Acordo de Tratamento de Dados

1. Partes e escopo

Este Acordo de Tratamento de Dados ("ATD") é celebrado entre o cliente que aceita os Termos de Serviço ("Cliente", o controlador) e a IMFA Labs LLC, uma sociedade de responsabilidade limitada (limited liability company) registrada no Wyoming, Estados Unidos ("IMFA", a operadora). Ele faz parte dos Termos e se aplica aos dados pessoais que a IMFA trata para o Cliente ao fornecer o IMFA Agents ("Dados Pessoais do Cliente"). Ele reflete o Artigo 28 do Regulamento Geral sobre a Proteção de Dados da UE (GDPR), o UK GDPR e leis semelhantes, quando aplicáveis.

Se este ATD entrar em conflito com os Termos, este ATD prevalece em relação aos Dados Pessoais do Cliente. Se as Cláusulas Contratuais Padrão se aplicarem e entrarem em conflito com este ATD, as Cláusulas Contratuais Padrão prevalecem.

2. Objeto e duração

A IMFA trata os Dados Pessoais do Cliente para fornecer o serviço que o Cliente configura: hospedar agentes, responder conversas no widget do site, por voz e nos canais conectados, armazenar conhecimento e arquivos, captar leads e pedidos, conectar os serviços que o Cliente escolhe e manter o serviço seguro. O tratamento dura enquanto o Cliente utilizar o serviço e até a exclusão nos termos da seção 11. Os detalhes estão no Anexo 1.

3. Obrigações do Cliente

O Cliente:

• decide quais dados pessoais entram no serviço e por quê, e tem uma base legal para isso;
• fornece aos seus visitantes e clientes os avisos exigidos por lei (incluindo que estão falando com uma IA, quando exigido) e obtém qualquer consentimento necessário;
• não adiciona categorias especiais de dados nem dados de crianças, a menos que a lei permita e o Cliente tenha todas as salvaguardas exigidas;
• configura adequadamente seus agentes, canais, acessos da equipe e integrações;
• responde às solicitações dos seus titulares de dados, com a ajuda da IMFA nos termos da seção 8.

4. Obrigações da IMFA

A IMFA:

• trata os Dados Pessoais do Cliente somente conforme as instruções documentadas do Cliente, que são os Termos, este ATD e as configurações do Cliente no serviço, salvo quando a lei exigir de outra forma (caso em que a IMFA informa o Cliente previamente, a menos que a lei o proíba);
• informa o Cliente se considerar que uma instrução viola a legislação de proteção de dados;
• não vende os Dados Pessoais do Cliente nem os utiliza para finalidades próprias, exceto quando necessário para proteger o serviço, prevenir abusos e cumprir a lei, conforme descrito na Política de Privacidade;
• não utiliza os Dados Pessoais do Cliente para treinar modelos de IA.

5. Confidencialidade

A IMFA garante que as pessoas autorizadas a tratar os Dados Pessoais do Cliente estão sujeitas a obrigações de confidencialidade e só os acessam na medida necessária para fornecer, dar suporte e proteger o serviço.

6. Segurança

A IMFA aplica as medidas técnicas e organizacionais do Anexo 2, levando em conta o estado da técnica, os custos e os riscos. A IMFA pode atualizá-las desde que a proteção geral não diminua.

7. Suboperadores

O Cliente concede à IMFA autorização geral para utilizar suboperadores. A lista atual está em Suboperadores. A IMFA:

• vincula cada suboperador, por contrato escrito, a obrigações de proteção de dados pelo menos tão protetivas quanto este ATD, conforme adequado ao serviço que ele presta;
• atualiza a lista antes de adicionar ou substituir um suboperador; o Cliente pode pedir para ser informado das alterações por e-mail em privacy@imfa.io;
• permite que o Cliente se oponha, por motivos razoáveis de proteção de dados, em até 30 dias após a atualização; se as partes não conseguirem resolver a objeção, o Cliente pode deixar de usar o recurso afetado ou encerrar o serviço e receber um reembolso proporcional das tarifas pagas antecipadamente pelo período não utilizado dessa assinatura;
• continua responsável pelo desempenho dos seus suboperadores, conforme exigido por lei.

As plataformas que o Cliente conecta (Meta, Telegram, Discord, Google e meios de pagamento pela Stripe) atuam como controladores independentes no próprio tratamento e não são suboperadores da IMFA.

8. Ajuda com solicitações dos titulares de dados

Considerando a natureza do tratamento, a IMFA ajuda o Cliente a responder a solicitações de acesso, correção, exclusão, restrição ou portabilidade de dados pessoais, principalmente por meio das ferramentas do serviço (visualização e exclusão de conversas, leads, arquivos e agentes). Quando as ferramentas não forem suficientes, o Cliente pode recorrer a privacy@imfa.io. Se a IMFA receber uma solicitação diretamente de um titular de dados de um Cliente, ela encaminha a pessoa ao Cliente, quando consegue identificá-lo, e não responde ela mesma, a menos que o Cliente peça.

9. Violações de dados pessoais

A IMFA notifica o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente, com as informações de que o Cliente precisa para cumprir as próprias obrigações, à medida que forem disponibilizadas. A IMFA adota medidas razoáveis para conter a violação. Uma notificação não constitui admissão de culpa.

10. Avaliações de impacto e autoridades

A IMFA oferece ao Cliente ajuda razoável com avaliações de impacto sobre a proteção de dados e consultas prévias às autoridades de controle relativas ao serviço, utilizando as informações de que dispõe, principalmente este ATD, a Divulgação sobre IA e a lista de Suboperadores.

11. Devolução e exclusão

O Cliente pode excluir conversas, arquivos, conhecimento, agentes e toda a sua conta a qualquer momento no serviço. Na exclusão da conta, a IMFA exclui os Dados Pessoais do Cliente conforme descrito na Política de Privacidade (após um período de 3 dias durante o qual o Cliente pode cancelar a exclusão), exceto quando a lei exigir que a IMFA os mantenha. As cópias nos backups dos provedores são excluídas de acordo com o cronograma regular deles. Antes da exclusão, o Cliente pode solicitar uma cópia dos seus dados em privacy@imfa.io.

12. Auditorias

A IMFA disponibiliza as informações razoavelmente necessárias para demonstrar o cumprimento deste ATD, incluindo este documento, seus anexos e resumos das certificações dos seus provedores. Se isso não for suficiente, o Cliente pode solicitar uma auditoria, no máximo uma vez por ano, com aviso prévio de 30 dias, às suas próprias custas, realizada por um auditor independente sujeito a confidencialidade, de forma que não perturbe o serviço nem exponha dados de outros clientes. As auditorias dos suboperadores são cobertas pelos próprios relatórios e certificações deles.

13. Transferências internacionais

A IMFA está nos Estados Unidos e seus suboperadores tratam dados nos países listados no Anexo 3. Quando Dados Pessoais do Cliente forem transferidos do Espaço Econômico Europeu, do Reino Unido ou da Suíça para um país sem decisão de adequação, as Cláusulas Contratuais Padrão da UE (Módulo 2, de controlador para operador, ou Módulo 3, de operador para operador, conforme o caso), com o adendo do Reino Unido e os ajustes suíços quando aplicáveis, são incorporadas a este ATD por referência, com a IMFA como importadora de dados. A IMFA exige salvaguardas equivalentes dos seus suboperadores.

14. Responsabilidade e vigência

A responsabilidade de cada parte nos termos deste ATD está sujeita às limitações previstas nos Termos, exceto quando a lei não as permitir. Este ATD vigora enquanto a IMFA tratar Dados Pessoais do Cliente.

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas técnicas e organizacionais

• Controle de acesso: autenticação em todas as solicitações ao painel e à API; verificações de permissão no servidor em todas as funções; funções para agentes compartilhados (proprietário, editor, leitor); ferramentas de administração restritas aos administradores da IMFA.
• Credenciais: chaves de API e tokens de acesso armazenados como hashes; credenciais dos canais e tokens do Google armazenados com criptografia; segredos nunca exibidos novamente no chat do criador.
• Transporte: conexões criptografadas (HTTPS) entre os navegadores, os nossos serviços e os nossos provedores.
• Isolamento: os dados de cada cliente são restritos à sua própria conta e aos seus próprios agentes em todas as consultas.
• Prevenção de abusos: limites de requisições por visitante, conversa, agente e conta; verificações contra bots no widget; verificações automatizadas de conteúdo e de segurança; advertências e bloqueios de visitantes.
• Proteção de dados na IA: retenção zero de dados solicitada no Convex AI Gateway; dados de contato removidos antes da qualificação de leads e dos resumos; instruções mantidas fora das respostas.
• Minimização e retenção de dados: exclusão automática de conversas inativas, logs e registros nos prazos da Política de Privacidade; decisões armazenadas sem o texto da conversa.
• Registros de atividade: logs de auditoria e de atividade para alterações sensíveis e para a atividade dos agentes.
• Provedores: infraestrutura em provedores com as próprias certificações de segurança (consulte a lista de Suboperadores).

Anexo 3: Mecanismos de transferência internacional