Aditivo de Tratamento de Dados

• Legislação de Proteção de Dados Aplicável significa todas as leis aplicáveis ao tratamento de Dados Pessoais do Cliente nos termos do Contrato, que podem incluir o GDPR, o UK GDPR, a Lei Federal Suíça de Proteção de Dados e as leis estaduais de privacidade dos Estados Unidos, como a Lei de Privacidade do Consumidor da Califórnia.
• Dados Pessoais do Cliente significa os dados pessoais contidos no Conteúdo do Cliente que a Zurelay trata em nome do Cliente para prestar os Serviços.
• Suboperador significa um terceiro contratado pela Zurelay que trata Dados Pessoais do Cliente, incluindo Provedores de Infraestrutura.
• Violação de Dados Pessoais significa uma violação de segurança em sistemas controlados pela Zurelay que resulte na destruição, perda, alteração, divulgação ou acesso não autorizado, de forma acidental ou ilícita, de Dados Pessoais do Cliente.
• SCCs significa as cláusulas contratuais padrão aprovadas pela Comissão Europeia na Decisão (UE) 2021/914.
• Controlador, operador, titular dos dados, dados pessoais, tratamento, empresa e prestador de serviços têm os significados atribuídos na Legislação de Proteção de Dados Aplicável.

Em relação aos Dados Pessoais do Cliente, o Cliente é o controlador (ou um operador que atua em nome de seus próprios clientes) e a Zurelay é uma operadora (ou suboperadora). Este DPA não se aplica aos dados pessoais que a Zurelay trata como controladora independente, como dados de conta, cobrança, suporte, segurança e do site, que são abrangidos pela nossa Política de Privacidade.

3.1 Instruções. A Zurelay tratará Dados Pessoais do Cliente apenas para prestar, proteger e dar suporte aos Serviços de acordo com o Contrato, este DPA e o uso e a configuração dos Serviços pelo Cliente, que, em conjunto, constituem a totalidade das instruções documentadas do Cliente, e conforme exigido por lei. Quando a lei exigir tratamento além dessas instruções, a Zurelay informará o Cliente previamente, salvo se a lei proibir.

3.2 O roteamento é uma instrução. O Cliente instrui a Zurelay a enviar o Conteúdo do Cliente aos Provedores de Infraestrutura escolhidos pela Zurelay e a repetir tentativas, redirecionar solicitações e alternar entre esses provedores em caso de falha, conforme necessário para gerar Saídas.

3.3 Instruções em desacordo com a lei. A Zurelay informará o Cliente se, em sua opinião, uma instrução violar a Legislação de Proteção de Dados Aplicável. A Zurelay não é obrigada a realizar análises jurídicas das instruções do Cliente.

O Cliente é responsável por ter uma base legal para o tratamento de Dados Pessoais do Cliente nos termos do Contrato, fornecer todos os avisos e obter todos os consentimentos necessários. O Cliente não enviará Dados Restritos, incluindo categorias especiais de dados pessoais e dados pessoais de crianças, a menos que as partes tenham assinado um acordo separado por escrito que permita esse envio. O Cliente é responsável por limitar os dados pessoais incluídos nas Entradas ao que seu uso dos Serviços exige e por decidir se os Serviços são adequados para seus dados, incluindo o tratamento por Provedores de Infraestrutura cujas identidades a Zurelay não divulga, sob os termos próprios desses provedores, conforme descrito na Seção 7.

A Zurelay garantirá que as pessoas autorizadas a tratar Dados Pessoais do Cliente estejam sujeitas a obrigações adequadas de confidencialidade e acessem esses dados apenas conforme necessário para prestar os Serviços.

A Zurelay implementará e manterá as medidas técnicas e organizacionais descritas no Anexo II, destinadas a proteger os Dados Pessoais do Cliente nos sistemas sob seu controle. A Zurelay poderá atualizar essas medidas, desde que o nível geral de proteção não seja reduzido de forma significativa.

7.1 Autorização geral. O Cliente concede à Zurelay autorização geral para contratar Suboperadores nas seguintes categorias: (a) provedores de hospedagem, banco de dados, armazenamento e redes; (b) provedores de pagamento, email e suporte, na medida em que tratem Dados Pessoais do Cliente; e (c) Provedores de Infraestrutura que disponibilizam Modelos, que podem incluir Desenvolvedores de Modelos, plataformas de nuvem, revendedores independentes e outros provedores de capacidade de modelos.

7.2 Identidades dos Provedores de Infraestrutura. Como identidades dos Provedores de Infraestrutura da Zurelay são informações comerciais confidenciais, e a Zurelay não as divulga. A autorização do Cliente na Seção 7.1 abrange os Provedores de Infraestrutura por categoria, sem divulgação de suas identidades. Mediante solicitação por escrito, a Zurelay fornecerá ao Cliente uma lista dos demais Suboperadores atuais, sujeita às obrigações de confidencialidade do Cliente previstas no Contrato. Se as obrigações legais do Cliente exigirem que ele conheça a identidade de cada Suboperador antes de lhe enviar dados pessoais, o Cliente não deverá incluir esses dados pessoais no Conteúdo do Cliente.

7.3 Alterações. Para manter os Serviços disponíveis, a Zurelay poderá adicionar, remover e substituir Provedores de Infraestrutura a qualquer momento. A Zurelay notificará o Cliente sobre qualquer nova categoria de Suboperador por meio da atualização deste DPA. Se o Cliente apresentar uma objeção com fundamentos razoáveis relacionados à proteção de dados, as partes discutirão a objeção de boa-fé; se ela não puder ser resolvida, a única medida disponível ao Cliente será deixar de usar os Serviços afetados e rescindir o Contrato.

7.4 Termos dos Suboperadores. Quando a Zurelay puder negociar os termos de um Suboperador, exigirá obrigações de proteção de dados que, em essência, ofereçam proteção não inferior à prevista neste DPA, na medida em que sejam relevantes para os serviços prestados pelo Suboperador. Alguns Provedores de Infraestrutura disponibilizam seus serviços apenas sob seus termos padrão. O Cliente reconhece que, no caso desses provedores, os termos padrão regem o tratamento do Conteúdo do Cliente e que a Zurelay pode não conseguir obter compromissos adicionais deles.

7.5 Responsabilidade. A Zurelay permanece responsável por seus Suboperadores na medida exigida pela Legislação de Proteção de Dados Aplicável, sujeita às limitações de responsabilidade previstas no Contrato.

Considerando a natureza do tratamento, a Zurelay prestará assistência razoável ao Cliente para responder às solicitações de titulares de dados para exercer seus direitos. Se a Zurelay receber uma solicitação desse tipo referente a Dados Pessoais do Cliente, encaminhará o solicitante ao Cliente, quando puder identificá-lo, e não responderá diretamente, exceto para confirmar o encaminhamento ou conforme exigido por lei. O Cliente arcará com os custos razoáveis da Zurelay pela assistência que exceder os recursos disponibilizados pelos Serviços.

A Zurelay notificará o Cliente sem demora injustificada após tomar conhecimento de uma Violação de Dados Pessoais e fornecerá as informações razoavelmente disponíveis de que o Cliente necessite para cumprir suas próprias obrigações de notificação. A Zurelay adotará medidas razoáveis para conter e investigar a violação. A notificação não constitui reconhecimento de culpa ou responsabilidade. O Cliente é responsável por notificar as autoridades reguladoras e os titulares de dados quando exigido. Se um Provedor de Infraestrutura notificar a Zurelay sobre um incidente de segurança que afete Dados Pessoais do Cliente, a Zurelay repassará as informações relevantes que receber.

10.1 Assistência. Considerando a natureza do tratamento e as informações disponíveis, a Zurelay prestará assistência razoável ao Cliente na elaboração de relatórios de impacto à proteção de dados e em consultas prévias às autoridades reguladoras, quando exigidos pela Legislação de Proteção de Dados Aplicável, às custas do Cliente quando a assistência exceder o mínimo.

10.2 Informações. Mediante solicitação por escrito, no máximo uma vez a cada período de 12 meses, a Zurelay fornecerá respostas por escrito a um questionário razoável de segurança e privacidade, além de outras informações razoavelmente necessárias para demonstrar o cumprimento deste DPA.

10.3 Auditorias. Se a Legislação de Proteção de Dados Aplicável exigir uma auditoria além dessas informações, o Cliente poderá realizá-la, às suas próprias custas, no máximo uma vez a cada período de 12 meses, mediante aviso por escrito com antecedência mínima de 30 dias, durante o horário comercial, sob obrigações adequadas de confidencialidade e por meio de um auditor que não seja concorrente da Zurelay. As auditorias não darão acesso a dados de outros clientes, aos sistemas dos Provedores de Infraestrutura nem às identidades dos Provedores de Infraestrutura, salvo se exigido por um tribunal ou órgão regulador com autoridade sobre a Zurelay.

A Zurelay não armazena o conteúdo das solicitações de chat e texto enviadas pela API após atendê-las. As conversas no Playground são mantidas para a pessoa que as realizou até que ela as exclua (as 300 mais recentes por espaço de trabalho), sem arquivos anexos. As imagemns adicionadas no Playground são mantidas no espaço de trabalho e excluídas após 30 dias. Imagens e vídeos gerados, seus prompts e imagens de referência, e detalhes de erros de tentativas malsucedidas são excluídos após 30 dias. Em até 90 dias após o término do Contrato, a Zurelay excluirá quaisquer Dados Pessoais do Cliente remanescentes nos sistemas que controla, exceto cópias que deva manter por lei e cópias em backups, que serão excluídas conforme o cronograma habitual. Os Dados Pessoais do Cliente tratados pelos Provedores de Infraestrutura são retidos de acordo com os termos desses provedores.

12.1 Autorização. O Cliente autoriza a Zurelay e seus Suboperadores a transferir e tratar Dados Pessoais do Cliente nos Estados Unidos e em outros países onde operam.

12.2 Transferências europeias. Na medida em que os Dados Pessoais do Cliente estejam sujeitos ao GDPR e sejam transferidos para um país sem decisão de adequação, as SCCs são incorporadas a este DPA da seguinte forma: o Módulo Dois se aplica quando o Cliente é controlador, e o Módulo Três, quando o Cliente é operador; aplica-se a cláusula facultativa de adesão da Cláusula 7; na Cláusula 9, aplica-se a Opção 2, com o aviso descrito na Seção 7.3; a redação facultativa da Cláusula 11 não se aplica; na Cláusula 17, as SCCs são regidas pelas leis da Irlanda; e, na Cláusula 18, os tribunais da Irlanda têm jurisdição. Os Anexos I e II deste DPA completam os anexos correspondentes das SCCs.

12.3 Reino Unido e Suíça. Para dados pessoais sujeitos ao GDPR do Reino Unido, aplicam-se as SCCs conforme alteradas pelo Adendo de Transferência Internacional de Dados emitido pelo Comissário de Informação do Reino Unido. Para dados pessoais sujeitos à legislação suíça, aplicam-se as SCCs com referências adaptadas à Lei Federal Suíça de Proteção de Dados, e o Comissário Federal Suíço de Proteção de Dados e Informação é a autoridade competente.

12.4 Prevalência. Em caso de conflito entre as SCCs e este DPA, as SCCs prevalecerão na medida do conflito.

Na medida em que as leis estaduais de privacidade dos Estados Unidos se apliquem, a Zurelay atua como prestadora de serviços ou operadora do Cliente em relação aos Dados Pessoais do Cliente. A Zurelay não venderá nem compartilhará os Dados Pessoais do Cliente; não os reterá, usará ou divulgará para qualquer finalidade que não sejam as finalidades comerciais estabelecidas no Contrato, nem fora da relação comercial direta entre a Zurelay e o Cliente; e não os combinará com dados pessoais de outras fontes, exceto conforme permitido por essas leis. A Zurelay cumprirá as obrigações aplicáveis dessas leis, notificará o Cliente caso não possa mais cumpri-las e concederá ao Cliente o direito de tomar medidas razoáveis para interromper e remediar o uso não autorizado dos Dados Pessoais do Cliente.

Este DPA prevalece sobre os Termos no que diz respeito à proteção dos Dados Pessoais do Cliente. Nos demais aspectos, aplicam-se os Termos, incluindo suas limitações de responsabilidade, legislação aplicável e resolução de disputas, salvo quando a Legislação de Proteção de Dados Aplicável ou as SCCs exigirem o contrário. A Zurelay poderá atualizar este DPA para refletir alterações na legislação, nos Serviços ou em seus Suboperadores e notificará o Cliente sobre alterações relevantes. Este DPA se encerra com o término do Contrato, exceto quanto às obrigações que, por sua natureza, permaneçam em vigor.

• Criptografia: TLS para dados em trânsito de e para os Serviços; criptografia em repouso fornecida pelos provedores de hospedagem da Zurelay.
• Credenciais: chaves de API armazenadas apenas como hashes unidirecionais; acesso com códigos de uso único; funções no espaço de trabalho que controlam quem pode gerenciar chaves e cobrança.
• Controle de acesso: acesso aos sistemas de produção e aos dados limitado ao pessoal que precisa dele.
• Minimização de dados: conteúdo de chat e texto enviado pela API tratado em memória e não armazenado; conversas no Playground mantidas apenas para a pessoa que as realizou, sem arquivos anexos; imagemns adicionadas no Playground excluídas após 30 dias; arquivos gerados, seus prompts e detalhes de erros excluídos após 30 dias; identificadores dos usuários finais do cliente removidos das solicitações antes do envio aos Provedores de Infraestrutura.
• Monitoramento: monitoramento contínuo da disponibilidade e do comportamento dos Serviços e dos Provedores de Infraestrutura, com registro e investigação de incidentes.
• Resiliência: novas tentativas automáticas e failover entre Provedores de Infraestrutura.
• Resposta a incidentes: investigação, contenção e notificação aos clientes de Violações de Dados Pessoais, conforme descrito na Seção 9.
• Supervisão de fornecedores: testes dos Provedores de Infraestrutura antes e durante o uso, verificando, por exemplo, se fornecem o Modelo solicitado e com que confiabilidade, e remoção daqueles que não passam nas verificações da Zurelay. Essas verificações abrangem a qualidade do serviço, não a segurança dos próprios Provedores de Infraestrutura, que eles gerenciam de acordo com seus próprios termos.