Acordo de tratamento de dados

1. Definições

Termos como controlador, operador, suboperador, titular dos dados, dados pessoais, tratamento e violação de dados pessoais têm os significados atribuídos pelo UK GDPR e pelo GDPR da UE. “Leis de Proteção de Dados” significa o UK GDPR, o GDPR da UE (Regulamento 2016/679), o UK Data Protection Act 2018 e quaisquer outras leis aplicáveis de proteção de dados ou privacidade.

2. Papéis e escopo

Para os dados pessoais tratados sob o acordo, o Cliente é o controlador e a Clavio é a operadora (ou, se o próprio Cliente for operador para seus usuários finais, a Clavio será suboperadora). A Clavio trata dados pessoais somente para fornecer e dar suporte ao Serviço. O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares estão descritos no Anexo A abaixo.

3. Obrigações da Operadora (Artigo 28)

A Clavio deverá:

• Instruções documentadas — tratar dados pessoais somente conforme as instruções documentadas do Cliente (incluindo as do acordo e deste DPA), salvo exigência legal em contrário; nesse caso, quando permitido por lei, a Clavio informará o Cliente previamente.
• Confidencialidade — garantir que as pessoas autorizadas a tratar os dados pessoais estejam vinculadas a um dever adequado de confidencialidade.
• Segurança — implementar as medidas técnicas e organizacionais descritas no §6 e no Anexo B (Artigo 32).
• Suboperadores — contratar suboperadores somente de acordo com o §5.
• Assistência aos direitos dos titulares — considerando a natureza do tratamento, ajudar o Cliente com medidas apropriadas a responder às solicitações dos titulares (acesso, retificação, eliminação, restrição, portabilidade e oposição).
• Assistência à conformidade — ajudar o Cliente a garantir o cumprimento dos Artigos 32–36 (segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia), considerando as informações disponíveis à Clavio.
• Exclusão ou devolução — a critério do Cliente, excluir ou devolver todos os dados pessoais após o término dos serviços e excluir as cópias existentes, salvo exigência legal de armazenamento (ver §8).
• Auditorias — disponibilizar as informações necessárias para demonstrar o cumprimento do Artigo 28 e permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Cliente ou por auditor por ele designado, sujeitas a disposições razoáveis de confidencialidade e segurança.

4. Violação de dados pessoais

A Clavio notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação que afete os dados pessoais do Cliente e fornecerá as informações razoavelmente disponíveis para ajudá-lo a cumprir suas próprias obrigações de notificação às autoridades de supervisão e aos titulares sob os Artigos 33 e 34.

5. Suboperadores

O Cliente concede autorização geral para a Clavio contratar suboperadores para fornecer o Serviço. Os suboperadores atuais da Clavio estão listados em nossa Política de Privacidade e abaixo. A Clavio imporá a cada suboperador obrigações de proteção de dados substancialmente equivalentes às deste DPA e continuará responsável pelo desempenho de seus suboperadores. A Clavio informará o Cliente sobre mudanças pretendidas e dará a oportunidade de se opor por motivos razoáveis de proteção de dados.

• Anthropic — aprimoramento por IA do texto transcrito; trata transcrições e conteúdo ditado.
• OpenAI (Whisper) — transcrição de fala para texto; trata gravações de voz.
• Groq — pode fornecer transcrição de fala para texto quando configurado; trata gravações de voz e dados de inferência relacionados sob os controles de dados aplicáveis à conta.
• Lemon Squeezy — processamento de pagamentos e cobrança de assinaturas como Merchant of Record; trata dados de conta e identidade (nome, e-mail), informações de cobrança e pagamento e país para fins tributários.
• Apple — login e verificação de identidade; trata dados de conta e identidade.
• Google — login e verificação de identidade; trata dados de conta e identidade.
• Railway — hospedagem da aplicação e infraestrutura de banco de dados; pode tratar todas as categorias descritas no Anexo A.
• GitLab — distribuição de software e ferramentas operacionais; trata dados de diagnóstico e operação.

6. Medidas de segurança (Artigo 32)

A Clavio mantém medidas técnicas e organizacionais apropriadas para proteger dados pessoais, incluindo: criptografia em trânsito (TLS); armazenamento apenas de tokens de autenticação com hash em vez de senhas; controles de acesso conforme a necessidade de conhecimento; uso de provedores de infraestrutura de boa reputação; e práticas operacionais projetadas para garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas do Serviço. Um resumo dessas medidas consta do Anexo B.

7. Transferências internacionais

Quando o tratamento sob este DPA envolver a transferência de dados pessoais para fora do Reino Unido ou do EEE, para um país sem decisão de adequação, as partes concordam que essas transferências estarão sujeitas às salvaguardas apropriadas do Artigo 46: as Cláusulas Contratuais Padrão da Comissão Europeia (EU 2021/914) e, para transferências do Reino Unido, o Acordo Internacional de Transferência de Dados do Reino Unido / Aditivo do Reino Unido, incorporados por referência e preenchidos com os detalhes dos Anexos. Assinamos essas cláusulas sem negociação como prática padrão.

8. Duração, exclusão e devolução

Este DPA se aplica enquanto a Clavio tratar dados pessoais em nome do Cliente. No encerramento ou vencimento do Serviço, e a critério do Cliente, a Clavio excluirá ou devolverá os dados pessoais do Cliente e excluirá as cópias existentes, sujeita a curtas janelas de rotação de backups e à retenção exigida por lei.

9. Anexo A — Detalhes do tratamento

• Objeto e natureza: fornecimento de um serviço de ditado por voz com IA — captura, transmissão, transcrição e aprimoramento do ditado, e gestão de contas e assinaturas.
• Finalidade: fornecer o Serviço ao Cliente e a seus usuários autorizados.
• Duração: durante a vigência do acordo, acrescida de qualquer período limitado de encerramento sob o §8.
• Categorias de titulares: usuários autorizados do Cliente (por exemplo, funcionários ou membros da equipe).
• Tipos de dados pessoais: dados de conta e identidade (identificador do usuário, nome, e-mail, incluindo endereços de retransmissão privada da Apple); gravações de voz e transcrições; informações de assinatura, cobrança e pagamento (tratadas por nosso Merchant of Record, Lemon Squeezy), incluindo país para fins tributários; dados de uso, diagnóstico e dispositivo/sistema operacional.
• Dados de categoria especial: gravações de voz, tratadas temporariamente para produzir transcrições; não usadas para treinar modelos de IA.

10. Anexo B — Medidas de segurança (resumo)

• Criptografia de dados pessoais em trânsito (TLS).
• Autenticação por provedores de identidade conectados; armazenamento apenas de tokens com hash, não de senhas.
• Controles de acesso a sistemas e dados baseados em funções e na necessidade de conhecimento.
• Uso de suboperadores de infraestrutura e IA de boa reputação, com segurança revisada e sujeitos a termos de proteção de dados.
• Registro e monitoramento para detectar e responder a eventos de segurança, e um processo para notificar o Cliente sobre violações de dados pessoais.
• Medidas projetadas para restaurar a disponibilidade e o acesso aos dados pessoais em tempo hábil após um incidente.

11. Contato

Para solicitar ou assinar este DPA, ou esclarecer dúvidas sobre ele, entre em contato com office@justetools.co.uk .