Contrato de Tratamento de Dados

1. Partes

Operador: John Afinni, atuando como Future_AI_Lab, Barcelona, Espanha (“Voix”). Controlador: a entidade cliente identificada no formulário de pedido ou no bloco de assinatura (“Cliente”). Este DPA faz parte dos Termos de Serviço da Voix e está sujeito a eles; em caso de conflito sobre proteção de dados, este DPA prevalece.

2. Definições

“GDPR”, “dados pessoais”, “tratamento”, “titular dos dados”, “controlador”, “operador”, “suboperador”, “violação de dados pessoais” e “autoridade de controle” têm os significados dados no Regulamento (UE) 2016/679 (GDPR). “Legislação de Proteção de Dados Aplicável” significa o GDPR e a LOPDGDD espanhola, conforme alterada.

3. Papéis e escopo (Art. 28(3))

• O Cliente é o Controlador; a Voix é o Operador e age apenas conforme as instruções documentadas do Cliente.
• O objeto, a duração, a natureza, a finalidade, os tipos de dados pessoais e as categorias de titulares dos dados estão descritos no Anexo 1.
• Os Termos de Serviço, este DPA e a configuração do Serviço feita pelo Cliente constituem, em conjunto, as instruções documentadas completas do Cliente. Qualquer instrução adicional deve ser acordada por escrito.

4. Obrigações do Operador (Art. 28(3)(a)–(h))

A Voix deverá:

• (a) tratar os dados pessoais apenas conforme as instruções documentadas do Cliente, inclusive quanto a transferências, salvo se exigido pela legislação da UE ou de um Estado-Membro (caso em que a Voix informa o Cliente antes, salvo proibição legal);
• (b) assegurar que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade;
• (c) implementar as medidas técnicas e organizacionais do Anexo 2 (Art. 32);
• (d) recorrer a suboperadores apenas de acordo com a Seção 5;
• (e) auxiliar o Cliente, por meio de medidas técnicas e organizacionais apropriadas, a responder aos pedidos de exercício de direitos dos titulares dos dados (Art. 12–22);
• (f) auxiliar o Cliente com suas obrigações dos Art. 32–36 (segurança, notificação de violações, avaliação de impacto sobre a proteção de dados, consulta prévia), levando em conta a natureza do tratamento e as informações disponíveis;
• (g) a critério do Cliente, excluir ou devolver todos os dados pessoais ao término da prestação dos serviços e excluir as cópias existentes, salvo se a legislação da UE ou de um Estado-Membro exigir o armazenamento (ver Seção 8);
• (h) disponibilizar ao Cliente as informações necessárias para demonstrar o cumprimento do Art. 28 e permitir e contribuir para auditorias conforme a Seção 9.

5. Suboperadores (Art. 28(2), 28(4))

• O Cliente concede autorização geral para que a Voix recorra aos suboperadores listados no Anexo 3.
• A Voix impõe a cada suboperador obrigações de proteção de dados não menos protetivas do que este DPA e permanece plenamente responsável perante o Cliente pelo desempenho de cada suboperador.
• A Voix avisa o Cliente com pelo menos 30 dias de antecedência antes de adicionar ou substituir um suboperador. O Cliente pode se opor por motivos razoáveis de proteção de dados; se a objeção não puder ser resolvida, o Cliente pode rescindir o serviço afetado.

6. Transferências internacionais (Capítulo V)

• Quando a Voix ou um suboperador transfere dados pessoais para fora do EEE, a transferência se baseia em uma salvaguarda adequada do Artigo 46: Cláusulas Contratuais Padrão (Decisão da Comissão 2021/914) e/ou o Data Privacy Framework UE-EUA quando o importador está certificado.
• As CCPs (Módulo Dois, Controlador-para-Operador; Módulo Três quando há um suboperador envolvido) são incorporadas por referência e completadas pelo Anexo 1, Anexo 2 e Anexo 3. Em caso de conflito, prevalecem as CCPs.

7. Pedidos dos titulares dos dados (Art. 28(3)(e))

A Voix, sem demora indevida, notificará o Cliente sobre qualquer pedido que receba diretamente de um titular de dados e não responderá exceto mediante instrução do Cliente. O Serviço oferece controles de autoatendimento de exclusão e desconexão que o Cliente pode usar para executar a eliminação e a retirada de acesso.

8. Exclusão e devolução (Art. 28(3)(g))

• Ao término, o Cliente pode exportar ou solicitar a devolução dos dados pessoais. Há uma exportação de autoatendimento dos dados de conta principais; qualquer coisa além disso é fornecida mediante solicitação.
• A Voix exclui os dados pessoais conforme o seu modelo de retenção: o conteúdo dos resumos é apagado em até 30 dias após a geração; na exclusão da conta, todas as linhas vinculadas ao usuário são removidas em até 30 dias, os backups em até 60 dias, sem nenhuma cópia restante após 90 dias. A exclusão se propaga em cascata a partir do registro do usuário, e as concessões de OAuth do lado do provedor (Google, Slack) são revogadas primeiro.

9. Auditoria (Art. 28(3)(h))

A Voix disponibilizará sua documentação de segurança, o Anexo 2 e quaisquer atestados de terceiros que possua. O Cliente pode solicitar uma auditoria anual com 30 dias de aviso prévio por escrito, em horário comercial, sujeita a confidencialidade e sem perturbar de forma irrazoável as operações da Voix.

10. Violação de dados pessoais (Art. 33)

A Voix notificará o Cliente sem demora indevida e, em qualquer caso, dentro de 72 horas após tomar conhecimento de uma violação de dados pessoais que afete os dados do Cliente, com as informações então disponíveis, e cooperará com as próprias obrigações do Cliente nos termos dos Artigos 33 e 34.

11. Responsabilidade

A responsabilidade nos termos deste DPA está sujeita às limitações dos Termos de Serviço da Voix, exceto quando a Legislação de Proteção de Dados Aplicável proibir tal limitação.

12. Vigência e legislação aplicável

Este DPA vigora durante a duração do serviço. É regido pelas leis da Espanha; as disputas ficam sujeitas aos tribunais de Barcelona, sem prejuízo dos direitos imperativos dos titulares dos dados ou dos consumidores.

Anexo 1: Detalhes do tratamento

• Objeto: prestação do serviço de resumos de caixa de entrada da Voix aos usuários autorizados do Cliente.
• Duração: o prazo do contrato de serviço.
• Natureza e finalidade: leitura das mensagens das caixas de entrada conectadas sob demanda, priorização por IA, geração e (mediante aprovação) envio de rascunhos de resposta, monitoramento de respostas, e administração de conta e faturamento.
• Tipos de dados pessoais: assunto, remetente e trecho do e-mail; texto de mensagens das fontes conectadas; identidade de conta (nome, e-mail); resumos priorizados derivados; metadados de faturamento. Sem dados de cartão (hospedados pela Stripe). Sem dados de categoria especial (Art. 9) de forma intencional, embora possam aparecer incidentalmente na correspondência.
• Categorias de titulares dos dados: os usuários autorizados do Cliente e terceiros que apareçam nas mensagens desses usuários.

Anexo 2: Medidas técnicas e organizacionais (Art. 32)

• Criptografia em repouso: criptografia AES-256-GCM em nível de aplicação sobre os tokens de OAuth e de conectores, os corpos de mensagem armazenados e os números de telefone, além de criptografia de disco AES-256 na camada de banco de dados, hospedada na UE (Frankfurt).
• Criptografia em trânsito: TLS 1.2 ou superior.
• Controle de acesso: a propriedade por usuário é aplicada no lado do servidor a partir da sessão autenticada, nunca de um valor fornecido pelo cliente; segurança em nível de linha ativada com padrões de negação total; a chave de serviço privilegiada é somente do servidor e nunca chega ao navegador.
• Minimização: mensagens lidas sob demanda (cerca de 10 recentes), sem armazenamento do corpo completo nem de anexos; escopos do Gmail limitados a leitura e envio (mais leitura opcional da agenda).
• Sem ação autônoma: todo envio de e-mail exige aprovação explícita do usuário sobre um rascunho totalmente visível.
• Tratamento de conteúdo não confiável: o conteúdo das mensagens é tratado como dado e nunca executado como instrução (defesa contra injeção indireta de prompts).
• Controles de abuso: limites de uso por usuário; os endpoints de faturamento, IA, voz e telefonia falham de forma fechada.
• Controles de suboperadores: os provedores de IA são contratualmente proibidos de treinar com os dados; nenhum dado é vendido ou compartilhado com anunciantes.
• Retenção e exclusão: apagamento de conteúdo em 30 dias; cascata de exclusão de 30/60/90 dias; concessão de OAuth do provedor revogada na exclusão.
• Registro de logs: logs de acesso e de auditoria retidos por 90 dias.

Anexo 3: Suboperadores autorizados

A Voix recorre aos seguintes suboperadores. Aqueles marcados como condicionais são acionados apenas quando você ativa o recurso correspondente.

• Anthropic (EUA): priorização por IA e redação de respostas.
• Google Workspace + Google Cloud Text-to-Speech (EUA/global): leitura/envio da caixa de entrada e síntese do resumo falado.
• Microsoft (EUA/UE): e-mail do Outlook, agenda e chat do Teams (quando o Microsoft 365 está conectado).
• Clerk (EUA): identidade de login (nome + e-mail).
• Supabase (UE, Frankfurt): armazenamento de dados principal.
• Stripe (EUA/UE): faturamento.
• Vercel (EUA): hospedagem do aplicativo.
• PostHog (UE, Frankfurt): análise e monitoramento de erros, condicionados a consentimento.
• Condicionais: Resend (EUA, e-mail matinal), Twilio e Vapi (EUA, Chamada Privada), Meta (EUA/global, WhatsApp/Instagram para empresas).