Adenda ao Tratamento de Dados

• Legislação de Proteção de Dados Aplicável designa toda a legislação aplicável ao tratamento de Dados Pessoais do Cliente ao abrigo do Contrato, que pode incluir o RGPD, o RGPD do Reino Unido, a Lei Federal Suíça de Proteção de Dados e as leis estaduais de privacidade dos Estados Unidos, como a Lei de Privacidade do Consumidor da Califórnia.
• Dados Pessoais do Cliente designa os dados pessoais contidos no Conteúdo do Cliente que a Zurelay trata por conta do Cliente para prestar os Serviços.
• Subcontratante Ulterior designa um terceiro contratado pela Zurelay que trata Dados Pessoais do Cliente, incluindo Fornecedores de Infraestrutura.
• Violação de Dados Pessoais designa uma violação da segurança dos sistemas controlados pela Zurelay que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação não autorizada ou o acesso não autorizado a Dados Pessoais do Cliente.
• SCCs designa as cláusulas contratuais-tipo aprovadas pela Comissão Europeia na Decisão (UE) 2021/914.
• Responsável pelo tratamento, subcontratante, titular dos dados, dados pessoais, tratamento, empresa e prestador de serviços têm o significado que lhes é atribuído na Legislação de Proteção de Dados Aplicável.

Relativamente aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento (ou um subcontratante que atua por conta dos seus próprios clientes) e a Zurelay é um subcontratante (ou subcontratante ulterior). Esta DPA não se aplica aos dados pessoais que a Zurelay trata como responsável pelo tratamento independente, como os dados de conta, faturação, apoio, segurança e do website, abrangidos pela nossa Política de Privacidade.

3.1 Instruções. A Zurelay tratará os Dados Pessoais do Cliente apenas para prestar os Serviços, garantir a sua segurança e prestar apoio, em conformidade com o Contrato, esta DPA e a utilização e configuração dos Serviços pelo Cliente, que, em conjunto, constituem a totalidade das instruções documentadas do Cliente, e conforme exigido por lei. Quando a lei exigir um tratamento que vá além dessas instruções, a Zurelay informará previamente o Cliente, salvo se a lei o proibir.

3.2 O encaminhamento é uma instrução. O Cliente instrui a Zurelay a enviar o Conteúdo do Cliente para Fornecedores de Infraestrutura escolhidos pela Zurelay e a repetir, reencaminhar e transferir pedidos entre eles em caso de falha, conforme necessário para gerar Resultados.

3.3 Instruções ilícitas. A Zurelay informará o Cliente se, no seu entender, uma instrução violar a Legislação de Proteção de Dados Aplicável. A Zurelay não é obrigada a realizar análises jurídicas das instruções do Cliente.

O Cliente é responsável por dispor de um fundamento jurídico para o tratamento de Dados Pessoais do Cliente ao abrigo do Contrato, bem como por prestar todas as informações e obter todos os consentimentos necessários para esse tratamento. O Cliente não enviará Dados Restritos, incluindo categorias especiais de dados pessoais e dados pessoais de crianças, salvo se as partes tiverem assinado um acordo escrito separado que o permita. O Cliente é responsável por limitar os dados pessoais que inclui nas Entradas ao necessário para a sua utilização dos Serviços e por decidir se os Serviços são adequados aos seus dados, incluindo o tratamento por Fornecedores de Infraestrutura cujas identidades a Zurelay não divulga, ao abrigo dos respetivos termos, conforme descrito na Secção 7.

A Zurelay garantirá que as pessoas que autoriza a tratar Dados Pessoais do Cliente estão sujeitas a obrigações de confidencialidade adequadas e que apenas acedem a esses dados na medida necessária para prestar os Serviços.

A Zurelay implementará e manterá as medidas técnicas e organizativas descritas no Anexo II, concebidas para proteger os Dados Pessoais do Cliente nos sistemas controlados pela Zurelay. A Zurelay poderá atualizar estas medidas, desde que o nível global de proteção não seja substancialmente reduzido.

7.1 Autorização geral. O Cliente concede à Zurelay uma autorização geral para recorrer a Subcontratantes Ulteriores nas seguintes categorias: (a) fornecedores de alojamento, bases de dados, armazenamento e redes; (b) fornecedores de serviços de pagamento, correio eletrónico e apoio, na medida em que tratem Dados Pessoais do Cliente; e (c) Fornecedores de Infraestrutura que disponibilizam Modelos, que podem incluir Criadores de Modelos, plataformas de computação em nuvem, revendedores independentes e outros fornecedores de capacidade de modelos.

7.2 Identidade dos Fornecedores de Infraestrutura. Como identidades dos Fornecedores de Infraestrutura da Zurelay constituem informação comercial confidencial e não são divulgadas pela Zurelay. A autorização do Cliente prevista na Secção 7.1 abrange os Fornecedores de Infraestrutura por categoria, sem divulgação das respetivas identidades. Mediante pedido escrito, a Zurelay fornecerá ao Cliente uma lista dos seus restantes Subcontratantes Ulteriores em funções, sujeita às obrigações de confidencialidade do Cliente previstas no Contrato. Se as obrigações legais do Cliente exigirem que conheça a identidade de cada Subcontratante Ulterior antes de lhe serem enviados dados pessoais, o Cliente não poderá incluir esses dados pessoais no Conteúdo do Cliente.

7.3 Alterações. Para manter os Serviços disponíveis, a Zurelay poderá adicionar, remover e substituir Fornecedores de Infraestrutura a qualquer momento. A Zurelay notificará o Cliente de qualquer nova categoria de Subcontratante Ulterior através da atualização do presente Acordo de Tratamento de Dados. Se o Cliente se opuser por motivos razoáveis de proteção de dados, as partes discutirão a objeção de boa-fé; se não for possível resolvê-la, o único recurso do Cliente será deixar de utilizar os Serviços afetados e pôr termo ao Contrato.

7.4 Condições dos Subcontratantes Ulteriores. Sempre que a Zurelay possa negociar as condições de um Subcontratante Ulterior, exigirá obrigações de proteção de dados que, na sua substância, assegurem um nível de proteção não inferior ao previsto no presente Acordo de Tratamento de Dados, na medida em que sejam relevantes para os serviços prestados pelo Subcontratante Ulterior. Alguns Fornecedores de Infraestrutura disponibilizam os seus serviços apenas de acordo com as suas condições gerais. O Cliente reconhece que, no caso desses fornecedores, o tratamento do Conteúdo do Cliente é regido pelas respetivas condições gerais e que a Zurelay poderá não conseguir obter compromissos adicionais da parte deles.

7.5 Responsabilidade. A Zurelay continua a ser responsável pelos seus Subcontratantes Ulteriores na medida exigida pela Legislação Aplicável em Matéria de Proteção de Dados, sem prejuízo das limitações de responsabilidade previstas no Contrato.

Tendo em conta a natureza do tratamento, a Zurelay prestará ao Cliente assistência razoável na resposta a pedidos dos titulares dos dados para o exercício dos seus direitos. Se a Zurelay receber um pedido deste tipo relativo a Dados Pessoais do Cliente, encaminhará o requerente para o Cliente, quando conseguir identificá-lo, e não responderá diretamente, exceto para confirmar o encaminhamento ou quando exigido por lei. O Cliente suportará os custos razoáveis da Zurelay pela assistência que exceda o que os Serviços disponibilizam.

A Zurelay notificará o Cliente sem demora injustificada após tomar conhecimento de uma Violação de Dados Pessoais e fornecerá as informações razoavelmente ao seu dispor de que o Cliente necessite para cumprir as suas próprias obrigações de notificação. A Zurelay tomará medidas razoáveis para conter e investigar a violação. A notificação não constitui um reconhecimento de culpa ou responsabilidade. Cabe ao Cliente notificar as autoridades de controlo e os titulares dos dados quando tal seja exigido. Se um Fornecedor de Infraestrutura notificar a Zurelay de um incidente de segurança que afete Dados Pessoais do Cliente, a Zurelay transmitirá as informações relevantes que receber.

10.1 Assistência. Tendo em conta a natureza do tratamento e as informações ao seu dispor, a Zurelay prestará ao Cliente assistência razoável na realização de avaliações de impacto sobre a proteção de dados e de consultas prévias às autoridades de controlo, quando exigidas pela Legislação Aplicável em Matéria de Proteção de Dados, a expensas do Cliente quando a assistência exceder o mínimo.

10.2 Informações. Mediante pedido escrito, no máximo uma vez em cada período de 12 meses, a Zurelay fornecerá respostas escritas a um questionário razoável sobre segurança e privacidade, bem como outras informações razoavelmente necessárias para demonstrar o cumprimento do presente Acordo de Tratamento de Dados.

10.3 Auditorias. Se a Legislação Aplicável em Matéria de Proteção de Dados exigir uma auditoria para além dessas informações, o Cliente pode realizá-la, a expensas próprias, no máximo uma vez em cada período de 12 meses, mediante aviso prévio por escrito de pelo menos 30 dias, durante o horário normal de expediente, sujeita a obrigações de confidencialidade adequadas e por um auditor que não seja concorrente da Zurelay. As auditorias não darão acesso aos dados de outros clientes, aos sistemas dos Fornecedores de Infraestrutura nem à identidade dos Fornecedores de Infraestrutura, salvo se tal for exigido por um tribunal ou uma autoridade reguladora com competência sobre a Zurelay.

A Zurelay não armazena o conteúdo dos pedidos de chat e de texto enviados através da API após lhes dar resposta. As conversas no Playground são conservadas para a pessoa que as iniciou até que esta as elimine (as 300 mais recentes por espaço de trabalho), sem ficheiros anexos. As imagemns adicionadas no Playground são conservadas no espaço de trabalho e eliminadas após 30 dias. As imagens e os vídeos gerados, os respetivos prompts e imagens de referência, bem como os detalhes dos erros de tentativas falhadas, são eliminados após 30 dias. No prazo de 90 dias após o termo do Contrato, a Zurelay eliminará quaisquer Dados Pessoais do Cliente que subsistam nos sistemas sob o seu controlo, exceto as cópias que tenha de conservar por lei e as cópias de segurança, que são eliminadas de acordo com o calendário habitual. Os Dados Pessoais do Cliente tratados pelos Fornecedores de Infraestrutura são conservados de acordo com os termos dos próprios fornecedores.

12.1 Autorização. O Cliente autoriza a Zurelay e os seus Subcontratantes Ulteriores a transferir e tratar os Dados Pessoais do Cliente nos Estados Unidos e noutros países onde operem.

12.2 Transferências europeias. Na medida em que os Dados Pessoais do Cliente estejam sujeitos ao RGPD e sejam transferidos para um país sem uma decisão de adequação, as SCCs são incorporadas no presente DPA nos seguintes termos: o Módulo Dois aplica-se quando o Cliente é responsável pelo tratamento e o Módulo Três quando o Cliente é subcontratante; aplica-se a cláusula de adesão facultativa da Cláusula 7; na Cláusula 9, aplica-se a Opção 2, com o aviso descrito na Secção 7.3; a redação facultativa da Cláusula 11 não se aplica; na Cláusula 17, as SCCs regem-se pela legislação da Irlanda; e, na Cláusula 18, são competentes os tribunais da Irlanda. Os Anexos I e II do presente DPA completam os anexos correspondentes das SCCs.

12.3 Reino Unido e Suíça. Para os dados pessoais sujeitos ao RGPD do Reino Unido, aplicam-se as SCCs com as alterações introduzidas pela Adenda sobre Transferências Internacionais de Dados emitida pelo Comissário da Informação do Reino Unido. Para os dados pessoais sujeitos à legislação suíça, aplicam-se as SCCs com as referências adaptadas à Lei Federal Suíça sobre a Proteção de Dados, sendo o Comissário Federal Suíço para a Proteção de Dados e a Transparência a autoridade competente.

12.4 Prevalência. Em caso de conflito entre as SCCs e o presente DPA, as SCCs prevalecem na medida desse conflito.

Na medida em que se apliquem as leis estaduais de privacidade dos Estados Unidos, a Zurelay atua como prestador de serviços ou subcontratante do Cliente relativamente aos Dados Pessoais do Cliente. A Zurelay não venderá nem partilhará os Dados Pessoais do Cliente; não os conservará, utilizará ou divulgará para fins diferentes das finalidades comerciais previstas no Contrato ou fora da relação comercial direta entre a Zurelay e o Cliente; e não os combinará com dados pessoais de outras fontes, salvo nos casos permitidos por essas leis. A Zurelay cumprirá as obrigações aplicáveis dessas leis, notificará o Cliente se deixar de poder cumpri-las e concede ao Cliente o direito de tomar medidas razoáveis para fazer cessar e corrigir a utilização não autorizada dos Dados Pessoais do Cliente.

O presente DPA prevalece sobre os Termos no que respeita à proteção dos Dados Pessoais do Cliente. Nos restantes aspetos, aplicam-se os Termos, incluindo as respetivas disposições sobre limitações de responsabilidade, lei aplicável e resolução de litígios, salvo quando a Legislação Aplicável em Matéria de Proteção de Dados ou as SCCs exijam o contrário. A Zurelay pode atualizar o presente DPA para refletir alterações na legislação, nos Serviços ou nos seus Subcontratantes Ulteriores e notificará o Cliente de alterações substanciais. O presente DPA termina com o termo do Contrato, exceto quanto às obrigações que, pela sua natureza, subsistam.

• Cifragem: TLS para dados em trânsito de e para os Serviços; cifragem em repouso disponibilizada pelos fornecedores de alojamento da Zurelay.
• Credenciais: chaves de API armazenadas apenas como hashes unidirecionais; início de sessão com códigos de utilização única; funções no espaço de trabalho que controlam quem pode gerir chaves e faturação.
• Controlo de acesso: acesso aos sistemas de produção e aos dados limitado ao pessoal que dele necessita.
• Minimização de dados: conteúdo de chat e de texto enviado através da API tratado em memória e não armazenado; conversas no Playground conservadas apenas para a pessoa que as iniciou, sem ficheiros anexos; imagemns adicionadas no Playground eliminadas após 30 dias; ficheiros gerados, respetivos prompts e detalhes dos erros eliminados após 30 dias; identificadores dos utilizadores finais do cliente removidos dos pedidos antes de estes serem enviados aos Fornecedores de Infraestrutura.
• Monitorização: monitorização contínua da disponibilidade e do comportamento dos Serviços e dos Prestadores de Infraestruturas, com registo e investigação de incidentes.
• Resiliência: novas tentativas automáticas e comutação para outros Prestadores de Infraestruturas em caso de falha.
• Resposta a incidentes: investigação, contenção e notificação aos clientes de Violações de Dados Pessoais, conforme descrito na Secção 9.
• Supervisão de fornecedores: testes aos Prestadores de Infraestruturas antes e durante a sua utilização, por exemplo para verificar se disponibilizam o Modelo solicitado e com que fiabilidade, e exclusão dos que não passam nas verificações da Zurelay. Estas verificações abrangem a qualidade do serviço, não a segurança dos próprios Prestadores de Infraestruturas, que estes gerem ao abrigo dos seus próprios termos.