Adenda de Tratamento de Dados

1. Partes e âmbito

Esta Adenda de Tratamento de Dados (a "DPA") é celebrada entre a PeakCore LLC, uma sociedade de responsabilidade limitada do Wyoming que explora a AIGROW ("nós"), e a empresa que aceita os nossos Termos de Serviço ("você"). Faz parte do acordo composto pelos Termos e pelos documentos neles indicados (o "Acordo").

Aplica-se sempre que tratamos Dados Pessoais do Cliente na prestação dos Serviços. Aplica-se automaticamente, sem assinatura, a partir do momento em que nos fornece pela primeira vez esses dados. Os casos típicos são:

• os dados da empresa, os concorrentes e os totais de tráfego do Google Analytics que guarda num monitor;
• os dados dos clientes de uma agência, a identidade visual e os relatórios white-label;
• os leads que o verificador incorporado de uma agência recolhe dos visitantes do site da agência;
• os dados do Search Console e a chave que liga ao motor de blogue;
• as mensagens, memórias e documentos que fornece ao assistente, e o conteúdo do motor de blogue;
• os prompts e as respostas que passam pela nossa API;
• os materiais que nos envia para trabalhos feitos por nós e comunicados de imprensa, como avaliações de clientes, citações e os nomes dos seus colaboradores.

Esta DPA aplica-se apenas a clientes empresariais. Não se aplica aos dados pessoais que tratamos como responsável pelo tratamento, como os dados da sua conta, de faturação e de contacto, que são abrangidos pela Política de Privacidade.

2. Definições

As palavras definidas nos Termos têm aqui o mesmo significado. "Responsável pelo tratamento", "subcontratante", "titular dos dados", "dados pessoais", "tratamento" e "autoridade de controlo" têm os significados que lhes são dados no RGPD. Além disso:

• Dados Pessoais do Cliente designa os dados pessoais que tratamos por sua conta na prestação dos Serviços.
• Lei de Proteção de Dados designa as leis aplicáveis a esse tratamento, que podem incluir o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (o "RGPD"), o RGPD na parte em que integra o direito do Reino Unido (o "RGPD do Reino Unido"), a Lei de Proteção de Dados do Reino Unido de 2018, a Lei Federal Suíça sobre Proteção de Dados (a "LPD"), a Lei de Privacidade do Consumidor da Califórnia e leis semelhantes de outros estados dos EUA.
• Subcontratante ulterior designa um terceiro que contratamos para tratar Dados Pessoais do Cliente.
• Violação de Dados Pessoais designa uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração ou divulgação não autorizada de Dados Pessoais do Cliente, ou o acesso não autorizado a esses dados, em sistemas controlados por nós ou pelos nossos Subcontratantes ulteriores.
• CCT designa as Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia.
• Adenda do Reino Unido designa a Adenda de Transferência Internacional de Dados às CCT emitida pelo Information Commissioner do Reino Unido.

3. Funções

Você é o responsável pelo tratamento dos Dados Pessoais do Cliente e nós somos o seu subcontratante. Quando atua por conta de um cliente seu, como faz uma agência, você é subcontratante, o seu cliente é o responsável pelo tratamento e nós somos o seu subcontratante ulterior. Você confirma que o seu cliente o autorizou a dar-nos estas instruções, incluindo a nomeação dos nossos Subcontratantes ulteriores, e continua a ser o nosso único ponto de contacto.

Somos responsáveis pelo tratamento, e não subcontratantes, dos dados de que necessitamos para gerir o nosso negócio: dados da conta e de faturação, registos de utilização e de custos, registos de segurança e de abuso, e estatísticas que não identificam ninguém. Podemos utilizar registos de utilização e essas estatísticas para operar, proteger, faturar e melhorar os Serviços, e nunca para identificar os seus titulares de dados.

Estados Unidos. Quando se aplicam leis estaduais de privacidade dos EUA, atuamos como seu prestador de serviços ou contratante. Não vendemos nem partilhamos Dados Pessoais do Cliente. Não os conservamos, utilizamos nem divulgamos para qualquer outra finalidade que não seja a prestação dos Serviços ao abrigo do Acordo, nem fora da nossa relação comercial direta consigo, e não os combinamos com dados pessoais de outras fontes, exceto na medida em que essas leis o permitam. Cumprimos as obrigações que essas leis nos impõem e informá-lo-emos se deixarmos de as poder cumprir. Nesse caso, pode tomar medidas razoáveis e adequadas para fazer cessar e corrigir a utilização não autorizada.

4. Tratamento segundo as suas instruções

Tratamos os Dados Pessoais do Cliente apenas mediante instruções suas documentadas, incluindo no que respeita a transferências internacionais, salvo se a lei exigir de outro modo. Nesse caso, informamo-lo da exigência legal antes do tratamento, a menos que a lei o proíba.

As suas instruções são esta DPA, o Acordo, as definições que escolher e a forma como utiliza os Serviços, bem como quaisquer outras instruções escritas que aceitemos. Escolher uma funcionalidade, um modelo ou um endereço de entrega é uma instrução. Por exemplo, quando escolhe um modelo no assistente ou na API, enviar o seu conteúdo ao fornecedor desse modelo faz parte das suas instruções.

Informá-lo-emos se, na nossa opinião, uma instrução violar a Lei de Proteção de Dados. Não somos obrigados a verificar a conformidade legal das suas instruções e podemos suspender o tratamento em causa até que confirme ou altere a instrução.

É responsável pela licitude do tratamento que instrui: ter um fundamento jurídico, dar as informações e obter os consentimentos que a lei exige, e garantir a exatidão dos dados que fornece. Os Serviços não foram concebidos para categorias especiais de dados pessoais, registos criminais ou dados de crianças. Não nos forneça esses dados, a menos que sejam necessários para o Serviço e lícitos.

5. Confidencialidade

Só permitimos o acesso aos Dados Pessoais do Cliente a pessoas que deles necessitem para prestar, apoiar ou proteger os Serviços e que estejam vinculadas por obrigações de confidencialidade ou por um dever legal de confidencialidade.

Se um tribunal, uma autoridade ou outro terceiro nos pedir Dados Pessoais do Cliente, remetemos o pedido para si sempre que possível. Informamo-lo do pedido, salvo se a lei o proibir, e divulgamos apenas o que formos legalmente obrigados a divulgar.

6. Segurança

Aplicamos medidas técnicas e organizativas que garantem um nível de segurança adequado ao risco, como exige o artigo 32.º do RGPD, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento. As medidas em vigor atualmente estão indicadas abaixo e constituem o Anexo II para efeitos das CCT.

Podemos alterar estas medidas à medida que a tecnologia e os riscos evoluem, desde que a alteração não reduza materialmente o nível geral de segurança. É responsável pela segurança da sua própria conta, dos seus dispositivos, das chaves de API e das ligações de relatórios, bem como pelos dados que decide carregar. A nossa página de segurança descreve como funciona a AIGROW.

7. Subcontratantes ulteriores

Dá-nos autorização geral para contratar Subcontratantes ulteriores. As categorias que utilizamos, com as respetivas localizações, constam do anexo abaixo. A lista atual de Subcontratantes ulteriores está disponível mediante pedido para privacy@aigrow.gg.

Notificá-lo-emos por email, para o endereço da sua conta, pelo menos 14 dias antes de um novo Subcontratante ulterior começar a tratar Dados Pessoais do Cliente. Pode opor-se, com fundamentos razoáveis relacionados com a proteção de dados, por escrito para privacy@aigrow.gg dentro desse prazo. Discutiremos as suas preocupações de boa-fé. Se não as conseguirmos resolver, pode terminar o Serviço afetado mediante aviso escrito, aplicando-se a Política de Reembolso a quaisquer montantes pagos. Este é o seu único meio de recurso em caso de oposição.

Quando tivermos de substituir um Subcontratante ulterior com urgência, por razões de segurança ou para manter os Serviços em funcionamento, podemos fazê-lo de imediato e notificá-lo-emos logo que possível depois, com o mesmo direito de oposição.

Impomos a cada Subcontratante ulterior, por contrato escrito, obrigações de proteção de dados que, em substância, oferecem a mesma proteção que esta DPA, como exige o artigo 28.º, n.º 4, do RGPD. Continuamos a ser responsáveis perante si pelo cumprimento das obrigações dos nossos Subcontratantes ulteriores.

8. Assistência

Tendo em conta a natureza do tratamento e as informações ao nosso dispor, ajudamo-lo em:

• responder aos pedidos dos titulares dos dados para exercerem os seus direitos, através das funcionalidades dos Serviços e, quando estas não forem suficientes, mediante pedido para privacy@aigrow.gg;
• as suas obrigações de segurança, avaliações de impacto sobre a proteção de dados e consultas prévias às autoridades de controlo, fornecendo informações sobre os Serviços.

Se um titular de dados nos contactar diretamente sobre Dados Pessoais do Cliente, remetemo-lo para si e não respondemos nós próprios, exceto para confirmar que transmitimos o pedido.

Quando a assistência vá além das funcionalidades e das informações que os Serviços já oferecem, podemos cobrar custos razoáveis, que lhe comunicaremos previamente, exceto se a assistência for necessária porque violámos esta DPA.

9. Violações de dados pessoais

Notificamo-lo sem demora injustificada depois de tomarmos conhecimento de uma Violação de Dados Pessoais, por email para o endereço da sua conta. À medida que estiverem disponíveis, fornecemos-lhe as informações enumeradas no artigo 33.º, n.º 3, do RGPD:

• a natureza da violação, incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos em causa;
• um ponto de contacto para obter mais informações;
• as prováveis consequências da violação;
• as medidas tomadas ou propostas para lhe dar resposta e atenuar os seus possíveis efeitos adversos.

Tomamos medidas razoáveis para conter e corrigir a violação. É responsável por qualquer notificação às autoridades de controlo e aos titulares dos dados, e nós prestar-lhe-emos assistência, tal como descrito na secção sobre assistência.

Tentativas ou atividades sem êxito que não comprometam a segurança dos Dados Pessoais do Cliente, como tentativas de início de sessão falhadas, pings, análises de portas ou ataques bloqueados, não constituem Violações de Dados Pessoais. A nossa notificação de uma violação não representa uma admissão de culpa ou de responsabilidade.

10. Devolução e eliminação

Enquanto utiliza os Serviços, pode eliminar por si próprio grande parte dos seus dados, como um monitor, um site de blogue ligado, um documento ou uma memória do assistente, e pode pedir a privacy@aigrow.gg uma cópia do restante.

Quando os Serviços terminarem, ou a qualquer momento mediante pedido escrito seu enviado para privacy@aigrow.gg, devolvemos ou eliminamos os Dados Pessoais do Cliente num prazo razoável, à sua escolha, salvo se a lei nos obrigar a conservá-los. Confirmamos a eliminação por escrito, se o solicitar. Se não fizer qualquer pedido, eliminamos os Dados Pessoais do Cliente quando deixarmos de precisar deles para prestar os Serviços, tal como descrito na Política de Privacidade.

Os dados que somos obrigados por lei a conservar continuam protegidos por este DPA e são tratados apenas para a finalidade que exige essa conservação.

11. Informações e auditorias

Disponibilizamos-lhe as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD. Fazemo-lo primeiro por escrito: através deste DPA, da nossa página de segurança e de respostas escritas às suas perguntas razoáveis sobre o nosso tratamento. Não possuímos certificações de terceiros, como SOC 2 ou ISO 27001.

Só há lugar a uma inspeção quando a Legislação de Proteção de Dados ou uma autoridade de controlo a exigir e as informações escritas não satisfizerem essa exigência. Nesse caso:

• envia-nos um pré-aviso escrito razoável e acorda connosco o âmbito, o calendário e a duração;
• é realizada por si ou por um auditor independente vinculado por confidencialidade que não seja nosso concorrente;
• decorre durante o horário de expediente, evita perturbar os Serviços e não dá acesso aos dados de outros clientes nem às nossas informações confidenciais para além do que a inspeção exigir;
• suporta os respetivos custos, incluindo os nossos;
• realiza-se no máximo uma vez por ano, salvo se uma autoridade de controlo exigir mais.

As auditorias ao abrigo das CCT são realizadas do mesmo modo, na medida em que as CCT o permitam.

12. Transferências internacionais

Tratamos os Dados Pessoais do Cliente nos Estados Unidos e na Alemanha, e autoriza as transferências para esses países e para os locais dos nossos Subcontratantes.

Transferências sujeitas ao RGPD

Quando os Dados Pessoais do Cliente sujeitos ao RGPD são transferidos para nós, ou por nós para um Subcontratante, num país sem decisão de adequação, as CCT são incorporadas neste DPA por remissão: o Módulo 2 quando é responsável pelo tratamento e o Módulo 3 quando é subcontratante. Você é o exportador de dados e nós somos o importador de dados. Quanto às CCT:

• aplica-se a cláusula de adesão da Cláusula 7;
• na Cláusula 9, aplica-se a opção 2, com o prazo de aviso prévio indicado na secção sobre Subcontratantes;
• a redação facultativa da Cláusula 11 não se aplica;
• na Cláusula 13, a autoridade de controlo competente é determinada nos termos da Cláusula 13(a);
• nas Cláusulas 17 e 18, aplicam-se a lei e os tribunais da Irlanda;
• o Anexo I é preenchido pelas partes identificadas neste DPA e pelo anexo sobre os detalhes do tratamento, o Anexo II pelas medidas de segurança deste DPA e o Anexo III pela lista de Subcontratantes disponível mediante pedido.

Quando atua como agência em nome dos seus clientes, um cliente que seja responsável pelo tratamento pode aderir às CCT ao abrigo da Cláusula 7, mediante notificação escrita a privacy@aigrow.gg, com o seu acordo.

Reino Unido. Para as transferências sujeitas ao RGPD do Reino Unido, o Adendo do Reino Unido é incorporado por remissão. O Quadro 1 é preenchido com os dados das partes constantes deste DPA, o Quadro 2 com as CCT, tal como acima indicado, e o Quadro 3 com os anexos deste DPA. No Quadro 4, o importador pode pôr termo ao Adendo do Reino Unido nos termos da respetiva Secção 19.

Suíça. Para as transferências sujeitas à LPD suíça, as CCT aplicam-se com as seguintes alterações: o Preposto Federal para a Proteção de Dados e a Transparência é a autoridade de controlo competente, as remissões para o RGPD entendem-se como remissões para a LPD suíça, e os titulares dos dados na Suíça podem intentar ações no local da sua residência habitual.

Quando um destinatário estiver certificado ao abrigo do Quadro de Privacidade de Dados UE-EUA, ou da sua extensão para o Reino Unido ou a Suíça, podemos basear-nos nessa certificação. Se um mecanismo de transferência for substituído ou deixar de ser válido, podemos adotar outro mecanismo lícito e informá-lo-emos.

Se as CCT ou o Adendo do Reino Unido entrarem em conflito com este DPA, prevalecem sobre este para as transferências que abrangem.

13. Responsabilidade

Na medida permitida por lei, a responsabilidade de cada parte decorrente deste DPA ou com ele relacionada, incluindo as CCT, está sujeita às limitações e exclusões de responsabilidade constantes dos Termos de Serviço. Esses limites aplicam-se ao Contrato e a este DPA em conjunto, e não separadamente.

Nada neste DPA limita a responsabilidade perante os titulares dos dados ao abrigo das CCT, nem qualquer responsabilidade que não possa ser limitada nos termos da lei aplicável.

Na medida permitida por lei, indemnizar-nos-á por reclamações de terceiros, coimas e custos decorrentes de um tratamento realizado segundo as suas instruções, quando essas instruções, ou os dados que forneceu, violarem a Legislação de Proteção de Dados.

14. Vigência, precedência e alterações

Este DPA vigora enquanto tratarmos Dados Pessoais do Cliente. Sobrevive ao termo do Contrato até que esses dados sejam devolvidos ou eliminados.

Se os documentos entrarem em conflito, aplica-se a seguinte ordem: uma encomenda ou acordo escrito assinado por ambas as partes, depois os Termos Específicos dos Serviços do produto em causa, depois este DPA em matéria de proteção de dados, depois os Termos, depois as nossas restantes políticas. As CCT e o Adendo do Reino Unido prevalecem nos termos da secção sobre transferências internacionais. A lei imperativa prevalece sobre todos eles.

Podemos atualizar este DPA, por exemplo para refletir alterações na lei ou nos nossos Subcontratantes. Enviaremos por email um pré-aviso de, pelo menos, 30 dias sobre qualquer alteração que reduza substancialmente a proteção dos Dados Pessoais do Cliente. Nenhuma alteração reduz a proteção exigida pela Legislação de Proteção de Dados.

Este DPA rege-se pela lei que rege os Termos, exceto as CCT, que se regem pela lei especificada nas respetivas cláusulas. Se precisar de uma cópia contra-assinada para os seus registos, escreva para legal@aigrow.gg.

15. Anexo: detalhes do tratamento

Este anexo descreve o tratamento para efeitos do artigo 28.º, n.º 3, do RGPD e do Anexo I das CCT.

16. Anexo: categorias de Subcontratantes

Estas são as categorias de Subcontratantes que podem tratar Dados Pessoais do Cliente, com as respetivas localizações. A lista atual de Subcontratantes identificados está disponível mediante pedido a privacy@aigrow.gg.