Esta tradução é fornecida apenas para conveniência. Em caso de divergência, prevalece a versão em inglês.

Contrato de Tratamento de Dados

Este Contrato de Tratamento de Dados (“DPA”) faz parte do contrato entre você (o “Controlador”) e a Caliradi LLC, empresa que opera a Caliradi.ai (o “Operador”), e se aplica quando tratamos dados pessoais em seu nome na prestação do Serviço Caliradi.

1. Definições

Os termos iniciados por maiúscula que não forem definidos aqui têm o significado atribuído no RGPD (Regulamento (UE) 2016/679):

• Controlador — você, o cliente da Caliradi que determina as finalidades e os meios do tratamento.
• Operador — a Caliradi LLC, que trata dados pessoais em seu nome.
• Titular dos Dados — seus clientes finais, funcionários ou contatos cujos dados pessoais são tratados.
• Suboperador — qualquer terceiro que contratamos para tratar dados pessoais (veja a Seção 7).

2. Escopo e objeto

Tratamos dados pessoais apenas para prestar o Serviço Caliradi a você e conforme suas instruções. A duração do tratamento é a vigência do seu plano, mais qualquer período de retenção exigido por lei.

3. Categorias de dados pessoais e de titulares dos dados

4. Obrigações do Operador

Comprometemo-nos a:

• Tratar dados pessoais somente mediante suas instruções documentadas, inclusive no que se refere a transferências internacionais.
• Garantir que as pessoas autorizadas a acessar dados pessoais estejam sujeitas a obrigações de confidencialidade.
• Implementar medidas de segurança técnicas e organizacionais adequadas (Seção 6).
• Auxiliar você no atendimento a solicitações de titulares dos dados (acesso, exclusão, portabilidade etc.).
• Auxiliar você em avaliações de impacto sobre a proteção de dados e em consultas prévias a autoridades supervisoras.
• Notificar você sobre violações de dados pessoais sem demora injustificada e, quando viável, em até 72 horas.
• Devolver ou excluir os dados pessoais ao término dos serviços, a menos que a retenção seja exigida por lei.
• Disponibilizar todas as informações necessárias para demonstrar a conformidade e permitir auditorias (Seção 8).

5. Obrigações do Controlador

Você se compromete a:

• Tratar dados pessoais em conformidade com as leis aplicáveis.
• Ter uma base legal válida para o tratamento instruído (consentimento, contrato, legítimo interesse etc.).
• Fornecer instruções de tratamento precisas e lícitas.
• Informar os Titulares dos Dados sobre como seus dados são tratados, incluindo este DPA, quando pertinente.

6. Medidas de segurança

Implementamos e mantemos as seguintes medidas técnicas e organizacionais:

• Criptografia. TLS 1.2+ em trânsito, AES-256 em repouso.
• Controle de acesso. Acesso baseado em funções, MFA para sistemas de produção, princípio do privilégio mínimo.
• Segurança de rede. WAF da Cloudflare, proteção contra DDoS, lista de IPs permitidos para acesso administrativo.
• Monitoramento. Registro de auditoria, detecção de intrusões, alertas automáticos de anomalias.
• Backups. Backups diários criptografados, retenção de 30 dias, testados trimestralmente quanto à capacidade de restauração.
• Pessoal. Verificação de antecedentes, acordos de confidencialidade assinados, treinamento obrigatório em segurança.
• Gestão de fornecedores. Revisão de segurança e DPA em vigor com cada suboperador.
• Resposta a incidentes. Manual de procedimentos documentado, plantão 24/7, revisões post-mortem.
• Conformidade. Trabalhando para obter a certificação SOC-2 Type II.

7. Suboperadores

Você nos autoriza a contratar os seguintes suboperadores para as finalidades descritas:

Notificaremos você com pelo menos 14 dias de antecedência antes de adicionar ou substituir um suboperador. Você pode se opor por motivos razoáveis de proteção de dados; se não for alcançada uma solução, você poderá rescindir a parte afetada do Serviço.

8. Auditorias

Uma vez por ano, mediante aviso por escrito com pelo menos 30 dias de antecedência, você pode auditar nossa conformidade com este DPA. Podemos cumprir as obrigações de auditoria fornecendo relatórios recentes de auditoria de terceiros (por exemplo, SOC-2). As auditorias devem respeitar a confidencialidade e não prejudicar as operações.

9. Transferências internacionais

Quando dados pessoais forem transferidos para fora do Espaço Econômico Europeu, do Reino Unido ou da Suíça, nos apoiamos nas Cláusulas Contratuais Padrão da UE (SCCs, Módulo 2 — de Controlador para Operador) e no Adendo de Transferência Internacional de Dados do Reino Unido, conforme aplicável. Esses instrumentos são incorporados por referência a este DPA.

10. Solicitações de titulares dos dados

Se um Titular dos Dados entrar em contato diretamente conosco com uma solicitação para exercer seus direitos, nós o encaminharemos a você e notificaremos você. Auxiliaremos você, de forma razoável, a responder dentro dos prazos legais.

11. Responsabilidade

O limite de responsabilidade e as disposições de indenização dos nossos Termos de Serviço se aplicam a reclamações decorrentes deste DPA, exceto quando a legislação obrigatória de proteção de dados exigir o contrário.

12. Vigência e rescisão

Este DPA permanece em vigor enquanto tratarmos dados pessoais em seu nome. As disposições destinadas a subsistir (confidencialidade, auditoria, responsabilidade, devolução/exclusão de dados) subsistem à rescisão.

13. Contato