Acordo de tratamento de dados

Refine Technologies, Inc.

1207 Delaware Ave., Suite 2233, Wilmington, DE 19806, USA

Contacto: Yann Calvó López, CEO

Contacto de segurança: security@refine.ink

A pessoa jurídica que aceita o Contrato e o presente DPA.

Subcontratante (ou Subcontratante Ulterior, quando o Cliente seja, ele próprio, Subcontratante). Ver a Secção 3.

Responsável pelo Tratamento (ou Subcontratante, quando atue em nome de um Responsável pelo Tratamento).

A plataforma da Refine de comentários sobre trabalhos de investigação, assistida por IA, e os serviços relacionados, conforme descrito em refine.ink.

Publicada em https://trust.refine.ink/resources. O Fornecedor é certificado ISO 27001:2022 e concluiu o seu exame SOC 2 Type I, estando a auditoria SOC 2 Type II em curso. O estado atual das certificações é publicado no Trust Center.

security@refine.ink

Publicados em https://trust.refine.ink/subprocessors. O Fornecedor comunicará por escrito qualquer aditamento ou substituição com uma antecedência mínima de 10 dias úteis.

O Cliente não deve submeter, carregar ou de outro modo transmitir através do Serviço quaisquer (i) Dados de Categoria Especial, tal como definidos no artigo 9.º do RGPD, (ii) Informações de Saúde Protegidas (PHI), tal como definidas ao abrigo da HIPAA, ou (iii) dados de contas financeiras, em cada caso sem acordo escrito prévio do Fornecedor. O Cliente é o único responsável pelo cumprimento desta restrição e por assegurar que os documentos submetidos ao Serviço não contêm tais dados.

O Serviço não foi concebido nem se destina a tratar as categorias de dados acima descritas, e o Fornecedor não assume qualquer obrigação de monitorizar, detetar ou filtrar as submissões em busca de tais dados. Se o Fornecedor tomar conhecimento de que foram submetidos dados restritos, notificará o Cliente e as partes cooperarão de boa-fé para eliminar ou devolver esses dados o mais rapidamente possível na prática e, em qualquer caso, no prazo de 30 dias a contar da deteção pelo Fornecedor.

Contínua, durante a vigência do Contrato.

O Fornecedor tratará os Dados Pessoais do Cliente durante o tempo necessário para prestar o Serviço ou pelo período exigido pela Legislação Aplicável. Após a cessação do Contrato, o Fornecedor eliminará ou devolverá os Dados Pessoais do Cliente em conformidade com a Secção 8 do presente DPA.

O Fornecedor não utilizará os Dados Pessoais do Cliente, os documentos carregados nem quaisquer dados derivados para treinar, ajustar, validar ou melhorar qualquer modelo de inteligência artificial ou de aprendizagem automática, seja operado pelo Fornecedor ou por qualquer Subcontratante Ulterior. Os artigos carregados são tratados exclusivamente para entregar relatórios de comentários ao investigador que os submeteu.

A autoridade de controlo do exportador de dados, determinada em conformidade com a Cláusula 13 das Cláusulas Contratuais-Tipo do EEE ou com a disposição pertinente do UK Addendum.

O Estado-Membro do EEE no qual se situa o estabelecimento relevante do Cliente ou, na falta de estabelecimento do Cliente no EEE, a Irlanda.

O Módulo Dois (Responsável pelo Tratamento para Subcontratante) aplica-se quando o Cliente for Responsável pelo Tratamento. O Módulo Três (Subcontratante para Subcontratante Ulterior) aplica-se quando o Cliente for Subcontratante. Ambos os módulos se aplicam com o seguinte: a cláusula de adesão da Cláusula 7 não é aplicável; Cláusula 9, Opção 2 (autorização geral por escrito), com aviso mínimo de 10 dias úteis; a redação opcional da Cláusula 11 não é incluída; os parênteses retos da Cláusula 13 são eliminados; lei aplicável e jurisdição conforme a linha Estado-Membro Regulador acima.

Quando o RGPD do Reino Unido for aplicável, aplica-se o UK Addendum (ICO IDTA). Nenhuma das partes pode fazer cessar o UK Addendum ao abrigo da sua Secção 19. As partes trabalharão de boa-fé para o atualizar caso o ICO emita um Approved Addendum revisto.

Quando o direito suíço for aplicável, as referências ao RGPD nas Cláusulas Contratuais-Tipo do EEE consideram-se feitas à Lei Federal Suíça de Proteção de Dados, e a autoridade de controlo inclui o FDPIC suíço.

As medidas seguintes complementam a Política de Segurança referida na Secção 2 e são nela incorporadas.

O Fornecedor recorre ao Microsoft Azure para a infraestrutura física; o Azure mantém controlos de segurança física, incluindo acesso restrito, videovigilância e salvaguardas ambientais nas instalações dos centros de dados.

Quando o Cliente for Responsável pelo Tratamento dos Dados Pessoais do Cliente, o Fornecedor atua como Subcontratante, tratando Dados Pessoais em nome do Cliente.

Quando o Cliente for, ele próprio, Subcontratante dos Dados Pessoais do Cliente, o Fornecedor atua como Subcontratante Ulterior.

A Parte 1, Secção 3, do presente DPA descreve o objeto, a natureza, a finalidade e a duração do Tratamento, bem como as categorias de Dados Pessoais e de Titulares dos Dados.

O Cliente instrui o Fornecedor a tratar os Dados Pessoais do Cliente: (a) para prestar e manter o Serviço; (b) conforme especificado através da utilização do Serviço pelo Cliente; (c) conforme documentado no Contrato; e (d) conforme documentado em quaisquer outras instruções escritas reconhecidas pelo Fornecedor. O Fornecedor cumprirá essas instruções, salvo se tal for proibido pela Legislação Aplicável, e informará imediatamente o Cliente caso não possa seguir as instruções de Tratamento.

O Cliente apenas dará instruções que cumpram a Legislação Aplicável.

Se o Fornecedor atualizar o Serviço para incluir novos produtos, funcionalidades ou funções, poderá atualizar as categorias descritas na Parte 1, Secção 3, notificando o Cliente dessas alterações.

Caso o Cliente seja um Subcontratante e o Fornecedor um Subcontratante Ulterior, o Cliente cumprirá todas as Leis Aplicáveis que regem o seu próprio Tratamento e assegurará que o seu contrato com o Responsável pelo Tratamento relevante impõe obrigações equivalentes.

O Cliente cumpriu e continuará a cumprir todas as Leis de Proteção de Dados Aplicáveis no fornecimento de Dados Pessoais do Cliente ao Fornecedor, incluindo a prestação das informações exigidas, a obtenção dos consentimentos necessários e a implementação das salvaguardas relevantes.

O Fornecedor não transferirá Dados Pessoais do Cliente para um Subcontratante Ulterior salvo se esse Subcontratante Ulterior constar da lista de Subcontratantes Ulteriores Aprovados. O Fornecedor comunicará ao Cliente, por escrito e com uma antecedência mínima de 10 dias úteis, qualquer aditamento ou substituição pretendidos. O Cliente dispõe de 30 dias a contar da comunicação para se opor por escrito; na ausência de oposição, considera-se que o Cliente aceita a alteração. O Fornecedor e o Cliente cooperarão de boa-fé para resolver qualquer oposição apresentada em tempo útil.

Se as partes não conseguirem resolver a oposição apresentada em tempo útil pelo Cliente no prazo de 60 dias a contar da oposição escrita do Cliente, o Cliente pode resolver com justa causa a parte do Contrato afetada pela alteração do Subcontratante Ulterior, mediante comunicação escrita ao Fornecedor com 30 dias de antecedência. A resolução prevista na presente Secção constitui o único e exclusivo meio de reação do Cliente perante uma oposição a Subcontratante Ulterior não resolvida.

O Fornecedor celebrará um contrato escrito com cada Subcontratante Ulterior que limite o acesso e a utilização dos Dados Pessoais do Cliente por esse Subcontratante Ulterior ao que for necessário para executar as obrigações subcontratadas e que imponha obrigações de proteção de dados pelo menos tão protetoras como as do presente DPA. Quando o RGPD for aplicável, os contratos do Fornecedor com Subcontratantes Ulteriores incorporarão as obrigações referidas no artigo 28.º, n.º 3, do RGPD.

O Fornecedor mantém-se integralmente responsável pelos atos e omissões dos seus Subcontratantes Ulteriores no Tratamento de Dados Pessoais do Cliente. O Fornecedor notificará o Cliente de qualquer incumprimento material, por parte de um Subcontratante Ulterior, das obrigações previstas no respetivo contrato com o Fornecedor.

O Cliente aceita que o Fornecedor possa transferir Dados Pessoais do Cliente para fora do EEE, do Reino Unido ou de outro território geográfico relevante, na medida do necessário para prestar o Serviço. Quando o Fornecedor transferir Dados Pessoais do Cliente para um território sem decisão de adequação, o Fornecedor implementará salvaguardas adequadas, em conformidade com as Leis de Proteção de Dados Aplicáveis.

Quando o RGPD regular a transferência, a transferência for efetuada pelo Cliente situado no EEE para o Fornecedor situado fora do EEE e não for aplicável qualquer decisão de adequação, considera-se que as partes assinaram as CCT do EEE e os respetivos Anexos, conforme previsto na Parte 1, Secção 4.

Quando o RGPD do Reino Unido regular a transferência, a transferência for efetuada pelo Cliente situado no Reino Unido para o Fornecedor situado fora do Reino Unido e não for aplicável qualquer decisão de adequação, considera-se que as partes assinaram a Adenda do Reino Unido, conforme preenchida na Parte 1, Secção 4.

Quando a lei suíça regular a natureza internacional da transferência, as CCT do EEE aplicam-se com as modificações previstas na Parte 1, Secção 4.

O Fornecedor prestará ao Cliente todas as informações razoavelmente necessárias para demonstrar o cumprimento do presente DPA e permitirá e contribuirá para auditorias e inspeções. O Fornecedor pode restringir o acesso a informações que afetem negativamente os seus direitos de propriedade intelectual, as suas obrigações de confidencialidade ou outras obrigações legais. O Cliente aceita exercer os seus direitos de auditoria exclusivamente através dos mecanismos de reporte e de diligência devida previstos nas Secções 11.2 e 11.3.

O Fornecedor conservará os registos de conformidade durante 3 anos após o termo do DPA.

O Fornecedor é auditado regularmente, por auditores terceiros independentes, face às normas definidas na Política de Segurança. Mediante pedido escrito, o Fornecedor fornecerá ao Cliente, a título confidencial, uma cópia sumária do seu relatório de auditoria então em vigor.

Além dos relatórios de auditoria, o Fornecedor responderá a pedidos escritos razoáveis de informação destinados a confirmar o cumprimento do presente DPA, incluindo respostas a questionários de segurança da informação, de diligência devida e de auditoria. Tais pedidos devem ser dirigidos a security@refine.ink e não podem ser apresentados mais do que uma vez por ano civil.

Se o Fornecedor receber de um terceiro (incluindo uma autoridade reguladora ou um titular dos dados) uma consulta ou um pedido relativo a Dados Pessoais do Cliente, o Fornecedor notificará prontamente o Cliente e não responderá sem o consentimento prévio do Cliente, salvo se exigido pela Lei Aplicável. O Fornecedor seguirá as instruções razoáveis do Cliente quanto ao tratamento desses pedidos.

Se um titular dos dados apresentar um pedido válido, ao abrigo das Leis de Proteção de Dados Aplicáveis, de eliminação ou de oposição à transferência dos seus Dados Pessoais para o Fornecedor, o Fornecedor prestará assistência ao Cliente no cumprimento desse pedido.

Quando exigido pelas Leis de Proteção de Dados Aplicáveis, o Fornecedor prestará assistência razoável ao Cliente na realização de avaliações de impacto sobre a proteção de dados (AIPD) e de avaliações de impacto das transferências de dados (AITD), bem como na consulta às autoridades de controlo competentes, tendo em conta a natureza do Tratamento e os Dados Pessoais do Cliente em causa.

O Fornecedor permitirá que o Cliente elimine Dados Pessoais do Cliente de forma compatível com as funcionalidades do Serviço e cumprirá tais instruções com a maior brevidade razoavelmente possível, salvo quando a conservação adicional for exigida pela Lei Aplicável.

Após a caducidade ou a resolução do Contrato, o Fornecedor devolverá ou eliminará os Dados Pessoais do Cliente conforme instruções do Cliente, sem demora injustificada e, em qualquer caso, no prazo de sessenta (60) dias a contar da data mais tardia entre (i) a resolução ou caducidade do Contrato e (ii) o pedido escrito do Cliente, salvo se a conservação adicional for exigida ou autorizada pela Lei Aplicável. Quando a devolução ou destruição for impraticável ou proibida, o Fornecedor empreenderá esforços razoáveis para impedir qualquer Tratamento adicional e continuará a proteger os Dados Pessoais do Cliente que detenha.

Caso as partes tenham celebrado as CCT do EEE ou a Adenda do Reino Unido no âmbito do presente DPA, o Fornecedor fornecerá uma certificação de eliminação, conforme descrito na Cláusula 8.1(d) e na Cláusula 8.5 das CCT do EEE, se o Cliente a solicitar.

Na máxima medida permitida pelas Leis de Proteção de Dados Aplicáveis, a responsabilidade total acumulada de cada parte perante a outra, decorrente ou relacionada com o presente DPA, está sujeita às renúncias, exclusões e limitações de responsabilidade previstas no Contrato.

Quaisquer reclamações apresentadas contra o Fornecedor ou as suas Afiliadas, decorrentes ou relacionadas com o presente DPA, só podem ser apresentadas pela entidade Cliente que é parte no Contrato.

O presente DPA não limita qualquer responsabilidade perante uma pessoa singular no que respeita aos seus direitos de proteção de dados ao abrigo das Leis de Proteção de Dados Aplicáveis, nem qualquer responsabilidade entre as partes por violações das CCT do EEE ou da Adenda do Reino Unido.