebSocket, por HTTP como alternativa quando não é possível estabelecer conexão WebSocket e como upload HTTP para capturas de página grandes –, assim como as da aplicação e da API. A criptografia termina no próprio servidor do MousePlayer. Dentro de sua própria rede local, no mesmo local, as conexões com o banco de dados e o cache não são criptografadas; são protegidas por senha e não podem ser alcançadas pela internet.

As medidas são descritas integralmente e mantidas atualizadas nas Medidas Técnicas e Organizacionais, que fazem parte integrante deste acordo.

6. Suboperadores

O Controlador concede ao MousePlayer autorização geral por escrito para contratar suboperadores. A lista atual, com finalidade, categorias de dados e local do tratamento, está publicada em Suboperadores.

Transmissões ativadas pelo controlador. O MousePlayer oferece pontes que enviam dados a destinatários escolhidos pelo próprio controlador: para um endereço de webhook fornecido por ele, seu sistema de relacionamento com clientes, seu helpdesk ou sistema de tickets, seu sistema de marketing por e-mail e de ciclo de vida, sua conta de anúncios em uma rede de publicidade (Conversions API), seu próprio armazenamento de objetos ou planilha e seu sistema de acompanhamento de problemas e tarefas. Esta lista indica deliberadamente categorias, não fornecedores: os fornecedores disponíveis em uma categoria mudam com os recursos oferecidos, e isso não altera os papéis de cada um. O que rege é aquilo que o controlador efetivamente ativou nas configurações do projeto. Essas transmissões só ocorrem se o controlador ativar a respectiva ponte e armazenar suas próprias credenciais; essa é a instrução em que se baseiam. Os destinatários não são suboperadores do MousePlayer — o relacionamento contratual com eles, incluindo eventuais garantias para transferências a países terceiros, existe entre o controlador e o respectivo destinatário. O que exatamente é transmitido está descrito no Registro das Atividades de Tratamento, seção 4. A transmissão à Meta ocorre exclusivamente para sessões com consentimento dado e exclusivamente para metas atingidas; nome, endereço de e-mail, número de telefone e endereço IP são excluídos dela.

Nenhum terceiro participa da gravação em si: o script de rastreamento transmite exclusivamente para a infraestrutura do próprio MousePlayer. Existe um destinatário além disso: uma cópia diária externa do banco de dados completo e do arquivo de gravações — incluindo gravações de sessões — é armazenada no Google (Google Cloud Storage, bucket em Varsóvia). Ela é mantida ali criptografada desde 11/08/2026: a criptografia ocorre em nosso próprio servidor antes da transferência (rclone crypt) e também abrange nomes de arquivos e diretórios; as chaves são mantidas em nosso próprio servidor. O Google não as recebe e não pode ler o conteúdo, mas continua sendo suboperador — a criptografia é uma medida técnica, não uma mudança de papel. A antiga pasta de destino não criptografada, que continha as cópias anteriores a 11/08/2026, foi excluída em 12/08/2026.

O MousePlayer informa o Controlador 30 dias antes de um novo suboperador iniciar o tratamento ou de um existente ser substituído. Dentro desse prazo, o Controlador pode se opor por motivos razoáveis de proteção de dados; se a oposição não puder ser resolvida, o Controlador poderá rescindir o serviço afetado. A notificação é feita por e-mail e por um aviso na área autenticada; uma oposição deve ser enviada em forma textual para office@mouseplayer.com. O MousePlayer vincula cada suboperador por contrato a obrigações de proteção de dados nos termos do art. 28(4) do GDPR que ofereçam garantias suficientes de medidas técnicas e organizacionais adequadas – para fornecedores que oferecem apenas termos padrão, seus termos de tratamento de dados – e continua integralmente responsável perante o Controlador por seu cumprimento.

A antiga exceção não existe mais. Até 05/09/2026, a cópia de backup externa descrita acima era mantida em uma conta privada do Google para a qual não estão disponíveis termos de tratamento de dados; isso divergia da frase acima e do art. 28(4) do GDPR, e a versão 1.3 deste acordo o divulgava abertamente. Desde 05/09/2026, a cópia é mantida no Google Cloud Storage (região europe-central2, Varsóvia) e é coberta pelo Google Cloud Data Processing Addendum; as cópias anteriormente mantidas na conta privada foram excluídas em 06/09/2026, após a verificação de uma restauração a partir do novo destino. A criptografia antes da transferência permanece. Textos gerados são formulados por um modelo de linguagem no próprio hardware do MousePlayer; nenhum serviço externo de IA é envolvido.

7. Direitos dos titulares dos dados

O MousePlayer auxilia o Controlador, levando em conta a natureza do tratamento, a responder a solicitações dos Usuários Finais. A exclusão de uma sessão individual e de todas as sessões de um visitante está disponível na aplicação para as funções owner e admin. Além disso, está disponível aos Usuários Finais uma página de informações pela qual podem obter informações sobre suas sessões e solicitar sua eliminação, desde que possuam seu identificador de visitante (seção 14.4 dos Termos de Serviço). Solicitações que os Usuários Finais dirigem diretamente ao MousePlayer são encaminhadas ao Controlador, que é informado sem demora injustificada.

Uma limitação é declarada abertamente: como os endereços IP são armazenados apenas de forma mascarada, o endereço mascarado por si só nem sempre identifica todas as gravações de uma pessoa. Quanto mais precisamente uma solicitação puder ser delimitada (site, horário aproximado, página), mais completamente poderá ser atendida.

Registros de decisões de consentimento são mantidos além da eliminação de uma gravação. Não contêm dados comportamentais, apenas o fato, o momento e a origem da decisão, e servem à obrigação de responsabilização nos termos do art. 5(2) do GDPR.

8. Violação de dados pessoais

Em caso de violação de dados pessoais que afete os dados do Controlador, o MousePlayer notifica o Controlador sem demora injustificada e, no máximo, em 48 horas após tomar conhecimento dela. A notificação contém as informações de que o Controlador precisa para cumprir suas próprias obrigações nos termos dos art. 33 e 34 do GDPR.

Endereço para comunicação: office@mouseplayer.com

9. Retenção e eliminação

A eliminação é automática e ocorre sem supervisão:

• Gratuito: 7 dias · Small: 30 dias · Business: 90 dias · Enterprise: conforme acordo individual.
• Após a mudança para um plano inferior, aplica-se um período de carência de 30 dias e, quando uma assinatura paga termina, um período de pelo menos 30 dias; durante esse período, continua valendo a retenção anterior mais longa.
• Aplicam-se prazos mais curtos: gravações de sessões identificadas como automatizadas (bots) são removidas após um dia, e as sessões são excluídas após 14 dias; para uma conta gratuita classificada no cadastro como suspeita de abuso, as gravações são excluídas após 24 horas.
• Logs de acesso à aplicação são eliminados após 60 dias, logs do servidor web após 14 dias, logs de segurança após 72 horas; links de compartilhamento expirados ou revogados são eliminados junto com seu log de visualizações 90 dias após a expiração ou revogação.

Ao término dos serviços, o MousePlayer devolve ou elimina os dados, a critério do Controlador: a devolução ocorre mediante a obtenção de seus dados pelo Controlador por meio das exportações previstas nas seções 24.1 e 24.1a dos Termos de Serviço antes da eliminação; o MousePlayer não está obrigado a devolver os dados de qualquer outra forma. No encerramento da conta do Controlador, o MousePlayer elimina todos os Dados Pessoais associados em até 30 dias, salvo se o direito da União ou de um Estado-Membro exigir armazenamento adicional. A exclusão é iniciada pelo Cliente nas configurações da conta; não é necessária solicitação por e-mail. Primeiro, ela arquiva a conta: o acesso termina imediatamente, nada mais é gravado ou exibido e, por 30 dias, ainda podemos restaurá-la mediante solicitação caso a exclusão tenha sido um engano. Após esse prazo, ela é eliminada definitivamente; ao iniciar a exclusão, o Cliente também pode escolher a eliminação definitiva imediata. Um projeto ou espaço de trabalho que o Cliente exclui também é primeiro arquivado por 30 dias e pode ser restaurado no painel durante esse período. Uma conta no plano gratuito à qual ninguém tenha feito login por 24 meses é excluída nos termos da seção 6.5 dos Termos de Serviço após a entrega de uma notificação; essa exclusão não arquiva primeiro. Três elementos são deliberadamente mantidos, porque a lei exige ou porque documentam uma decisão, não uma pessoa: o registro de aceitação destes documentos, o log de segurança e alterações (com a referência ao usuário removida) e as solicitações de suporte. Um espaço de trabalho pode ser transferido para outra conta em vez de ser excluído com ela. A transferência só produz efeitos quando o destinatário a aceita expressamente; o convite expira após três dias. Com a aceitação, o destinatário se torna proprietário e, com isso, a contraparte contratual do Controlador para aquele espaço de trabalho, e o plano do destinatário passa a valer a partir desse momento — o que pode reduzir o período de retenção das gravações nele contidas.

Backups, com números explícitos. Uma cópia externa é feita diariamente e mantida criptografada; cópias diárias são mantidas por 7 dias e cópias semanais por 364 dias. Dados Pessoais eliminados no sistema em operação permanecem nessas cópias até sua expiração – no máximo 364 dias após a eliminação. Isso também se aplica a gravações de sessões transferidas do banco de dados para o arquivo de gravações após 7 dias: o arquivo faz parte do backup desde 06/10/2026, e o mesmo prazo máximo se aplica ao seu conteúdo.

Não é realizada eliminação seletiva dentro de um backup. Uma cópia é um único arquivo selado cuja finalidade é ser uma imagem fiel de um momento específico; abri-lo, remover algo e selá-lo novamente destruiria essa propriedade e a capacidade de demonstrar que ninguém o adulterou. Backups não servem a nenhuma finalidade além de restaurar o sistema após uma perda – não são pesquisados, analisados nem divulgados. Quando um backup é restaurado, as solicitações de eliminação registradas para Usuários Finais são executadas novamente antes de o sistema voltar a operar; o registro dessas solicitações é mantido para essa finalidade e não contém nada além do necessário para repetir a eliminação. Para uma conta excluída do Controlador, a situação é diferente e é declarada, não disfarçada: sua exclusão deliberadamente não deixa registro que a identifique, de modo que uma cópia restaurada conteria uma conta excluída após a data dessa cópia. Uma restauração só ocorre após uma perda total; quando acontece, o MousePlayer informa isso.

10. Auditorias, vigência e idioma prevalecente

• Auditorias. O MousePlayer disponibiliza ao Controlador as informações necessárias para demonstrar conformidade com o art. 28 do GDPR e permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Controlador ou por auditor por ele designado; o âmbito, a forma e a frequência das auditorias são regidos pelas frases seguintes. A auditoria é realizada principalmente mediante disponibilização de relatórios sobre as medidas técnicas e organizacionais ou por questionários escritos. O Controlador pode solicitar uma auditoria no local (uma inspeção no sentido desta seção) apenas quando houver suspeita concreta de violação de obrigações de proteção de dados; o Controlador deve anunciá-la com pelo menos 30 dias de antecedência em forma textual. O Controlador só pode solicitar uma auditoria no local por ano civil nos termos da frase anterior; essa auditoria é gratuita. Quando uma violação de dados pessoais no sentido da seção 8 tiver afetado dados do Controlador e essa violação tiver sido causada com dolo ou negligência pelo MousePlayer, por seus empregados, pelas pessoas que utiliza para cumprir suas obrigações nos termos deste acordo ou por seus suboperadores, o Controlador poderá solicitar uma auditoria no local, independentemente de já ter ocorrido uma auditoria no local no ano civil em questão; o Controlador deve solicitar essa auditoria em até três meses da notificação prevista na seção 8. Cada violação de dados pessoais desse tipo dá direito a uma auditoria no local nos termos da frase anterior; depois de realizada essa auditoria, ou de transcorrido o prazo de três meses sem que a solicitação tenha sido feita, a mesma violação não poderá mais ser invocada para outra auditoria no local. Uma auditoria no local nos termos das duas frases anteriores é gratuita em todos os casos; quando ainda não tiver ocorrido auditoria no local no ano civil em questão, ela conta como a auditoria no local daquele ano civil, e nenhuma auditoria no local adicional decorre dessa contagem. Junto com a notificação prevista na seção 8, o MousePlayer fornece ao Controlador a documentação dessa violação de dados pessoais, para que ele possa avaliar se essas condições são atendidas. Apenas auditorias no local são contadas para a auditoria anual mencionada acima; relatórios e questionários escritos não são contados. Nenhuma auditoria no local ocorre fora dos casos descritos nas frases anteriores. O Controlador arca com os custos de uma auditoria apenas quando essa auditoria é permitida pelas frases anteriores e não é gratuita segundo elas, e apenas na medida em que exceda o esforço habitual e razoável. Um relatório independente sobre as medidas técnicas e organizacionais, um certificado ou autoavaliações detalhadas são aceitos como prova, na medida em que existam; a situação das auditorias externas e certificações de segurança está indicada na seção 6 das Medidas Técnicas e Organizacionais. A finalidade dessas disposições é manter as auditorias no local no mínimo necessário. Os direitos legais obrigatórios de auditoria do Controlador nos termos do art. 28(3)(h) do GDPR e os poderes das autoridades de controle permanecem inalterados.
• Vigência. Este acordo entra em vigor quando o Controlador começa a usar o serviço e permanece vigente enquanto o MousePlayer tratar Dados Pessoais em nome do Controlador.
• Documentos relacionados. Medidas Técnicas e Organizacionais, Suboperadores, Política de Privacidade.
• Versão: 1.6 · Vigência: 16/10/2026 · substitui a versão 1.5 de 07/10/2026. Alterações: a seção 2 lista integralmente as categorias de dados tratados; a seção 4 informa que um endereço bloqueado é mantido em cache por no máximo a duração de bloqueio configurada e que os valores no fragmento de um endereço também são ocultados; a seção 5 descreve com precisão os caminhos de transporte, incluindo as conexões não criptografadas dentro da própria rede local; as seções 6 e 9 informam que o arquivo de gravações faz parte do backup desde 06/10/2026; a seção 9 informa os prazos mais curtos para sessões de bots e contas suspeitas de abuso, o período de carência após o término de uma assinatura e a exclusão de contas não utilizadas no plano gratuito. Também fazem parte desta versão: a seção 2 indica o objeto e a finalidade, os tipos de dados pessoais e as pessoas que abrem um link de compartilhamento; a seção 4 indica as informações prestadas antes de um tratamento exigido por lei, a forma das instruções, o aviso sobre instruções ilícitas, a liberação regional, os logs do servidor web e a duração de bloqueio configurada; a seção 6 descreve como os suboperadores são vinculados por contrato e a forma da notificação e oposição, e deixa de afirmar que as chaves são mantidas exclusivamente em nosso servidor; a seção 7 indica a página de informações para Usuários Finais e o tratamento de solicitações dirigidas diretamente a nós; a seção 9 indica a devolução ou eliminação a critério do Controlador, os períodos de carência, os logs do servidor web e a eliminação dos links de compartilhamento. A versão 1.5 substituiu a versão 1.4 de 17/09/2026. Alteração: seção 9 – uma exclusão iniciada pelo Cliente primeiro arquiva a conta e os projetos ou espaços de trabalho que ele exclui por 30 dias antes de serem eliminados definitivamente; o Cliente pode escolher a eliminação definitiva imediata. A versão 1.4 substituiu a versão 1.3 de 19/08/2026. Alteração: seção 6 – a exceção para o backup externo deixou de vigorar, pois desde 05/09/2026 a cópia é mantida no Google Cloud Storage em Varsóvia sob o Google Cloud Data Processing Addendum; além da frase de que textos gerados são formulados em hardware próprio. A versão 1.3 substituiu a versão 1.2 de 11/08/2026. Alterações: a seção 4 ganha um ponto de contato e a avaliação do art. 37; a seção 6 indica o suboperador que opera sem acordo nos termos do art. 28, algo que a redação anterior não divulgava; a seção 9 informa a retenção de backups com números e o que acontece em uma restauração.
• Idioma prevalecente. Em caso de divergência entre versões em diferentes idiomas, prevalece a versão em inglês.