Aditivo de Proteção de Dados

Data de vigência:

Este Aditivo de Proteção de Dados (este "Aditivo") é um contrato juridicamente vinculativo entre você e Powertokens.ai (a "Empresa", "nós" ou "nosso"), que rege o processamento, acesso e uso de dados pessoais em conexão com o uso do site, plataforma, documentação e serviços relacionados (coletivamente, os "Serviços").

Ao criar uma conta, acessar os Serviços, comprar créditos, gerar ou encaminhar solicitações através da plataforma, ou de outra forma usar os Serviços, você concorda e aceita os termos deste Aditivo. Se você não concordar, não poderá acessar ou usar os Serviços.

Os termos usados neste Aditivo de Dados terão os significados estabelecidos neste Aditivo de Dados. Exceto conforme complementado ou modificado abaixo, os termos do Contrato do Usuário permanecerão em pleno vigor e efeito.

1. Definições

1.1

"Lei de Proteção de Dados Aplicável" significa qualquer lei, regulamento ou outro instrumento vinculativo relativo ao processamento de dados pessoais que se aplique ao Exportador de Dados (e qualquer outro controlador relevante) periodicamente, incluindo, mas não se limitando a: a Lei de Proteção de Dados Pessoais de Singapura de 2012 (PDPA); o Regulamento Geral de Proteção de Dados da UE (UE 2016/679) (o "RGPD da UE"); a versão do RGPD da UE incorporada às leis da Inglaterra e País de Gales, Escócia e Irlanda do Norte pela Lei de Retirada da União Europeia de 2018 (o "RGPD do Reino Unido"); a Lei Federal Suíça de Proteção de Dados ("FADP"); as leis e regulamentos federais e/ou estaduais de proteção de dados ou privacidade dos EUA, incluindo, mas não se limitando à Lei de Direitos de Privacidade da Califórnia de 2020, à Lei de Privacidade do Consumidor da Califórnia de 2018 (juntamente com seus regulamentos de implementação, a "CPRA"), e quaisquer outras leis e regulamentos relativos ao processamento de dados pessoais.

1.2

"Controlador" geralmente significa a entidade que, isoladamente ou em conjunto com outras, determina as finalidades e os meios do processamento de dados pessoais. Na medida em que o processamento de dados pessoais sob este Aditivo estiver sujeito à Lei de Proteção de Dados Aplicável, terá o mesmo significado que o termo similar definido na Lei de Proteção de Dados Aplicável.

1.3

"Exportador de Dados" significa o controlador ou processador que transfere dados pessoais além-fronteiras de acordo com este Aditivo.

1.4

"Importador de Dados" significa o processador localizado em um país diferente do Exportador de Dados.

1.5

"Titular dos Dados" significa qualquer pessoa singular cujos dados pessoais possam ser processados de acordo com este Aditivo.

1.6

"Dados Pessoais" geralmente significa qualquer informação relativa a uma pessoa singular identificada ou identificável que seja processada no curso da prestação dos Serviços. Na medida em que o processamento de dados pessoais sob este Aditivo estiver sujeito à Lei de Proteção de Dados Aplicável, terá o mesmo significado que o termo similar definido na Lei de Proteção de Dados Aplicável.

1.7

"Processar", "Processado" ou "Processamento" significa qualquer operação ou conjunto de operações realizadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou de outra forma disponibilização, alinhamento ou combinação, restrição, apagamento ou destruição de dados pessoais. Para os fins deste Aditivo, as atividades de processamento são realizadas de forma transfronteiriça e, portanto, incluem transferências transfronteiriças, ou seja, a transferência de dados pessoais pelo Exportador de Dados para o Importador de Dados localizado em um país ou região diferente, ou o Exportador de Dados permitindo que o Importador de Dados localizado em um país ou região diferente processe dados pessoais.

1.8

"Processador" geralmente significa a entidade que processa dados pessoais em nome do Controlador. Na medida em que o processamento de dados pessoais sob este Aditivo estiver sujeito à Lei de Proteção de Dados Aplicável, terá o mesmo significado que o termo similar definido na Lei de Proteção de Dados Aplicável.

1.9

"Subprocessador" significa qualquer terceiro contratado pelo Processador para processar dados pessoais em nome do Controlador.

1.10

"Serviços" significa os serviços ou ofertas de produtos conforme definidos no Contrato do Usuário.

1.11

"Violação de Dados Pessoais" significa uma violação de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, de forma acidental ou ilícita.

2. Data de Vigência

2.1

Este Aditivo entrará em vigor na mesma data de vigência do Contrato do Usuário e terá a mesma duração.

3. Atividades e Funções de Processamento

3.1

Você concorda que, salvo disposição em contrário neste Aditivo, o processamento de dados pessoais será realizado de acordo com a Seção 4.1 e, quando aplicável, outras descrições de atividades de processamento estabelecidas no "Anexo I — Disposições Jurisdicionais Específicas".

3.2

Você concorda que, para fins de prestação dos Serviços,

(i)

você atua como Controlador e concorda que PowerTokens e os Provedores de Modelos atuam como Processadores e que os dados pessoais serão transferidos além-fronteiras para processamento; e

(ii)

você atua como Processador e concorda que PowerTokens e os Provedores de Modelos atuam como Processadores adicionais (Subprocessadores) e que os dados pessoais serão transferidos além-fronteiras para processamento.

4. Obrigações das Partes

O Processador, como Importador de Dados, deverá:

(a)

Processar dados pessoais exclusivamente para fins de prestação dos Serviços a você, incluindo, mas não se limitando a entrega de serviços, suporte operacional, resolução de problemas, análise de dados, geração de relatórios e outras funções comerciais expressamente solicitadas por você. O Processador processará dados pessoais estritamente de acordo com suas instruções por escrito durante todo o período de vigência dos Serviços. A menos que o Processador receba instruções adicionais por escrito de você, não processará dados pessoais além das finalidades estabelecidas acima. Se o Processador acreditar razoavelmente que qualquer uma de suas instruções possa entrar em conflito com a Lei de Proteção de Dados Aplicável, deverá notificá-lo prontamente. Você deverá então fornecer instruções alteradas ou suplementares que estejam em conformidade com a Lei de Proteção de Dados Aplicável.

(b)

Se a Lei de Proteção de Dados Aplicável, ordem judicial, intimação ou outro procedimento legal ou judicial exigir que o Processador processe dados pessoais de maneira inconsistente com suas instruções, informá-lo desse requisito legal antes de tal processamento, a menos que a lei aplicável obrigatória (particularmente por motivos de interesse público substancial) proíba tal notificação.

(c)

Empregar esforços comercialmente razoáveis para cumprir a Lei de Proteção de Dados Aplicável relativa a transferências transfronteiriças de dados pessoais.

(d)

Garantir que as pessoas autorizadas a processar dados pessoais tenham se comprometido com a confidencialidade ou estejam sob uma obrigação estatutária apropriada de confidencialidade.

(e)

Em caso de Violação de Dados Pessoais envolvendo dados pessoais processados pelo Processador sob este Aditivo, tomar medidas apropriadas para lidar com tal violação e notificá-lo sem demora indevida após tomar conhecimento da violação e de seu impacto adverso na segurança dos dados pessoais recebidos de você, a menos que o acesso ou processamento de seus dados pessoais esteja de acordo com suas instruções.

(f)

Após a rescisão deste Aditivo por qualquer motivo, cessar o processamento de dados pessoais e, mediante sua solicitação por escrito,

(i)

devolver ou permitir a devolução dos dados pessoais em sua posse ou controle, ou

(ii)

excluir com segurança ou tornar permanentemente ilegíveis ou inacessíveis as cópias existentes de dados pessoais; a menos que a retenção e processamento continuados sejam exigidos ou permitidos pela Lei de Proteção de Dados Aplicável e/ou lei aplicável obrigatória.

Você, como Exportador de Dados, deverá:

(a)

Cumprir a Lei de Proteção de Dados Aplicável ao usar os Serviços, incluindo garantir que a coleta, armazenamento e transferência transfronteiriça de seus dados pessoais estejam em conformidade com a Lei de Proteção de Dados Aplicável e, em particular, que você tenha obtido quaisquer consentimentos/autorizações necessários e de outra forma tenha uma base legal que permita ao Processador realizar o processamento de dados pessoais sob este Aditivo.

(b)

Garantir que a Lei de Proteção de Dados Aplicável, em particular as regras relativas a transferências transfronteiriças de dados pessoais, não impeça o Processador de cumprir este Aditivo e executar suas instruções.

(c)

Se você atuar como Processador, deverá informar o PowerTokens por escrito que está atuando como Processador de acordo com as instruções do seu Controlador, e deverá fornecer tais instruções ao PowerTokens antes do processamento. Dado que você tem um relacionamento direto com o seu Controlador, você será responsável por transmitir todas as informações, assistência e notificações ao Controlador para cumprir suas obrigações sob a Lei de Proteção de Dados Aplicável e os detalhes do processamento de dados pessoais sob este Aditivo, e por encaminhar ao PowerTokens todas as instruções do Controlador relativas ao processamento de dados pessoais sob este Aditivo. Você deverá garantir que suas instruções adicionais não entrem em conflito com as instruções do seu Controlador.

5. Subprocessamento — Aplicável aos Provedores de Modelos

5.1

Você concede aos Provedores de Modelos uma autorização geral para contratar Subprocessadores para fins de prestação dos Serviços a você, o que pode envolver transferências posteriores de dados pessoais.

5.2

Os Provedores de Modelos manterão uma lista atualizada de todos os Subprocessadores, que estará disponível na "página de Subprocessadores" dos Provedores de Modelos. Se um Provedor de Modelos nomear um Subprocessador, o Provedor de Modelos garantirá que um contrato por escrito seja celebrado com tal Subprocessador contendo disposições de proteção de dados que forneçam um nível de proteção pelo menos equivalente às disposições deste Aditivo. O Provedor de Modelos notificará você sobre qualquer nova nomeação de Subprocessador atualizando a página de Subprocessadores. Se você não apresentar uma objeção por escrito (com base em motivos razoáveis relativos à proteção de dados pessoais) dentro de sete (7) dias após tal atualização, você será considerado como tendo consentido com tal nomeação.

5.3

Se você usar os serviços de modelo de um Provedor de Modelos e tal Provedor de Modelos fornecer uma lista de Subprocessadores, as disposições desta Seção se aplicarão. Para maior clareza, nem todos os Provedores de Modelos fornecem uma lista de Subprocessadores; se o Provedor de Modelos envolvido no seu uso fornece uma lista de Subprocessadores será regido pelos termos no site oficial de tal Provedor de Modelos; você deverá consultar tais termos antes do uso. Portanto, independentemente de os Provedores de Modelos terem tomado medidas razoáveis para garantir que os Subprocessadores cumpram este Aditivo, o PowerTokens não será responsável por qualquer ato ou omissão dos Provedores de Modelos e dos Subprocessadores.

6. Solicitações de Titulares de Dados

6.1

Se o Processador receber diretamente uma solicitação de um Titular de Dados ou de qualquer pessoa agindo em seu nome para exercer direitos sob a Lei de Proteção de Dados Aplicável (uma "Solicitação de Titular de Dados"), e o Processador puder razoavelmente identificar tal solicitação como relacionada a você e/ou seus dados pessoais com base nas informações fornecidas, o Processador deverá:

(i)

notificá-lo prontamente sobre tal solicitação;

(ii)

não responder a qualquer solicitação por conta própria, a menos que autorizado pelo Controlador ou exigido pela Lei de Proteção de Dados Aplicável; se assim exigido por lei, o Processador deverá, na medida permitida pela Lei de Proteção de Dados Aplicável, informá-lo desse requisito legal antes de responder a tal solicitação.

6.2

Para evitar dúvidas, o PowerTokens e os Provedores de Modelos, como Processadores ou Subprocessadores, não serão responsáveis por responder a Solicitações de Titulares de Dados. Os Serviços fornecidos pelo Processador podem conter medidas técnicas e organizacionais projetadas, levando em consideração a natureza do processamento, para ajudá-lo a cumprir sua obrigação de responder a Solicitações de Titulares de Dados na medida do possível. Você reconhece e concorda que é o único responsável por verificar a validade de qualquer Solicitação de Titular de Dados e instruir o Processador de acordo.

6.3

Para evitar dúvidas, nada neste Aditivo renuncia ou altera quaisquer direitos que os Titulares de Dados possam ter sob a Lei de Proteção de Dados Aplicável.

7. Segurança

7.1

As Partes concordam que, durante o processamento de dados pessoais (incluindo transferências transfronteiriças e transferências posteriores), medidas técnicas e organizacionais apropriadas serão tomadas para garantir a segurança dos dados pessoais sob este Aditivo.

7.2

O Processador não tem obrigação de avaliar o conteúdo ou a precisão dos dados pessoais, incluindo a identificação de informações sujeitas a quaisquer requisitos legais, regulatórios ou outros específicos, exceto conforme acordado de outra forma neste Aditivo e seus Anexos. Você é o único responsável por determinar independentemente se o uso dos Serviços atenderá aos seus requisitos e às suas obrigações legais sob a Lei de Proteção de Dados Aplicável.

8. Assistência e Notificação

8.1

Se você solicitar razoavelmente assistência do PowerTokens (seja em seu próprio nome ou em nome do seu Controlador) para fins de cumprimento de suas obrigações legais sob a Lei de Proteção de Dados Aplicável, ou para responder a solicitações de autoridades reguladoras, Titulares de Dados ou outras partes para obter informações relativas ao processamento de dados pessoais pelo PowerTokens, e o PowerTokens ou seus representantes puderem fornecer tal assistência, o PowerTokens fornecerá tal assistência, a menos que o PowerTokens seja proibido de fazê-lo pela Lei de Proteção de Dados Aplicável. O PowerTokens reserva-se o direito de cobrar uma taxa razoável por tal assistência solicitada.

8.2

Todas as informações fornecidas para fins de prestação de assistência sob a Seção 8.1 serão informações confidenciais do PowerTokens e não serão divulgadas sem o consentimento prévio por escrito do PowerTokens, a menos que exigido por lei aplicável obrigatória.

8.3

Qualquer notificação ou resposta sob a Seção 4.1(e) não será considerada como reconhecimento de qualquer falha ou responsabilidade por parte do Processador ou Subprocessador em relação à execução dos Serviços.

As Partes concordam que: qualquer aviso, instrução, documento ou outra comunicação relativa a este Aditivo será inválida, a menos que satisfaça as seguintes condições:

(a)

Por escrito;

(b)

Em inglês ou acompanhada de uma tradução em inglês (em caso de conflito, a tradução em inglês prevalecerá);

(c)

Entregue ou enviada por [correio, serviço de courier, fax, comunicação eletrônica] ou qualquer outro meio capaz de transmitir comunicações escritas de forma legível e permanente.

9. Responsabilidade

9.1

Você será responsável perante o PowerTokens por danos decorrentes de uma violação deste Aditivo. Em nenhum caso o PowerTokens será responsável por quaisquer danos indiretos, especiais, incidentais ou consequenciais decorrentes de todas as Violações de Dados Pessoais e qualquer violação deste Aditivo, incluindo, mas não se limitando a perda de negócios ou danos à reputação.

9.2

Exceto na medida em que a responsabilidade não possa ser limitada ou excluída sob a lei aplicável obrigatória, a responsabilidade total agregada do PowerTokens por todas as Violações de Dados Pessoais e qualquer violação deste Aditivo (seja com base em contrato, falsidade ideológica, negligência, responsabilidade objetiva ou qualquer outra teoria legal) não excederá US$ 10.000.

9.3

Além disso, exceto em caso de conduta dolosa ou negligência grave, a responsabilidade total agregada do PowerTokens por todas as reclamações decorrentes deste Aditivo será limitada a US$ 50.000.

10. Lei Aplicável e Jurisdição

10.1

Você concorda irrevogavelmente que qualquer reclamação, disputa ou controvérsia decorrente ou relacionada a este Aditivo ou qualquer Formulário de Pedido (uma "Disputa"), incluindo disputas relativas à existência, formação, validade, interpretação, execução ou rescisão deste Aditivo ou qualquer Formulário de Pedido ou as consequências de sua nulidade, bem como quaisquer direitos ou obrigações extracontratuais decorrentes, relacionados ou com qualquer vínculo com este Aditivo ou qualquer Formulário de Pedido, será submetida e finalmente resolvida por arbitragem administrada pelo Centro Internacional de Arbitragem de Singapura (SIAC) de acordo com as Regras de Arbitragem do Centro Internacional de Arbitragem de Singapura em vigor no momento, cujas regras são consideradas incorporadas por referência a esta Seção 10. A sede da arbitragem será Singapura. O tribunal arbitral será composto por três (3) árbitros. Cada parte nomeará um (1) árbitro, e os dois árbitros nomeados pelas partes nomearão conjuntamente o terceiro (3º) árbitro, que atuará como árbitro presidente. Se qualquer parte não nomear seu árbitro, ou se os árbitros nomeados pelas partes não chegarem a um acordo sobre o árbitro presidente dentro de catorze (14) dias, tal(is) nomeação(ões) será(ão) feita(s) pelo Presidente do SIAC. O idioma da arbitragem será o inglês.

Anexo I — Disposições Jurisdicionais Específicas

Dependendo da Lei de Proteção de Dados Aplicável que possa se aplicar à transferência transfronteiriça de dados pessoais entre as Partes, certas disposições jurisdicionais específicas serão aplicadas. Em caso de qualquer lacuna neste Aditivo, ou qualquer inconsistência entre as disposições jurisdicionais específicas aplicáveis e este Aditivo, as disposições jurisdicionais específicas aplicáveis prevalecerão.

Espaço Econômico Europeu (o "EEE"), Suíça ou Reino Unido

Quando dados pessoais originários do EEE, Suíça ou Reino Unido forem transferidos para uma jurisdição que não tenha sido reconhecida como fornecendo um nível adequado de proteção de dados, as Partes concordam que tal transferência será regida pelas Cláusulas Contratuais Padrão de acordo com a Decisão de Execução da Comissão (UE) 2021/914 de 4 de junho de 2021 (as "CCPs"). Nas CCPs, o seguinte se aplicará especificamente:

(a)

Quando você atuar como Controlador, o Módulo Dois: Transferências de Controlador para Processador será aplicado.

(b)

Quando você atuar como Processador, o Módulo Três: Transferências de Processador para Processador será aplicado.

(c)

As Partes concordam em incorporar a Cláusula 7 (Cláusula de Adesão).

(d)

Na Cláusula 9 (Uso de Subprocessadores), parágrafo (a):

Módulo Dois: Transferências de Controlador para Processador: Você concorda em incorporar a Opção 2: Autorização geral por escrito.

Módulo Três: Transferências de Processador para Processador: Você concorda em incorporar a Opção 2: Autorização geral por escrito.

(e)

Na Cláusula 11 (Reparação), parágrafo (a): Você não concorda em incorporar esta opção.

(f)

Na Cláusula 17 (Lei Aplicável): A opção aplicável será mutuamente acordada pelas Partes e incorporada em conformidade.

(g)

Na Cláusula 18 (Escolha de foro e jurisdição), parágrafo (b): O tribunal e a jurisdição aplicáveis serão mutuamente acordados pelas Partes e incorporados em conformidade.

DESCRIÇÃO DA TRANSFERÊNCIA

Categorias de Titulares de Dados cujos dados pessoais são transferidos de você:

Usuários finais dos Serviços (pessoas singulares)

Categorias de dados pessoais transferidos:

Dados de Serviço: Conteúdo (por exemplo, texto, imagens, vídeo) enviado via API para processamento. Dados pessoais (por exemplo, dados faciais e dados de voz) são processados de acordo com a lei aplicável.

Dados sensíveis transferidos (se aplicável) e restrições ou salvaguardas aplicáveis que levem plenamente em consideração a natureza dos dados e os riscos envolvidos, como limitação estrita de finalidade, restrições de acesso (incluindo acesso limitado a pessoal especialmente treinado), manutenção de registros de acesso aos dados, restrições a transferências posteriores ou medidas de segurança adicionais:

Fotografias ou vídeos que possam conter dados biométricos.

Frequência da transferência (por exemplo, se os dados são transferidos de forma única ou contínua):

Os dados são transferidos continuamente durante o uso dos Serviços pelo usuário final.

Natureza do processamento:

Armazenamento, registro, combinação, classificação, análise e geração para fins de prestação dos Serviços.

Finalidade(s) da transferência de dados e processamento posterior:

Prestação e manutenção dos Serviços, etc.

O período durante o qual os dados pessoais serão retidos, ou, se isso não for possível, os critérios usados para determinar esse período:

O período de retenção é baseado nos requisitos de serviço, requisitos legais, prevenção de fraudes e obrigações de manutenção de registros.

Para transferências para (sub)processadores, especificar também o objeto, a natureza e a duração do processamento:

Consulte a Seção 5 deste Aditivo para mais detalhes.

Autoridade de Supervisão Competente

Determinação da autoridade de supervisão competente de acordo com a Cláusula 13:

A comissão de proteção de dados da jurisdição relevante, conforme determinado de acordo com a Cláusula 13 das CCPs da UE.

Anexo II — Medidas Técnicas e Organizacionais, Incluindo Medidas para Garantir a Segurança dos Dados

(a)

Segurança de Dados. Implementação de:

Padrões de classificação e hierarquização de dados;
Um conjunto de capacidades de autenticação e controle de acesso nos níveis físico, de rede, de sistema e de aplicação; e
Mecanismos para detecção de comportamentos anômalos baseados em análise de big data.

(b)

Segurança de Rede. Implementação de regras estritas de isolamento de rede interna, com controle de acesso e proteção de perímetro para redes internas (incluindo redes de escritório, redes de desenvolvimento, redes de teste e redes de produção) alcançados por meio de isolamento físico e lógico.

(c)

Segurança Física e Ambiental. Implementação de controles rigorosos de acesso à infraestrutura e ao ambiente para acesso a dados com base nos requisitos de segurança regionais relevantes. Uma matriz de controle de acesso é estabelecida com base nos tipos de pessoal e suas respectivas permissões de acesso para garantir o gerenciamento e controle eficazes do pessoal de acesso e operação.

(d)

Gestão de Incidentes. Operação de monitoramento proativo de serviços em tempo real combinado com mecanismos de resposta e tratamento rápidos para permitir a detecção e resolução oportunas de incidentes de segurança.

(e)

Conformidade com Padrões. Conformidade com os seguintes padrões:

Sistema de Gestão de Segurança da Informação (SGSI) — ISO/IEC 27001:2022.
Sistema de Gestão de Privacidade da Informação (SGPI) — ISO/IEC 27701:2025.

Carregando PowerTokens

Aguarde um momento...