Acordo de Tratamento de Dados
1. Definições
Os termos em maiúscula não definidos aqui têm o significado estabelecido nas Condições Gerais do Serviço. «Dados pessoais», «tratamento», «titular dos dados», «responsável pelo tratamento» e «subcontratante» têm os significados atribuídos no Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) («RGPD»).
2. Funções — divisão entre operação do Serviço e tratamento de conteúdo
A relação entre as partes tem dois âmbitos distintos:
- Operação do Serviço (âmbito de responsável pelo tratamento do Prestador de Serviços). Para os dados de conta, registros de faturamento, logs de auditoria e dados de segurança, o Prestador de Serviços é o responsável pelo tratamento. Este âmbito é regido pela Política de Privacidade, não por este DPA.
- Tratamento de conteúdo (âmbito de subcontratante). Para as imagens enviadas pelo Cliente, os relatórios gerados e os metadados de análise associados a esse conteúdo, o Cliente é o responsável pelo tratamento e o Prestador de Serviços é o subcontratante. Este DPA rege apenas este âmbito.
As instruções de tratamento documentadas do Cliente consistem em: (a) as Condições Gerais do Serviço; (b) este DPA; (c) a interface do Serviço e os parâmetros da API que o Cliente usa ao enviar conteúdo (incluindo a seleção de prompt, a seleção de modelo e, para clientes Agency / API, a identificação do model ou do usuário final em nome de quem a análise é realizada); e (d) qualquer pedido ou configuração de produto aplicável.
3. Objeto e duração
- Objeto: análise baseada em IA das imagens enviadas pelo Cliente e geração de relatórios.
- Duração: enquanto a conta do Cliente permanecer ativa, mais qualquer período de conservação exigido por lei ou indicado na Política de Privacidade.
- Natureza e finalidade: análise automatizada de imagens e geração de relatórios conforme configurado pelo Cliente por meio da interface do Serviço ou da API.
- Categorias de dados: ver /legal/data-processing.
- Categorias de titulares dos dados: o Cliente (se for usuário do Model Tool); os models, clientes ou usuários finais do Cliente; as pessoas retratadas no conteúdo enviado.
4. Responsabilidades do Cliente
O Cliente declara e garante que:
- O Cliente tem uma base legal válida nos termos da lei aplicável para o tratamento que instrui o Prestador de Serviços a realizar, incluindo quaisquer consentimentos necessários dos titulares dos dados retratados no conteúdo enviado ou a ele associados.
- O Cliente forneceu aos seus próprios usuários e titulares dos dados todos os avisos e informações exigidos pela lei aplicável (incluindo, quando aplicável, os arts. 13 e 14 do RGPD).
- O Cliente é o único responsável pela legalidade dos dados que envia, incluindo o cumprimento das leis relativas a conteúdo aplicáveis às operações do Cliente (incluindo, quando aplicável, obrigações de verificação de idade, requisitos de manutenção de registros para produtores de conteúdo sexualmente explícito e quaisquer obrigações equivalentes nas jurisdições em que o Cliente ou seus usuários finais estejam localizados).
- O Cliente é o único responsável pela conformidade das transferências transfronteiriças de quaisquer dados pessoais que o Cliente transmita ao Prestador de Serviços.
- O Cliente não enviará dados pessoais de crianças, dados sensíveis fora do âmbito normal do Serviço, nem quaisquer dados cujo envio seja ilícito na jurisdição do Cliente ou em qualquer jurisdição onde os titulares dos dados estejam localizados.
- Quando o Cliente for um cliente do Agency Tool, o Cliente declara que tem a relação necessária com os models retratados e os consentimentos necessários para enviar o conteúdo deles para análise.
- Quando o Cliente for um cliente da API, o Cliente declara que seus próprios usuários finais forneceram os consentimentos necessários e que o uso do Serviço pelo Cliente em nome deles é lícito.
5. Obrigações do Prestador de Serviços
O Prestador de Serviços compromete-se a:
- Tratar os dados pessoais apenas segundo as instruções documentadas do Cliente, exceto quando exigido por lei.
- Garantir que o pessoal autorizado a tratar os dados pessoais esteja sujeito a confidencialidade.
- Implementar medidas técnicas e organizacionais adequadas, conforme descrito em /legal/security.
- Auxiliar o Cliente, tendo em conta a natureza do tratamento, a responder a solicitações dos titulares dos dados, a incidentes de segurança e a avaliações de impacto, mediante despesa razoável do Cliente para assistência não rotineira.
- Disponibilizar as informações necessárias para demonstrar a conformidade com este DPA, incluindo o fornecimento de uma lista atual de subcontratantes ulteriores em /legal/subprocessors.
- À escolha do Cliente, excluir ou devolver os dados pessoais ao fim do tratamento, sujeito à conservação exigida por lei.
6. Limitações específicas de uso
O Prestador de Serviços garante que o conteúdo do Cliente é tratado apenas com a finalidade de fornecer a análise solicitada. O Prestador de Serviços não irá:
- Usar o conteúdo do Cliente para treinar, melhorar ou avaliar modelos de IA;
- Construir perfis de usuários ou inferências comportamentais a partir do uso do Cliente;
- Vender, compartilhar ou de outra forma divulgar dados pessoais para publicidade comportamental de contexto cruzado;
- Combinar os dados do Cliente com os de outros clientes para qualquer finalidade que não sejam métricas operacionais agregadas que não contenham dados pessoais;
- Realizar a identificação das pessoas retratadas no conteúdo enviado (sem reconhecimento facial, correspondência biométrica ou consulta a bancos de dados externos).
7. Subcontratantes ulteriores
O Cliente autoriza o Prestador de Serviços a recorrer a subcontratantes ulteriores para a operação do Serviço. Os subcontratantes ulteriores atuais estão listados em /legal/subprocessors. O Prestador de Serviços irá:
- Manter uma lista pública atualizada de subcontratantes ulteriores;
- Fornecer um mecanismo razoável para que o Cliente receba notificação de novos subcontratantes ulteriores antes de eles começarem o tratamento (normalmente aviso prévio de 30 dias por meio da lista publicada e, quando o Cliente tiver se registrado para tal, notificações por e-mail);
- Impor a cada subcontratante ulterior obrigações contratuais substancialmente equivalentes às deste DPA;
- Permanecer responsável pelos atos e omissões dos subcontratantes ulteriores no que diz respeito às suas obrigações nos termos deste DPA.
O Cliente pode se opor a um novo subcontratante ulterior por motivos razoáveis de proteção de dados. Se as partes não conseguirem resolver a objeção, o único recurso do Cliente é encerrar o Serviço em conformidade com as Condições Gerais do Serviço.
8. Segurança
O Prestador de Serviços implementa medidas técnicas e organizacionais destinadas a garantir um nível de segurança adequado ao risco, tendo em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, e o risco para os titulares dos dados. As medidas atuais estão descritas em /legal/security.
9. Violação de dados pessoais
O Prestador de Serviços notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados do Cliente, fornecendo as informações razoavelmente disponíveis para permitir que o Cliente cumpra quaisquer obrigações de notificar as autoridades ou os titulares dos dados nos termos dos arts. 33 e 34 do RGPD. A notificação do Prestador de Serviços não constitui admissão de culpa ou de responsabilidade.
10. Solicitações dos titulares dos dados
Quando o Prestador de Serviços receber uma solicitação de um titular dos dados relativa ao tratamento do Cliente, o Prestador de Serviços, quando lícito, redirecionará a solicitação ao Cliente e o auxiliará a respondê-la. Para clientes do Model Tool, o titular dos dados e o Cliente normalmente serão a mesma pessoa, caso em que o Prestador de Serviços poderá tratar a solicitação diretamente.
11. Transferências internacionais
O Prestador de Serviços está estabelecido em the Republic of Cyprus, um Estado-Membro da UE. Portanto, o envio de dados pessoais ao Serviço constitui tratamento dentro da União Europeia e não é, em si, uma transferência internacional para os efeitos do Capítulo V do RGPD.
Quando o Prestador de Serviços recorre a subcontratantes ulteriores localizados fora do Espaço Econômico Europeu, as transferências são regidas pelas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão (UE) 2021/914), Módulo Três (subcontratante para subcontratante), incorporadas por referência, atuando o Prestador de Serviços como exportador de dados. As regiões dos subcontratantes ulteriores estão listadas em /legal/subprocessors.
Quando o Cliente, atuando como responsável pelo tratamento, desejar recorrer às Cláusulas Contratuais-Tipo do Módulo Dois (responsável pelo tratamento para subcontratante) para as suas próprias transferências relacionadas ao Serviço, as Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia na Decisão (UE) 2021/914 são incorporadas por referência, com o Prestador de Serviços como importador de dados.
12. Auditoria
O Prestador de Serviços disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar a conformidade com este DPA. Quando a lei aplicável exigir a possibilidade de uma auditoria presencial, o Cliente poderá solicitar essa auditoria no máximo uma vez por ano, mediante aviso escrito de pelo menos 30 dias, durante o horário comercial, sujeita a restrições razoáveis de confidencialidade e segurança, e às custas do Cliente. As partes podem acordar que um relatório independente de terceiros (por exemplo, SOC 2 Type II, quando disponível) satisfaz a obrigação de auditoria.
13. Responsabilidade e indenização
O Cliente indeniza o Prestador de Serviços contra reivindicações, perdas e responsabilidades decorrentes das instruções de tratamento ilícitas do Cliente ou da violação da seção 4. A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações de responsabilidade estabelecidas nas Condições Gerais do Serviço.
14. Legislação aplicável e foro
Este DPA é regido pelas leis de the Republic of Cyprus, sem consideração aos seus princípios de conflito de leis. As partes submetem-se à jurisdição exclusiva dos tribunais da República de Chipre, exceto quando a lei aplicável exigir um foro diferente. Os direitos imperativos de proteção do consumidor e os direitos dos titulares dos dados nos termos do RGPD e de outras leis imperativas aplicáveis não são renunciados por esta cláusula.
15. Ordem de precedência
Em caso de qualquer conflito entre este DPA e as Condições Gerais do Serviço no que diz respeito ao tratamento de dados pessoais, prevalece este DPA. Em caso de qualquer conflito entre este DPA e um DPA de contrato «Pro» assinado em contraparte celebrado por parte do mesmo Cliente, prevalece o acordo assinado em contraparte para esse Cliente.