Acordo de Tratamento de Dados

1.1 Definições. No presente DPA:

(a) «Dados pessoais do Cliente (Customer Personal Data)» designa os dados pessoais contidos nos Dados do Cliente (Customer Data) que a Veliu trata por conta do Cliente na prestação dos Serviços.

(b) «Legislação de proteção de dados (Data Protection Law)» designa o Regulamento (UE) 2016/679 (o «RGPD (GDPR)»), a Lei irlandesa de Proteção de Dados de 2018 (Data Protection Act 2018) e as demais leis da União Europeia e dos Estados-Membros em matéria de dados pessoais aplicáveis ao tratamento, bem como, quando aplicáveis, o RGPD do Reino Unido (UK GDPR) e a Lei Federal suíça sobre a Proteção de Dados (Federal Act on Data Protection).

(c) «Violação de dados pessoais (Personal Data Breach)» designa uma violação de dados pessoais, na aceção do artigo 4.º, ponto 12, do RGPD, que afete Dados pessoais do Cliente.

(d) «Cláusulas contratuais-tipo (Standard Contractual Clauses)» designa as cláusulas anexas à Decisão de Execução (UE) 2021/914 da Comissão.

(e) «Subcontratante ulterior (Subprocessor)» designa um subcontratante a que a Veliu recorra para tratar Dados pessoais do Cliente.

1.2 Funções. O Cliente é o responsável pelo tratamento dos Dados pessoais do Cliente e a Veliu é o seu subcontratante.

1.3 A Veliu enquanto responsável pelo tratamento. A Veliu é responsável pelo tratamento (a) da Telemetria anonimizada que deriva nos termos da Cláusula 11 e (b) dos dados pessoais dos Utilizadores que trata para administrar as respetivas contas, faturar o Cliente, comunicar com os Utilizadores e compreender a forma como os Serviços são utilizados, tal como descrito na Política de Privacidade da Veliu.

1.4 Responsabilidades do Cliente. O Cliente assegura que as suas instruções cumprem a Legislação de proteção de dados, que dispõe de fundamento de licitude para o tratamento e que presta aos seus visitantes e clientes as informações, e obtém os consentimentos, exigidos por lei, incluindo relativamente ao Veliu code no seu website.

2.1 Objeto e finalidade. A Veliu trata os Dados pessoais do Cliente para prestar os Serviços ao abrigo do Contrato e de cada Encomenda: para executar o Brand Agent no website do Cliente e nos demais canais indicados na Encomenda, para preparar as alterações que o Cliente aprova e escrevê-las nos sistemas do Cliente, para ler o software que o Cliente liga e para fornecer análises, recomendações, suporte e segurança.

2.2 Natureza. Recolha, registo, organização, conservação, recuperação, consulta, análise, utilização em conversas e na inferência de modelos, divulgação a Subcontratantes ulteriores e apagamento.

2.3 Duração. A vigência do Contrato e, após o seu termo, os períodos previstos na Cláusula 10.

2.4 Categorias de dados pessoais.

(a) Dados de catálogo e de produto. Quaisquer dados pessoais contidos nos dados de catálogo e de produto do Cliente.

(b) Dados de visitantes e de clientes. O conteúdo das conversas entre o Brand Agent e os visitantes e clientes do website do Cliente, identificadores por via eletrónica, dados do dispositivo, do navegador e de utilização, endereço IP e localização aproximada, e dados de encomendas, como referências de encomendas, produtos e montantes.

(c) Dados de software ligado. Dados de ferramentas de análise (analytics) e de search console, na medida em que contenham dados pessoais, e o endereço de correio eletrónico de cada conta ligada.

(d) Dados das contas do pessoal. Nomes, endereços de correio eletrónico profissionais e funções dos Utilizadores do Cliente, tal como utilizados nos Serviços por conta do Cliente.

2.5 Categorias de titulares dos dados. Os visitantes do website e dos demais canais do Cliente, incluindo as pessoas em cujo nome um agente de IA conversa com o Brand Agent; os clientes do Cliente; o pessoal e os Utilizadores do Cliente; e qualquer outra pessoa singular cujos dados pessoais o Cliente inclua nos Dados do Cliente.

3.1 Instruções documentadas. A Veliu só trata os Dados pessoais do Cliente mediante instruções documentadas do Cliente, incluindo no que respeita a transferências para um país terceiro, salvo se o direito da União ou do Estado-Membro exigir o contrário; nesse caso, a Veliu informa o Cliente desse requisito antes do tratamento, salvo se esse direito o proibir por motivos importantes de interesse público.

3.2 Conteúdo. As instruções documentadas do Cliente são o presente DPA, o Contrato e cada Encomenda, as definições que o Cliente escolhe nos Serviços, as aprovações que dá no back office e qualquer outra instrução escrita compatível com os mesmos. O Cliente dá instruções à Veliu para derivar Telemetria nos termos da Cláusula 11.

3.3 Instruções ilícitas. A Veliu informa imediatamente o Cliente se, no seu entender, uma instrução violar a Legislação de proteção de dados, e pode suspender a execução dessa instrução até que as Partes acordem a forma de proceder.

4.1 Pessoas autorizadas. Todos os trabalhadores e prestadores de serviços que a Veliu autorize a tratar Dados pessoais do Cliente estão vinculados a um dever de confidencialidade, por via contratual ou legal, e só acedem a esses dados na medida do necessário para prestar os Serviços ou para cumprir a lei.

5.1 Medidas. A Veliu aplica e mantém as medidas técnicas e organizativas constantes do Anexo 2, que asseguram um nível de segurança adequado ao risco, nos termos do artigo 32.º do RGPD.

5.2 Atualizações. A Veliu pode atualizar essas medidas, desde que o nível global de proteção seja mantido ou melhorado.

6.1 Autorização. O Cliente concede à Veliu uma autorização geral por escrito para recorrer aos Subcontratantes ulteriores constantes do Anexo 3 e a outros Subcontratantes ulteriores nos termos da presente Cláusula 6.

6.2 Condições e responsabilidade. A Veliu recorre a cada Subcontratante ulterior ao abrigo de um contrato escrito cujas obrigações em matéria de proteção de dados protejam os Dados pessoais do Cliente, pelo menos, tão bem como o presente DPA, e continua a ser responsável perante o Cliente pelo desempenho de cada Subcontratante ulterior.

6.3 Notificação. A Veliu notifica o Cliente, com uma antecedência mínima de trinta (30) dias, de qualquer Subcontratante ulterior acrescentado ou substituído, por correio eletrónico ou na conta do Cliente, indicando o Subcontratante ulterior, a respetiva finalidade e a respetiva localização.

6.4 Oposição e cessação. Durante o prazo de pré-aviso, o Cliente pode opor-se à alteração, com fundamento em motivos razoáveis relativos à proteção de dados, por correio eletrónico para admin@veliu.com, e as Partes discutem a oposição de boa-fé. Se a Veliu não a conseguir resolver antes de a alteração produzir efeitos, o Cliente pode pôr termo à Encomenda afetada com efeitos a partir da data da alteração, mediante comunicação para admin@veliu.com, pagando apenas os preços devidos até essa data; na faturação anual, a Veliu reembolsa, a pedido do Cliente e nos termos da Cláusula 8.9 do Contrato, os preços pagos antecipadamente relativos ao período posterior. Na falta de oposição dentro do prazo de pré-aviso, a alteração considera-se autorizada.

7.1 Alojamento na UE. A Veliu armazena os Dados pessoais do Cliente na União Europeia e trata-os nesse território, tal como estabelece a Cláusula 4.7 do Contrato. A inferência dos modelos é efetuada em regiões da UE quando o fornecedor as ofereça e, caso contrário, nos termos da Cláusula 7.2.

7.2 Garantias. A Veliu só transfere Dados pessoais do Cliente para fora do Espaço Económico Europeu, ou permite que um Subcontratante ulterior o faça, quando (a) uma decisão de adequação da Comissão Europeia abranja o destino, incluindo o Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) no caso de um destinatário certificado, ou (b) as Cláusulas contratuais-tipo (Módulo 3, de subcontratante para subcontratante) vinculem a Veliu e o destinatário, com as medidas suplementares que a transferência exija. Quando se aplique a lei do Reino Unido ou da Suíça, as Cláusulas contratuais-tipo aplicam-se com o Aditamento do Reino Unido (UK Addendum) ou com as adaptações suíças. O Anexo 3 indica as garantias.

8.1 Pedidos dos titulares dos dados. Tendo em conta a natureza do tratamento, a Veliu presta assistência ao Cliente, através de medidas técnicas e organizativas adequadas, na resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos. A Veliu reencaminha ao Cliente, sem demora injustificada, qualquer pedido dessa natureza que receba e só responde ao titular dos dados mediante instruções do Cliente ou quando a lei o exija.

8.2 Avaliações de impacto. A Veliu fornece ao Cliente as informações de que disponha e de que o Cliente razoavelmente necessite para as avaliações de impacto sobre a proteção de dados e as consultas prévias previstas nos artigos 35.º e 36.º do RGPD.

8.3 Violações de dados pessoais. A Veliu notifica o Cliente de uma Violação de dados pessoais sem demora injustificada e, o mais tardar, setenta e duas (72) horas após ter tido conhecimento da mesma, por correio eletrónico dirigido ao Utilizador que administra a conta do Cliente. A notificação descreve, na medida do que então se saiba, a natureza da violação, os titulares dos dados e os registos em causa, as suas consequências prováveis, as medidas adotadas ou propostas e um ponto de contacto. A Veliu completa a notificação à medida que os factos forem sendo apurados e adota medidas razoáveis para conter a violação e limitar os seus efeitos.

9.1 Certificações e relatórios. Mediante pedido, a Veliu disponibiliza as informações necessárias para demonstrar o cumprimento do presente DPA e do artigo 28.º do RGPD, incluindo as certificações e os relatórios de auditoria dos seus Subcontratantes ulteriores, quando os fornecedores permitam a sua divulgação, e respostas escritas a questionários de segurança razoáveis. O Cliente baseia-se em primeiro lugar nestas informações.

9.2 Inspeções. Quando essas informações não demonstrem o cumprimento, o Cliente pode auditar a Veliu, diretamente ou através de um auditor independente vinculado a um dever de confidencialidade, incluindo nas instalações, uma vez em cada período de doze (12) meses, ou com maior frequência quando uma autoridade de controlo o exija, mediante pré-aviso mínimo de trinta (30) dias enviado por correio eletrónico para admin@veliu.com. As auditorias realizam-se durante o Horário de expediente (Business Hours), com a menor perturbação possível das operações da Veliu, e não dão acesso aos dados de outros clientes nem às instalações dos Subcontratantes ulteriores. A Veliu corrige qualquer não conformidade detetada pela auditoria.

10.1 Devolução. Durante os trinta (30) dias seguintes ao termo de uma Encomenda, o Cliente pode exportar os Dados do Cliente, incluindo os Dados pessoais do Cliente, nos formatos que os Serviços oferecem nos termos da Cláusula 4.8 do Contrato, ou solicitar à Veliu, por correio eletrónico, que os devolva num formato de uso corrente e de leitura automática.

10.2 Apagamento. No prazo de sessenta (60) dias após o termo da Encomenda, a Veliu apaga os Dados pessoais do Cliente tratados ao abrigo da mesma, incluindo quando se encontrem na posse de Subcontratantes ulteriores, com exceção dos que o direito da União ou do Estado-Membro exija que a Veliu conserve, pelo período que esse direito exigir. Os Dados pessoais do Cliente contidos em cópias de segurança são apagados à medida que as cópias de segurança são substituídas em rotação, no prazo de noventa (90) dias após o termo da Encomenda. Até ao apagamento, o presente DPA continua a protegê-los.

10.3 Apagamento antecipado. O Cliente pode solicitar o apagamento antecipado por correio eletrónico para admin@veliu.com, e a Veliu confirma o apagamento por escrito, mediante pedido.

11.1 Apenas instruções do Cliente. A Veliu utiliza os Dados do Cliente exclusivamente para prestar os Serviços ao Cliente e para derivar Telemetria, mediante instruções do Cliente nos termos da Cláusula 3. A Veliu não utiliza os Dados do Cliente, incluindo os Dados pessoais do Cliente, para treinar, afinar, avaliar ou de outro modo melhorar qualquer modelo, agente ou sistema de inteligência artificial disponibilizado a, ou operado para, qualquer pessoa que não seja o Cliente.

11.2 O que a Veliu aprende com o Cliente fica com o Cliente. Os modelos, prompts, configurações, conhecimento e memória que a Veliu deriva dos Dados do Cliente servem exclusivamente o Brand Agent e os Serviços do próprio Cliente, e a Veliu não os transfere para nenhum outro cliente nem os utiliza em benefício de nenhum outro cliente.

11.3 Fornecedores de modelos. Os fornecedores de modelos indicados no Anexo 3 tratam os Dados pessoais do Cliente ao abrigo de condições contratuais para empresas que não lhes permitem utilizá-los para treinar os seus modelos.

11.4 Telemetria. A Veliu melhora os seus modelos, agentes e Serviços exclusivamente com Telemetria (Cláusula 4.4 do Contrato). A Telemetria derivada dos Dados pessoais do Cliente cumpre três condições: (a) ninguém pode, a partir dela, reidentificar uma pessoa singular, o Cliente ou a sua marca pelos meios suscetíveis de ser razoavelmente utilizados, isoladamente ou em combinação com outros dados; (b) é agregada entre várias marcas; (c) não nomeia nenhuma marca nem nenhuma pessoa e não divulga nenhum dos dados não publicados do Cliente. A Veliu não tenta reidentificar a Telemetria e não permite que outrem o faça.

11.5 Informação pública. A Cláusula 4.6(e) do Contrato rege as informações que o Cliente publica no seu próprio website ou nos seus feeds, que as ferramentas de avaliação da Veliu leem a partir do exterior, tal como faz qualquer agente de compras com IA.

11.6 Sobrevigência. A presente Cláusula 11 subsiste enquanto a Veliu detiver quaisquer Dados do Cliente.

12.1 Limites. A responsabilidade de cada Parte ao abrigo do presente DPA está sujeita à Cláusula 12 do Contrato e conta para os limites aí previstos. Nenhuma disposição do presente DPA limita os direitos dos titulares dos dados ao abrigo da Legislação de proteção de dados.

13.1 Vigência. O presente DPA produz efeitos com a primeira Encomenda do Cliente e aplica-se enquanto a Veliu tratar Dados pessoais do Cliente, incluindo durante os períodos previstos na Cláusula 10.

13.2 Prevalência. A Cláusula 18.11 do Contrato estabelece a ordem de prevalência, e o presente DPA prevalece sobre o Contrato e sobre qualquer Encomenda nas matérias de tratamento de dados pessoais. As Cláusulas contratuais-tipo, quando aplicáveis, prevalecem sobre todas as outras disposições.

13.3 Língua. A Cláusula 18.13 do Contrato aplica-se ao presente DPA.

(a) Responsável pelo tratamento. O Cliente, tal como identificado na Encomenda.

(b) Subcontratante. Veliu Limited, admin@veliu.com.

(c) Titulares dos dados e dados pessoais. Cláusulas 2.5 e 2.4.

(d) Categorias especiais. Nenhuma é exigida pelos Serviços; um visitante pode fornecê-las voluntariamente numa conversa, por exemplo, uma necessidade de saúde subjacente a uma pergunta sobre um produto.

(e) Natureza, finalidade, duração e conservação. Cláusulas 2.1 a 2.3 e Cláusula 10.

(f) Frequência. Contínua, durante a vigência do Contrato.

(g) Subcontratantes ulteriores. Anexo 3.

(h) Autoridade de controlo principal da Veliu. Data Protection Commission, Irlanda.

(a) Alojamento na UE. Os Dados do Cliente são armazenados e tratados em infraestruturas situadas na União Europeia, operadas por fornecedores de cloud que dispõem de relatórios SOC 2 Tipo II e, quando o fornecedor a detenha, de certificação ISO/IEC 27001: Amazon Web Services, Google Cloud, Vercel e Supabase, em regiões da UE.

(b) Encriptação. Em trânsito, com TLS 1.2 ou superior; em repouso, com AES-256.

(c) Cópias de segurança e resiliência. Cópias de segurança diárias e redundância entre zonas de disponibilidade; disponibilidade monitorizada a partir de, pelo menos, duas localizações na União Europeia.

(d) Controlo de acessos. Acesso segundo o princípio do privilégio mínimo, com autenticação multifator e registo; credenciais do software que o Cliente liga armazenadas de forma encriptada.

(e) Vulnerabilidades e incidentes. Gestão de vulnerabilidades e resposta a incidentes, com notificação ao Cliente nos termos da Cláusula 8.3.

(f) Inferência dos modelos. Em regiões da UE quando o fornecedor as ofereça e, caso contrário, ao abrigo das Cláusulas contratuais-tipo (Cláusulas 7 e 11).

Os Subcontratantes ulteriores estabelecidos fora do Espaço Económico Europeu, ou com acesso a partir do exterior deste, baseiam-se nas Cláusulas contratuais-tipo ou numa decisão de adequação, incluindo o Quadro de Privacidade de Dados UE-EUA quando estejam certificados.