Acordo de Processamento de Dados (DPA)
Rascunho — pendente de revisão jurídica externa. Este documento fixa os requisitos e decisões de produto que o texto definitivo deve refletir; não foi revisado por um advogado. Não constitui aconselhamento jurídico nem uma versão final publicável.
Última atualização: [DATA DE VIGÊNCIA]
1. Objeto
Este Acordo de Processamento de Dados ("DPA") complementa os Termos de Serviço celebrados entre a ZARZA CORP, S.A. ("o Operador", "nós") e o Workspace que contrata um plano pago do iNTELIGENCIA VIVA ("o Controlador", "o Cliente"). Aplica-se unicamente aos planos pagos (Pro, Business, Enterprise), nos quais processamos dados pessoais dos Contacts do Cliente em seu nome. Não se aplica ao Diretório gratuito nem ao Plugin do WordPress gratuito, camadas que não enviam dados à nossa infraestrutura.
Em caso de conflito entre este DPA e os Termos de Serviço quanto ao tratamento de dados pessoais, prevalece este DPA.
2. Definições
- Dados Pessoais: qualquer informação relativa a uma pessoa física identificada ou identificável que o Cliente ou seus Contacts insiram no Serviço.
- Controlador: o Cliente, quanto aos Dados Pessoais de seus Contacts e de seus próprios Agentes.
- Operador: nós, quanto a esses mesmos Dados Pessoais, que processamos unicamente para prestar o Serviço contratado.
- Titular dos Dados: a pessoa física a quem se referem os Dados Pessoais — tipicamente um Contact, e em certos casos um Agente do Cliente.
- Suboperador: um terceiro a quem recorremos para processar Dados Pessoais em nosso nome, conforme a Seção 6.
- Incidente de Segurança: toda violação de segurança que provoque destruição, perda, alteração, comunicação ou acesso não autorizados a Dados Pessoais.
3. Duração
Este DPA entra em vigor na data de aceitação dos Termos de Serviço pelo Cliente e permanece vigente enquanto o Cliente mantiver um Workspace em um plano pago, e durante o período de retenção posterior descrito na Seção 10.
4. Natureza, propósito, duração e categorias do tratamento
Natureza e propósito. Processamos Dados Pessoais para prestar a plataforma de conversa com clientes: recepção e roteamento de mensagens, geração de respostas de inteligência artificial, transferência para Agentes humanos, busca semântica sobre as fontes de conhecimento do Cliente, analítica agregada, e faturamento do uso.
Duração. Enquanto durar o contrato de plano pago, e o período de retenção configurado pelo Cliente conforme a Seção 10.
Categorias de Titulares. Os Contacts do Cliente (seus clientes finais) e, quando pertinente, os Agentes do Cliente.
Categorias de Dados Pessoais. Identificadores de contato conforme o canal de origem (número de telefone, nome de usuário, endereço de e-mail), nome, conteúdo das mensagens trocadas, metadados da conversa (canal, carimbo de data/hora, departamento, resumo gerado por IA, etiquetas), e quaisquer dados adicionais que o Titular inclua voluntariamente em suas mensagens.
5. Obrigações do Operador
Como Operador, comprometemo-nos a:
- Processar os Dados Pessoais unicamente conforme as instruções documentadas do Cliente, expressas por meio de sua configuração do Serviço e destes Termos, salvo se uma lei nos obrigar a outro tratamento — caso em que, quando a lei o permitir, informaremos o Cliente dessa obrigação legal antes de proceder.
- Garantir que as pessoas autorizadas a processar os Dados Pessoais estejam sujeitas a um compromisso de confidencialidade.
- Implementar as medidas técnicas e organizacionais descritas na Seção 8, alinhadas com a Seção 15 de nossa documentação de produto: criptografia em trânsito e em repouso, chaves de API com escopo revogável, assinatura HMAC em webhooks de saída, e isolamento de dados por Workspace em toda camada de armazenamento.
- Não transferir Dados Pessoais a um Suboperador sem cumprir a Seção 6.
- Assistir o Cliente conforme a Seção 7.
- Notificar o Cliente sem demora indevida diante de um Incidente de Segurança que afete seus Dados Pessoais, conforme a Seção 9.
- À escolha do Cliente, eliminar ou devolver os Dados Pessoais ao término da relação, conforme a Seção 10.
- Disponibilizar ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, conforme a Seção 11.
6. Suboperadores
O Cliente autoriza de forma geral o uso de Suboperadores para prestar o Serviço. Na data deste documento, os Suboperadores atuais são:
| Suboperador | Função |
|---|---|
| Cloudflare, Inc. | Infraestrutura de computação, banco de dados (D1), armazenamento de arquivos (R2) e de vetores para busca semântica (Vectorize), Durable Objects para conversas em tempo real. |
| Stripe, Inc. | Processamento de pagamentos e medição de uso de IA para faturamento. |
| Fornecedor de envio de e-mail transacional (configurável; Resend por padrão) | Envio dos e-mails transacionais do Serviço. |
| Provedores de modelos de IA de fronteira (conforme configuração do roteador de modelos) | Geração de respostas de IA quando o roteador direciona uma solicitação para fora do Workers AI. |
Manteremos publicada ou disponível mediante solicitação uma lista atualizada de Suboperadores. Notificaremos o Cliente com antecedência razoável sobre a incorporação de um novo Suboperador que processe Dados Pessoais, para que possa se opor por motivos razoáveis relacionados à proteção de dados; caso a objeção não seja resolvida, o Cliente poderá encerrar o plano pago afetado sem penalidade adicional por esse motivo específico.
Somos responsáveis pelo cumprimento das obrigações de proteção de dados por parte de nossos Suboperadores na mesma medida em que o somos nós mesmos sob este DPA.
7. Assistência ao Controlador
Assistiremos razoavelmente o Cliente para: (i) responder a solicitações de Titulares que exerçam seus direitos de acesso, retificação, eliminação, portabilidade ou oposição; (ii) realizar avaliações de impacto à proteção de dados quando o tratamento assim o exigir; e (iii) consultar previamente a autoridade de controle competente quando a avaliação indicar alto risco. Quando um Titular nos contatar diretamente a respeito de dados que processamos em nome do Cliente, nós o encaminharemos ao Cliente e notificaremos o Cliente da solicitação sem demora indevida.
8. Medidas de segurança
Aplicamos, no mínimo: criptografia em trânsito em todas as superfícies do Serviço (site, API, WebSocket) e em repouso nos bancos de dados e armazenamento de arquivos e vetores; controle de acesso baseado em chaves de API com escopo de permissões configurável e revogação individual; assinatura criptográfica (HMAC) de toda entrega de webhook de saída; isolamento lógico dos dados de cada Workspace em nível de consulta em toda camada de armazenamento, de modo que nenhum Workspace possa acessar os dados de outro; e processos de eliminação real (não apenas lógica) de dados ao final do prazo de retenção configurado.
9. Notificação de Incidentes de Segurança
Notificaremos o Cliente sem demora indevida após confirmar um Incidente de Segurança que afete Dados Pessoais que processemos em seu nome, fornecendo as informações razoavelmente disponíveis sobre sua natureza, as categorias e a quantidade aproximada de Titulares e registros afetados, as medidas adotadas ou propostas para mitigá-lo, e um ponto de contato para mais informações. Esta notificação não constitui admissão de responsabilidade e tem como único propósito permitir ao Cliente cumprir suas próprias obrigações legais de notificação.
10. Eliminação ou devolução de dados
O Cliente configura, dentro dos limites oferecidos pelo Serviço, o período de retenção dos dados de conversa de seu Workspace. Ao final desse período, ou ao término da relação contratual após o período de carência aplicável, eliminaremos de forma real — não mediante simples exclusão lógica — os Dados Pessoais de nossos sistemas de produção e dos backups correspondentes, conforme o ciclo de vida destes, salvo se a lei nos obrigar a conservar cópias específicas, caso em que essas cópias permanecem sujeitas às mesmas obrigações de confidencialidade e segurança deste DPA até sua eliminação. A pedido do Cliente formulado antes da eliminação, facilitaremos a exportação dos Dados Pessoais por meio dos mecanismos da API pública.
11. Auditorias
Disponibilizaremos ao Cliente, mediante solicitação razoável e com confidencialidade adequada, as informações necessárias para demonstrar o cumprimento deste DPA, incluindo resumos de auditorias ou certificações de segurança de terceiros quando existirem. Um direito de auditoria mais amplo, incluindo inspeções no local ou por um terceiro designado, pode ser pactuado especificamente nos planos Enterprise.
12. Responsabilidade
A responsabilidade de cada parte sob este DPA rege-se pelo limite e pelas exclusões estabelecidos na seção de limitação de responsabilidade dos Termos de Serviço, exceto na medida em que a lei aplicável disponha o contrário como não limitável.
13. Vigência e alterações deste DPA
Podemos atualizar este DPA para refletir mudanças normativas ou do Serviço, notificando o Cliente com antecedência razoável. As alterações que reduzam materialmente as garantias aqui descritas exigirão o consentimento expresso do Cliente quando a lei assim o exigir.
14. Contato
Dúvidas relativas a este DPA, incluindo solicitações sobre Suboperadores ou notificação de incidentes: legal@inteligenciaviva.com.