Acordo de tratamento de dados

Preâmbulo

Este acordo (o “Acordo”) é celebrado entre o Cliente, atuando na qualidade de controlador (ou de subcontratado dos seus próprios clientes, quando se tratar de uma agência), e a CODEVIUM SAS, editora do serviço iPand, atuando na qualidade de subcontratado (“iPand”), no sentido do artigo 28 do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados da União Europeia, “GDPR”).

Ele constitui o anexo 1 das condições gerais de venda (“Condições de venda”) e é aceito com elas, pela caixa de aceitação marcada no momento da contratação ou pela aceitação de um orçamento Sob medida. Ele se aplica enquanto o iPand tratar Dados Pessoais do Cliente, inclusive após o término das Condições de venda.

Os termos “dados pessoais”, “tratamento”, “controlador”, “subcontratado”, “titular dos dados” e “violação de dados pessoais” têm o sentido que lhes dá o artigo 4 do GDPR. Os demais termos com inicial maiúscula têm o sentido das Condições de venda.

Artigo 1 — Âmbito: o que o iPand trata para o Cliente

1.1 O iPand atua como subcontratado para os dados pessoais contidos nos Dados do Cliente (os “Dados Pessoais do Cliente”), descritos no anexo A: composição da Organização (membros, funções, marcas acessíveis, convites), conteúdos inseridos pelos membros (prompts, entidades, concorrentes, tarefas, páginas monitoradas), conversas com o Pandi, o assistente GEO do iPand, e resultados produzidos para o Cliente.

1.2 O iPand atua como controlador, e não como subcontratado, para os tratamentos que ele próprio determina: criação e segurança das contas de usuário, autenticação e registro de segurança, prova da aceitação das condições, cobrança e relação comercial, e-mails de serviço, suporte, prevenção de abusos, medição de uso do aplicativo, medição de audiência do site. Esses tratamentos são descritos na política de privacidade e não estão abrangidos pelo Acordo.

1.3 As respostas coletadas dos motores de inteligência artificial e as páginas da web analisadas podem mencionar pessoas físicas (dirigentes, autores, avaliações públicas). Para a coleta desses conteúdos públicos e para o seu método de medição, o iPand atua por conta própria, na qualidade de controlador, com base no seu interesse legítimo; esse tratamento é descrito na política de privacidade.

Artigo 2 — Instruções

2.1 O iPand só trata os Dados Pessoais do Cliente mediante instrução documentada do Cliente, inclusive para as transferências para fora da União Europeia, salvo obrigação legal; nesse caso, o iPand informa o Cliente antes do tratamento, salvo proibição legal.

2.2 As instruções do Cliente são constituídas pelas Condições de venda, pelos Termos de uso, por este Acordo, pelas configurações e ações realizadas pelos membros no Serviço (inclusão ou exclusão de prompts, de entidades, de membros; pedido de arquivo; exclusão de uma marca ou de uma conta; autorização de um cliente MCP) e por qualquer instrução complementar por escrito aceita pelo iPand.

2.3 O iPand informa imediatamente o Cliente se, na sua opinião, uma instrução constituir uma violação do GDPR ou de outra norma de proteção de dados.

2.4 O iPand não usa os Dados Pessoais do Cliente para fins próprios, não os vende e não os usa para treinar modelos de inteligência artificial.

Artigo 3 — Confidencialidade

O iPand garante que as pessoas autorizadas a tratar os Dados Pessoais do Cliente se comprometam a respeitar a confidencialidade deles ou estejam sujeitas a uma obrigação legal de confidencialidade, e só tenham acesso a eles na medida necessária à execução do Serviço, ao suporte solicitado pelo Cliente ou à segurança.

Artigo 4 — Segurança

4.1 O iPand implementa as medidas técnicas e organizacionais adequadas descritas no anexo B, de acordo com o artigo 32 do GDPR, levando em conta o estado da técnica, os custos, a natureza dos tratamentos e os riscos.

4.2 O iPand pode fazer essas medidas evoluírem, desde que não reduza o nível geral de segurança.

4.3 O Cliente continua responsável pelas medidas que lhe cabem: gestão dos membros e das permissões deles, remoção dos acessos das pessoas que saem da sua organização, confidencialidade das caixas de e-mail que recebem os códigos de acesso, escolha dos clientes MCP que ele autoriza e conteúdo que ele insere (em especial a ausência de dados pessoais nos prompts, exigida pelos Termos de uso).

Artigo 5 — Violação de dados

5.1 O iPand notifica o Cliente de qualquer violação de dados pessoais que envolva os Dados Pessoais do Cliente o mais rapidamente possível e no máximo 48 horas depois de tomar conhecimento dela, por e-mail para o endereço de cobrança e para os Administradores.

5.2 A notificação indica, na medida do possível: a natureza da violação, as categorias e o número aproximado de pessoas e de registros envolvidos, as consequências prováveis, as medidas tomadas ou previstas e um ponto de contato. As informações não disponíveis são fornecidas assim que possível, por etapas.

5.3 O iPand coopera com o Cliente para permitir que ele notifique a autoridade de controle e, se for o caso, os titulares dos dados. A notificação pelo iPand não vale como reconhecimento de culpa. O iPand aplica um procedimento interno de gestão de violações de dados.

Artigo 6 — Subcontratados ulteriores

6.1 O Cliente concede ao iPand uma autorização geral para recorrer aos subcontratados ulteriores que constam da lista que o iPand mantém atualizada (anexo C), na data da contratação, e depois conforme essa lista evoluir de acordo com este artigo. A lista atualizada é comunicada ao Cliente mediante pedido, em contact@ipand.io.

6.2 Subcontratados escolhidos pelo iPand. O iPand informa o Cliente de qualquer inclusão ou substituição de um subcontratado ulterior escolhido por ele com pelo menos 30 dias de antecedência em relação ao início do tratamento de Dados Pessoais do Cliente por esse subcontratado, por e-mail aos Administradores de cada Organização cliente. O Cliente pode se opor por escrito, em contact@ipand.io, dentro desse prazo, por um motivo razoável ligado à proteção de dados. As partes buscam então uma solução; na falta dela, o Cliente pode cancelar sem custos a assinatura em questão, sendo a parte do Período anual não usufruída reembolsada a ele proporcionalmente.

6.3 Substituição em caráter de urgência. Quando a segurança dos dados ou a falha de um prestador exigir uma substituição sem aguardar esse prazo, o iPand pode realizá-la com um aviso prévio mais curto. Ele informa então o Cliente sem demora, da mesma maneira, e o Cliente dispõe posteriormente dos mesmos direitos de oposição e de cancelamento.

6.4 Mudanças nos subcontratados dos subcontratados ulteriores. Alguns subcontratados ulteriores recorrem, eles próprios, a prestadores que escolhem e podem substituir de acordo com as próprias condições, sem sempre garantir ao iPand um aviso prévio de 30 dias: em especial os prestadores de coleta e os seus fornecedores de modelos, o provedor de hospedagem, o prestador de envio de e-mails e os desenvolvedores dos motores do plano Sob medida. O iPand informa o Cliente dessas mudanças, da mesma maneira, assim que tomar conhecimento delas. O Cliente dispõe então dos mesmos direitos de oposição e de cancelamento do artigo 6.2.

6.5 O iPand impõe a cada subcontratado ulterior, por contrato, obrigações de proteção de dados equivalentes às do Acordo, em especial garantias suficientes quanto às medidas técnicas e organizacionais. O iPand continua responsável perante o Cliente pela execução das obrigações deles.

6.6 Os clientes MCP (assistentes de terceiros como claude.ai ou ChatGPT) que um membro autoriza a ler os dados da Organização não são subcontratados ulteriores do iPand: eles atuam por iniciativa e sob a responsabilidade do Cliente, de acordo com as próprias condições. O Cliente pode retirar os acessos deles a qualquer momento (Configurações › Integrações).

Artigo 7 — Transferências para fora da União Europeia

7.1 Os Dados Pessoais do Cliente são hospedados na União Europeia, na região Azure “West Europe” (Países Baixos); as cópias de backup da base, com redundância geográfica, são conservadas nela e replicadas pelo Azure na região emparelhada “North Europe” (Irlanda), na União Europeia. Os tratamentos por modelo de linguagem são realizados na União Europeia: as solicitações e as respostas podem ser tratadas em qualquer Estado-membro da União.

7.2 Quando um subcontratado ulterior trata dados fora do Espaço Econômico Europeu, ou dá acesso a eles a partir de fora dele, a transferência é regida por uma decisão de adequação (incluindo o Data Privacy Framework UE–EUA para uma empresa certificada) ou pelas cláusulas contratuais-padrão da Comissão Europeia (Decisão 2021/914), complementadas, se necessário, por medidas suplementares. A lista de subcontratados ulteriores (anexo C) indica, para cada um, o local de tratamento e o mecanismo adotado.

7.3 Na data desta versão do Acordo:

• Prestadores de coleta e desenvolvedores de motores estabelecidos nos Estados Unidos: cláusulas contratuais-padrão, módulo 2 (de controlador para subcontratado) e, para alguns, módulo 3, previstas no acordo de tratamento de dados deles.
• Prestadores de coleta estabelecidos na União Europeia que tratam ou mandam tratar dados fora da União (em especial nos Estados Unidos e no Reino Unido): a transmissão dos prompts pelo iPand não constitui uma transferência para fora da União; as transferências que eles próprios realizam são regidas por cláusulas contratuais-padrão ou por decisões de adequação, de acordo com o acordo de tratamento ou a política de privacidade deles.
• Desenvolvedor de motor estabelecido na União Europeia (plano Sob medida): a transmissão dos prompts não constitui uma transferência para fora da União; ele recorre prioritariamente a prestadores localizados na União e, em casos excepcionais, a prestadores localizados fora da União.
• Prestador de envio de e-mails (Estados Unidos): empresa certificada no Data Privacy Framework UE–EUA; o acordo de tratamento de dados dela incorpora, além disso, as cláusulas contratuais-padrão, módulo 2. Os e-mails são enviados a partir da Irlanda; os dados da conta (metadados dos e-mails, registros) são armazenados nos Estados Unidos.
• Provedor de hospedagem (Microsoft Ireland Operations Limited): os tratamentos são regidos pelo DPA da Microsoft (Microsoft Products and Services Data Protection Addendum).
• As APIs de dois fornecedores de modelos servem a uma sonda técnica com prompts internos do iPand e não tratam Dados Pessoais do Cliente. O uso delas para a coleta dos clientes seria anunciado de acordo com o artigo 6.2.

Artigo 8 — Assistência ao Cliente

8.1 Direitos dos titulares. Considerando a natureza do tratamento, o iPand ajuda o Cliente, por meio de medidas técnicas e organizacionais adequadas, a responder aos pedidos de exercício dos direitos dos titulares dos dados. O Serviço permite que o Cliente, diretamente:

• acesse os dados e os exporte: arquivo da Organização (Configurações › Organização, Administradores), exportações das telas;
• retifique os dados inseridos;
• apague: remoção de um membro, arquivamento de um prompt, exclusão de uma entidade, de uma tarefa, de uma conversa com o Pandi (apagada com as suas mensagens 30 dias após a exclusão), de uma marca (limpeza 30 dias após a exclusão);
• limite os acessos de um membro a determinadas marcas.

Os pedidos não abrangidos por essas funções devem ser enviados para contact@ipand.io; o iPand responde a eles em um prazo que permita ao Cliente respeitar o prazo de um mês do artigo 12 do GDPR. Um pedido recebido diretamente de um titular dos dados e relativo aos Dados Pessoais do Cliente é transmitido sem demora ao Cliente, sem resposta quanto ao mérito, salvo instrução do Cliente.

8.2 Outras obrigações. O iPand ajuda o Cliente a garantir o cumprimento dos artigos 32 a 36 do GDPR (segurança, violações, avaliação de impacto, consulta prévia), considerando as informações à sua disposição, em especial fornecendo a descrição dos tratamentos e das medidas de segurança do anexo B. Essa assistência é prestada sem custos, em medida razoável.

Artigo 9 — Duração, devolução e exclusão

9.1 O Acordo se aplica durante toda a duração das assinaturas e até a exclusão efetiva dos Dados Pessoais do Cliente.

9.2 Devolução. Antes da exclusão, um Administrador pode, a qualquer momento, obter um arquivo dos dados da Organização, nos formatos JSON e CSV, disponível por 24 horas após a sua preparação. Ele contém a organização e as suas assinaturas, os membros e os convites, as marcas (mercados, motores, tags, entidades), os prompts, uma prévia de cada resposta coletada, as páginas monitoradas e o resultado da última análise delas, e o registro de atividades da Organização. As conversas com o Pandi, as tarefas e as recomendações, que não constam dele, são devolvidas mediante pedido enviado para contact@ipand.io.

9.3 Exclusão. No fim dos serviços, o iPand exclui os Dados Pessoais do Cliente, salvo obrigação legal de conservação:

• fim da assinatura de uma marca: dados da marca eliminados 12 meses após o fim da última assinatura dela, no processamento mensal seguinte; durante esse prazo, o Cliente pode voltar a assinar mediante pedido a contact@ipand.io ou solicitar o arquivo, e pode obter uma exclusão antecipada excluindo a marca;
• exclusão de uma marca: dados eliminados 30 dias após a exclusão;
• exclusão de uma conta de membro: sessões, identidades de acesso vinculadas e participações removidas imediatamente; conta e registros apagados 30 dias depois;
• conversa com o Pandi excluída pelo seu autor: apagada com as suas mensagens 30 dias após a exclusão; as tarefas criadas a partir da conversa são mantidas; as conversas de um membro removido da Organização são mantidas até a exclusão da marca ou da conta dele;
• registro de atividades da Organização: 12 meses;
• convites: apagados 90 dias após o vencimento, tenham sido aceitos, revogados ou não;
• Organização sem membros nem assinatura em andamento: marcada como excluída no processamento diário da manhã, eliminada 30 dias depois.

Depois de apagados da base, os dados desaparecem dos backups e dos arquivos em no máximo 90 dias: restauração para um momento específico dos últimos 14 dias, arquivos mensais da base conservados por no máximo 90 dias, exclusão reversível dos arquivos durante 14 dias. Os registros técnicos são conservados por 30 dias. Os dados continuam sujeitos ao Acordo até o seu apagamento.

9.4 Mediante pedido por escrito, o iPand confirma a exclusão por escrito.

Artigo 10 — Informação e auditoria

10.1 O iPand disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento do artigo 28 do GDPR: este Acordo e os seus anexos e, mediante pedido, a lista de subcontratados ulteriores e um questionário de segurança preenchido.

10.2 O Cliente pode mandar realizar uma auditoria, às suas custas, por um auditor independente sujeito a sigilo e que não seja concorrente do iPand, no máximo uma vez por ano (salvo violação de dados ou pedido de uma autoridade de controle), com aviso prévio de 30 dias, durante o horário comercial, sem acesso aos dados dos outros clientes nem aos segredos de segurança, e sem perturbar o Serviço. A auditoria dos subcontratados ulteriores é feita por meio das certificações e dos relatórios deles (ISO 27001, SOC 2…).

Artigo 11 — Responsabilidade

A responsabilidade de cada parte no âmbito do Acordo está sujeita às limitações do artigo 19 das Condições de venda, salvo disposição imperativa em contrário; o artigo 82 do GDPR se aplica nas relações com os titulares dos dados.

Artigo 12 — Disposições diversas

Em caso de contradição entre o Acordo e as Condições de venda, o Acordo prevalece no que diz respeito à proteção de dados pessoais. O Acordo é regido pela lei francesa e submetido aos tribunais designados pelas Condições de venda. O iPand pode alterá-lo nas condições do artigo 25 das Condições de venda; uma alteração imposta pela lei ou por uma autoridade se aplica sem prazo.

Este texto foi redigido em francês. As suas traduções são fornecidas a título informativo; em caso de divergência, prevalece a versão em francês.

Anexo A — Descrição dos tratamentos

Anexo B — Medidas técnicas e organizacionais

Medidas em vigor na data de entrada em vigor desta versão. Informações complementares podem ser comunicadas ao Cliente mediante pedido, sob compromisso de confidencialidade.

Hospedagem e criptografia

• Hospedagem no Microsoft Azure, região West Europe (Países Baixos); cópias de backup da base com redundância geográfica, na mesma região e na região emparelhada North Europe (Irlanda); nenhum dado de produção fora dessas regiões, salvo nos subcontratados ulteriores do anexo C.
• Criptografia em trânsito: no mínimo TLS 1.2 para a base, o armazenamento e a API; HTTPS obrigatório; HSTS na API e no aplicativo.
• Criptografia em repouso do Azure SQL e do Azure Storage, ativada por padrão pelo Azure, com chaves gerenciadas pela Microsoft.
• Segredos no Azure Key Vault (controle de acesso baseado em funções, exclusão reversível durante 90 dias, proteção contra limpeza); nenhum segredo no código.

Controle de acesso

• Acesso dos serviços aos recursos por identidade gerenciada; somente autenticação Entra para a base; chaves compartilhadas do armazenamento e chaves de acesso aos modelos de linguagem desativadas; acesso público anônimo aos arquivos bloqueado.
• Implantação por identidade federada (OIDC) somente a partir da branch principal; nenhum acesso permanente por senha.
• Usuários: acesso sem senha (código de uso único com hash, válido por 10 minutos, 5 tentativas; Google; Microsoft); token de acesso de 15 minutos na memória; token de atualização em um cookie HttpOnly, Secure, SameSite=Strict, revogado em caso de reutilização; sessões visíveis e revogáveis.
• Isolamento: cada requisição verifica a participação na Organização e o acesso à marca; um contribuidor só vê as suas marcas.
• Administradores da plataforma: em número restrito, designados na base, sem participação nas Organizações; ações de administração registradas.
• Acesso MCP: OAuth 2.1 com PKCE, um único escopo de leitura, tokens de acesso de 60 minutos, revogáveis pelo usuário.

Segurança do aplicativo

• Limites de taxa na autenticação, nos formulários, no Pandi, no servidor MCP e no OAuth.
• Proteção contra requisições para a rede interna (SSRF) para qualquer endereço fornecido por um cliente; navegador de renderização isolado, sem segredos nem acesso à base.
• Notificações dos prestadores de pagamento e de e-mail verificadas por assinatura.
• Conteúdos de terceiros (respostas dos motores, páginas) tratados como não confiáveis pelo Pandi e pelo servidor MCP.

Registro e monitoramento

• Registro de segurança conservado por 12 meses: o endereço IP e o endereço de e-mail só constam dele na forma de hash calculado com uma chave secreta, nunca em texto claro.
• Registro de atividades da Organização (12 meses) e registro das ações de administração.
• Registros técnicos conservados por 30 dias, com endereço IP mascarado.
• Alertas por e-mail sobre os erros do serviço, as falhas de coleta, as filas travadas e os excessos de gastos.

Continuidade

• Backups da base: restauração para um momento específico dos últimos 14 dias; cópias com redundância geográfica, em West Europe e na região emparelhada North Europe (Irlanda).
• Arquivo mensal da base, exportado e verificado no Azure, região West Europe, e conservado por no máximo 90 dias no armazenamento Azure dessa região; nenhum dado de produção é confiado ao serviço de hospedagem do código.
• Exclusão reversível dos arquivos durante 14 dias.

Minimização e conservação

• Limpezas automáticas: processamento diário da manhã (contas, marcas, organizações e conversas excluídas, registro de atividades, convites vencidos), processamento mensal (marcas cuja assinatura terminou há 12 meses, pedidos de contato e de demonstração, opiniões, eventos de uso com mais de 25 meses), limpeza de hora em hora (códigos de acesso, registro de segurança, sessões, mensagens aguardando envio, tokens vencidos).
• Conservação limitada das respostas brutas dos prestadores de coleta (30 dias) e das capturas de páginas (183 dias).
• Modelos de linguagem: solicitações enviadas sem armazenamento das respostas pelo serviço (store: false); nenhum treinamento dos modelos com esses dados; o fornecedor conserva solicitações e respostas na União Europeia para o monitoramento de abusos, por um prazo limitado fixado por ele, com revisão automatizada e, se necessário, por funcionários autorizados localizados no Espaço Econômico Europeu.
• Prestadores de coleta e desenvolvedores dos motores: cada um conserva as solicitações e as respostas de coleta de acordo com o acordo de tratamento de dados dele, do tempo necessário para gerar a resposta até 12 meses, conforme o prestador, ou até o fim do serviço; por até 2 anos para um conteúdo sinalizado nos termos de uma política de uso. Para um dos motores do plano Sob medida, o iPand ativa a retenção zero oferecida pelo desenvolvedor dele antes de abrir esse motor à coleta. O prazo adotado por cada um consta da lista de subcontratados ulteriores (anexo C).
• Nenhum dado de produção nos ambientes de desenvolvimento; nenhum ambiente de pré-produção.

Organização

• Pessoal sujeito à confidencialidade; acesso aos dados de produção limitado às necessidades do suporte e da operação.
• Procedimento interno de gestão de violações de dados.

Anexo C — Subcontratados ulteriores autorizados

A lista atualizada dos subcontratados ulteriores (identidade, função, dados tratados, local de tratamento e garantias das transferências) é mantida pelo iPand e comunicada ao Cliente mediante pedido, em contact@ipand.io. O Cliente é avisado por e-mail com pelo menos 30 dias de antecedência de qualquer inclusão ou substituição de um subcontratado ulterior e pode se opor a ela nas condições do artigo 6.