Termos de tratamento de dados

1. Funções — quem é responsável por quê

Os presentes termos são um anexo integrante dos Termos de Serviço e aplicam-se a todos os clientes que utilizam a Tecrübe, tenham ou não sido assinados separadamente.

Partes: o cliente que utiliza o serviço («o Cliente») e Hero Invest Ltd («Tecrübe»), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom · País de registo: Reino Unido (Inglaterra e País de Gales) · Número de sociedade: 14955675. A pessoa coletiva que assume as obrigações de subcontratante é Hero Invest Ltd; nos presentes termos, «Tecrübe» designa essa sociedade.

DADOS DO CLIENTE (os dados dos próprios clientes do Cliente: listas de contactos, mensagens recebidas, registos de conversão): aqui o Cliente é o responsável pelo tratamento e a Tecrübe é a subcontratante. O Cliente decide o que recolhe, com que fundamento jurídico o trata e o que comunica a quem; a Tecrübe trata os dados apenas mediante as suas instruções.

DADOS DE CONTA (nomes, endereços de e-mail, registos de sessão e dados de faturação do Cliente e da sua equipa): aqui a Tecrübe é a responsável pelo tratamento e aplica-se a Política de privacidade. A distinção é importante: um produto, duas funções jurídicas, e os direitos do Cliente variam consoante os dados em causa.

A Tecrübe nunca utiliza os Dados do cliente para fins próprios — desenvolvimento de produto, treino de modelos, marketing. Não existe qualquer exceção; se existisse, estaria aqui escrita.

2. Objeto, duração, natureza e finalidade do tratamento

Objeto: prestação do serviço Tecrübe. Duração: enquanto durar a subscrição do Cliente, acrescida do período de devolução/eliminação previsto na secção 10.

Atividades de tratamento: conservação, organização, consulta, transmissão (para as plataformas que o Cliente ligar), eliminação e geração de texto com modelos de IA.

Categorias de dados: dados de contacto (nome, e-mail, telefone), conteúdo das mensagens, dados comportamentais e de conversão, bem como as listas e conteúdos que o Cliente carregar.

Categorias de titulares dos dados: os clientes e potenciais clientes do Cliente, as pessoas que lhe enviam mensagens e os membros da sua equipa.

Categorias especiais de dados: o serviço não foi concebido para os tratar. Se o Cliente os carregar, as proteções adicionais e as obrigações de consentimento explícito cabem-lhe a ele.

3. Tratamento mediante instruções

A Tecrübe trata os Dados do cliente apenas mediante instruções documentadas do Cliente. A utilização do serviço — lançar uma campanha, carregar uma lista, ativar uma automatização — constitui uma instrução desse tipo.

Se considerarmos que uma instrução viola a legislação aplicável, informaremos o Cliente e poderemos deixar de a executar.

Se a lei impuser um tratamento (uma decisão judicial, uma exigência administrativa) e a notificação não for proibida, informamos o Cliente antes de proceder ao tratamento.

4. Confidencialidade e segurança

Todas as pessoas com acesso aos Dados do cliente estão sujeitas a um dever de confidencialidade, e o acesso é limitado ao âmbito mais restrito que o trabalho exija.

Medidas técnicas implementadas: cifragem em trânsito e em repouso, isolamento de inquilinos imposto ao nível da base de dados com segurança ao nível da linha, hashing de palavras-passe com argon2id, segredos de fornecedores cifrados com uma chave separada, acesso baseado em funções e registo de auditoria de cada ação privilegiada.

Medidas organizativas: os acessos do pessoal são registados; a visualização de um inquilino pelo suporte é assinalada por uma faixa visível tanto para quem visualiza como para o inquilino; cópias de segurança regulares com testes de reposição.

Estas medidas podem mudar ao longo do tempo; nenhuma alteração pode reduzir o nível de segurança.

5. Subcontratantes ulteriores

A Tecrübe recorre a subcontratantes ulteriores para prestar o serviço. A lista atualizada — quem são, para que finalidade e em que país — é publicada nominalmente na secção 9 da Política de privacidade.

Os novos subcontratantes ulteriores são anunciados através de aviso no produto. Se o Cliente se opuser com fundamentos razoáveis, analisaremos a oposição; se não for possível resolvê-la, o Cliente pode rescindir sem penalização e receber o reembolso do período não utilizado.

Cada subcontratante ulterior está vinculado por um contrato com obrigações equivalentes às dos presentes termos. A Tecrübe continua a responder pelos atos de um subcontratante ulterior como pelos seus próprios.

Os dados enviados aos fornecedores de IA limitam-se ao que a tarefa solicitada exige: perfil da marca, contexto da campanha e, quando é pedido um rascunho de resposta, o texto da mensagem em causa. Os nomes, números de telefone e endereços de e-mail dos clientes — incluindo os que constam do texto da mensagem — são mascarados antes do envio (p. ex., «Cliente #ab12cd», «+90 5 * **12»). Estes fornecedores (OpenAI e, quando utilizado, Anthropic) estão nos EUA; a transferência é efetuada ao abrigo das garantias previstas na secção 6.

6. Transferências internacionais

Alguns subcontratantes ulteriores encontram-se fora do Reino Unido, do Espaço Económico Europeu e da Türkiye (nomeadamente fornecedores de IA e plataformas de publicidade). As transferências são efetuadas ao abrigo do UK GDPR, do capítulo V do RGPD e do artigo 9.º da KVKK, com base, consoante o caso, em cláusulas contratuais-tipo (com o UK International Data Transfer Addendum), numa decisão de adequação ou no consentimento explícito.

O país em que cada subcontratante ulterior trata os dados é indicado junto a cada entrada da lista da Política de privacidade.

7. Pedidos dos titulares dos dados e assistência ao Cliente

Se um titular dos dados contactar diretamente a Tecrübe, não respondemos em nome do Cliente — encaminhamo-lo para o Cliente, uma vez que é este o responsável pelo tratamento desses dados.

As ferramentas necessárias para dar resposta aos pedidos de acesso, retificação, apagamento e portabilidade estão no produto: em Configurações › Segurança › «Baixar meus dados» é possível descarregar uma cópia legível por máquina em formato ZIP (no máximo 3 vezes em 24 horas), e os pedidos de apagamento são concluídos no prazo de 30 dias. Quando as ferramentas não forem suficientes, prestamos assistência técnica razoável.

Se o Cliente tiver de realizar uma avaliação de impacto sobre a proteção de dados (artigo 35.º), fornecemos, em medida razoável, as informações de que dispomos.

8. Notificação de violações

Notificamos o Cliente de qualquer violação de segurança que afete os Dados do cliente sem demora injustificada e, o mais tardar, no prazo de 24 horas após dela tomarmos conhecimento. Este prazo é deliberadamente curto para que o Cliente possa cumprir a sua própria obrigação de notificação em 72 horas.

A notificação inclui: a natureza da violação, as categorias de dados e o número aproximado de registos afetados, as consequências prováveis, as medidas tomadas e previstas, e um ponto de contacto.

Se nem tudo for conhecido no momento da primeira notificação, as informações em falta são enviadas sem demora; esperar não substitui notificar.

9. Auditoria

Mediante pedido, fornecemos as informações necessárias para demonstrar o cumprimento dos presentes termos.

Uma vez por ano, mediante pré-aviso razoável e durante o horário de expediente, o Cliente pode realizar uma auditoria através de um auditor sujeito a dever de confidencialidade. A auditoria não pode implicar o acesso a dados de outros clientes e é conduzida de forma a não perturbar o serviço.

10. Devolução e eliminação no termo do contrato

Quando a subscrição do Cliente termina, os Dados do cliente permanecem exportáveis durante trinta dias; durante esse período, o Cliente pode descarregá-los a partir do painel.

Decorridos os trinta dias, os dados são eliminados. A eliminação é irreversível e é anunciada por e-mail com sete dias de antecedência.

As cópias existentes nas cópias de segurança expiram com o ciclo de cópias de segurança (no máximo noventa dias); durante esse período, permanecem cifradas e inacessíveis.

Os registos que a lei nos obriga a conservar (faturas, registo de auditoria) são conservados durante o prazo legal e tratados apenas para essa finalidade.