Tratamento de dados

1. Escopo e incorporação

Estes Termos integram o acordo quando a Zayloft processa Dados Pessoais em nome do Cliente. Se houver um acordo de processamento assinado que os substitua expressamente para o mesmo processamento, esse documento prevalece.

Se as partes tiverem assinado um acordo de processamento de dados separado que substitua expressamente estes Termos para o mesmo processamento, o acordo assinado prevalecerá. Termos em maiúscula não definidos aqui terão os significados atribuídos nos Termos de Serviço ou Formulário de Pedido aplicáveis.

2. Papéis das partes

O Cliente atua como controlador, empresa ou função equivalente para os Dados Pessoais do Cliente, salvo quando atuar como operador de outro controlador. A Zayloft atua como operadora, prestadora, contratada ou função equivalente quando processa segundo instruções documentadas do Cliente.

Cada parte permanece independentemente responsável pelos Dados Pessoais que processa para seus próprios fins como controladora ou empresa, incluindo administração de contas, cobrança, segurança, conformidade legal e suas próprias operações comerciais, quando aplicável.

3. Instruções do Cliente

A Zayloft processará Dados Pessoais do Cliente somente segundo instruções documentadas no Acordo, configurações do produto, requisições API, suporte ou outras orientações escritas legais. Se a lei exigir processamento diferente, a Zayloft informará o Cliente quando permitido e poderá suspender instrução que razoavelmente pareça violar a lei.

Se a Zayloft for obrigada pela lei aplicável a processar Dados Pessoais do Cliente fora das instruções do Cliente, a Zayloft informará o Cliente antes do processamento, salvo se a lei proibir essa notificação.

A Zayloft notificará o Cliente se, em sua avaliação razoável, uma instrução infringir a lei aplicável de proteção de dados. A Zayloft poderá suspender o processamento afetado enquanto as partes tratam da instrução.

4. Detalhes do processamento

Objeto, duração, natureza, finalidade, categorias de dados e titulares estão no Anexo 1 e podem ser detalhados em Order Form ou configuração. O Cliente decide quais dados envia e deve garantir instruções legais e suficientemente específicas.

O Cliente determina quais Dados Pessoais do Cliente são enviados aos Serviços e é responsável por garantir que suas instruções sejam lícitas, suficientemente específicas e apropriadas para os dados relevantes.

5. Confidencialidade e pessoal

A Zayloft limitará acesso a pessoal autorizado sujeito a obrigações apropriadas de confidencialidade. O acesso será gerenciado por funções, projetos, ambientes e necessidade operacional.

O acesso será gerenciado usando controles de função, projeto, ambiente e operação apropriados ao Serviço e à sensibilidade dos dados.

6. Medidas de segurança

A Zayloft manterá medidas técnicas e organizacionais apropriadas considerando estado da técnica, custos, natureza, contexto, finalidade e riscos. As medidas do Anexo 2 se aplicam conforme o Serviço e podem ser atualizadas sem reduzir materialmente a proteção geral.

As medidas incluem os controles descritos no Anexo 2 conforme aplicáveis aos Serviços relevantes. A Zayloft pode atualizar medidas de segurança quando a atualização não reduzir materialmente a proteção geral dos Dados Pessoais do Cliente.

7. Violações de Dados Pessoais

A Zayloft notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais que afete dados processados como operadora. Fornecerá as informações razoavelmente disponíveis necessárias para avaliação e cumprimento das obrigações legais do Cliente.

A notificação incluirá informações razoavelmente disponíveis à Zayloft de que o Cliente precise para avaliar o incidente e cumprir obrigações de notificação aplicáveis, como a natureza do incidente, dados ou sistemas afetados, consequências prováveis e medidas tomadas ou propostas.

A notificação de um incidente não constitui admissão de culpa ou responsabilidade. O Cliente continua responsável por determinar se notificações a autoridades ou Titulares dos Dados são legalmente exigidas, salvo se a lei aplicável atribuir essa obrigação diretamente à Zayloft.

8. Solicitações de titulares

A Zayloft prestará assistência razoável para o Cliente responder a solicitações de titulares. Se receber pedido direto sobre dados controlados pelo Cliente, poderá direcionar o solicitante ao Cliente salvo autorização ou obrigação legal diferente.

Se a Zayloft receber diretamente uma solicitação relativa a Dados Pessoais do Cliente em que o Cliente seja controlador, a Zayloft poderá direcionar o solicitante ao Cliente e não responderá de forma independente sobre o mérito, salvo se autorizada pelo Cliente ou exigido por lei.

9. DPIAs, consultas e assistência

Considerando a natureza do processamento e informações disponíveis, a Zayloft prestará assistência razoável com segurança, violações, avaliações de impacto e consultas prévias ligadas aos Serviços. Trabalho personalizado substancial pode ter custos acordados salvo quando causado por descumprimento da Zayloft.

A assistência que exigir trabalho personalizado substancial poderá estar sujeita a taxas acordadas entre as partes, salvo se a necessidade de assistência resultar de violação do Contrato ou da lei aplicável pela Zayloft.

10. Registros, informações e auditorias

A Zayloft disponibilizará informações razoavelmente necessárias para demonstrar conformidade com suas obrigações de operadora. Quando auditoria for exigida, serão priorizados relatórios, certificações, questionários ou documentação disponíveis e qualquer auditoria presencial deverá ser proporcional e proteger outros clientes.

Quando exigido pela lei aplicável, o Cliente pode solicitar auditoria ou inspeção relacionada ao processamento de Dados Pessoais do Cliente pela Zayloft. As partes usarão primeiro relatórios independentes, certificações, questionários ou documentação disponíveis quando estes atenderem razoavelmente à solicitação.

Qualquer auditoria no local deve ser proporcional, coordenada com antecedência, evitar interrupção indevida, proteger a confidencialidade e os sistemas de outros clientes e cumprir requisitos razoáveis de segurança.

11. Suboperadores

O Cliente concede autorização geral para a Zayloft usar suboperadores. A Zayloft imporá obrigações escritas adequadas, permanecerá responsável na extensão exigida por lei e fornecerá mecanismo de aviso e objeção quando aplicável.

A Zayloft continua responsável pelo desempenho de seus suboperadores na medida exigida pela lei aplicável e pelo Contrato.

Quando a lei aplicável exigir aviso de novos suboperadores e oportunidade de objeção, a Zayloft fornecerá o mecanismo de aviso aplicável. A objeção deve basear-se em fundamentos razoáveis de proteção de dados. As partes trabalharão de boa-fé em uma solução comercialmente razoável.

12. Informações de suboperadores

As categorias podem incluir cloud e infraestrutura, redes e canais de comunicação, segurança e monitoramento, suporte, ferramentas operacionais, faturamento e infraestrutura de IA ou dados quando habilitada. A lista real e atual deve ser fornecida pelo canal de conta, confiança, jurídico ou suporte apropriado.

Uma lista atual de suboperadores específica do serviço deve ser disponibilizada pelo canal de conta, confiança, jurídico ou suporte aplicável quando exigido. A Zayloft não inventará nem publicará provedores que não sejam efetivamente usados.

13. Retorno e exclusão

Ao final dos Serviços, a Zayloft excluirá ou devolverá os Dados Pessoais do Cliente conforme escolha e funcionalidade disponível, salvo retenção exigida por lei. Backups, logs e ciclos técnicos podem exigir tempo adicional durante o qual os dados permanecerão protegidos.

A exclusão pode estar sujeita a ciclos razoáveis de backup, recuperação de desastres, registros de segurança e exclusão técnica. Dados mantidos apenas porque a exclusão ainda não foi tecnicamente concluída ou porque a lei exige retenção permanecerão protegidos e não serão usados para fins não relacionados.

O Cliente é responsável por exportar as informações de que precisa antes do encerramento da conta ou da expiração de um período de exportação aplicável.

14. Transferências transfronteiriças

A Zayloft e seus suboperadores podem processar dados em outros países quando o Acordo e a lei permitirem. Quando uma transferência restrita exigir mecanismo legal, as partes usarão decisão de adequação, cláusulas contratuais aprovadas, regras corporativas vinculantes ou outro mecanismo válido.

Quando uma transferência restrita exigir mecanismo legal de transferência, as partes usarão um mecanismo válido aplicável à transferência, como decisão de adequação, cláusulas contratuais padrão aprovadas, regras corporativas vinculantes, mecanismo de certificação aprovado quando disponível ou outro mecanismo reconhecido pela lei aplicável.

Quando as Cláusulas Contratuais Padrão da UE, a IDTA ou o Adendo do Reino Unido, cláusulas suíças de transferência ou outro instrumento prescrito precisarem ser preenchidos com seleções específicas das partes, estas executarão ou incorporarão o módulo e as informações de anexo adequados à transferência relevante em vez de inventar uma jurisdição ou seleção que não corresponda à relação contratual real.

15. EEE, Reino Unido e Suíça

Para processamento sujeito ao GDPR ou UK GDPR, a Zayloft cumprirá as obrigações aplicáveis de operadora sobre instruções, confidencialidade, segurança, suboperadores, assistência, retorno ou exclusão e comprovação. Instrumentos da UE, Reino Unido ou Suíça serão preenchidos conforme papéis e localizações reais.

Para uma transferência sujeita ao Capítulo V do GDPR ou às regras correspondentes de transferência do Reino Unido, o mecanismo de transferência aplicável e as salvaguardas complementares serão identificados de acordo com a transferência real, locais e funções das partes.

Quando a lei suíça de proteção de dados se aplicar, referências a conceitos do GDPR serão interpretadas para incluir requisitos suíços equivalentes na medida necessária ao processamento relevante.

16. Califórnia e outros estados dos EUA

Quando a Zayloft atuar como service provider, contractor ou processor sob lei estadual dos EUA, processará Informações Pessoais apenas para finalidades limitadas e permitidas. Não venderá as Informações Pessoais do Cliente nem as combinará, reterá, usará ou divulgará de modo proibido pela lei aplicável.

A Zayloft não venderá Informações Pessoais do Cliente nem as reterá, usará ou divulgará fora da relação comercial direta ou para fins proibidos a um prestador de serviços, contratado ou operador pela lei aplicável. A Zayloft não combinará Informações Pessoais do Cliente com outras Informações Pessoais quando tal combinação for proibida, salvo conforme legalmente permitido.

A Zayloft fornecerá a assistência exigida com solicitações verificadas de consumidores e notificará o Cliente se determinar que não pode mais cumprir uma obrigação aplicável de prestador de serviços, contratado ou operador.

17. Brasil

Quando a LGPD brasileira se aplicar e o Cliente for controlador enquanto a Zayloft for operadora, a Zayloft seguirá instruções legais e obrigações aplicáveis à operadora. As partes cooperarão sobre segurança, direitos, incidentes, registros e mecanismos de transferência exigidos pela lei brasileira e ANPD.

As partes manterão medidas apropriadas de segurança e governança e cooperarão conforme razoavelmente necessário quanto aos direitos dos Titulares dos Dados, incidentes de segurança e registros ou avaliações legalmente exigidos.

Transferências internacionais envolvendo Dados Pessoais sujeitos à LGPD usarão, quando exigido, um mecanismo de transferência permitido pela lei brasileira e pela regulamentação aplicável da ANPD.

18. Comunicações e verificação

Serviços de comunicação podem exigir passagem de dados por redes, operadoras, mailbox providers, infraestrutura de voz, canais e participantes de entrega. O Cliente instrui essas transmissões necessárias e permanece responsável por listas, remetentes, conteúdo, consentimento, opt-outs e requisitos de destino.

O Cliente instrui a Zayloft a realizar as divulgações e transmissões necessárias para entrega, recebimento, verificação, roteamento, solução de problemas e operação relacionada do Serviço, sujeitas ao Contrato e à lei aplicável.

O Cliente continua responsável pela legalidade de suas listas de destinatários, identidades de remetente, conteúdo das comunicações, registros de consentimento, tratamento de cancelamento e instruções específicas de destino.

19. IA e PLN

Se o Cliente habilitar IA ou PLN, instrui a Zayloft a processar prompts, documentos, conteúdo recuperado, embeddings, outputs e metadados necessários. As regras de suboperadores e transferência também se aplicam a provedores externos de modelos ou infraestrutura.

A Zayloft aplicará as configurações de serviço e restrições contratuais aplicáveis a esse processamento. O Cliente não deve enviar dados sensíveis ou regulamentados a funcionalidades de IA, salvo se isso for necessário, autorizado e apropriado ao serviço configurado.

Se um provedor externo de modelo ou infraestrutura for usado como suboperador, as disposições destes Termos sobre suboperadores e transferências se aplicam a esse processamento.

20. Obrigações do Cliente

O Cliente é responsável por avisos legais, base jurídica, atendimento de direitos quando for controlador e legalidade das instruções. Deve também proteger seus sistemas, credenciais, endpoints, dispositivos, usuários e integrações.

O Cliente usará medidas razoáveis de segurança para seus próprios sistemas, credenciais, endpoints, dispositivos, usuários e integrações e notificará a Zayloft prontamente sobre credenciais comprometidas ou incidentes de segurança do lado do Cliente que possam afetar os Serviços.

O Cliente não instruirá a Zayloft a processar dados que o Cliente esteja proibido de coletar, usar ou divulgar.

21. Solicitações governamentais e de terceiros

Se a Zayloft receber solicitação governamental legalmente vinculante sobre Dados Pessoais do Cliente, notificará o Cliente quando permitido e poderá contestar ou limitar a solicitação quando houver base legal razoável. Divulgará apenas o que determinar razoavelmente ser exigido.

A Zayloft divulgará apenas as informações que razoavelmente determinar serem legalmente exigidas e aplicará as salvaguardas disponíveis apropriadas à solicitação e à lei aplicável.

22. Responsabilidade e prioridade

A responsabilidade decorrente destes Termos está sujeita às exclusões, limites e recursos do Acordo salvo onde a lei de proteção de dados impedir. Um DPA ou instrumento de transferência assinado prevalece para questões de processamento sobre termos gerais conflitantes.

Para questões de processamento de dados, um Acordo de Processamento de Dados ou instrumento de transferência expressamente assinado pelas partes prevalece sobre termos gerais conflitantes. O Formulário de Pedido aplicável pode complementar detalhes de processamento sem reduzir proteções obrigatórias.

23. Prazo e sobrevivência

Estes Termos se aplicam enquanto a Zayloft processar Dados Pessoais em nome do Cliente. Obrigações de confidencialidade, exclusão e outras proteções que devam continuar sobrevivem pelo período aplicável.

24. Contato de privacidade

Questões de privacidade ou processamento podem ser enviadas para support@zayloft.com com “Data Processing” ou “Privacy request”. Para instrumento de transferência, revisão de segurança ou anexo específico, o Cliente deve identificar conta, Serviços, entidade contratante e localizações relevantes.

Se o Cliente exigir execução de um instrumento de transferência, revisão de segurança ou cronograma de processamento específico do serviço, deverá identificar a conta, serviços, entidade contratante e locais de processamento relevantes para que os documentos corretos possam ser concluídos.