Contrato de processamento de dados

1.1. Objeto. A fim de cumprir as obrigações decorrentes do Contrato, o Usuário instrui, e a Administração se compromete a tratar os dados pessoais de terceiros coletados ou tratados de outra forma por meio das funcionalidades da Plataforma.

As disposições do DPA constituirão instruções documentadas do Usuário, nos termos da legislação aplicável em matéria de proteção de dados.

1.2. Categorias de titulares de dados. Para os fins do DPA, terceiros podem incluir quaisquer pessoas físicas, incluindo:
1) funcionários , consultores, prestadores de serviços, parceiros comerciais e pessoas de contato cujas informações sejam publicadas ou disponibilizadas de outra forma no Projeto do Usuário;
2) candidatos , clientes ou parceiros atuais ou potenciais do Usuário que enviem dados pessoais por meio de formulários de coleta de dados no Projeto do Usuário;
3) visitantes do Projeto do Usuário cujas informações sejam coletadas automaticamente.

1.3. Finalidade do Tratamento e Categorias de Dados Pessoais. A Administração tratará dados pessoais em nome do Usuário no âmbito a seguir:

1.4. Restrições ao tratamento de dados. O Usuário avalia de forma independente a legalidade do tratamento de dados pessoais na Plataforma, bem como a possibilidade de autorizar a Administração a tratar tais dados. O Usuário aceita e reconhece que:
1) a Administração não trata dados pessoais relativos à saúde, dados genéticos, dados biométricos ou outras categorias especiais de dados pessoais;
2) tA funcionalidade que permite publicar Conteúdo nos Projetos não se destina à publicação de imagens que contenham dados pessoais, incluindo fotos de pessoas e cópias digitalizadas de documentos.

1.5. Duração do tratamento. A Administração tratará os dados pessoais de terceiros durante a vigência do Contrato ou por qualquer período adicional necessário para o cumprimento das obrigações decorrentes do Contrato, até que tais dados sejam apagados de acordo com os procedimentos estabelecidos na Lei de Proteção de Dados.

2.1. Organizing Personal Data Processing on the Platform. The User, being the data controller, independently organizes the processing of personal data of individuals on the Platform. The User determines the purposes and grounds for processing personal data, its composition, list of actions and operations to be performed.

2.2. Ensuring Legal Compliance. When processing personal data on the Project, the User shall independently ensure compliance with the applicable legislation. In particular, the User without the Administration involved:
1) establishes the procedure for collecting consents to the processing of personal data on the Project, including the use of data collection forms and/or analytics services;
2) publishes a privacy policy or privacy notice on the Project;
3) appoints responsible persons and develops a set of internal documents regulating data processing.

2.3. Existence of a Legal Ground. By processing personal data on the Platform, the User represents and warrants that they have obtained the consents of the subjects or other legal ground for processing the data and its transfer to the Administration under the DPA.

At the request of the Administration sent to the User's e-mail address specified in the Account, the User undertakes to provide documents confirming the existence of legal grounds for processing within 24 hours of receipt of the request.

2.4. Connecting Third-Party Services. When using the Platform, the User may be offered to connect Third-Party Services that collect or otherwise process personal data, including data collection services, payment systems, delivery services, AI agents, and other external services connected via the MCP protocol.

Data processing by Third-Party Services is performed by their owners acting independently of the Administration and not acting in the name of and/or on behalf of the Administration. The Administration is not responsible for processing of personal data by owners of Third-Party Services.

The User undertakes to independently ensure the lawfulness of personal data processing when connecting Third-Party Services, including issue of separate instructions for processing with their owners.

2.5. Cross-Border Transfers. When using the Platform’s functionality, cross-border transfer of personal data of third parties may occur on the User's initiative, in particular, when:
1) changing the User’s profile country;
2) granting access to a Project to a User with another profile country;
3) transferring a Project to the Account of a User with another profile country.
4) connecting Third-Party Services to the Project.

The User undertakes to independently ensure the security of the cross-border transfer of personal data in accordance with the requirements of applicable legislation.

3.1. Transferências a terceiros. A Administração transfere dados pessoais com base em contratos de tratamento de dados para os seguintes subcontratantes:
1) Hetzner Online GmbH – para armazenamento de dados pessoais em servidores;
2) G-Core Labs SA – para armazenamento e backup de Projetos do Usuário;
3) Google Cloud EMEA Limited – para garantir a segurança da informação dos Projetos.

O Usuário concede à Administração, por meio deste, autorização geral por escrito para contratar os subcontratantes especificados para o tratamento de dados pessoais.

Todos os processadores que tratam dados pessoais em nome da Administração comprometem-se a cumprir as medidas de confidencialidade, proteção e segurança exigidas pela legislação aplicável.

Sujeito às limitações de responsabilidade aqui estabelecidas, a Administração permanece responsável perante o Usuário por atos e/ou omissões dos processadores contratados.

3.2. Alterações na Lista de Processadores Contratados. A Administração tem o direito de envolver outros terceiros no tratamento de dados pessoais, mediante notificação prévia ao Usuário. A notificação é enviada para o endereço de e-mail utilizado para autorização na Plataforma, ou mediante a publicação de informações relevantes na Conta Pessoal.

O Usuário tem o direito de apresentar objeções fundamentadas à alteração na lista de processadores contratados no prazo de 10 dias a partir da data da notificação. Ao mesmo tempo, o Usuário compreende e reconhece que:
1) a contratação de terceiros pode ser necessária para o cumprimento adequado das obrigações da Administração nos termos do Contrato;
2) caso sejam recebidas objeções, a Administração poderá rescindir unilateralmente o Contrato extrajudicialmente.

3.3. Segurança das transferências transfronteiriças. A Administração realiza transferências transfronteiriças de dados pessoais no território de:
1) Estados-Membros da União Europeia – para fins de armazenamento e segurança da informação;
2) Estados Unidos da América – para armazenamento e backup dos Projetos do Usuário.

Antes de iniciar uma transferência transfronteiriça, a Administração determinará se o país para o qual os dados pessoais são transferidos é reconhecido como oferecendo um nível adequado de proteção de dados, de acordo com a legislação aplicável.

Ao transferir dados pessoais para um país que não garanta o nível de proteção exigido, a Administração compromete-se a celebrar cláusulas contratuais-tipo com o destinatário ou a garantir a aplicação de regras corporativas vinculativas.

4.1. Medidas implementadas. A Administração deve manter a confidencialidade e garantir a segurança dos dados pessoais de acordo com a legislação aplicável, incluindo:
1) manter registros das atividades de tratamento;
2) definir uma lista de pessoas autorizadas a coletar e tratar dados pessoais ou a ter acesso a eles;
3) estabelecer procedimentos de controle de acesso aos dados pessoais;
4) utilizar canais de comunicação seguros e criptografia;
5) aplicação de técnicas de pseudonimização, incluindo o uso de IDs nos sistemas internos da Administração;
6) implementação de mecanismos de identificação e/ou autenticação no tratamento de dados pessoais;
7) uso de sistemas de backup e recuperação;
8) avaliação e gestão de riscos de segurança da informação;
9) abordagem dos requisitos de proteção e segurança de dados em contratos e/ou acordos de tratamento de dados com prestadores de serviços;
10) realização de auditorias técnicas regulares.

4.2. Violação de dados pessoais. Caso seja identificada uma violação de dados pessoais, resultando na destruição acidental ou ilícita, perda, alteração, divulgação não autorizada e/ou acesso a dados pessoais de terceiros, a Administração é obrigada a notificar o Usuário sobre essa violação sem demora injustificada.

A notificação deverá incluir uma descrição da natureza da violação, as possíveis consequências para os titulares dos dados e as medidas que a Administração tomou e/ou pretende tomar para mitigar tais consequências.

Ao mesmo tempo, o Usuário compreende e reconhece que a notificação de uma violação de dados pessoais não pode, em hipótese alguma, ser considerada uma admissão de culpa e/ou responsabilidade por parte da Administração.

5.1. Fornecimento de informações e auditoria. A pedido do Usuário, durante a vigência do DPA, a Administração é obrigada a fornecer documentos e outras informações que comprovem que foram tomadas medidas e que estas estão sendo cumpridas para a execução do DPA. No entanto, o Usuário poderá apresentar tais solicitações no máximo uma vez a cada 3 meses.

Mediante solicitação por escrito do Usuário, a Administração compromete-se a auxiliar na realização de auditorias ou inspeções, fornecendo ao Usuário as informações necessárias sobre os procedimentos de tratamento de dados pessoais.

5.2. Assistência no cumprimento das obrigações. Como regra geral, o Usuário, na qualidade de controlador de dados pessoais, deve garantir de forma independente o cumprimento dos requisitos estabelecidos pela legislação aplicável.

No entanto, levando em conta a natureza do tratamento, mediante solicitação por escrito do Usuário, a Administração prestará assistência razoável no cumprimento das obrigações relacionadas a:
1) garantir a segurança do tratamento;
2) preparar notificações de violações de dados pessoais;
3) realizar avaliações de impacto sobre a proteção de dados;
4) realizar consultas prévias com autoridades de supervisão;
5) processar solicitações dos titulares de dados por meio da implementação de medidas técnicas e organizacionais adequadas, na medida do possível, dada a natureza do tratamento.

6.1. Garantia dos direitos dos titulares dos dados. O usuário compromete-se a tratar os dados pessoais na Plataforma até que as finalidades do tratamento sejam cumpridas. Caso o consentimento para o tratamento de dados pessoais seja retirado, ou os fundamentos que permitem tal tratamento sejam extintos, o Usuário deverá garantir, por conta própria, a eliminação dos dados pessoais.

6.2. Procedimento de devolução ou eliminação. Mediante recebimento de uma solicitação específica, a Administração deverá, conforme a escolha do Usuário, eliminar ou devolver os dados pessoais recebidos do Usuário dentro de um prazo não superior a 30 dias, a menos que outro prazo seja estabelecido pela legislação aplicável.

A Administração também excluirá os dados pessoais após o término do período de retenção estabelecido na Plataforma ou determinado independentemente pelo Usuário. Em particular, ao utilizar formulários de coleta de dados no Projeto, o período de retenção de dados será definido por meio das configurações relevantes do Projeto.

Ao mesmo tempo, a Administração terá o direito de não excluir e/ou não devolver os dados pessoais recebidos do Usuário quando o direito ou a obrigação de reter tais dados estiver previsto na legislação aplicável.

6.3. Bloqueios e restrições na Plataforma. Em caso de violação ou suspeita razoável de que o Usuário tenha violado o Contrato e/ou a legislação aplicável, a Administração terá o direito de bloquear a conta do Usuário, bem como tomar outras medidas previstasno Contrato.

O Usuário compreende e reconhece que, caso a Administração tome medidas administrativas, os dados pessoais tratados nos termos do DPA poderão ser excluídos sem possibilidade de recuperação posterior.

7.1. Liability of the Administration. The Administration shall not be responsible for the actions of the User when processing personal data on the Platform. Any claims, demands or complaints of third parties related to the processing of their personal data should be resolved directly by the User without the Administration involved.

The Administration shall also not be responsible for acts and/or omissions related to the processing of personal data of third parties where the Administration has acted solely in accordance with the User’s instructions.

In any case, the Administration’s liability shall not exceed the amount of the cost of the Plan paid by the User and valid during the period of occurrence of events that are the basis for the emergence of property liability of the Administration.

7.2. User’s Responsibility and Compensation for Losses. The User, being the data controller under the applicable legislation, is individually responsible to the subjects of personal data for the lawfulness of personal data processing.

In the event that a judicial and/or administrative case is initiated against the Administration, a lawsuit is brought, or a claim is made from any party due to the User’s violation of the personal data processing procedure, the User is obliged to compensate the Administration for all losses, including, reasonable legal expenses.

8.1. Lei Aplicável. Independentemente das disposições do Contrato, o tratamento de dados pessoais nos termos destas Instruções será regido e interpretado de acordo com as leis dos Emirados Árabes Unidos.

Quando os titulares dos dados cujos dados pessoais são tratados pela Administração estiverem localizados num Estado-Membro da União Europeia e/ou do Espaço Económico Europeu, o tratamento de dados pessoais estará também sujeito às disposições do Regulamento Geral sobre a Proteção de Dados.

8.2. Cláusulas Contratuais Padrão. O tratamento de dados pessoais de indivíduos localizados na União Europeia e/ou no Espaço Econômico Europeu pela Administração será adicionalmente regido pelas Cláusulas Contratuais Padrão.

De acordo com o Regulamento Geral de Proteção de Dados, essas Cláusulas Contratuais Padrão garantem a legalidade das transferências de dados pessoais para os Emirados Árabes Unidos.

Em caso de qualquer conflito entre estas Instruções e as disposições das Cláusulas Contratuais Padrão, prevalecerão as Cláusulas Contratuais Padrão.