Acordo de Tratamento de Dados

O cliente é a organização proprietária do espaço de trabalho e o responsável pelo tratamento dos dados pessoais que nele introduz na nerix.ai (e o subcontratante desses dados, quando atua em nome dos seus próprios clientes). A Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Estados Unidos, é o subcontratante.

O presente acordo abrange os dados pessoais no espaço de trabalho do cliente: documentos, conversas, folhas de cálculo, registos de trabalho, reuniões e gravações, embeddings da biblioteca, nomes e endereços de e-mail dos membros e o registo de auditoria. Não abrange os dados pessoais cujas finalidades a nerix determina por si própria, como a conta de início de sessão de uma pessoa ou registos de faturação. Esses dados são descritos na política de privacidade.

Se o presente acordo e os Termos divergirem quanto a dados pessoais, prevalece o presente acordo.

A nerix trata dados pessoais apenas segundo as instruções documentadas do cliente. Os Termos, o presente acordo, as definições que o cliente escolhe no produto (por exemplo, a região de IA, os fornecedores, os períodos de conservação e a ocultação de nomes à IA) e aquilo que os membros pedem ao produto constituem as instruções. Isso inclui transferências para países terceiros: só ocorrem conforme estas instruções e a lista de subcontratantes ulteriores o permitirem.

A nerix informa imediatamente o cliente se considerar que uma instrução viola a legislação de proteção de dados. Se a lei exigir que a nerix trate os dados de outra forma, a nerix informa primeiro o cliente, salvo se a lei o proibir.

Todas as pessoas na nerix que possam aceder a dados pessoais do cliente estão vinculadas por um dever escrito de confidencialidade, só têm acesso quando o trabalho o exige e cada consulta do pessoal a uma conversa de um cliente fica registada no próprio registo de auditoria do cliente.

A nerix toma as medidas do artigo 32.º do GDPR. O Anexo 2 lista as medidas existentes atualmente. A nerix pode alterá-las se o nível de proteção não diminuir.

O cliente concede autorização geral por escrito para os subcontratantes ulteriores indicados no Anexo 1. A nerix vincula cada um deles contratualmente às mesmas obrigações de proteção de dados e continua totalmente responsável perante o cliente por eles.

A nerix informa o proprietário de cada espaço de trabalho pelo menos 30 dias antes de acrescentar ou substituir um subcontratante ulterior, no produto e por e-mail, e atualiza a lista pública em nerix.ai/legal/subprocessors. O cliente pode opor-se com fundamentos razoáveis de proteção de dados durante esses 30 dias. A nerix tenta então prestar o serviço sem esse subcontratante ulterior, por exemplo mantendo o espaço de trabalho apenas com fornecedores da União Europeia. Se isso não for possível, o cliente pode rescindir o contrato e recebe um reembolso das taxas pré-pagas relativas ao tempo não utilizado.

O cliente escolhe a região de IA e os fornecedores para o seu próprio espaço de trabalho. Um fornecedor que o cliente ativa nas Definições é uma escolha do próprio cliente e não uma alteração feita pela nerix.

Os dados do cliente são armazenados na União Europeia (França, com ficheiros cifrados e cópias de segurança nos Países Baixos). A nerix está estabelecida nos Estados Unidos. Quando dados pessoais forem transferidos para um país sem decisão de adequação ou forem acedidos a partir desse país, as partes acordam nas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão (EU) 2021/914) do seguinte modo. O Módulo Dois (responsável pelo tratamento para subcontratante) aplica-se quando o cliente é responsável pelo tratamento, e o Módulo Três (subcontratante para subcontratante) quando o cliente é ele próprio subcontratante. Fazem parte do presente acordo por remissão.

• Cláusula 7 (cláusula de adesão): incluída.
• Cláusula 9(a): opção 2, autorização geral, com o aviso de 30 dias previsto na secção 6.
• Cláusula 11(a): não se aplica o organismo independente de resolução de litígios opcional.
• Cláusula 17: a lei da República da Irlanda. Cláusula 18(b): os tribunais da Irlanda.
• As partes do Anexo I.A constam da secção 1; o Anexo I.B é a secção 2; a autoridade de controlo competente é a do estabelecimento do cliente (ou, se não houver, a Comissão de Proteção de Dados da Irlanda). O Anexo II é o Anexo 2 abaixo. O Anexo III é o Anexo 1 abaixo.

Para dados pessoais abrangidos pelo UK GDPR, as partes acordam também no Aditamento de Transferência Internacional de Dados às Cláusulas Contratuais-Tipo da União Europeia emitido pelo Comissário de Informação do Reino Unido (versão B1.0, em vigor desde 21 de março de 2022). As suas tabelas são preenchidas a partir desta secção e dos anexos, e qualquer das partes pode denunciá-lo nos termos da sua secção 19.

Para dados pessoais abrangidos pela lei suíça de proteção de dados, as Cláusulas Contratuais-Tipo aplicam-se com as seguintes alterações: a autoridade competente é o Comissário Federal de Proteção de Dados e Informação da Suíça; as referências ao GDPR incluem a lei suíça; o foro para pedidos apresentados por pessoas na Suíça é a Suíça; e a expressão «Estado-Membro» não impede que uma pessoa na Suíça apresente uma ação no seu local de residência habitual.

Se a nerix estiver certificada ao abrigo do EU-US Data Privacy Framework para a transferência, essa certificação é a garantia principal e as Cláusulas Contratuais-Tipo aplicam-se como solução de recurso se o quadro deixar de ser válido. Um pedido de acesso por autoridades governamentais é tratado conforme as Cláusulas Contratuais-Tipo preveem: a nerix contesta pedidos ilegais, partilha o mínimo que puder e informa o cliente, salvo se a lei o proibir.

Se uma pessoa contactar a nerix sobre dados que esta detém para o cliente, a nerix não responde quanto ao mérito e encaminha o pedido ao cliente sem demora injustificada (no prazo de cinco dias úteis). A nerix disponibiliza ao cliente ferramentas de apoio: exportação de um espaço de trabalho e dos dados da própria conta de uma pessoa, eliminação, retificação e o registo de auditoria. Para além disso, a nerix presta apoio com esforço razoável e sem encargos quando se trate de uma tarefa pequena.

A nerix informa o proprietário de cada espaço de trabalho afetado sem demora injustificada e o mais tardar 24 horas após ter conhecimento de uma violação de dados pessoais que afete os dados do cliente, no produto e por email. A notificação indica o que se sabe: o que aconteceu, que dados e aproximadamente quantas pessoas foram afetadas, os efeitos prováveis, o que a nerix fez e o que aconselha o cliente a fazer. Os factos adicionais são comunicados à medida que forem apurados. A nerix mantém um registo de violações e fornece ao cliente o que este necessita para a sua própria notificação à autoridade (Artigo 33) e às pessoas (Artigo 34).

A nerix ajuda o cliente em matéria de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia, tendo em conta o que consegue ver. A nerix fornece, a pedido, um resumo da sua avaliação de impacto sobre a proteção de dados das funcionalidades de IA.

O cliente pode exportar todo o espaço de trabalho a qualquer momento, gratuitamente, a partir das Definições (documentos nos seus ficheiros originais, conversas, Sheets, registos, registo de auditoria), e pode eliminar dados e o próprio espaço de trabalho. Quando o contrato termina, a nerix mantém o espaço de trabalho durante um período de recuperação de, pelo menos, 30 dias, para que o cliente o possa exportar, e elimina depois os dados pessoais, incluindo as cópias de segurança, no prazo de mais 30 dias, salvo se a lei exigir que a nerix os conserve. A nerix confirma a eliminação a pedido.

A nerix fornece ao cliente as informações necessárias para demonstrar o cumprimento do Artigo 28 e permite que o cliente ou um auditor por ele nomeado a inspecione, mediante aviso prévio de 30 dias, em horário de expediente, sob dever de confidencialidade, não mais de uma vez por ano, salvo se uma violação ou uma autoridade exigir mais, e a expensas do cliente. A nerix pode satisfazer primeiro esta obrigação com relatórios independentes atuais e com as suas respostas ao questionário de segurança do cliente.

A responsabilidade ao abrigo do presente acordo segue os Termos, exceto no sentido de que nada limita a responsabilidade que não possa ser limitada por lei e de que as CCT, quando aplicáveis, prevalecem sobre todo o resto. O presente acordo rege-se pela lei da República da Irlanda no que respeita às CCT e, quanto ao restante, pelos Termos.

O cliente aceita o presente acordo no produto: o proprietário do espaço de trabalho confirma-o, e a nerix regista a data, a versão e quem aceitou. Uma nova versão é apresentada ao proprietário com as alterações efetuadas e aplica-se após a aceitação; a versão aceite permanece visível nas Definições. Os clientes Enterprise podem pedir uma cópia com linhas para assinatura. Questões: info@nerix.ai.

A lista pública em nerix.ai/legal/subprocessors é a atual. Na data desta versão:

Estas medidas existem atualmente no produto.

• Separação de clientes: cada registo inclui o respetivo espaço de trabalho, e cada consulta no código tem de indicar o espaço de trabalho, caso contrário falha; os ficheiros são armazenados por espaço de trabalho.
• Encriptação: as ligações utilizam TLS. As chaves dos fornecedores e as credenciais armazenadas dos clientes são encriptadas com encriptação de envelope, e a chave mestra é guardada fora da base de dados, num ficheiro que apenas o serviço pode ler.
• Acesso: início de sessão com palavra-passe, passkeys ou Google ou GitHub; início de sessão em dois passos; funções de proprietário, administrador, membro e visualizador; as sessões podem ser listadas e terminadas; as chaves de API podem ser revogadas de imediato.
• Acesso do pessoal: identidade separada do pessoal, com início de sessão próprio e segundo passo; o pessoal só vê uma conversa de um cliente com um motivo registado, e cada acesso é registado no registo de auditoria do cliente; a personificação é mostrada ao cliente no registo de auditoria.
• Registo de auditoria: registo apenas de adição, de quem fez o quê no espaço de trabalho, com exportações; conservado pelo período de retenção definido pelo proprietário.
• Segurança da IA: os nomes de pessoas e clientes e os dados pessoais, como endereços de email e números de telefone e de conta, podem ser substituídos por códigos antes de o texto chegar a um modelo e repostos na resposta; os proprietários podem bloquear esta definição; um fornecedor de modelos nunca pode treinar com dados do cliente; a região de IA pode ser limitada à EU ou a modelos nos nossos próprios servidores.
• Retenção e eliminação: o proprietário pode definir durante quanto tempo os documentos e as conversas são conservados, sendo depois eliminados pelo serviço; a eliminação remove os ficheiros do disco, não apenas as linhas; a eliminação de um espaço de trabalho ocorre após um período de carência de 30 dias.
• Cópias de segurança: conservadas na EU; os dados eliminados saem das cópias de segurança no prazo de 30 dias.
• Resiliência: processos separados para a web, o trabalho em segundo plano e o hub de IA, verificações de estado e reinícios sem perda de tarefas; as alterações são testadas antes do lançamento.
• Processo de violação: um manual de procedimentos escrito, um registo, notificação aos proprietários afetados no prazo de 24 horas e um aviso de Segurança no produto.
• Pessoas: dever de confidencialidade e acesso apenas quando o trabalho o exigir.