Zayloft Data Processing Terms

1. Escopo e incorporação

Estes Termos integram o acordo quando a Zayloft processa Dados Pessoais em nome do Cliente. Se houver um acordo de processamento assinado que os substitua expressamente para o mesmo processamento, esse documento prevalece.

2. Papéis das partes

O Cliente atua como controlador, empresa ou função equivalente para os Dados Pessoais do Cliente, salvo quando atuar como operador de outro controlador. A Zayloft atua como operadora, prestadora, contratada ou função equivalente quando processa segundo instruções documentadas do Cliente.

3. Instruções do Cliente

A Zayloft processará Dados Pessoais do Cliente somente segundo instruções documentadas no Acordo, configurações do produto, requisições API, suporte ou outras orientações escritas legais. Se a lei exigir processamento diferente, a Zayloft informará o Cliente quando permitido e poderá suspender instrução que razoavelmente pareça violar a lei.

4. Detalhes do processamento

Objeto, duração, natureza, finalidade, categorias de dados e titulares estão no Anexo 1 e podem ser detalhados em Order Form ou configuração. O Cliente decide quais dados envia e deve garantir instruções legais e suficientemente específicas.

5. Confidencialidade e pessoal

A Zayloft limitará acesso a pessoal autorizado sujeito a obrigações apropriadas de confidencialidade. O acesso será gerenciado por funções, projetos, ambientes e necessidade operacional.

6. Medidas de segurança

A Zayloft manterá medidas técnicas e organizacionais apropriadas considerando estado da técnica, custos, natureza, contexto, finalidade e riscos. As medidas do Anexo 2 se aplicam conforme o Serviço e podem ser atualizadas sem reduzir materialmente a proteção geral.

7. Violações de Dados Pessoais

A Zayloft notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais que afete dados processados como operadora. Fornecerá as informações razoavelmente disponíveis necessárias para avaliação e cumprimento das obrigações legais do Cliente.

8. Solicitações de titulares

A Zayloft prestará assistência razoável para o Cliente responder a solicitações de titulares. Se receber pedido direto sobre dados controlados pelo Cliente, poderá direcionar o solicitante ao Cliente salvo autorização ou obrigação legal diferente.

9. DPIAs, consultas e assistência

Considerando a natureza do processamento e informações disponíveis, a Zayloft prestará assistência razoável com segurança, violações, avaliações de impacto e consultas prévias ligadas aos Serviços. Trabalho personalizado substancial pode ter custos acordados salvo quando causado por descumprimento da Zayloft.

10. Registros, informações e auditorias

A Zayloft disponibilizará informações razoavelmente necessárias para demonstrar conformidade com suas obrigações de operadora. Quando auditoria for exigida, serão priorizados relatórios, certificações, questionários ou documentação disponíveis e qualquer auditoria presencial deverá ser proporcional e proteger outros clientes.

11. Suboperadores

O Cliente concede autorização geral para a Zayloft usar suboperadores. A Zayloft imporá obrigações escritas adequadas, permanecerá responsável na extensão exigida por lei e fornecerá mecanismo de aviso e objeção quando aplicável.

12. Informações de suboperadores

As categorias podem incluir cloud e infraestrutura, redes e canais de comunicação, segurança e monitoramento, suporte, ferramentas operacionais, faturamento e infraestrutura de IA ou dados quando habilitada. A lista real e atual deve ser fornecida pelo canal de conta, confiança, jurídico ou suporte apropriado.

13. Retorno e exclusão

Ao final dos Serviços, a Zayloft excluirá ou devolverá os Dados Pessoais do Cliente conforme escolha e funcionalidade disponível, salvo retenção exigida por lei. Backups, logs e ciclos técnicos podem exigir tempo adicional durante o qual os dados permanecerão protegidos.

14. Transferências transfronteiriças

A Zayloft e seus suboperadores podem processar dados em outros países quando o Acordo e a lei permitirem. Quando uma transferência restrita exigir mecanismo legal, as partes usarão decisão de adequação, cláusulas contratuais aprovadas, regras corporativas vinculantes ou outro mecanismo válido.

15. EEE, Reino Unido e Suíça

Para processamento sujeito ao GDPR ou UK GDPR, a Zayloft cumprirá as obrigações aplicáveis de operadora sobre instruções, confidencialidade, segurança, suboperadores, assistência, retorno ou exclusão e comprovação. Instrumentos da UE, Reino Unido ou Suíça serão preenchidos conforme papéis e localizações reais.

16. Califórnia e outros estados dos EUA

Quando a Zayloft atuar como service provider, contractor ou processor sob lei estadual dos EUA, processará Informações Pessoais apenas para finalidades limitadas e permitidas. Não venderá as Informações Pessoais do Cliente nem as combinará, reterá, usará ou divulgará de modo proibido pela lei aplicável.

17. Brasil

Quando a LGPD brasileira se aplicar e o Cliente for controlador enquanto a Zayloft for operadora, a Zayloft seguirá instruções legais e obrigações aplicáveis à operadora. As partes cooperarão sobre segurança, direitos, incidentes, registros e mecanismos de transferência exigidos pela lei brasileira e ANPD.

18. Comunicações e verificação

Serviços de comunicação podem exigir passagem de dados por redes, operadoras, mailbox providers, infraestrutura de voz, canais e participantes de entrega. O Cliente instrui essas transmissões necessárias e permanece responsável por listas, remetentes, conteúdo, consentimento, opt-outs e requisitos de destino.

19. IA e PLN

Se o Cliente habilitar IA ou PLN, instrui a Zayloft a processar prompts, documentos, conteúdo recuperado, embeddings, outputs e metadados necessários. As regras de suboperadores e transferência também se aplicam a provedores externos de modelos ou infraestrutura.

20. Obrigações do Cliente

O Cliente é responsável por avisos legais, base jurídica, atendimento de direitos quando for controlador e legalidade das instruções. Deve também proteger seus sistemas, credenciais, endpoints, dispositivos, usuários e integrações.

21. Solicitações governamentais e de terceiros

Se a Zayloft receber solicitação governamental legalmente vinculante sobre Dados Pessoais do Cliente, notificará o Cliente quando permitido e poderá contestar ou limitar a solicitação quando houver base legal razoável. Divulgará apenas o que determinar razoavelmente ser exigido.

22. Responsabilidade e prioridade

A responsabilidade decorrente destes Termos está sujeita às exclusões, limites e recursos do Acordo salvo onde a lei de proteção de dados impedir. Um DPA ou instrumento de transferência assinado prevalece para questões de processamento sobre termos gerais conflitantes.

23. Prazo e sobrevivência

Estes Termos se aplicam enquanto a Zayloft processar Dados Pessoais em nome do Cliente. Obrigações de confidencialidade, exclusão e outras proteções que devam continuar sobrevivem pelo período aplicável.

24. Contato de privacidade

Questões de privacidade ou processamento podem ser enviadas para support@zayloft.com com “Data Processing” ou “Privacy request”. Para instrumento de transferência, revisão de segurança ou anexo específico, o Cliente deve identificar conta, Serviços, entidade contratante e localizações relevantes.