Acordo de tratamento de dados pessoais

§ 1. Partes e objeto

1. O controlador é o Cliente. O operador é VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (doravante: “Operador”).

2. O objeto do acordo é o tratamento, pelo Operador, em nome do Cliente, dos dados pessoais dos Autores na medida necessária para a prestação do Serviço: leitura de Publicações públicas nas Fontes indicadas, sua avaliação, armazenamento de leads e envio de notificações.

3. O acordo vigora durante o prazo do contrato de uso do Serviço e até a exclusão dos dados nos termos do § 9.

§ 2. Natureza, finalidade, tipo de dados e categorias de titulares

1. Natureza do tratamento: coleta automatizada, registro, organização, armazenamento, análise de conteúdo, disponibilização ao Cliente e exclusão.

2. Finalidade: identificação de Publicações públicas nas quais o Autor expressa demanda por um produto ou serviço do Cliente, a fim de permitir que o Cliente estabeleça contato.

3. Tipo de dados: nome e sobrenome ou nome do perfil do Autor, link para o perfil, se público, conteúdo da Publicação, data de publicação, endereço da Fonte, contadores públicos de reações e comentários, resultado da avaliação da Publicação com justificativa gerada pelo Serviço, status do lead atribuído pelo Cliente.

4. Categorias de titulares: Autores de Publicações públicas nas Fontes indicadas pelo Cliente.

5. O Operador não trata intencionalmente, em nome do Cliente, dados de categorias especiais. O Cliente compromete-se a não indicar Fontes cujo tema revele tais dados (Regulamento § 7 item 3). Se, ainda assim, uma Publicação contiver tais dados, eles serão tratados exclusivamente como elemento do conteúdo da Publicação, sem análise separada, e estarão sujeitos ao mesmo período de exclusão que os demais.

§ 3. Instruções do Cliente

1. O Operador trata os dados exclusivamente mediante instruções documentadas do Cliente. Constituem instruções: este acordo, o Regulamento e as configurações inseridas pelo Cliente no painel — lista de Fontes, cronograma de varreduras, critérios de avaliação, canais de notificações, Plano e o período de armazenamento dele decorrente.

2. Se o Operador considerar que uma instrução viola o RGPD ou outras disposições de proteção de dados, informará o Cliente sem demora e poderá suspender sua execução até o devido esclarecimento.

3. O Operador não transfere dados a um país terceiro ou organização internacional exceto nos termos do § 7, salvo se tal obrigação lhe for imposta pelo direito da União ou de um Estado-Membro; nesse caso, informará o Cliente antes do início do tratamento, salvo se a lei o proibir.

§ 4. Obrigações do Operador

1. Assegura que as pessoas autorizadas a tratar dados tenham se comprometido com a confidencialidade e que somente tenham acesso aos dados dos Autores as pessoas para as quais isso seja necessário; cada acesso aos dados dos Autores por um operador do Serviço, fora do funcionamento normal do Serviço, é registrado no log de auditoria.

2. Implementa medidas técnicas e organizacionais adequadas ao risco, em especial: criptografia de conexões, criptografia em repouso dos segredos de integração, isolamento dos dados de cada Organização com identificadores imprevisíveis, autenticação de dois fatores para contas de operadores, limitação do número de tentativas de login, exclusão automática de dados após o término do período de armazenamento, backups no Espaço Econômico Europeu e remoção de dados identificáveis do conteúdo enviado ao modelo de linguagem antes de seu envio.

3. Auxilia o Cliente no cumprimento da obrigação de responder às solicitações dos titulares dos dados. A solicitação de um Autor dirigida ao Operador é atendida centralmente (§ 8), e o Cliente é informado a respeito. A solicitação dirigida ao Cliente é atendida pelo Operador mediante sua instrução no prazo de 7 dias.

4. Auxilia o Cliente no cumprimento das obrigações dos arts. 32–36 do RGPD, inclusive disponibilizando as informações necessárias para a avaliação de impacto sobre a proteção de dados, considerando a natureza do tratamento e as informações de que dispõe.

5. Informa o Cliente sobre uma violação de dados pessoais que afete os dados dos Autores sem demora indevida, no máximo em 48 horas após tomar conhecimento da violação, fornecendo as circunstâncias conhecidas, as categorias e o número aproximado de pessoas, bem como as medidas adotadas. As informações serão complementadas progressivamente.

6. Disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28 do RGPD e permite auditorias nos termos do § 6.

§ 5. Subcontratação

1. O Cliente concede autorização geral para que o Subcontratado utilize outros subencarregados do tratamento listados em useleadscanner.com/legal/subprocessors, no âmbito ali descrito.

2. O Subcontratado informará o Cliente por e-mail, com pelo menos 30 dias de antecedência, sobre a intenção de adicionar ou alterar outro subencarregado do tratamento. O Cliente poderá, nesse prazo, apresentar objeção fundamentada por motivos relativos à proteção de dados. Se as partes não chegarem a um acordo, o Cliente poderá rescindir o contrato de uso do Serviço com efeitos na data de implementação da alteração, e a taxa referente ao período não utilizado será reembolsada proporcionalmente.

3. O Subcontratado impõe a cada outro subencarregado do tratamento, mediante contrato, as mesmas obrigações de proteção de dados às quais está sujeito e responde perante o Cliente pelo cumprimento dessas obrigações por esse subencarregado.

§ 6. Auditoria

1. O Cliente poderá verificar a execução do contrato, solicitando informações e documentos, incluindo resultados de auditorias e certificados de outros subencarregados do tratamento. O Subcontratado responderá no prazo de 14 dias.

2. Se as informações do item 1 não forem suficientes, o Cliente poderá realizar uma auditoria, por conta própria ou por meio de auditor sujeito a dever de confidencialidade, no máximo uma vez por ano, salvo em caso de violação de proteção de dados, mediante aviso prévio de pelo menos 14 dias, durante o horário comercial e de modo que não perturbe o funcionamento do Serviço nem viole a confidencialidade dos dados de outros clientes. Os custos da auditoria serão suportados pelo Cliente, salvo se a auditoria demonstrar violação relevante do contrato.

§ 7. Transferência de dados para fora do EEE

1. Os dados dos Autores são armazenados em servidores no Espaço Econômico Europeu.

2. A transferência para fora do EEE ocorre exclusivamente para outros subencarregados do tratamento indicados na lista do § 5 item 1, com base em decisão da Comissão Europeia sobre nível adequado de proteção (inclusive no âmbito do EU-U.S. Data Privacy Framework) e, na ausência ou em caso de invalidação dessa decisão — com base em cláusulas contratuais-padrão adotadas pela Comissão, complementadas por uma avaliação de impacto da transferência.

3. O fornecedor do modelo de linguagem utilizado no modo IA é a OpenAI Ireland Ltd (EEE), com base no acordo de tratamento de dados da OpenAI. As consultas ao modelo são tratadas em servidores da OpenAI nos Estados Unidos; a base para essa transferência são as cláusulas contratuais-padrão incorporadas a esse acordo. O conteúdo enviado pela API não é utilizado para treinar modelos. O conteúdo da Publicação enviado ao modelo é previamente desprovido de nomes e sobrenomes, endereços de e-mail, números de telefone e links para perfis.

§ 8. Objeção do Autor e lista de exclusão

1. O Autor que se opuser ao tratamento ou solicitar a exclusão dos dados poderá entrar em contato diretamente com o Subcontratado pelo e-mail [email protected]. O Subcontratado então excluirá os dados do Autor de todas as Organizações, inclusive da Organização do Cliente, e registrará um hash irreversível do identificador do Autor na lista de exclusão, graças à qual as varreduras subsequentes ignorarão suas Publicações.

2. O Cliente reconhece que a objeção do Autor é atendida sem o consentimento separado do Cliente e que, devido à natureza local do identificador, nem sempre é possível notificar o Cliente cuja Organização foi afetada; quando possível, o Subcontratado informará o Cliente sobre a exclusão.

3. A lista de exclusão é o único conjunto de dados dos Autores que o Subcontratado mantém em seu próprio nome, como controlador, com base no art. 6 item 1 alínea c do RGPD (obrigação de atender aos direitos dos titulares) e no art. 6 item 1 alínea f do RGPD (interesse legítimo na execução eficaz da objeção). A lista contém exclusivamente hashes dos quais não é possível reconstruir os dados do Autor e é mantida por prazo indeterminado, pois sua exclusão resultaria em nova coleta dos dados de uma pessoa que não o deseja.

§ 9. Término do tratamento

1. Os dados dos Autores são excluídos automaticamente após o término do período de retenção decorrente do Plano (Termos de Serviço § 5 item 6), e as Publicações que não foram avaliadas como Lead — da mesma forma e não mais tarde que os Leads.

2. Após o término do contrato de uso do Serviço, decorrido o período de carência de 30 dias, o Subcontratado excluirá todos os dados dos Autores tratados em nome do Cliente, juntamente com suas cópias, exceto a lista de exclusão (§ 8) e os dados cuja retenção seja exigida pela legislação da União ou de um Estado-Membro.

3. Antes do término do contrato, o Cliente poderá baixar, no painel, uma cópia dos Leads em formato aberto; esta é a forma de devolução dos dados referida no art. 28 item 3 alínea g do RGPD.

§ 10. Disposições finais

1. Cada parte responde pelos danos causados pelo tratamento, no âmbito decorrente do art. 82 do RGPD. Em relação ao Cliente que não seja Cliente privilegiado, aplica-se a limitação de responsabilidade prevista no § 10 dos Termos de Serviço, desde que isso não seja contrário às disposições imperativas.

2. Nas matérias não regulamentadas, aplicam-se os Termos de Serviço e o RGPD. A alteração do contrato ocorrerá conforme o procedimento de alteração dos Termos de Serviço.

3. O contrato foi redigido em polonês e inglês; em caso de divergência, a versão polonesa é vinculante. Vigora a partir de 2 de setembro de 2026.