Acordo entre controladores conjuntos

§ 1. Partes e objeto

1. Os controladores conjuntos dos dados dos Autores são: VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (doravante: “VERTOM”) e o Cliente.

2. A controladoria conjunta abrange a leitura de Posts públicos nas Fontes indicadas, a sua avaliação, a preparação do Rascunho de resposta, o armazenamento de Leads e o envio de notificações.

3. A controladoria conjunta não abrange o que o Cliente faz com o Lead após o seu recebimento: contato com o Autor, registro dos dados nos seus próprios sistemas e correspondência posterior. Nesse âmbito, o Cliente é um controlador independente e responde por isso sozinho.

4. O acordo vigora durante a vigência do contrato de utilização do Serviço e até à eliminação dos dados nos termos do § 9.

§ 2. Natureza, finalidade, tipo de dados e categorias de pessoas

1. Natureza do tratamento: coleta automatizada, registro, organização, armazenamento, análise de conteúdo, disponibilização ao Cliente e eliminação.

2. Finalidade: identificação de Posts públicos nos quais o Autor manifesta necessidade de um produto ou serviço do Cliente, para permitir que o Cliente estabeleça contato.

3. Tipo de dados: nome e sobrenome ou nome do perfil do Autor, link para o perfil, se for público, conteúdo do Post, data de publicação, endereço da Fonte, contadores públicos de reações e comentários, resultado da avaliação do Post juntamente com a justificativa gerada pelo Serviço, conteúdo do Rascunho de resposta e status do Lead atribuído pelo Cliente.

4. Categorias de pessoas: Autores de Posts públicos nas Fontes indicadas pelo Cliente, nos serviços Facebook, Reddit e X.

5. Não tratamos intencionalmente dados de categorias especiais. A lista de Fontes proibidas é estabelecida pela VERTOM (Termos § 7, n.º 3) e aplica-se independentemente da vontade do Cliente. Se, apesar disso, o Post contiver esses dados, eles serão tratados exclusivamente como elemento do conteúdo do Post, sem análise separada, e estarão sujeitos ao mesmo período de eliminação que os demais.

§ 3. Divisão de obrigações (art. 26, n.º 1, do RGPD)

1. A VERTOM define e executa: a forma de leitura dos Posts, o escopo dos campos registrados, o período de armazenamento, o modelo utilizado para a avaliação, a eliminação de dados identificadores do conteúdo transmitido ao modelo, a lista de Fontes proibidas e as medidas técnicas e organizacionais (§ 4).

2. O Cliente define e executa: a lista de Fontes, os critérios de avaliação, o cronograma das Varreduras, os canais de notificação e a finalidade e forma de utilização do Lead após o seu recebimento.

3. A obrigação de informação perante os Autores (art. 14 do RGPD) é cumprida pela VERTOM. A informação é publicada em useleadscanner.com/legal/notice-for-authors, em cada idioma em que o Serviço estiver disponível. O Cliente indica esse endereço ao Autor que lhe perguntar sobre a fonte dos seus dados.

4. O ponto de contato para os Autores, na aceção do art. 26, n.º 1, terceira frase, do RGPD, é a VERTOM: [email protected]. A VERTOM recebe e atende às solicitações dos Autores (§ 8), também quando se referem a dados na Organização do Cliente. O Cliente que receber uma solicitação diretamente a encaminha sem demora para esse endereço.

5. Independentemente da divisão acima, o Autor pode exercer os direitos que lhe assistem perante cada um dos controladores conjuntos (art. 26, n.º 3, do RGPD), e cada um deles responde perante o Autor nos termos do art. 82 do RGPD.

6. Se a VERTOM considerar que uma configuração introduzida pelo Cliente viola as normas de proteção de dados, informará o Cliente e poderá suspender as Varreduras até ao esclarecimento.

§ 4. Medidas e obrigações da VERTOM

1. A VERTOM assegura que as pessoas autorizadas a tratar dados assumiram o compromisso de confidencialidade e que apenas as pessoas para as quais isso seja necessário têm acesso aos dados dos Autores; cada leitura dos dados dos Autores por um operador do Serviço, fora do funcionamento habitual do Serviço, é registrada no registro de auditoria.

2. Implementa medidas técnicas e organizacionais adequadas ao risco, em especial: criptografia das conexões, criptografia dos segredos de integração em repouso, isolamento dos dados de cada Organização com identificadores imprevisíveis, autenticação de dois fatores para contas de operadores, limitação do número de tentativas de login, eliminação automática dos dados após o término do período de armazenamento, cópias de segurança no Espaço Econômico Europeu e eliminação dos dados identificadores do conteúdo transmitido ao modelo de linguagem antes do seu envio.

3. Atende centralmente às solicitações dos Autores (§ 8) e informa o Cliente sobre elas, quando possível. A VERTOM atende a solicitação dirigida ao Cliente no prazo de 7 dias a contar do seu encaminhamento.

4. Disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações decorrentes dos arts. 26 e 32–36 do RGPD, na medida em que se refiram à parte do tratamento conduzida pela VERTOM.

5. Informa o Cliente sobre uma violação de dados pessoais que afete os dados dos Autores sem demora indevida, o mais tardar no prazo de 48 horas após tomar conhecimento da violação, indicando as circunstâncias de que tem conhecimento, as categorias e o número aproximado de pessoas, bem como as medidas adotadas. A notificação à autoridade supervisora no âmbito do tratamento referido no § 3, n.º 1, é efetuada pela VERTOM.

6. Permite ao Cliente verificar a execução deste acordo nos termos do § 6.

§ 5. Processadores e fontes de dados

1. A VERTOM utiliza os processadores indicados na lista disponível em useleadscanner.com/legal/subprocessors, no âmbito ali descrito. O Cliente dá para isso uma autorização geral.

2. A mesma lista indica as fontes de dados: entidades que disponibilizam conteúdos públicos dos serviços Reddit e X. Elas não atuam sob nossa instrução — elas próprias determinam como coletam esses conteúdos e, em relação aos dados dos Autores, atuam como controladores independentes. Não são processadores e não celebramos com elas contratos de tratamento nos termos do art. 28 do RGPD; nós as indicamos porque os dados dos Autores provêm delas, e o Cliente tem o direito de saber de onde.

3. A VERTOM informa o Cliente por e-mail, com pelo menos 30 dias de antecedência, sobre a intenção de adicionar ou alterar um processador ou uma fonte de dados. O Cliente poderá, nesse prazo, apresentar oposição, indicando razões justificadas relacionadas à proteção de dados. Se as partes não chegarem a um entendimento, o Cliente poderá rescindir o contrato de utilização do Serviço com efeitos na data da introdução da alteração, e a taxa pelo período não utilizado será reembolsada proporcionalmente.

4. A VERTOM impõe contratualmente a cada processador as mesmas obrigações de proteção de dados que lhe incumbem e responde perante o Cliente pelo cumprimento dessas obrigações por esse processador.

§ 6. Verificação e auditoria

1. O Cliente pode verificar a execução deste acordo solicitando informações e documentos, incluindo resultados de auditorias e certificados dos processadores. A VERTOM responde no prazo de 14 dias.

2. Se as informações do n.º 1 não forem suficientes, o Cliente poderá realizar uma auditoria, por si ou por meio de um auditor vinculado por dever de confidencialidade, no máximo uma vez por ano, salvo se tiver ocorrido uma violação de dados pessoais, mediante aviso prévio de pelo menos 14 dias, durante o horário de trabalho e de forma que não perturbe o funcionamento do Serviço nem viole a confidencialidade dos dados de outros clientes. Os custos da auditoria serão suportados pelo Cliente, salvo se a auditoria demonstrar uma violação substancial do acordo.

§ 7. Transferência de dados para fora do EEE

1. Os dados dos Autores são armazenados em servidores no Espaço Econômico Europeu.

2. A transferência de dados para fora do EEE ocorre exclusivamente para os processadores indicados na lista do § 5, item 1, com base em uma decisão da Comissão Europeia sobre um nível adequado de proteção (inclusive no âmbito do EU-U.S. Data Privacy Framework) e, na sua ausência ou em caso de sua invalidação — com base em cláusulas contratuais-padrão adotadas pela Comissão, complementadas por uma avaliação de impacto da transferência.

3. O fornecedor do modelo de linguagem utilizado no Modo IA é a OpenAI Ireland Ltd (EEE), com base no contrato de processamento de dados da OpenAI. As consultas ao modelo são processadas em servidores da OpenAI nos Estados Unidos; a base para essa transferência são as cláusulas contratuais-padrão incorporadas a esse contrato. O conteúdo transmitido pela API não é utilizado para treinar modelos. O conteúdo da Postagem transmitido ao modelo é previamente desprovido de nomes e sobrenomes, endereços de e-mail, números de telefone e links para perfis.

4. O fornecedor de acesso aos conteúdos públicos dos serviços Reddit e X tem sede fora do EEE, mas a direção do fluxo aqui é inversa à dos itens 2 e 3. Não lhe disponibilizamos dados dos Autores: enviamos o nome da Fonte e a expressão de pesquisa, e recebemos conteúdos públicos juntamente com os dados de seus Autores. A receção de dados de uma fonte fora do EEE constitui recolha de dados, e não transferência na aceção do Capítulo V do RGPD, e está sujeita às mesmas regras que qualquer outra recolha descrita nestes acordos.

5. Um fluxo, contudo, segue para fora e pode identificar uma pessoa: quando a Fonte é uma conta pública específica no serviço X, o seu nome sai do EEE. O nome é público, nós o enviamos exclusivamente para ler as postagens públicas dessa conta e não o associamos a quaisquer outros dados. A qualificação jurídica desse único fluxo é objeto de consulta jurídica; inseriremos o seu resultado neste local. Exceto por ele, os dados pessoais não podem sair do EEE por essa via, razão pela qual o Regulamento § 7, item 2, alínea e, proíbe o Cliente de utilizar dados pessoais como expressão de pesquisa.

6. A avaliação da legalidade da fonte na aceção do Parecer do CEPD 28/2024 para ambas essas fontes está em elaboração. Até que seja concluída, nós as utilizamos, assumindo conscientemente o risco descrito no § 5, item 2, e neste item; disponibilizaremos essa avaliação ao Cliente mediante solicitação, quando estiver pronta.

§ 8. Oposição do Autor e lista de exclusão

1. O Autor que se opuser ao tratamento ou solicitar a eliminação dos dados poderá dirigir-se à VERTOM em [email protected] — como ponto de contato dos controladores conjuntos (§ 3, n.º 4) — ou diretamente ao Cliente. A VERTOM então elimina os dados do Autor de todas as Organizações, inclusive da Organização do Cliente, e registra um hash irreversível do identificador do Autor na lista de exclusão, graças à qual as Varreduras subsequentes ignoram os seus Posts.

2. O Cliente reconhece que a oposição do Autor é atendida sem o consentimento separado do Cliente e que, devido à natureza local do identificador, nem sempre é possível determinar a qual Organização ela se referia; quando possível, a VERTOM informa o Cliente sobre a eliminação.

3. A lista de exclusão é um conjunto que a VERTOM mantém de forma independente como controladora, com base no art. 6, n.º 1, alínea c, do RGPD (obrigação de atender aos direitos das pessoas) e no art. 6, n.º 1, alínea f, do RGPD (interesse legítimo no atendimento eficaz da oposição). A lista contém exclusivamente hashes dos quais não é possível reconstruir os dados do Autor e é mantida por prazo indeterminado, pois a sua eliminação significaria coletar novamente os dados de uma pessoa que não o deseja.

§ 9. Encerramento do tratamento

1. Os dados dos Autores são eliminados automaticamente após o término do período de armazenamento resultante do Plano (Termos § 5, n.º 6), e os Posts que não tenham sido avaliados como Lead — da mesma forma e o mais tardar juntamente com os Leads.

2. Após o término do contrato de utilização do Serviço, decorrido o período de carência de 30 dias, a VERTOM elimina todos os dados dos Autores tratados em conexão com a Organização do Cliente, juntamente com as suas cópias, exceto a lista de exclusão (§ 8) e os dados cuja conservação seja exigida pelo direito da União ou de um Estado-Membro.

3. Antes do término do contrato, o Cliente pode baixar no painel uma cópia dos Leads em formato aberto. A partir do momento do download, o Cliente é o controlador independente em relação a essa cópia e determina por si próprio o seu período de armazenamento.

§ 10. Disposições finais

1. Cada um dos controladores conjuntos responde perante o Autor pelos danos causados pelo tratamento nos termos do art. 82 do RGPD; o Autor pode exigir a reparação de qualquer um deles. Os acertos entre as partes a esse título ocorrem de acordo com a divisão de obrigações do § 3. Em relação ao Cliente que não seja um Cliente privilegiado, aplica-se a limitação de responsabilidade prevista no § 10 dos Termos, desde que isso não contrarie normas imperativas.

2. Nas matérias não reguladas, aplicam-se os Termos e o RGPD. A alteração do acordo ocorre pelo procedimento de alteração dos Termos.

3. O acordo foi elaborado em sete idiomas; em caso de divergências, a versão polonesa é vinculante. Ele vigora a partir de 7 de setembro de 2026. Substituiu o Contrato de tratamento de dados pessoais de 2 de setembro de 2026, que se baseava na premissa equivocada de que o Cliente era o único controlador dos dados dos Autores.