Adendo de Tratamento de Dados (DPA)

Esta página é uma tradução feita com auxílio de IA, oferecida por conveniência, e pode conter erros. Apenas a versão em inglês e o respectivo PDF são vinculantes, inclusive em juízo.

Este Adendo de Tratamento de Dados ("DPA") integra os Termos de Serviço da Zipchat publicados em https://www.zipchat.ai/legal/terms-conditions (o "Contrato"), celebrado entre a Zipchat Inc. ("Zipchat") e o cliente que aceitou o Contrato ("Cliente" e, em conjunto com a Zipchat, as "Partes").

Este DPA está publicado em https://www.zipchat.ai/legal/dpa e se aplica automaticamente ao tratamento de Dados Pessoais realizado pela Zipchat em nome do Cliente a partir da data em que o Cliente aceita o Contrato. Não é necessária assinatura. O Cliente que precisar de uma via assinada também pela Zipchat pode solicitá-la em support@zipchat.ai. A Zipchat celebra este DPA em nome próprio e, na medida exigida pelas Leis de Privacidade, em nome de suas afiliadas. Os termos iniciados por letra maiúscula usados, mas não definidos, neste DPA têm o significado atribuído a eles no Contrato.

1. Definições

1.1 "Métricas de Uso Agregadas" (Aggregated Usage Metrics) tem o significado atribuído na Seção 6.5 do Contrato.

1.2 "Suboperador Autorizado" (Authorized Subprocessor) significa um terceiro contratado pela Zipchat para tratar Dados Pessoais a fim de prestar os Serviços, com base na autorização geral prevista na Seção 6.

1.3 "Dados de Conta da Zipchat" (Zipchat Account Data) significa os dados pessoais relacionados ao relacionamento da Zipchat com o Cliente, incluindo os nomes e os dados de contato das pessoas autorizadas pelo Cliente a acessar a conta do Cliente e as informações de cobrança das pessoas que o Cliente associou à sua conta.

1.4 "Dados de Uso da Zipchat" (Zipchat Usage Data) significa os dados de uso dos Serviços coletados e tratados pela Zipchat em conexão com a prestação dos Serviços, incluindo os dados usados para identificar a origem e o destino de uma comunicação, registros de atividade e dados semelhantes.

1.5 "Data Privacy Framework" ou "DPF" significa, conforme o caso, o EU-U.S. Data Privacy Framework, a UK Extension to the EU-U.S. Data Privacy Framework e o Swiss-U.S. Data Privacy Framework.

1.6 "Titular dos Dados" (Data Subject) significa a pessoa natural cujos Dados Pessoais são protegidos pelas Leis de Privacidade. "Titular dos Dados" inclui o termo "Consumidor" (Consumer) previsto nas Leis de Privacidade.

1.7 "Solicitação do Titular" (Data Subject Request) significa a solicitação de um Titular dos Dados para exercer os seus direitos sobre Dados Pessoais nos termos das Leis de Privacidade.

1.8 "Usuário Final" (End User) significa a pessoa que interage com os Serviços nos canais do Cliente, como um consumidor ou um visitante do site.

1.9 "SCCs da UE" (EU SCCs) significa as cláusulas contratuais-padrão aprovadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914, de 4 de junho de 2021, com as alterações ou substituições que vierem a ocorrer, e conforme completadas pela Seção 9 deste DPA.

1.10 "Transferência para Fora do EEE" (ex-EEA Transfer) significa a transferência de Dados Pessoais sujeitos ao GDPR da UE do Espaço Econômico Europeu (o "EEE") para um país ou destinatário não abrangido por uma decisão de adequação da Comissão Europeia.

1.11 "Transferência para Fora do Reino Unido" (ex-UK Transfer) significa a transferência de Dados Pessoais sujeitos ao UK GDPR do Reino Unido para um país ou destinatário não abrangido por regulamentos de adequação editados com base no UK GDPR e no Data Protection Act 2018.

1.12 "Dados Pessoais" (Personal Data) significa qualquer informação fornecida à Zipchat pelo Cliente ou em nome dele, ou coletada pela Zipchat em nome do Cliente em conexão com os Serviços, que se refira a um Titular dos Dados identificado ou identificável e constitua "dados pessoais", "informações pessoais" ou termo equivalente nos termos das Leis de Privacidade. Os Dados Pessoais não incluem os Dados de Conta da Zipchat, os Dados de Uso da Zipchat nem as Métricas de Uso Agregadas.

1.13 "Leis de Privacidade" (Privacy Laws) significa todas as leis e regulamentos aplicáveis ao tratamento de Dados Pessoais no âmbito do Contrato, incluindo, na medida em que forem aplicáveis: (i) o Regulamento (UE) 2016/679 (o "GDPR da UE") e o GDPR da UE na forma em que integra o direito da Inglaterra e do País de Gales, da Escócia e da Irlanda do Norte por força da seção 3 do European Union (Withdrawal) Act 2018 (o "UK GDPR" e, em conjunto com o GDPR da UE, o "GDPR"); (ii) a Lei Federal Suíça de Proteção de Dados, de 25 de setembro de 2020 (a "FADP"); (iii) o Data Protection Act 2018 do Reino Unido; (iv) as Privacy and Electronic Communications (EC Directive) Regulations 2003; e (v) as leis estaduais abrangentes de privacidade dos Estados Unidos, como o California Consumer Privacy Act, com as alterações do California Privacy Rights Act of 2020 (o "CCPA"); em cada caso, com as alterações ou substituições que vierem a ocorrer. Os termos "finalidade comercial" (business purpose), "Controlador" (Controller), "Violação de Dados Pessoais" (Personal Data Breach), "Operador" (Processor), "tratar" ou "tratamento" (process, processing), "vender" (sell), "compartilhar" (share) e "autoridade de controle" (supervisory authority) têm o significado atribuído a eles, ou a termos equivalentes, nas Leis de Privacidade. "Controlador" inclui "Business" e "Operador" inclui "Service Provider", conforme definidos no CCPA.

1.14 "Cláusulas Contratuais-Padrão" (Standard Contractual Clauses) significa, conforme o caso, as SCCs da UE e as SCCs do Reino Unido.

1.15 "Lista de Suboperadores" (Subprocessor List) significa a lista dos Suboperadores Autorizados da Zipchat publicada em https://www.zipchat.ai/legal/subprocessors, conforme atualizada nos termos da Seção 6.

1.16 "Adendo do Reino Unido" (UK Addendum) significa o International Data Transfer Addendum às SCCs da UE, emitido pelo Information Commissioner do Reino Unido com base na seção 119A do Data Protection Act 2018, com as alterações que vierem a ocorrer, e conforme completado pelo Apêndice D.

1.17 "SCCs do Reino Unido" (UK SCCs) significa as SCCs da UE conforme alteradas pelo Adendo do Reino Unido.

2. Papel das Partes; descrição do tratamento

2.1 Em relação aos Dados Pessoais, o Cliente é o Controlador e a Zipchat é Operadora ou, quando o Cliente for Operador de um Controlador terceiro, a Zipchat é suboperadora. O tratamento dos Dados de Conta da Zipchat e dos Dados de Uso da Zipchat realizado pela Zipchat como Controladora é regido pela Seção 13.

2.2 A Zipchat tratará os Dados Pessoais somente: (i) para as finalidades previstas no Contrato; (ii) conforme as instruções documentadas do Cliente, que incluem o Contrato, este DPA e a configuração e o uso dos Serviços pelo Cliente; e (iii) conforme exigido pelas Leis de Privacidade ou por uma autoridade de controle, caso em que a Zipchat informará o Cliente dessa exigência legal antes do tratamento, salvo se a lei o proibir. O objeto, a natureza, a finalidade e a duração do tratamento, os tipos de Dados Pessoais e as categorias de Titulares dos Dados estão descritos no Apêndice A.

2.3 Os Dados Pessoais são armazenados nos Estados Unidos, salvo acordo por escrito em contrário.

3. Obrigações do Cliente

3.1 Ao usar os Serviços, o Cliente tratará os Dados Pessoais e dará instruções para o seu tratamento em conformidade com as Leis de Privacidade e garantirá que o tratamento realizado de acordo com as suas instruções não leve a Zipchat a violar as Leis de Privacidade. O Cliente é o único responsável pela exatidão, qualidade e licitude dos Dados Pessoais fornecidos à Zipchat por ele ou em seu nome, pelos meios pelos quais o Cliente os obteve, pelas instruções que dá à Zipchat e por quaisquer avisos que deva dar aos seus Usuários Finais e consentimentos que deva obter deles.

3.2 O Cliente não fornecerá nem disponibilizará à Zipchat Dados Pessoais em violação ao Contrato, incluindo os dados descritos na Seção 5.2 do Contrato, ou que, de outra forma, sejam inadequados à natureza dos Serviços, e indenizará a Zipchat por todas as reclamações e perdas decorrentes desses dados.

3.3 A Zipchat informará o Cliente prontamente se, na opinião da Zipchat, uma instrução violar as Leis de Privacidade ou uma determinação de uma autoridade de controle.

4. Uso dos Dados Pessoais

4.1 A Zipchat se obriga a não: (i) vender ou compartilhar Dados Pessoais; (ii) reter, usar ou divulgar Dados Pessoais fora da relação comercial direta com o Cliente, ou para qualquer finalidade que não seja uma finalidade comercial nos termos do CCPA em nome do Cliente ou que não seja necessária para executar os Serviços para o Cliente nos termos do Contrato, salvo se de outra forma permitido pelo Contrato ou pelas Leis de Privacidade; nem (iii) combinar Dados Pessoais recebidos do Cliente ou em nome dele com dados pessoais recebidos de outra pessoa ou em nome dela, salvo na medida necessária para prestar os Serviços ou conforme instruído pelo Cliente.

4.2 Nenhum treinamento sem autorização do Cliente. A Zipchat não usa Dados Pessoais, incluindo as conversas dos Usuários Finais, nem os resultados de IA gerados a partir deles, para treinar ou fazer ajuste fino (fine-tuning) de qualquer modelo de IA, sejam modelos próprios da Zipchat ou modelos de terceiros. Se a Zipchat quiser fazer isso no futuro, pedirá primeiro a autorização do Cliente, por e-mail ou no produto, explicando quais dados seriam usados e com qual finalidade. O Cliente pode aceitar ou recusar. Sem a aceitação expressa do Cliente, nada muda: o silêncio ou o uso continuado dos Serviços não constitui aceitação. O Cliente pode revogar uma aceitação a qualquer momento, com efeitos para o futuro. Nenhuma alteração do Contrato ou deste DPA elimina ou restringe este compromisso. Os suboperadores de IA da Zipchat tratam os Dados Pessoais somente para prestar o seu serviço à Zipchat, com base em contratos que os proíbem de treinar seus modelos com esses dados. Alguns podem reter dados limitados por um período, para fins de observabilidade ou monitoramento de abuso. Tratar Dados Pessoais para prestar os Serviços ao Cliente, por exemplo indexar o conteúdo do próprio Cliente e manter a memória dos Usuários Finais que voltam para o Cliente, não constitui treinamento.

4.3 Métricas de Uso Agregadas. A Zipchat pode criar Métricas de Uso Agregadas conforme descrito na Seção 6.5 do Contrato. Elas reúnem dados de vários clientes ou de muitas conversas, não identificam o Cliente, nenhum Titular dos Dados nem qualquer outra pessoa, não são Dados Pessoais e nunca são usadas para treinar ou fazer ajuste fino de modelos de IA.

4.4 Separação. A Zipchat mantém os Dados Pessoais de cada cliente logicamente separados, para que não apareçam nas conversas de outro cliente.

5. Auditoria

5.1 A Zipchat manterá registros suficientes para demonstrar a sua conformidade com este DPA. Mediante solicitação por escrito do Cliente, em intervalos razoáveis e observados controles razoáveis de confidencialidade, a Zipchat deverá (i) disponibilizar as informações e a documentação razoavelmente necessárias para demonstrar a sua conformidade com este DPA, como uma descrição das suas medidas técnicas e organizacionais e um resumo dos resultados do seu teste de invasão mais recente; ou (ii) se as informações do item (i) não forem suficientes nos termos das Leis de Privacidade, permitir que um auditor terceiro independente nomeado pelo Cliente audite a infraestrutura e os procedimentos de segurança de dados da Zipchat na medida necessária para demonstrar a conformidade com as Leis de Privacidade, desde que: (a) o Cliente envie aviso prévio razoável por escrito e a auditoria não perturbe de forma desarrazoada as atividades da Zipchat; (b) a auditoria ocorra em horário comercial e no máximo uma vez por ano civil, salvo exigência diversa de uma autoridade de controle ou após uma Violação de Dados Pessoais que afete os Dados Pessoais do Cliente; e (c) a auditoria se limite aos dados relevantes para o Cliente. O Cliente arca com os custos de qualquer auditoria, incluindo o reembolso do tempo da Zipchat nas auditorias presenciais. Quando as Cláusulas Contratuais-Padrão se aplicarem nos termos da Seção 9, as auditorias previstas na Cláusula 8.9 das SCCs da UE serão realizadas de acordo com esta Seção 5.1.

5.2 Na medida permitida pelas Leis de Privacidade, se o Cliente constatar que a Zipchat está tratando Dados Pessoais de forma não autorizada, o Cliente poderá, após enviar aviso por escrito e levando em conta a natureza do tratamento, adotar medidas comercialmente razoáveis e adequadas para interromper e corrigir o tratamento não autorizado.

6. Suboperadores Autorizados

6.1 Autorização geral. O Cliente concede à Zipchat autorização geral por escrito para contratar as suas afiliadas e os Suboperadores Autorizados da Lista de Suboperadores, e para contratar outros suboperadores nos termos desta Seção 6, para tratar Dados Pessoais na medida necessária para prestar os Serviços.

6.2 Lista de Suboperadores. A Lista de Suboperadores atual está publicada em https://www.zipchat.ai/legal/subprocessors. Ela indica, para cada Suboperador Autorizado, o que ele trata, onde, e se é usado sempre ou apenas quando o Cliente ativa uma funcionalidade ou conecta um canal. A Zipchat pode adicionar, substituir ou remover Suboperadores Autorizados atualizando a Lista de Suboperadores, sem alterar o Contrato ou este DPA. O Apêndice B reproduz, por conveniência, a lista na data desta versão; prevalece a Lista de Suboperadores publicada.

6.3 Aviso. Pelo menos dez (10) dias antes de um novo suboperador começar a tratar Dados Pessoais, a Zipchat o incluirá na Lista de Suboperadores e avisará o Cliente por e-mail, no endereço cadastrado na conta do Cliente. Quando for necessária uma substituição urgente por motivos de segurança ou de continuidade do serviço, a Zipchat enviará o aviso assim que for razoavelmente possível. O Cliente também pode pedir para ser avisado de cada atualização da Lista de Suboperadores escrevendo para support@zipchat.ai.

6.4 Objeção. O Cliente pode se opor a um novo suboperador escrevendo para support@zipchat.ai em até dez (10) dias após o aviso, com base em motivos razoáveis relacionados à proteção de dados. Se o Cliente não se opuser nesse prazo, o suboperador passa a ser um Suboperador Autorizado. As Partes discutirão a objeção de boa-fé. Se a Zipchat não puder oferecer uma alternativa comercialmente razoável em prazo razoável, a única medida disponível ao Cliente será deixar de usar a parte afetada dos Serviços ou rescindir o Contrato nos termos nele previstos. O Cliente reconhece que alguns suboperadores são essenciais para os Serviços. A rescisão nos termos desta Seção não isenta o Cliente das taxas devidas nos termos do Contrato, e os reembolsos são regidos pela Seção 4.6 do Contrato.

6.5 Funcionalidades e canais. Alguns Suboperadores Autorizados tratam Dados Pessoais somente quando o Cliente ativa uma funcionalidade ou conecta um canal, conforme indicado na Lista de Suboperadores. Ao ativar essa funcionalidade ou conectar esse canal, o Cliente instrui a Zipchat a usar o Suboperador Autorizado correspondente.

6.6 Obrigações. A Zipchat firmará com cada Suboperador Autorizado um contrato por escrito que imponha obrigações de proteção de dados não menos protetivas do que as impostas à Zipchat por este DPA. A Zipchat continua responsável perante o Cliente pelo cumprimento das obrigações de cada Suboperador Autorizado, observado o Contrato.

6.7 Quando as Cláusulas Contratuais-Padrão se aplicarem nos termos da Seção 9: (i) as autorizações desta Seção 6 constituem a autorização prévia por escrito do Cliente para a subcontratação nos termos da Cláusula 9 das SCCs da UE; e (ii) as cópias dos contratos com suboperadores que a Zipchat deva fornecer nos termos da Cláusula 9(c) das SCCs da UE serão fornecidas somente mediante solicitação do Cliente, e a Zipchat poderá antes remover informações comerciais e informações não relacionadas às Cláusulas Contratuais-Padrão.

7. Confidencialidade; segurança dos Dados Pessoais

7.1 A Zipchat garantirá que toda pessoa que ela autorizar a tratar Dados Pessoais esteja sujeita a um dever de confidencialidade adequado. A Zipchat pode divulgar Dados Pessoais aos seus assessores, auditores ou outros terceiros na medida razoavelmente necessária para cumprir as suas obrigações nos termos das Leis de Privacidade, deste DPA ou do Contrato, ou para prestar os Serviços ao Cliente, sujeitos a obrigações de confidencialidade equivalentes.

7.2 Levando em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variáveis, para os direitos e liberdades das pessoas naturais, a Zipchat manterá medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado ao risco, conforme descrito no Apêndice C. A Zipchat pode atualizar essas medidas, desde que as atualizações não reduzam de forma relevante o nível geral de proteção. Nenhum método de transmissão ou armazenamento é totalmente seguro, e a Zipchat não garante segurança absoluta.

8. Violação de Dados Pessoais

8.1 A Zipchat informará o Cliente sem demora injustificada depois de tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Cliente e adotará as medidas que considerar razoavelmente necessárias para contê-la e corrigi-la, na medida em que a correção esteja dentro do controle razoável da Zipchat. O aviso descreverá, na medida do que for conhecido naquele momento, a natureza da violação, as categorias e o número aproximado de Titulares dos Dados e de registros afetados, as suas prováveis consequências e as medidas adotadas ou propostas.

8.2 Levando em conta a natureza do tratamento e as informações de que dispõe, a Zipchat prestará ao Cliente cooperação e assistência razoáveis para que o Cliente possa cumprir as suas obrigações, nos termos das Leis de Privacidade, de notificar a autoridade de controle competente e os Titulares dos Dados afetados.

8.3 As Seções 8.1 e 8.2 não se aplicam a uma Violação de Dados Pessoais causada por atos ou omissões do Cliente ou dos seus usuários. O aviso ou a resposta da Zipchat a uma Violação de Dados Pessoais não constitui reconhecimento de culpa ou de responsabilidade.

9. Transferências de Dados Pessoais

9.1 O Cliente reconhece que as principais operações de tratamento da Zipchat, e o tratamento de Dados Pessoais pelos seus Suboperadores Autorizados, ocorrem nos Estados Unidos, e que a transferência de Dados Pessoais para os Estados Unidos é necessária para prestar os Serviços. A Zipchat pode transferir Dados Pessoais para fora do EEE, do Reino Unido ou da Suíça na medida necessária para prestar os Serviços, com as salvaguardas exigidas pelas Leis de Privacidade.

9.2 Data Privacy Framework. A Zipchat Inc. é certificada no EU-U.S. Data Privacy Framework, na UK Extension to the EU-U.S. Data Privacy Framework e no Swiss-U.S. Data Privacy Framework. A sua certificação consta em https://www.dataprivacyframework.gov/list. Por isso, as transferências de Dados Pessoais do EEE para a Zipchat estão cobertas pela decisão de adequação da Comissão Europeia relativa ao EU-U.S. Data Privacy Framework, de 10 de julho de 2023, e as transferências do Reino Unido e da Suíça, pelas respectivas constatações de adequação do Reino Unido e da Suíça relativas ao DPF. Para essas transferências, não são necessárias Cláusulas Contratuais-Padrão nem uma avaliação de impacto da transferência. A Zipchat avisará o Cliente se não puder mais cumprir as suas obrigações nos termos dos Princípios do DPF.

9.3 Mecanismo alternativo. As Cláusulas Contratuais-Padrão são incorporadas a este DPA por referência e se aplicam a uma Transferência para Fora do EEE, a uma Transferência para Fora do Reino Unido ou a uma transferência a partir da Suíça somente: (a) se o Data Privacy Framework deixar de ser um mecanismo de transferência válido para essa transferência, ou se a certificação da Zipchat expirar; ou (b) se o Cliente pedir por escrito que elas se apliquem como salvaguarda adicional. Quando se aplicarem, elas serão completadas da seguinte forma:

(a) O Módulo Dois (de controlador para operador) se aplica quando o Cliente for Controlador e a Zipchat for Operadora; o Módulo Três (de operador para operador) se aplica quando o Cliente for Operador e a Zipchat for suboperadora; e o Módulo Um (de controlador para controlador) se aplica aos Dados de Conta da Zipchat e aos Dados de Uso da Zipchat que a Zipchat trata como Controladora nos termos da Seção 13.

(b) A cláusula opcional de adesão da Cláusula 7 não se aplica.

(c) Na Cláusula 9, aplica-se a Opção 2 (autorização geral por escrito), e o prazo de aviso prévio das alterações de suboperadores é o previsto na Seção 6.3.

(d) Na Cláusula 11, a redação opcional não se aplica.

(e) Na Cláusula 13, a autoridade de controle competente é determinada conforme o Apêndice B.

(f) Na Cláusula 17 (Opção 1), as SCCs da UE são regidas pelas leis da Irlanda e, nos termos da Cláusula 18(b), os litígios são resolvidos perante os tribunais da Irlanda.

(g) O Anexo I é completado pelos Apêndices A e B, o Anexo II pelo Apêndice C e o Anexo III pela Lista de Suboperadores.

(h) Ao aceitar o Contrato, considera-se que as Partes assinaram as SCCs da UE, incluindo os seus Anexos, na data em que o Cliente aceitou o Contrato.

9.4 Transferências para Fora do Reino Unido. Quando a Seção 9.3 se aplicar a uma Transferência para Fora do Reino Unido, aplicam-se as SCCs do Reino Unido, completadas conforme o Apêndice D. O Adendo do Reino Unido é regido pelas leis da Inglaterra e do País de Gales, e os litígios dele decorrentes são resolvidos pelos tribunais da Inglaterra e do País de Gales.

9.5 Transferências a partir da Suíça. Quando a Seção 9.3 se aplicar a uma transferência sujeita à FADP, as SCCs da UE se aplicam com estas alterações: (a) as referências ao GDPR incluem a FADP no caso dessas transferências; (b) o Comissário Federal Suíço de Proteção de Dados e Informação é a autoridade de controle competente para as transferências regidas pela FADP; e (c) o termo "Estado-Membro" não impede que os Titulares dos Dados na Suíça apresentem reclamações no local da sua residência habitual, nos termos da Cláusula 18(c).

9.6 Solicitações de acesso de autoridades governamentais. Em qualquer transferência realizada com base nas Cláusulas Contratuais-Padrão: (a) na data desta versão, a Zipchat não recebeu nenhuma solicitação juridicamente vinculante de uma agência governamental de inteligência ou de segurança para acessar Dados Pessoais do Cliente; (b) se a Zipchat receber uma solicitação de uma autoridade pública referente a Dados Pessoais, ela tentará redirecionar a autoridade ao Cliente, podendo, para isso, fornecer os dados básicos de contato do Cliente, e, quando for obrigada a divulgar Dados Pessoais, avisará o Cliente na medida permitida por lei e cooperará de forma razoável para que o Cliente possa buscar uma medida protetiva ou outro remédio; (c) a Zipchat não divulgará voluntariamente Dados Pessoais a autoridades policiais ou governamentais; e (d) se um mecanismo de transferência deixar de ser válido ou se uma autoridade de controle exigir a suspensão das transferências, as Partes acordarão um mecanismo alternativo que esteja em conformidade com as Leis de Privacidade.

10. Avaliações de proteção de dados

10.1 Levando em conta a natureza do tratamento e as informações de que dispõe, a Zipchat cooperará de forma razoável com o Cliente em qualquer avaliação de impacto sobre a proteção de dados ou consulta prévia exigida pelas Leis de Privacidade, inclusive fornecendo informações que o Cliente não consiga obter de outra forma. Cada Parte continua responsável pelas medidas que lhe cabem nos termos das Leis de Privacidade.

11. Solicitações dos Titulares

11.1 Na medida permitida pelas Leis de Privacidade, a Zipchat avisará o Cliente se receber uma Solicitação do Titular relativa a Dados Pessoais e orientará o Titular dos Dados a enviar a solicitação ao Cliente. O Cliente é responsável por responder às Solicitações dos Titulares, inclusive usando as funcionalidades dos Serviços, como a exclusão ou a exportação de dados das conversas.

11.2 A pedido do Cliente, e levando em conta a natureza do tratamento, a Zipchat auxiliará o Cliente, com medidas técnicas e organizacionais adequadas, a responder a uma Solicitação do Titular quando o Cliente não puder responder sem a assistência da Zipchat e a Zipchat puder fazê-lo de forma lícita. Na medida permitida por lei, o Cliente é responsável pelos custos razoáveis dessa assistência.

12. Retenção, devolução e exclusão dos Dados Pessoais

12.1 Durante a assinatura. A Zipchat guarda os Dados Pessoais, incluindo os dados das conversas, enquanto a assinatura do Cliente estiver ativa, para que o Cliente possa acessá-los e o agente de IA possa manter a memória dos Usuários Finais que voltam. As conversas não são excluídas automaticamente enquanto a assinatura estiver ativa. O Cliente pode excluir o histórico de conversas a qualquer momento e pode pedir a support@zipchat.ai que ative a exclusão automática após um período escolhido pelo Cliente, o que a Zipchat fará dentro de um prazo razoável.

12.2 Exportação. O Cliente pode exportar os dados das conversas pela API da Zipchat, sem custo adicional, enquanto a sua conta estiver ativa e por 90 dias após o encerramento, até que os dados sejam excluídos, pela API ou entrando em contato com support@zipchat.ai.

12.3 Após o encerramento. A Zipchat excluirá os Dados Pessoais em até 90 dias após a rescisão ou o término do Contrato, observados os ciclos de backup, salvo quando a lei exigir a sua manutenção ou quando forem necessários para registros de cobrança, fiscais ou jurídicos. Os Dados Pessoais que a Zipchat retiver com base nesta exceção continuam protegidos por este DPA e não são tratados de outra forma, exceto conforme exigido por lei.

12.4 Quando as Cláusulas Contratuais-Padrão se aplicarem, a certificação de exclusão prevista nas Cláusulas 8.1(d) e 8.5 das SCCs da UE será fornecida mediante solicitação do Cliente.

13. A Zipchat como Controladora

13.1 Em relação aos Dados de Conta da Zipchat e aos Dados de Uso da Zipchat, a Zipchat é Controladora independente, e não controladora conjunta com o Cliente. A Zipchat trata esses dados: (i) para gerenciar o seu relacionamento com o Cliente; (ii) para realizar as suas operações comerciais essenciais, como contabilidade, auditorias, tributos e conformidade; (iii) para monitorar, investigar, prevenir e detectar fraudes, incidentes de segurança e uso indevido dos Serviços; (iv) para verificar identidade; (v) para cumprir as suas obrigações legais; (vi) para prestar, proteger, manter e melhorar os Serviços, inclusive criando Métricas de Uso Agregadas; e (vii) conforme de outra forma permitido pelas Leis de Privacidade, pelo Contrato e por este DPA. A Zipchat não usa o conteúdo de conversas contido nesses dados para treinar ou fazer ajuste fino de modelos de IA. Esse tratamento está descrito na Política de Privacidade da Zipchat, em https://www.zipchat.ai/legal/privacy-policy.

14. Alterações deste DPA

14.1 A Zipchat pode atualizar este DPA, por exemplo para refletir mudanças nas Leis de Privacidade, nos mecanismos de transferência ou nos Serviços, publicando a versão atualizada no seu site. As alterações que reduzam de forma relevante as proteções do Cliente entram em vigor 30 dias depois que a Zipchat avisar o Cliente por e-mail, salvo se as Leis de Privacidade exigirem que entrem em vigor antes. As alterações da Lista de Suboperadores seguem a Seção 6, e não esta Seção. Nenhuma atualização pode eliminar ou restringir o compromisso da Seção 4.2.

15. Disposições gerais

15.1 Em caso de conflito, aplica-se a seguinte ordem de prevalência: (1) as Cláusulas Contratuais-Padrão, quando se aplicarem nos termos da Seção 9; (2) este DPA; (3) a Política de Privacidade da Zipchat, no que diz respeito ao tratamento de dados pessoais, em consonância com a Seção 6.4(d) do Contrato; e (4) o Contrato.

15.2 Qualquer reclamação apresentada em conexão com este DPA está sujeita ao Contrato, incluindo a lei aplicável e as exclusões e limitações de responsabilidade nele previstas, salvo quando as Cláusulas Contratuais-Padrão dispuserem de outra forma.

15.3 Os avisos à Zipchat nos termos deste DPA devem ser enviados para support@zipchat.ai. Os avisos ao Cliente são enviados para o endereço de e-mail cadastrado na conta do Cliente.

15.4 Este DPA foi redigido em inglês. Qualquer tradução, inclusive as traduções feitas com auxílio de IA publicadas no site da Zipchat, é oferecida apenas por conveniência e pode conter erros. A versão em inglês é a única vinculante e prevalece em caso de conflito, inclusive em qualquer disputa, arbitragem ou processo judicial.

Apêndice A: Detalhes do tratamento

Objeto. A prestação dos Serviços nos termos do Contrato: um agente de IA para e-commerce que responde e auxilia os Usuários Finais do Cliente nos canais que o Cliente conecta, como chat no site, busca, páginas de produto, e-mail, WhatsApp, Instagram, Messenger e, quando ativado, voz.

Natureza do tratamento. Coleta, registro e recuperação; armazenamento e estruturação; análise e consulta, incluindo a geração de respostas por IA; indexação do conteúdo do Cliente; atualização e correção; proteção, incluindo criptografia e restrição; divulgação aos Suboperadores Autorizados e às ferramentas que o Cliente conecta; devolução ao Cliente ou aos Titulares dos Dados; e eliminação.

Finalidade. Prestar, manter, proteger e dar suporte aos Serviços para o Cliente, nos termos do Contrato e das instruções do Cliente. Os Dados Pessoais não são usados para treinar ou fazer ajuste fino de modelos de IA sem a autorização do Cliente (Seção 4.2).

Duração. Durante a vigência do Contrato e conforme a Seção 12: os Dados Pessoais são guardados enquanto a assinatura estiver ativa, a menos que o Cliente os exclua ou ative a exclusão automática, e são excluídos em até 90 dias após o encerramento, observados os ciclos de backup e as exceções da Seção 12.3.

Categorias de Titulares dos Dados. Os Usuários Finais do Cliente (consumidores e visitantes do site que interagem com os Serviços) e o pessoal do Cliente e os usuários autorizados dos Serviços.

Categorias de Dados Pessoais.

• Dados de contato, como nome, endereço de e-mail e número de telefone.

• Identificadores de mensagens, como números de telefone do WhatsApp e IDs de perfil do Instagram e do Messenger, quando o Cliente conecta esses canais.

• Conteúdo das conversas: mensagens de chat, e-mails, consultas e solicitações de atendimento, e mídias enviadas pelos Usuários Finais, como imagens e mensagens de voz.

• Informações de pedidos e de compras obtidas das plataformas conectadas pelo Cliente, como números, status e histórico de pedidos.

• Informações retornadas por ferramentas ou skills personalizadas que o Cliente configura, que podem incluir dados de pedidos e de clientes.

• Dados técnicos, como endereço IP, localização aproximada e informações do navegador e do dispositivo, incluindo os sinais usados na verificação de bots quando o Cliente ativa a proteção contra bots.

• No caso dos usuários do Cliente: nome, endereço de e-mail, função e atividade na conta.

Categorias especiais de dados. A Zipchat nunca pede aos Usuários Finais categorias especiais de dados pessoais. Um Usuário Final pode informar esses dados por conta própria, por exemplo uma gravidez ou uma alergia ao perguntar sobre um produto, porque uma resposta segura e pertinente depende disso. Por decisão de projeto, a Zipchat não oculta esses dados automaticamente: removê-los antes que o modelo de IA os veja tornaria a resposta pior ou insegura. Eles são tratados apenas para responder a esse Usuário Final, enviados somente aos suboperadores de IA da Lista de Suboperadores, todos nos Estados Unidos, criptografados em trânsito e em repouso, nunca usados para treinar modelos de IA e filtrados dos logs da aplicação da Zipchat. O Cliente pode excluir a conversa a qualquer momento. O Cliente não usará os Serviços para coletar intencionalmente categorias especiais de dados, nem os dados excluídos pela Seção 5.2 do Contrato.

Frequência. Contínua, enquanto o Cliente usar os Serviços.

Apêndice B: Partes, descrição da transferência e suboperadores

Este Apêndice contém as informações exigidas pelos Anexos I e III das SCCs da UE e pela Tabela 1 e pelos Anexos 1A e 1B do Adendo do Reino Unido, quando se aplicarem nos termos da Seção 9.

1. As Partes

Exportador dos dados: o Cliente, conforme identificado na sua conta da Zipchat. Dados de contato: os cadastrados na conta do Cliente. Atividades relevantes para a transferência: uso dos Serviços nos termos do Contrato. Papel: Controlador ou Operador, conforme a Seção 2. Assinatura e data: ao aceitar o Contrato, considera-se que o Cliente assinou, na data da aceitação.

Importador dos dados: Zipchat Inc., 407 E Ayre St #1207, Wilmington, Delaware DE 19804, Estados Unidos. Contato: support@zipchat.ai. Atividades relevantes para a transferência: prestação dos Serviços nos termos do Contrato. Papel: Operador (ou suboperador) e Controlador dos Dados de Conta da Zipchat e dos Dados de Uso da Zipchat nos termos da Seção 13. Assinatura e data: ao prestar os Serviços nos termos do Contrato, considera-se que a Zipchat assinou, na data em que o Cliente aceitou o Contrato.

2. Descrição da transferência

3. Autoridade de controle competente

A autoridade de controle do exportador dos dados, determinada nos termos da Cláusula 13 das SCCs da UE. Quando o exportador dos dados não tiver estabelecimento no EEE e tiver nomeado um representante, a autoridade de controle do Estado-Membro em que o representante estiver estabelecido. No caso do Adendo do Reino Unido, o Information Commissioner do Reino Unido. No caso das transferências sujeitas à FADP, o Comissário Federal Suíço de Proteção de Dados e Informação.

4. Suboperadores Autorizados

A lista atual é a Lista de Suboperadores disponível em https://www.zipchat.ai/legal/subprocessors, que prevalece e pode ser atualizada nos termos da Seção 6. Na data desta versão (12 de novembro de 2026), ela inclui os suboperadores abaixo. Todos tratam os dados nos Estados Unidos.

Usados para todos os clientes

Usados conforme a funcionalidade

Apêndice C: Medidas técnicas e organizacionais

Este Apêndice contém as informações exigidas pelo Anexo II das SCCs da UE e pelo Anexo II do Adendo do Reino Unido, quando se aplicarem nos termos da Seção 9. A Zipchat implementa as medidas abaixo para proteger os Dados Pessoais contra acesso, divulgação, alteração e perda não autorizados.

• Criptografia. Todos os dados são criptografados em repouso, incluindo o armazenamento do banco de dados, o armazenamento de arquivos e os backups. Todo o tráfego é criptografado em trânsito: todas as conexões passam por HTTPS via Cloudflare, e as conexões com o banco de dados são criptografadas. Determinadas credenciais sensíveis de integração, como tokens de acesso, senhas de banco de dados e segredos de skills personalizadas, também recebem criptografia em repouso no nível da aplicação, e os valores dos segredos de skills personalizadas são somente de escrita pela API.

• Controle de acesso. A aplicação do cliente exige autenticação. As permissões baseadas em funções distinguem proprietários, editores, membros e administradores e restringem as funções sensíveis. As ferramentas internas são restritas a administradores autorizados. As senhas são armazenadas somente como hashes com salt.

• Separação dos dados dos clientes. Os Dados Pessoais ficam logicamente associados ao espaço de trabalho e ao agente de IA do cliente. O acesso pela aplicação se limita aos agentes que um usuário pode acessar, e as buscas na base de conhecimento usam namespaces específicos de cada agente, para impedir o acesso entre contas de clientes diferentes.

• Integrações seguras. As integrações com serviços externos usam HTTPS e solicitações de API autenticadas. Os webhooks da Shopify são verificados por assinatura, e as credenciais de API do backend são verificadas com comparação em tempo constante.

• Registro e monitoramento. Os erros e a atividade dos sistemas são monitorados continuamente, com relatórios de erros e monitoramento de desempenho da aplicação. Segredos e o conteúdo das mensagens são filtrados dos logs, e as páginas de erro detalhadas ficam desativadas em produção.

• Backups e resiliência. A Zipchat faz backups regulares do banco de dados. O processamento em segundo plano repete as tentativas em caso de falhas recuperáveis, os procedimentos de implantação são projetados para reduzir interrupções do serviço, e há um mecanismo de acesso somente leitura, imposto pelo banco de dados, disponível para investigações operacionais.

• Desenvolvimento e gestão de mudanças. Toda alteração de código fica sob controle de versão e passa por revisão e por testes automatizados antes de ser implantada, com verificação em ambiente de homologação antes da produção.

• Gestão de vulnerabilidades. A Zipchat faz testes de invasão regulares e mantém um processo contínuo de gestão de vulnerabilidades para a sua aplicação e as suas dependências.

• Ciclo de vida dos dados. Os clientes podem excluir conversas, agentes e dados indexados da base de conhecimento a qualquer momento e podem pedir ao suporte que ative a exclusão automática das conversas após um período escolhido. A Zipchat exclui os Dados Pessoais em até 90 dias após o encerramento, observados os ciclos de backup (Seção 12).

• Limitação da finalidade. Os Dados Pessoais são tratados somente conforme as instruções do Cliente, para prestar os Serviços. Eles não são usados para publicidade nem para treinar ou fazer ajuste fino de qualquer modelo de IA sem a autorização do Cliente (Seção 4.2).

• Suboperadores. A Zipchat contrata suboperadores com base em contratos por escrito com obrigações de proteção de dados não menos protetivas do que as deste DPA, e suboperadores de IA com base em condições que proíbem o treinamento com Dados Pessoais (Seção 6).

Apêndice D: Adendo do Reino Unido

International Data Transfer Addendum às Cláusulas Contratuais-Padrão da Comissão Europeia. Este Apêndice se aplica somente quando as SCCs do Reino Unido se aplicarem nos termos das Seções 9.3 e 9.4.

Parte 1: Tabelas

Tabela 1: Partes

Tabela 2: SCCs, Módulos e Cláusulas selecionados. A versão das SCCs da UE aprovadas à qual este Adendo do Reino Unido está anexado, conforme incorporada ao DPA e completada pela Seção 9.3.

Tabela 3: Informações dos apêndices. Anexo 1A (lista das partes): Apêndice B. Anexo 1B (descrição da transferência): Apêndices A e B. Anexo II (medidas técnicas e organizacionais): Apêndice C. Anexo III (lista de suboperadores, Módulos 2 e 3): a Lista de Suboperadores.

Tabela 4: Término deste Adendo do Reino Unido quando o Adendo do Reino Unido aprovado for alterado. Tanto o Importador quanto o Exportador podem pôr fim a este Adendo do Reino Unido conforme previsto na Seção 19 do Adendo do Reino Unido.

Parte 2: Cláusulas obrigatórias

As Cláusulas Obrigatórias do Adendo do Reino Unido aprovado, conforme emitidas pelo Information Commissioner do Reino Unido e alteradas de tempos em tempos, são incorporadas por referência.