Acordo de Tratamento de Dados do Vavus Concierge

O presente Acordo de Tratamento de Dados («DPA») é celebrado entre a DCI Brands LLC («Vavus», «nós», o subcontratante), 312 W 2nd Street, Casper, WY 82601, United States, e a empresa que explora um espaço de trabalho do Vavus Concierge (o titular do espaço de trabalho, o responsável pelo tratamento). Aplica-se aos dados de visitantes que a Vavus trata segundo as instruções do titular do espaço de trabalho através do serviço Concierge: a consola, o widget para websites, as páginas alojadas do agente, os canais telefónicos e de mensagens e as reservas.

Complementa os Termos de Serviço do Vavus Concierge, que o titular do espaço de trabalho aceita juntamente com o presente DPA. Em caso de conflito entre o presente DPA e os Termos do Concierge quanto ao tratamento de dados de visitantes, prevalece o presente DPA. Foi redigido para cumprir o artigo 28.º do RGPD e do RGPD do Reino Unido, o artigo 9.º da Lei Federal suíça sobre a Proteção de Dados (LPD) e compromissos comparáveis de subcontratantes noutras jurisdições; quando a lei local imponha obrigações mais rigorosas aos subcontratantes, estas prevalecem para o tratamento nessa jurisdição. O Anexo IV aplica-se adicionalmente quando uma lei estadual de privacidade dos Estados Unidos reger os dados de visitantes do titular do espaço de trabalho.

O titular do espaço de trabalho é o responsável pelo tratamento dos dados de visitantes: decide o que o assistente faz, que conhecimento contém, que canais funcionam e o que é pedido aos visitantes. A Vavus é o subcontratante: atuamos apenas segundo as instruções do titular do espaço de trabalho, dadas através da consola e do funcionamento normal do serviço, e tratamos os dados de visitantes exclusivamente para fornecer o Concierge.

Informaremos imediatamente o titular do espaço de trabalho se, no nosso entender, uma instrução violar a legislação de proteção de dados aplicável, e não daremos execução a uma instrução manifestamente ilícita. Se a lei exigir um tratamento fora das instruções documentadas, informaremos o titular do espaço de trabalho antes desse tratamento, salvo se a lei o proibir. Não tratamos dados de visitantes para os nossos próprios fins, não os utilizamos para treinar os nossos modelos e não os vendemos.

O presente DPA, incluindo os termos de transferência das Secções 7 e 13 a 15, abrange um titular do espaço de trabalho que seja o responsável pelo tratamento dos seus dados de visitantes. Não abrange um titular do espaço de trabalho que trate os dados por conta de outro responsável pelo tratamento, porque não oferece o Módulo Três (transferência de subcontratante para subcontratante) das Cláusulas; uma empresa nessa situação não o pode aceitar relativamente a esses dados.

O titular do espaço de trabalho é responsável pela licitude do que nos pede para fazer. Confirma que dispõe de um fundamento de licitude para o tratamento, incluindo ao abrigo dos artigos 6.º, 9.º e 10.º do RGPD, quando aplicáveis; que prestou aos visitantes as informações exigidas pelos artigos 12.º a 14.º e obteve qualquer consentimento exigido por lei, incluindo para a gravação ou a tradução de uma chamada; e que as suas instruções cumprem a legislação de proteção de dados. Salvo se o espaço de trabalho estiver configurado para a saúde, o titular do espaço de trabalho não encaminhará para o serviço dados de visitantes que incluam números de identificação emitidos pelo Estado, números de cartões de pagamento, credenciais de contas financeiras, palavras-passe de outros serviços, dados biométricos, dados conscientemente recolhidos de crianças com menos de 16 anos ou categorias especiais de dados, como dados relativos à saúde, à origem racial ou étnica, às opiniões políticas, à religião ou à orientação sexual, e removerá quaisquer dados desse tipo que cheguem por acidente. O titular do espaço de trabalho mantém seguras as suas credenciais da consola, decide quem na sua equipa tem acesso, conserva a sua própria cópia de tudo aquilo que não se pode dar ao luxo de perder e confirma que analisou as medidas da Secção 5 e do Anexo II e as considera adequadas aos dados que trata através do Concierge.

Categorias de dados de visitantes, conforme recolhidos pela configuração do titular do espaço de trabalho: identificadores fornecidos pelo visitante (nome, número de telefone, endereço de e-mail), conteúdo das conversas (mensagens, áudio de voz, transcrições e quaisquer gravações que o titular do espaço de trabalho efetue), registos de contactos e de reservas que o assistente cria em resultado das ações do visitante, dados técnicos da sessão (marcas temporais, canal, idioma) e dados pessoais contidos no material que o titular do espaço de trabalho carrega para o conhecimento do assistente ou nas amostras de voz que o titular do espaço de trabalho fornece para criar uma voz personalizada.

Os titulares dos dados são os visitantes, clientes, potenciais clientes e funcionários do titular do espaço de trabalho cujas informações são fornecidas ao serviço. O tratamento inclui a recolha, a transmissão, a organização, a conservação, a consulta, a tradução, a geração de respostas, a divulgação ao pessoal autorizado e aos fornecedores ligados, e a eliminação. Finalidade: fornecer o Concierge segundo as instruções do titular do espaço de trabalho. A duração segue as definições de conservação aplicáveis e a Secção 9, em vez de se prolongar automaticamente durante toda a vida do espaço de trabalho.

Apenas o pessoal que necessita de acesso para operar ou proteger o serviço o tem, sujeito a obrigações de confidencialidade, e o acesso é registado nos espaços de trabalho configurados para a saúde. Não colocamos conteúdo de visitantes em dados enviados para ferramentas de análise, em chats de apoio ou em rastreadores públicos.

O serviço funciona na nossa própria infraestrutura, ao abrigo das medidas descritas na nossa página Segurança: TLS em trânsito, encriptação em repouso, acesso segundo o princípio do privilégio mínimo, registo de auditoria, eliminação segura dos ficheiros cujo prazo de conservação expirou e endpoints reforçados protegidos por uma firewall de aplicações web. As gravações são conservadas em armazenamento de objetos com controlo de acesso; o acesso à consola é autenticado e limitado por funções. Podemos atualizar estas medidas à medida que a tecnologia e as ameaças evoluem, desde que a proteção global dos dados de visitantes não diminua substancialmente.

Recorremos a subcontratantes ulteriores por função: alojamento e armazenamento na nuvem (Google Cloud); reconhecimento de voz, síntese de voz, tradução e modelos de IA (Google, OpenAI, Anthropic, ElevenLabs e AssemblyAI); encaminhamento semântico dos turnos de conversa, quando o espaço de trabalho o ativa (TypeSafe); telefonia e mensagens de texto para os números de telefone que fornecemos ao titular do espaço de trabalho (Twilio); pagamentos do plano e da utilização do próprio titular do espaço de trabalho (Stripe); envio de e-mails (Resend, bem como o nosso servidor Postal alojado por nós na nossa própria infraestrutura); e - quando o titular do espaço de trabalho liga sistemas de telefonia, de mensagens, de pagamento, de reservas ou empresariais - os fornecedores do próprio titular do espaço de trabalho (como a sua própria conta Twilio, o fornecedor do WhatsApp, a sua própria conta Stripe, o seu calendário ou o seu CRM), que o titular do espaço de trabalho contrata diretamente, sob a sua própria autoridade. O Anexo III identifica cada subcontratante ulterior e a respetiva função.

O titular do espaço de trabalho dá uma autorização geral por escrito para os subcontratantes ulteriores identificados na lista atual fornecida para o seu serviço. Impomos a cada subcontratante ulterior, mediante acordo escrito, obrigações de proteção de dados equivalentes às do presente DPA e continuamos a ser responsáveis perante o titular do espaço de trabalho pelo desempenho deste. O conteúdo de visitantes não pode ser utilizado para treino de modelos sem uma instrução lícita e uma base contratual separadas. A lista nominal atual constitui o Anexo III e está também disponível mediante pedido, e avisamos o titular do espaço de trabalho com, pelo menos, 30 dias de antecedência, na consola ou por e-mail, antes de um novo subcontratante ulterior tratar dados de visitantes, período durante o qual o titular do espaço de trabalho pode opor-se por motivos razoáveis de proteção de dados. Procuraremos então, de boa-fé e em conjunto com o titular do espaço de trabalho, resolver a oposição; se não for possível, o titular do espaço de trabalho pode fazer cessar o espaço de trabalho antes de o novo subcontratante ulterior tratar os seus dados, sendo esse o único meio de reparação relativamente à oposição. Os montantes já devidos continuam a ser exigíveis, e qualquer reembolso segue os Termos do Concierge.

O serviço funciona nos Estados Unidos e, para reduzir a latência, num nó periférico na União Europeia (Frankfurt). Os dados de visitantes podem, por conseguinte, ser tratados em qualquer uma destas regiões, consoante o encaminhamento da sessão o exija. Antes de ter lugar uma transferência internacional restrita, as partes têm de estabelecer o mecanismo de transferência lícito aplicável e documentar os destinos e as garantias. Quando forem utilizadas cláusulas contratuais-tipo, as cláusulas, o módulo, as opções e os anexos preenchidos aplicáveis têm de fazer parte do acordo de transferência.

No caso das transferências de dados de visitantes para nós nos Estados Unidos, o presente DPA é esse acordo de transferência, e o titular do espaço de trabalho baseia-se nele sem necessidade de assinatura separada: para as transferências regidas pelo RGPD (a partir do Espaço Económico Europeu), as Cláusulas conforme previstas na Secção 13 e nos respetivos anexos; para as transferências regidas pela legislação de proteção de dados do Reino Unido, as Cláusulas em conjunto com a Adenda de Transferência Internacional de Dados do Reino Unido (UK International Data Transfer Addendum), conforme prevista na Secção 14; e para as transferências regidas pela LPD suíça, as Cláusulas com as adaptações suíças previstas na Secção 15. Cada um destes regimes aplica-se a todas as transferências regidas pela respetiva lei, independentemente da resposta que o titular do espaço de trabalho tenha dado na consola sobre dados do Reino Unido ou da Suíça. Quando mais do que uma destas leis reger a mesma transferência, cada conjunto de termos aplica-se na medida da sua própria lei, e nenhum reduz a proteção conferida por outro.

As transferências regidas pelas regras de transferência de qualquer outro país necessitam do mecanismo que essa lei exija; contacte-nos antes de ativar um tratamento que exija um. Não estamos certificados ao abrigo do Quadro de Privacidade de Dados UE-EUA, da respetiva Extensão do Reino Unido ou do Quadro de Privacidade de Dados Suíça-EUA, e nenhuma transferência ao abrigo do presente DPA se baseia neles.

Os visitantes são clientes do titular do espaço de trabalho: os pedidos de um visitante relativos aos seus dados (acesso, retificação, apagamento, oposição) são dirigidos ao titular do espaço de trabalho, enquanto responsável pelo tratamento, e este responde-lhes utilizando a eliminação por contacto disponível na consola. Tendo em conta a natureza do tratamento, prestamos assistência, através de medidas técnicas e organizativas adequadas, relativamente aos pedidos apresentados ao abrigo do Capítulo III do RGPD e aos direitos equivalentes ao abrigo do RGPD do Reino Unido e da LPD. Tendo em conta as informações de que dispomos, prestamos também assistência em matéria de segurança, notificações de violações, avaliações de impacto sobre a proteção de dados e consulta prévia das autoridades de controlo, nos termos dos artigos 32.º a 36.º do RGPD e das disposições equivalentes do RGPD do Reino Unido e da LPD. A assistência que vá além do que o serviço já proporciona, como a compilação de registos para uma avaliação de impacto sobre a proteção de dados, pode ser cobrada às nossas tarifas de serviços profissionais então em vigor, orçamentadas antecipadamente ao titular do espaço de trabalho.

Se tivermos conhecimento de um incidente de segurança que afete dados de visitantes num espaço de trabalho, notificamos o titular do espaço de trabalho sem demora injustificada após termos tido conhecimento de uma violação de dados pessoais. Não aguardamos a conclusão de uma investigação nem tratamos o prazo de comunicação regulamentar do responsável pelo tratamento como o nosso prazo de notificação. Fornecemos os pormenores disponíveis sobre a violação, os dados e as pessoas afetados, as consequências prováveis, o ponto de contacto e as medidas de atenuação, e fornecemos mais informações por fases, à medida que fiquem disponíveis. O titular do espaço de trabalho trata, enquanto responsável pelo tratamento, de qualquer notificação aos seus próprios visitantes ou às autoridades reguladoras.

As tentativas mal sucedidas que não comprometam dados de visitantes, como tentativas de início de sessão bloqueadas, varrimentos ou pings, não constituem incidentes e não são comunicadas. Uma notificação não constitui uma admissão de culpa ou de responsabilidade. Quando a lei o permita, o titular do espaço de trabalho informa-nos antes de mencionar a Vavus numa notificação sobre um incidente dirigida a uma autoridade reguladora, aos visitantes ou ao público, e considera de boa-fé qualquer correção que solicitemos quanto ao nosso papel no incidente.

A eliminação do espaço de trabalho remove a configuração e o material das conversas do espaço de trabalho, incluindo as gravações no armazenamento de objetos, sem prejuízo da expiração das cópias de segurança encriptadas segundo a nossa política de ciclo de vida e dos registos que a lei nos obriga a conservar (registos de faturação durante o prazo fiscal legal). A eliminação por contacto remove o material das conversas desse contacto. No termo, à escolha do titular do espaço de trabalho, devolvemos os seus dados pessoais remanescentes num formato utilizável ou eliminamo-los, e eliminamos as cópias existentes, salvo se a legislação aplicável exigir a sua conservação. Um pedido de devolução tem de preceder uma instrução de eliminação irreversível. As cópias de segurança conservadas permanecem protegidas, não são utilizadas para o tratamento corrente e são eliminadas segundo o ciclo de vida documentado aplicável; se forem restauradas, as instruções de eliminação têm de ser novamente aplicadas.

Se o titular do espaço de trabalho não der qualquer instrução no prazo de 30 dias após o termo do espaço de trabalho, eliminamos os dados pessoais remanescentes. Confirmamos a eliminação por escrito mediante pedido.

Disponibilizamos as informações necessárias para demonstrar o cumprimento do presente DPA e permitimos e contribuímos para auditorias, incluindo inspeções, realizadas pelo titular do espaço de trabalho ou por um auditor independente por ele mandatado. Estes direitos estão disponíveis para todos os titulares de espaços de trabalho e não dependem de uma subscrição empresarial.

As auditorias começam pelos documentos. Mediante pedido, fornecemos a nossa documentação de segurança, as medidas do Anexo II e respostas a um questionário de segurança razoável e, quando um relatório recente de um auditor independente abranja os controlos em causa, fornecemos esse relatório em vez de uma nova auditoria desses controlos. Quando os documentos forem genuinamente insuficientes, após uma violação confirmada que afete os dados do titular do espaço de trabalho, ou quando uma autoridade de controlo o exija, o titular do espaço de trabalho pode efetuar uma inspeção: uma vez em cada período de 12 meses, salvo se uma violação ou uma autoridade reguladora exigir mais, mediante aviso escrito com 30 dias de antecedência e com uma proposta de âmbito, durante o horário de expediente, ao abrigo de um acordo de confidencialidade, sem acesso aos dados de outros clientes e recorrendo a um auditor que não seja nosso concorrente. As auditorias são suportadas pelo titular do espaço de trabalho, que partilha connosco as suas conclusões. Nada disto impede uma inspeção que uma autoridade reguladora exija legalmente.

O presente DPA vigora enquanto o espaço de trabalho do titular existir e cessa quando o espaço de trabalho for eliminado, mantendo-se as suas obrigações de proteção de dados enquanto nós ou os nossos subcontratantes ulteriores conservarmos dados pessoais de visitantes. As disposições dos Termos do Concierge relativas a litígios, responsabilidade e lei aplicável aplicam-se apenas na medida em que não restrinjam direitos imperativos de proteção de dados, poderes regulamentares ou um acordo de transferência aplicável; em caso de conflito, prevalece esse acordo.

Questões de proteção de dados, listas de subcontratantes ulteriores, as cláusulas contratuais-tipo, a Adenda do Reino Unido e as adaptações suíças: support@vavusai.com.

No caso das transferências de dados pessoais de visitantes a partir do Espaço Económico Europeu para nós nos Estados Unidos, o presente DPA incorpora as cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 (as «Cláusulas»), Módulo Dois (transferência de responsável pelo tratamento para subcontratante), completadas pelos anexos seguintes. Para as transferências regidas pelo RGPD, as Cláusulas são incorporadas sem alterações; as Secções 14 e 15 estabelecem a forma como as mesmas Cláusulas se aplicam às transferências regidas pela legislação do Reino Unido e da Suíça. São celebradas através da aceitação registada, pelo titular do espaço de trabalho, dos Termos do Concierge juntamente com o presente DPA: a versão e a marca temporal dessa aceitação registadas pelo serviço, em conjunto com a nossa publicação do presente DPA nessa versão, constituem o acordo escrito das partes relativamente às Cláusulas, pelo que não é necessária qualquer assinatura separada.

As opções das Cláusulas são exercidas do seguinte modo. A cláusula de adesão facultativa (Cláusula 7) não é utilizada. A Cláusula 9, alínea a), funciona segundo a opção de autorização geral por escrito: o regime de subcontratantes ulteriores da Secção 6 constitui a autorização acordada, e o seu aviso prévio de 30 dias preenche o prazo de aviso da cláusula. O organismo independente de resolução de litígios facultativo previsto na Cláusula 11, alínea a), não é oferecido. A autoridade de controlo competente nos termos da Cláusula 13 é determinada segundo os critérios da Cláusula 13, alínea a), conforme estabelecido no Anexo I.C. Nos termos da Cláusula 17, as Cláusulas regem-se pela lei do Estado-Membro em que o titular do espaço de trabalho está estabelecido ou, quando o titular do espaço de trabalho não estiver estabelecido num Estado-Membro ou essa lei não permitir direitos de terceiros beneficiários, pela lei da Irlanda; nos termos da Cláusula 18, alínea b), são competentes os tribunais desse Estado-Membro ou, nesse caso, os tribunais da Irlanda, e, nos termos da Cláusula 18, alínea c), o titular dos dados pode também intentar uma ação no Estado-Membro da sua residência habitual. Nas Cláusulas, tal como se aplicam ao abrigo da presente Secção, os Estados-Membros incluem os Estados do Espaço Económico Europeu que não são membros da União Europeia.

Em caso de conflito entre as Cláusulas e o presente DPA, prevalecem as Cláusulas na medida do conflito, em conformidade com a Secção 11. Nos termos da Cláusula 8.3 (Módulo Dois), o titular do espaço de trabalho disponibiliza as Cláusulas, incluindo os presentes anexos, a um titular dos dados que as solicite; fornecemos o texto mediante pedido para o tornar possível.

No caso das transferências de dados pessoais de visitantes às quais se aplica a legislação de proteção de dados do Reino Unido (Transferências Restritas, ou Restricted Transfers, ao abrigo do RGPD do Reino Unido), o presente DPA incorpora a Adenda de Transferência Internacional de Dados às Cláusulas Contratuais-Tipo da Comissão Europeia (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), emitida pelo Information Commissioner ao abrigo da secção 119A(1) do Data Protection Act 2018, versão B1.0 em vigor desde 21 de março de 2022 (a «Adenda»), completada pelas tabelas da presente Secção. Aplica-se a todas essas transferências, independentemente da resposta que o titular do espaço de trabalho tenha dado na consola sobre dados do Reino Unido. Conforme permitido pela Secção 2 da Adenda, as partes celebram-na através da aceitação registada, pelo titular do espaço de trabalho, do presente DPA nesta versão e da nossa publicação do presente DPA nesta versão, o que a torna juridicamente vinculativa para ambas as partes e permite aos titulares dos dados fazer valer os direitos que dela decorrem; não é necessária qualquer assinatura separada.

Tabela 1 - Partes. Data de início: a data em que a consola regista a aceitação desta versão pelo titular do espaço de trabalho. Exportador: o titular do espaço de trabalho, com a denominação jurídica completa, a designação comercial, o endereço principal, o número de registo oficial e o contacto principal (o nome e a função da pessoa que aceita e o e-mail de contacto de privacidade da empresa) registados com a sua aceitação na consola. Importador: DCI Brands LLC, com a designação comercial Vavus; endereço principal 312 W 2nd Street, Casper, WY 82601, United States; número de registo oficial: número de processo junto do Secretary of State do Wyoming 2017-000762309; contacto principal: Dragos Ignat, Proprietário e Fundador, support@vavusai.com. Assinatura: não exigida, conforme estabelecido acima.

Tabela 2 - CCT selecionadas, módulos e cláusulas selecionadas. As CCT da UE Aprovadas (Approved EU SCCs), incluindo as Informações do Apêndice (Appendix Information), com apenas os seguintes módulos, cláusulas e disposições facultativas a produzir efeitos para efeitos da Adenda: o Módulo 2 (transferência de responsável pelo tratamento para subcontratante) está em funcionamento, e os Módulos 1, 3 e 4 não estão; a Cláusula 7 (cláusula de adesão) não é utilizada; a opção da Cláusula 11 (organismo independente de resolução de litígios) não é utilizada; a Cláusula 9, alínea a), funciona segundo a autorização geral por escrito, com um prazo de aviso prévio de 30 dias.

Tabela 3 - Informações do Apêndice. Anexo 1A (Lista das Partes): Anexo I.A do presente DPA. Anexo 1B (Descrição da Transferência): Anexo I.B do presente DPA. Anexo II (medidas técnicas e organizativas, incluindo as destinadas a garantir a segurança dos dados): Anexo II do presente DPA. Anexo III (Lista de Subcontratantes Ulteriores): Anexo III do presente DPA.

Tabela 4 - Fim da presente Adenda quando a Adenda Aprovada for alterada. Partes que podem pôr termo à presente Adenda conforme previsto na Secção 19 da Adenda: nenhuma das partes. Quando o Information Commissioner emitir uma Adenda Aprovada revista nos termos da Secção 18 da Adenda, a presente Adenda é alterada conforme especificado na revisão, a partir da data de início nela fixada.

Cláusulas Obrigatórias: Parte 2: Cláusulas Obrigatórias (Mandatory Clauses) da Adenda Aprovada, que é o modelo de Adenda B.1.0 emitido pelo ICO e apresentado ao Parlamento em conformidade com a s119A do Data Protection Act 2018 em 2 de fevereiro de 2022, tal como revisto nos termos da Secção 18 dessas Cláusulas Obrigatórias. Nos termos dessas Cláusulas Obrigatórias, a Adenda rege-se pelas leis de Inglaterra e do País de Gales, os litígios são resolvidos pelos tribunais de Inglaterra e do País de Gales, um titular dos dados pode também intentar uma ação contra qualquer das partes nos tribunais de qualquer país do Reino Unido, e o Information Commissioner é a autoridade de controlo. Fornecemos o texto da Adenda mediante pedido.

Avaliação dos riscos da transferência no Reino Unido. Relativamente à transferência para nós nos Estados Unidos, o titular do espaço de trabalho, enquanto exportador, baseia-se, para a avaliação da legislação e das práticas dos Estados Unidos em matéria de acesso das autoridades públicas a dados pessoais e da exequibilidade da Adenda, na análise do Governo do Reino Unido sobre a legislação e as práticas pertinentes dos Estados Unidos, elaborada pelo Department for Science, Innovation and Technology, conforme permitido pelas orientações do Information Commissioner sobre a realização de uma avaliação dos riscos das transferências para os Estados Unidos, incluindo para um destinatário que não esteja certificado ao abrigo da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA. Segundo essa análise, a proteção dos dados transferidos, com a Adenda em vigor, não é substancialmente inferior à prevista na legislação de proteção de dados do Reino Unido. Não estamos certificados ao abrigo desse quadro, e esta avaliação não se baseia em certificação. A transferência que abrange é a descrita no Anexo I.B, com as transferências ulteriores constantes do Anexo III e as garantias constantes do Anexo II e do resumo da avaliação de impacto das transferências. Informaremos o titular do espaço de trabalho sem demora injustificada se o Governo do Reino Unido retirar ou alterar substancialmente essa análise ou se deixarmos de poder cumprir a Adenda, e as partes reverão então esta avaliação.

No caso das transferências de dados pessoais de visitantes às quais se aplica a Lei Federal suíça sobre a Proteção de Dados, de 25 de setembro de 2020 (LPD), as Cláusulas, tal como incorporadas na Secção 13, aplicam-se como cláusulas-tipo de proteção de dados reconhecidas pelo Comissário Federal para a Proteção de Dados e a Informação (FDPIC) nos termos do artigo 16.º, n.º 2, alínea d), da LPD, com as adaptações seguintes. Aplicam-se a todas essas transferências, independentemente da resposta que o titular do espaço de trabalho tenha dado na consola sobre dados da Suíça. Quando uma transferência for regida simultaneamente pela LPD e pelo RGPD, as partes mantêm regimes separados: estas adaptações aplicam-se apenas na medida em que a LPD reja a transferência, e a Secção 13 continua a aplicar-se sem alterações na medida em que o RGPD a reja.

• As referências ao Regulamento (UE) 2016/679 devem ser entendidas como referências à LPD, na medida em que a transferência esteja sujeita à LPD.
• O FDPIC é a autoridade de controlo competente nos termos da Cláusula 13 e do Anexo I.C para as transferências regidas pela LPD; quando o RGPD também reja uma transferência, a autoridade determinada nos termos da Cláusula 13, alínea a), continua a ser competente para essa parte, em paralelo.
• Para as transferências regidas apenas pela LPD, as Cláusulas regem-se pela lei suíça nos termos da Cláusula 17, e os litígios entre as partes nos termos da Cláusula 18, alínea b), são resolvidos pelos tribunais da Suíça da sede social do titular do espaço de trabalho.
• O termo «Estado-Membro» nas Cláusulas não pode ser interpretado de forma a excluir os titulares dos dados na Suíça da possibilidade de intentarem ações para fazer valer os seus direitos no seu local de residência habitual, a Suíça, nos termos da Cláusula 18, alínea c).
• O resumo da avaliação de impacto das transferências aplica-se a estas transferências, lido por referência à LPD. Não estamos certificados ao abrigo do Quadro de Privacidade de Dados Suíça-EUA, pelo que o reconhecimento dos Estados Unidos pelo Conselho Federal para as empresas certificadas não abrange as transferências para nós. A LPD não exige que a utilização destas cláusulas seja notificada ao FDPIC.

Exportador de dados: o titular do espaço de trabalho, responsável pelo tratamento dos dados de visitantes, estabelecido no país registado para o espaço de trabalho na consola, que pode ser um Estado-Membro do Espaço Económico Europeu, o Reino Unido, a Suíça ou outro país; quando um titular do espaço de trabalho estabelecido noutro país estiver sujeito ao RGPD, à legislação de proteção de dados do Reino Unido ou à LPD relativamente ao seu tratamento de dados de visitantes, é o exportador de dados para as transferências regidas por essa lei. As suas atividades relevantes para a transferência são a exploração da sua empresa e a gestão do espaço de trabalho do Concierge através da consola. A sua denominação jurídica completa, a designação comercial, o endereço, o número de registo, o e-mail de contacto de privacidade e o nome e a função da pessoa que aceitou em seu nome são os registados com a sua aceitação na consola. Função: responsável pelo tratamento.

Importador de dados: DCI Brands LLC («Vavus», o subcontratante), 312 W 2nd Street, Casper, WY 82601, United States (número de processo junto do Secretary of State do Wyoming 2017-000762309); atividades relevantes para a transferência: prestação do serviço Concierge ao abrigo do presente DPA; contacto para questões de proteção de dados: support@vavusai.com. Função: subcontratante.

Assinatura e data: para o exportador de dados, a sua aceitação do presente DPA registada na consola (versão, data e hora e a pessoa que aceita); para o importador de dados, a nossa publicação do presente DPA nesta versão, conforme previsto na Secção 13.

Categorias de titulares dos dados: os visitantes, clientes, potenciais clientes e funcionários do titular do espaço de trabalho cujas informações são fornecidas ao serviço.

Categorias de dados pessoais: identificadores fornecidos pelo visitante (nome, número de telefone, endereço de e-mail), conteúdo das conversas (mensagens, áudio de voz, transcrições e quaisquer gravações que o titular do espaço de trabalho efetue), registos de contactos e de reservas que o assistente cria em resultado das ações do visitante, dados técnicos da sessão (marcas temporais, canal, idioma) e dados pessoais contidos no material que o titular do espaço de trabalho carrega para o conhecimento do assistente ou nas amostras de voz que o titular do espaço de trabalho fornece para criar uma voz personalizada.

Dados sensíveis: o serviço não recolhe, por norma, categorias especiais de dados. Quando a configuração de um titular do espaço de trabalho torne previsível a existência de informações de saúde (espaços de trabalho configurados para a saúde), o acesso é restrito ao pessoal que dele necessite e é registado, e o titular do espaço de trabalho continua a ser responsável por garantir que a sua recolha assenta no seu próprio fundamento de licitude e nas suas próprias instruções.

Frequência e duração: contínua, durante a vida do espaço de trabalho, à medida que ocorrem sessões, reservas e utilização da consola; a conservação segue as Secções 3 e 9. Natureza e finalidade: recolha, transmissão, organização, conservação, consulta, tradução, geração de respostas, divulgação ao pessoal autorizado e aos subcontratantes ulteriores constantes do Anexo III, e eliminação, para fornecer o Concierge segundo as instruções do titular do espaço de trabalho. As transferências ulteriores estão limitadas ao previsto na Cláusula 9, na Secção 6 e na lista do Anexo III.

Para as transferências regidas pelo RGPD, a autoridade de controlo competente é determinada pela Cláusula 13, alínea a): quando o titular do espaço de trabalho (enquanto exportador de dados) estiver estabelecido num Estado-Membro, a autoridade de controlo responsável por assegurar o cumprimento do RGPD pelo titular do espaço de trabalho no que respeita à transferência; quando o titular do espaço de trabalho não estiver estabelecido num Estado-Membro, mas for abrangido pelo artigo 3.º, n.º 2, do RGPD e tiver designado um representante nos termos do artigo 27.º, n.º 1, a autoridade de controlo do Estado-Membro em que esse representante está estabelecido; e, quando o titular do espaço de trabalho não estiver estabelecido num Estado-Membro, for abrangido pelo artigo 3.º, n.º 2, e não for obrigado a designar um representante nos termos do artigo 27.º, n.º 2, a autoridade de controlo de um dos Estados-Membros em que se encontram os titulares dos dados cujos dados pessoais são transferidos no contexto da oferta de bens ou serviços que lhes é dirigida, ou cujo comportamento é monitorizado.

Para as transferências regidas pela legislação de proteção de dados do Reino Unido, o Information Commissioner, conforme previsto na Secção 14. Para as transferências regidas pela LPD, o Comissário Federal para a Proteção de Dados e a Informação, conforme previsto na Secção 15, em paralelo com a autoridade acima referida quando o RGPD também reja a transferência.

As medidas que o importador de dados aplica para proteger os dados, conforme descritas nas Secções 4, 5, 8 e 9 do presente DPA:

• TLS para os dados em trânsito e encriptação em repouso em todo o serviço
• Acesso segundo o princípio do privilégio mínimo e limitado por funções através da consola autenticada; pessoal vinculado por obrigações de confidencialidade
• Registo de acessos nos espaços de trabalho configurados para a saúde e registo de auditoria das ações administrativas
• Gravações conservadas em armazenamento de objetos com controlo de acesso
• Eliminação segura dos ficheiros cujo prazo de conservação expirou; cópias de segurança encriptadas segundo um ciclo de vida documentado
• Cópias de segurança encriptadas de hora a hora, com verificações de restauro, para a continuidade e a recuperação
• Monitorização do software e das dependências do serviço para deteção de vulnerabilidades, com aplicação de correções
• Alterações implementadas através de controlo de versões e de uma implementação automatizada por script com verificações de funcionamento e reversão
• Palavras-passe armazenadas apenas como hashes com salt; contas bloqueadas após tentativas de início de sessão falhadas repetidas
• Segurança física dos centros de dados assegurada pela Google Cloud ao abrigo das suas certificações
• Endpoints reforçados protegidos por uma firewall de aplicações web com limitação de pedidos
• Notificação das violações de dados pessoais ao titular do espaço de trabalho sem demora injustificada após delas termos tido conhecimento, com pormenores e acompanhamento por fases
• Assistência relativa aos pedidos dos titulares dos dados e às obrigações do titular do espaço de trabalho nos termos dos artigos 32.º a 36.º do RGPD e das disposições equivalentes do RGPD do Reino Unido e da LPD
• Contratos escritos com os subcontratantes ulteriores que preveem, em substância, as mesmas obrigações de proteção de dados que o presente DPA

Os subcontratantes ulteriores autorizados nos termos da Cláusula 9, alínea a) (autorização geral por escrito), e da Secção 6, por função. As alterações seguem os termos de aviso e de oposição da Secção 6.

Os fornecedores que o próprio titular do espaço de trabalho liga - as suas próprias contas de telefonia ou de mensagens (como a sua própria conta Twilio ou o fornecedor do WhatsApp), a sua própria conta Stripe para os pagamentos que recebe dos seus clientes, e os sistemas de calendário, CRM, gestão de pedidos ou loja que liga - são contratados diretamente pelo titular do espaço de trabalho, sob a sua própria autoridade, e não são nossos subcontratantes ulteriores.

• Google Cloud - alojamento e armazenamento na nuvem (região principal nos Estados Unidos, nó periférico na UE em Frankfurt)
• Google - reconhecimento de voz, síntese de voz, tradução e modelos de IA
• OpenAI - modelos de IA, reconhecimento de voz e síntese de voz
• Anthropic - modelos de IA
• ElevenLabs - reconhecimento de voz, síntese de voz e vozes personalizadas (não utilizado nos espaços de trabalho configurados para a saúde)
• AssemblyAI - reconhecimento de voz, quando a definição de voz do espaço de trabalho o utiliza
• TypeSafe - encaminhamento semântico dos turnos de conversa, quando as definições do assistente do espaço de trabalho o ativam
• Twilio - telefonia e mensagens de texto para os números de telefone que fornecemos ao titular do espaço de trabalho
• Stripe - pagamentos do plano e da utilização do Concierge do próprio titular do espaço de trabalho
• Resend - envio de e-mails
• Postal alojado por nós na nossa própria infraestrutura - envio de e-mails

Quando o California Consumer Privacy Act ou outra lei estadual de privacidade dos Estados Unidos se aplicar aos dados de visitantes, o titular do espaço de trabalho é a «business» ou o responsável pelo tratamento e a Vavus é o seu prestador de serviços («service provider»), contratante («contractor») ou subcontratante, e os termos do presente Anexo têm o significado que essas leis lhes atribuem. O titular do espaço de trabalho divulga-nos dados de visitantes apenas para a finalidade limitada e especificada de fornecer o Concierge conforme descrito no presente DPA e nos Termos do Concierge.

Comprometemo-nos a: tratar os dados de visitantes apenas para essa finalidade e segundo as instruções do titular do espaço de trabalho, e nunca os vender ou partilhar; não os conservar, utilizar ou divulgar para qualquer outra finalidade, incluindo qualquer finalidade comercial, ou fora da nossa relação comercial direta com o titular do espaço de trabalho; não os combinar com informações pessoais que recebamos de terceiros ou que recolhamos nós próprios, exceto na medida em que essas leis o permitam para fornecer o serviço; cumprir as obrigações que essas leis impõem aos prestadores de serviços e conferir aos dados de visitantes o mesmo nível de proteção da privacidade que essas leis exigem; informar por escrito o titular do espaço de trabalho se concluirmos que já não conseguimos cumprir essas obrigações; permitir ao titular do espaço de trabalho tomar medidas razoáveis e adequadas para verificar que utilizamos os dados de visitantes de forma coerente com as obrigações deste, incluindo através da Secção 10, e para fazer cessar e corrigir qualquer utilização não autorizada; e avisar o titular do espaço de trabalho de novos subcontratantes ulteriores nos termos da Secção 6, o que satisfaz o aviso exigido por essas leis. Certificamos que compreendemos estas restrições e que as cumpriremos.

Os pedidos de visitantes ao abrigo dessas leis são dirigidos ao titular do espaço de trabalho, e prestamos assistência conforme descrito na Secção 8.

A legislação dos Estados Unidos permite que as autoridades públicas obriguem à divulgação de dados pessoais detidos por prestadores de serviços em circunstâncias definidas (nomeadamente a secção 702 da FISA e a Ordem Executiva 12333). Antes de aceitarmos estas Cláusulas, avaliámos a transferência à luz dessa legislação e dessas práticas, conforme exigido pela Cláusula 14, tendo em conta as circunstâncias específicas da transferência: dados de apoio à atividade empresarial (identificadores, conteúdo das conversas, registos de reservas, dados técnicos da sessão), uma cadeia de tratamento curta (o titular do espaço de trabalho, nós e os subcontratantes ulteriores constantes do Anexo III), a nossa avaliação de que, ao fornecer o Concierge, não atuamos como prestador de serviços de comunicações eletrónicas relativamente a este tráfego, e as garantias contratuais, técnicas e organizativas em vigor. Mantemos essa avaliação sob revisão, documentamo-la e disponibilizamo-la à autoridade de controlo competente mediante pedido.

Medidas suplementares: as medidas técnicas e organizativas constantes do Anexo II, a minimização através da recolha configurada pelo titular do espaço de trabalho, os direitos de auditoria previstos na Secção 10 e as obrigações que assumimos nos termos das Cláusulas 14 e 15 - notificar o titular do espaço de trabalho de um pedido de divulgação juridicamente vinculativo, quando a lei o permita, procurar obter o levantamento de qualquer proibição de notificação e fornecer informações agregadas a intervalos regulares, analisar a legalidade de um pedido e contestá-lo quando existam motivos razoáveis para o considerar ilícito, e divulgar o mínimo de informações admissível. Se concluirmos que já não conseguimos cumprir as Cláusulas, notificaremos prontamente o titular do espaço de trabalho, que pode suspender a transferência conforme previsto nas Cláusulas. Se uma decisão de adequação passar a abranger uma transferência (por exemplo, se obtivermos a certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA), as Cláusulas aplicam-se a essa transferência apenas na medida em que a decisão de adequação não a abranja.

Para as transferências a partir do Reino Unido, aplica-se a avaliação dos riscos da transferência prevista na Secção 14. Para as transferências a partir da Suíça, aplica-se a presente avaliação, lida por referência à LPD, conforme previsto na Secção 15.