Acordo de Tratamento de Dados

Todas as pessoas que a Kadaleo autoriza a tratar Dados Pessoais do Cliente estão vinculadas a um dever de confidencialidade.

A Kadaleo aplica as medidas indicadas em «Segurança» na Política de Privacidade e mantém-nas adequadas ao risco, como exige o artigo 32.º do RGPD.

O cliente dá à Kadaleo autorização geral para usar os subcontratantes ulteriores indicados abaixo, que tratam Dados Pessoais do Cliente por conta da Kadaleo. A Kadaleo vincula cada um a obrigações de proteção de dados equivalentes a este DPA e continua responsável por eles. A Política de Privacidade indica também os destinatários que atuam apenas para os fins próprios da Kadaleo ou como responsáveis pelo tratamento independentes.

Twilio. Quando um número de WhatsApp é ligado através da conta Twilio da Kadaleo, a Twilio Ireland Limited transmite as mensagens como nosso subcontratante ulterior, ao abrigo do Data Protection Addendum da Twilio. Separadamente, e não por instrução nossa, a Twilio trata dados de utilização das comunicações e, na medida do necessário, o conteúdo das mensagens como responsável pelo tratamento independente, para fins próprios: segurança da plataforma e prevenção de incidentes, prevenção de abusos e fraude (incluindo a melhoria das suas ferramentas internas e o treino dos seus modelos internos para esses fins), cumprimento legal e regulamentar, desenvolvimento e melhoria de produtos e análise de negócio (Data Protection Addendum da Twilio, secções 3.3 a 3.5). Não controlamos esse tratamento; o cliente deve referi-lo no seu próprio aviso de privacidade, e a página de privacidade que a Kadaleo gera para o site do cliente fá-lo.

As transferências de Dados Pessoais do Cliente para fora do Espaço Económico Europeu baseiam-se numa decisão de adequação, incluindo o EU-US Data Privacy Framework quando o destinatário e o serviço estão certificados, ou nas Cláusulas Contratuais-Tipo constantes dos termos de tratamento de dados do fornecedor, com medidas suplementares sempre que necessário. O cliente pode pedir uma cópia das garantias em legal@kadaleo.com. A fal.ai não é contratada para tratar Dados Pessoais do Cliente e, por isso, não é uma subcontratante ulterior. Cada pedido de imagem ou vídeo é primeiro reescrito pelo nosso fornecedor de IA Anthropic (termos de subcontratante com as Cláusulas) numa descrição puramente visual, sem nomes, moradas, contactos, referências a pessoas reais ou locais que mostrem onde fica um negócio ou uma pessoa (uma cidade ou um monumento conhecidos podem ficar quando são a vista pedida), verificado uma segunda vez, e não é enviado se algum dos passos falhar. Nenhuma fotografia carregada por um cliente é alguma vez enviada à fal; um vídeo feito a partir de uma imagem usa apenas uma imagem gerada pela Kadaleo. Testamos este filtro com exemplos difíceis. Por ser automático, não se pode excluir por completo uma omissão rara. Se, ainda assim, chegarem dados pessoais à fal, a Kadaleo trata o caso como uma violação de dados pessoais: contém-na, pede à fal que apague o pedido e qualquer ficheiro criado a partir dele (cada pedido já indica à fal que não guarde histórico dos pedidos) e notifica o cliente afetado sem demora injustificada, nos termos da secção sobre violações de dados pessoais. Este procedimento não é uma garantia de transferência na aceção do Capítulo V do RGPD e não torna essa transferência lícita. Se alguma vez pretendermos enviar à fal dados que identifiquem uma pessoa, celebraremos primeiro cláusulas entre subcontratantes (Módulo 3) e incluiremos a fal na lista de subcontratantes ulteriores com 14 dias de aviso.

A Kadaleo notifica o cliente sem demora injustificada depois de tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente, com a informação de que dispõe para ajudar o cliente a cumprir os seus próprios deveres de notificação.

Quando o titular encerra uma conta em Definições, os Dados Pessoais do Cliente ficam disponíveis para exportação durante 30 dias, período em que o encerramento pode ser cancelado. São depois eliminados e saem das cópias de segurança rotativas no prazo de 35 dias após a eliminação, pelo que todo o ciclo termina em cerca de 65 dias. As cópias de segurança servem apenas para recuperar de falhas; se alguma for alguma vez restaurada, os encerramentos já efetuados são efetuados de novo automaticamente. A Kadaleo conserva as suas próprias faturas e registos fiscais durante o prazo legal, que não se estende aos dados de CRM do cliente, às conversas nem às cópias de segurança. O cliente pode eliminar dados mais cedo no produto ou escrevendo para legal@kadaleo.com. Os passos para dados recebidos de plataformas ligadas estão na página Eliminação de dados.

A Kadaleo dá ao cliente a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, realizadas pelo cliente ou por um auditor por si mandatado. Uma auditoria começa normalmente por documentos e revisão remota. Uma inspeção no local, ou uma nova auditoria no mesmo ano, tem lugar quando os documentos não bastem para demonstrar o cumprimento, após uma violação de dados pessoais, ou quando uma autoridade de controlo o exija. O cliente dá aviso escrito razoável, de pelo menos 30 dias, exceto após uma violação ou quando uma autoridade exija menos, e a auditoria realiza-se durante o horário de expediente, sob confidencialidade, sem acesso a dados de outros clientes e sem pôr em risco a sua segurança. Cada parte suporta os seus próprios custos, exceto que a Kadaleo pode cobrar custos razoáveis por uma auditoria para além de uma por ano que não seja causada por uma violação do seu lado. Quanto aos seus subcontratantes ulteriores, a Kadaleo pode apoiar-se nas respetivas certificações e relatórios de auditoria.

A responsabilidade entre as partes ao abrigo deste DPA está sujeita aos limites dos Termos de Utilização, na medida em que a lei o permita. Nada neste DPA limita os direitos dos titulares dos dados, os poderes das autoridades de controlo, as Cláusulas Contratuais-Tipo, quando aplicáveis, ou os meios de recurso que a lei não permita limitar. Se este DPA e os Termos entrarem em conflito quanto ao tratamento de dados pessoais, prevalece este DPA. Aplicam-se aos litígios entre as partes a lei portuguesa e os tribunais da Comarca da Madeira (Funchal), como nos Termos, sem prejuízo da lei imperativa. A versão em inglês prevalece sobre as traduções.