Acordo de Processamento de Dados

Este Acordo de Processamento de Dados (“DPA”) é parte integrante dos Termos e Condições celebrados entre o cliente (a empresa que assina o LetsBot, “você”) e a BOT FOR DIGITAL SOLUTIONS LIMITED, sociedade registrada na Inglaterra e no País de Gales sob o número 15477940, com sede em 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Reino Unido (“LetsBot”, “nós”).

Ao aceitar os Termos e Condições, você também celebra este DPA, incluindo as cláusulas de transferência incorporadas por referência nos Anexos IV a VI. Elas se aplicam automaticamente a todos os clientes a partir da aceitação, antes de qualquer transferência de Dados Pessoais do Cliente, e não é necessária nenhuma assinatura.

Cópias assinadas e documentos personalizados. Mediante solicitação para support@letsbot.net, forneceremos uma cópia deste DPA assinada por nós, ou um acordo ou documento personalizado de que sua organização precise, como um conjunto preenchido de cláusulas de transferência.

Ordem de prevalência. Em caso de conflito, prevalecem as cláusulas de transferência dos Anexos IV a VI, em seguida este DPA e, por fim, os Termos e Condições.

Idioma. A versão em inglês deste DPA é a que prevalece; a versão em árabe é fornecida por conveniência. Para as cláusulas-padrão contratuais da ANPD brasileira, prevalece o texto oficial em português.

• Dados Pessoais do Cliente: dados pessoais que tratamos em seu nome na prestação do serviço, incluindo os dados dos seus contatos, mensagens, mídias e pedidos. O Anexo I traz os detalhes.
• Suboperador: qualquer terceiro que contratamos para tratar Dados Pessoais do Cliente.
• Violação de Dados Pessoais: uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso, acidentais ou ilícitos, a Dados Pessoais do Cliente.
• Leis de Proteção de Dados: as leis aplicáveis ao tratamento, incluindo o GDPR da UE, o UK GDPR e o Data Protection Act 2018, a Lei de Proteção de Dados Pessoais da Arábia Saudita e seus regulamentos, a LGPD do Brasil e a Lei nº 151 de 2020 do Egito e seu Regulamento Executivo.
• “Controlador”, “processador”, “titular dos dados” e “tratamento” têm os significados previstos nas Leis de Proteção de Dados. “Processador” inclui o “operador” nos termos da LGPD.

1. Você é o controlador dos Dados Pessoais do Cliente (ou um processador que atua em nome de outro controlador), e nós somos o processador.
2. Tratamos os Dados Pessoais do Cliente somente conforme suas instruções documentadas, inclusive no que se refere a transferências para outros países. Suas instruções são os Termos e Condições, este DPA, as configurações que você escolhe no painel (como canais, integrações, recursos de IA e prazos de retenção) e quaisquer outras instruções por escrito que acordarmos.
3. Se uma lei nos exigir tratar Dados Pessoais do Cliente de forma diferente das suas instruções, informaremos você antes de fazê-lo, salvo se essa lei o proibir.
4. Informaremos você imediatamente se considerarmos que uma instrução viola as Leis de Proteção de Dados.
5. Você é responsável por coletar os dados de forma lícita e por ter uma base legal para enviar mensagens aos seus contatos, incluindo qualquer consentimento exigido pela Meta ou pela lei.
6. Não usamos os Dados Pessoais do Cliente para fins próprios, não os vendemos e não os usamos para treinar modelos de IA.

Somente funcionários e prestadores de serviço que precisam de acesso para fornecer, dar suporte ou proteger o serviço podem acessar os Dados Pessoais do Cliente, e todos eles estão obrigados a mantê-los confidenciais.

As pessoas com acesso aos Dados Pessoais do Cliente trabalham principalmente no Egito, por meio da nossa afiliada Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), sob nossas instruções e em condições não menos protetivas do que este DPA.

Aplicamos as medidas técnicas e organizacionais do Anexo II, revisamos essas medidas regularmente e não reduziremos o nível geral de proteção durante a sua assinatura.

Além disso, nos comprometemos a:

• fazer backups criptografados dos bancos de dados dos espaços de trabalho: todas as noites para espaços de trabalho pagos, em teste e cortesia, e em rodízio de 10 dias para os demais espaços de trabalho, além de um backup diário do banco de dados central de contas. Os backups são mantidos em armazenamento privado, separado do servidor de produção, no Google Cloud nos Estados Unidos (us-east1), por 30 dias e depois excluídos;
• manter os arquivos de mídia trocados nas conversas em um armazenamento que não pode ser navegado nem listado, servidos por meio de links longos e aleatórios, difíceis de adivinhar (exceto as fotos de perfil dos contatos). Qualquer pessoa que tenha o link exato pode abrir o arquivo. Estamos migrando as mídias para links assinados com validade limitada;
• registrar cada acesso do suporte a um espaço de trabalho, e cada login, no registro de segurança desse espaço de trabalho.

1. Autorização geral. Você nos autoriza a contratar os suboperadores listados na nossa página de suboperadores (Anexo III).
2. Aviso prévio. Daremos um aviso com pelo menos 30 dias de antecedência antes de adicionar ou substituir um suboperador, por e-mail a todos que se inscreveram e pela atualização da página. Para se inscrever, escreva para support@letsbot.net com o assunto “Subprocessor updates”.
3. Objeção. Você pode se opor por escrito durante o prazo do aviso, com base em motivos razoáveis de proteção de dados. Tentaremos resolver sua objeção, por exemplo, deixando de usar esse suboperador para os seus dados. Se não for possível, você poderá rescindir a parte afetada do serviço e receber o reembolso de quaisquer valores pagos antecipadamente pelo período restante.
4. Substituição emergencial. Se precisarmos substituir um suboperador imediatamente para proteger a segurança ou a continuidade do serviço, informaremos você o quanto antes, e você mantém o mesmo direito de objeção.
5. Obrigações equivalentes. Vinculamos cada suboperador terceiro por meio de um contrato escrito com obrigações de proteção de dados não menos protetivas do que este DPA, e continuamos responsáveis perante você pelo desempenho dele.
6. As integrações que você escolhe, como a Meta (WhatsApp, Messenger, Instagram), plataformas de e-commerce e CRMs, não são nossos suboperadores. Você as conecta, e elas tratam os dados de acordo com os próprios termos firmados com você.

1. Notificaremos você sobre qualquer Violação de Dados Pessoais que afete os Dados Pessoais do Cliente sem demora injustificada e, em qualquer caso, em até 24 horas após tomarmos conhecimento dela. Este é o nosso padrão em todos os países.
2. Enviamos a notificação para o e-mail do proprietário da conta e, quando possível, pelo painel. Na medida em que as informações estiverem disponíveis, ela descreve: a natureza e a causa da violação; as categorias e o número aproximado de titulares e registros; as prováveis consequências; as medidas adotadas ou propostas para contê-la; e nosso ponto de contato.
3. Se não tivermos todas as informações de uma só vez, nós as forneceremos em etapas, sem demora injustificada, e manteremos você atualizado regularmente até o encerramento do incidente.
4. Ajudaremos você a cumprir suas próprias obrigações de notificar as autoridades e os titulares dos dados, incluindo os prazos de 72 horas na UE, no Reino Unido e na Arábia Saudita e o prazo de três dias úteis no Brasil.
5. Uma notificação não constitui admissão de culpa ou de responsabilidade.

1. Se recebermos uma solicitação de um titular dos dados referente a Dados Pessoais do Cliente, nós a encaminharemos a você em até 48 horas e não a responderemos sem sua autorização, exceto para informar que a repassamos.
2. O painel permite exportar, corrigir e excluir contatos, conversas e mensagens. Quando essas ferramentas não forem suficientes, daremos a você uma ajuda razoável.
3. Nossa ajuda leva em conta seus prazos legais, incluindo seis dias úteis no Egito.

Forneceremos as informações de que você razoavelmente precise para realizar uma avaliação de impacto sobre a proteção de dados, uma avaliação de risco de transferência ou uma consulta prévia a uma autoridade. Quando a lei exigir que você compartilhe conosco a respectiva avaliação de impacto, nós a receberemos.

1. Durante a sua assinatura você pode, a qualquer momento, exportar seus dados, excluir qualquer conversa individual (o que apaga as mensagens e mídias dela) ou excluir todo o seu espaço de trabalho pelo painel. Informar um motivo é opcional.
2. Quando o serviço termina, seus dados continuam disponíveis para exportação por 30 dias. Quando um espaço de trabalho é excluído, apagamos os Dados Pessoais do Cliente dos nossos sistemas ativos em até 30 dias, incluindo mídias, a cópia arquivada, os arquivos e as respostas armazenadas no nosso provedor de IA e as mensagens mantidas pelo nosso serviço de conexão por QR code. As cópias em backups expiram em até mais 30 dias.
3. Mantemos apenas o que a lei nos obriga a manter e continuamos a protegê-lo nos termos deste DPA até a exclusão.
4. Mediante solicitação, confirmaremos a exclusão por escrito.

1. Disponibilizaremos as informações necessárias para demonstrar nossa conformidade com este DPA e responderemos a questionários de segurança razoáveis.
2. Se essas informações não forem suficientes, você ou um auditor independente sujeito a confidencialidade poderá nos auditar uma vez a cada 12 meses, com aviso prévio de 30 dias, durante o horário comercial e sem colocar em risco os dados de outros clientes. Esse limite não se aplica após uma Violação de Dados Pessoais ou quando uma autoridade exigir a auditoria.
3. Cada parte arca com os próprios custos, a menos que a auditoria revele uma violação relevante de nossa parte.
4. Cooperaremos com as autoridades de supervisão competentes, incluindo a Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), quando solicitado.

1. Onde os dados são tratados. Os Dados Pessoais do Cliente são hospedados no Google Cloud nos Estados Unidos (região us-east1), acessados remotamente pela nossa equipe, que trabalha principalmente no Egito por meio da nossa afiliada, e tratados por suboperadores nos locais indicados na página deles. Todos os nossos servidores e backups ficam nos Estados Unidos; não oferecemos hospedagem em nenhuma outra região.
2. Mecanismos de transferência. As cláusulas do Anexo IV (UE e Reino Unido), do Anexo V (Brasil) e do Anexo VI (Arábia Saudita) fazem parte deste DPA para todos os clientes e regem cada transferência à qual a lei correspondente se aplica.
3. Leis estrangeiras às quais estamos sujeitos. Somos uma empresa do Reino Unido sujeita à legislação do Reino Unido. Os dados são hospedados em um provedor dos EUA, e as autoridades norte-americanas podem exigir que provedores dos EUA divulguem dados nos termos da lei dos EUA, incluindo o CLOUD Act e a Section 702 do Foreign Intelligence Surveillance Act. Nossa afiliada no Egito está sujeita à lei egípcia. Não temos conhecimento de que alguma dessas leis nos impeça de cumprir este DPA e informaremos você prontamente se isso mudar.
4. Solicitações de autoridades públicas. Se recebermos uma solicitação vinculante de uma autoridade pública para divulgar Dados Pessoais do Cliente, informaremos você, salvo se a lei o proibir, pediremos à autoridade que se dirija a você, contestaremos solicitações ilegais ou excessivas e divulgaremos apenas o mínimo exigido.

1. Quando você ativa respostas de IA, agentes de IA, transcrição de mensagens de voz ou ferramentas de IA, enviamos os dados de que o recurso precisa a um dos nossos provedores de serviços de IA, que são suboperadores nos Estados Unidos: mensagens, histórico de conversas, mensagens de voz, arquivos de conhecimento e catálogo de produtos, além do nome e do número do contato quando o recurso os utiliza.
2. Nossos provedores de serviços de IA são a OpenAI, provedora padrão, que sempre realiza a transcrição de mensagens de voz e o armazenamento e a busca de arquivos de conhecimento; e a Anthropic (Claude) e o Google (Gemini API), para os quais podemos direcionar tarefas de IA em vez da OpenAI ou como alternativa de reserva, ou enviar uma amostra limitada de solicitações para comparar a qualidade das respostas. As respostas de comparação nunca são enviadas aos seus clientes. A lista e os mecanismos de transferência estão na nossa página de suboperadores.
3. Nos termos comerciais deles, nenhum desses provedores usa os dados enviados pela sua API para treinar seus modelos (consulte os termos comerciais da OpenAI, os Termos Comerciais da Anthropic e os Termos Adicionais da Gemini API), e não optamos por nenhum uso para treinamento. Cada provedor mantém uma cópia temporária para monitoramento de abusos nos termos aplicáveis, e a OpenAI mantém as respostas que gera de acordo com sua política de dados da API.
4. Não usamos os Dados Pessoais do Cliente para treinar nenhum modelo. O que o recurso “aprender com o histórico” aprende permanece dentro do seu espaço de trabalho.
5. Esses recursos são opcionais, e você pode desativá-los a qualquer momento. Quando você exclui seu espaço de trabalho, excluímos os arquivos armazenados para ele na OpenAI.
6. Você é responsável por informar aos seus clientes que as respostas podem ser geradas por IA, quando a lei assim exigir.

1. Nossa equipe de suporte acessa seu espaço de trabalho somente para prestar suporte.
2. Cada acesso é registrado no registro de segurança do seu espaço de trabalho, que você pode consultar.
3. Se você ativar a autenticação em dois fatores no seu espaço de trabalho, nossa equipe só poderá acessá-lo com a sua aprovação explícita.

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações previstas nos Termos e Condições, exceto a responsabilidade que não pode ser limitada por lei, e sem prejuízo dos direitos dos titulares dos dados previstos nas cláusulas de transferência dos Anexos IV a VI, que nada neste DPA ou nos Termos e Condições limita.

1. Este DPA se aplica enquanto tratarmos Dados Pessoais do Cliente.
2. Podemos atualizar este DPA para acompanhar a legislação ou o serviço. Daremos aviso prévio de 30 dias sobre qualquer alteração relevante, e nenhuma alteração reduzirá o nível de proteção durante o período da sua assinatura paga.
3. Este DPA é regido pelas leis da Inglaterra e do País de Gales, cujos tribunais têm jurisdição, exceto que cada conjunto de cláusulas de transferência dos Anexos IV a VI é regido pela lei e pelos tribunais nele especificados.

Para fins da Lei de Proteção de Dados Pessoais e de seu Regulamento de Implementação (Artigo 17):

• A finalidade, as categorias de dados e a duração do tratamento constam do Anexo I.
• Notificamos você sobre uma violação sem demora injustificada e em até 24 horas (seção 7).
• As leis estrangeiras às quais estamos sujeitos, e seu impacto, estão descritas na seção 12.
• Se a lei saudita nos exigir uma divulgação, notificaremos você a respeito.
• Os suboperadores e outros destinatários estão identificados no Anexo III, e notificamos você antes de qualquer alteração, com direito de objeção (seção 6).
• Encaminhamos as solicitações dos titulares dos dados em até 48 horas (seção 8) e aceitamos avaliações e auditorias (seção 11).
• Cláusulas de transferência: Anexo VI.

Para fins da LGPD, atuamos como “operador”:

• Tratamos os dados conforme suas instruções (Artigo 39) e mantemos registro das operações de tratamento (Artigo 37).
• Aplicamos as medidas de segurança do Anexo II, e nosso dever de segurança continua após o término do tratamento (Artigos 46 e 47).
• Notificamos você sobre uma violação em até 24 horas para que você possa comunicar a ANPD e os titulares dos dados em até três dias úteis (Artigo 48).
• Excluímos os dados ao término do tratamento, nos termos da seção 10 (Artigo 16).
• Nada neste DPA limita nossa responsabilidade perante os titulares dos dados quando a LGPD a impuser.
• Cláusulas de transferência: Anexo V. Mediante solicitação, fornecemos um resumo em português da transferência internacional que você pode publicar para seus clientes.

Para fins da Lei nº 151 de 2020 e de seu Regulamento Executivo:

• Nossa afiliada no Egito é a Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), registro comercial nº 223572 (escritório de registro de Investimentos do Cairo), Tower 22, 3º andar, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egito.
• Obtemos qualquer licença ou autorização que a lei exija para o nosso tratamento e para transferências internacionais antes de nos valermos delas, e nomeamos um encarregado de proteção de dados registrado no Centro de Proteção de Dados Pessoais.
• Além de notificar você em até 24 horas, notificamos o Centro de Proteção de Dados Pessoais sobre uma violação em até 72 horas quando a lei assim o exigir de nós como operador, em coordenação com você.
• Trabalhamos com você para responder às solicitações dos titulares dos dados em até seis dias úteis.
• Você é responsável por obter o consentimento dos titulares dos dados quando a lei o exigir, inclusive o consentimento para transferências para fora do Egito.

Este DPA contém os termos exigidos pelo Artigo 28(3) do GDPR da UE e do GDPR do Reino Unido: instruções (seção 3), confidencialidade (seção 4), segurança (seção 5 e Anexo II), suboperadores (seção 6), assistência com as solicitações dos titulares dos dados (seção 8) e com segurança, violações e avaliações (seções 5, 7 e 9), exclusão e devolução (seção 10), e informações e auditorias (seção 11).

O Reino Unido, onde estamos estabelecidos, é abrangido por uma decisão de adequação da Comissão Europeia. Ainda assim, o Anexo IV (as Cláusulas Contratuais Padrão da UE e o Adendo do Reino Unido) é incorporado para todos os clientes e rege qualquer transferência de Dados Pessoais do Cliente que o GDPR da UE ou o GDPR do Reino Unido não permita de outra forma, incluindo nossas transferências subsequentes para os Estados Unidos.

Estas medidas já estão em vigor:

• Criptografia em trânsito: TLS 1.3 na borda da Cloudflare com HSTS, e certificados TLS no servidor de origem.
• Criptografia em repouso: criptografia padrão do Google Cloud com chaves gerenciadas pelo Google para discos e buckets de armazenamento, além de criptografia no nível da aplicação para tokens de acesso dos canais, segredos de integrações e webhooks, segredos de autenticação de dois fatores, respostas a pesquisas e registros de consentimento.
• Senhas e tokens: senhas com hash bcrypt; tokens de API armazenados como hashes.
• Isolamento: um banco de dados separado para cada espaço de trabalho.
• Rede: bancos de dados e caches não são acessíveis pela internet; proteção contra DDoS e firewall de aplicações web da Cloudflare; proteção contra bots Turnstile nos formulários públicos.
• Proteção dos servidores: isolamento de contas com CageFS, firewall e varredura de malware Imunify360, e aplicação de patches de segurança no kernel em tempo real (KernelCare).
• Controle de acesso: funções e permissões por usuário, um mecanismo de login separado para as ferramentas de administração interna, autenticação de dois fatores disponível para todos os espaços de trabalho e restrições de IP para login.
• Registros: um log de segurança para cada espaço de trabalho, que abrange logins e tentativas malsucedidas, alterações de dois fatores e de funções, acessos do suporte e rotação de chaves de API.
• Integrações: verificação de assinatura nos dados recebidos da Meta, da Salla e da Zid, e um segredo de assinatura separado para cada novo webhook de saída.
• Armazenamento privado: documentos, anexos de e-mail, gravações de chamadas, backups e espaços de trabalho arquivados são mantidos em buckets de armazenamento privados, com o acesso público bloqueado.
• Mídia das conversas: mantida em armazenamento que não pode ser navegado nem listado, e disponibilizada por links longos e aleatórios, difíceis de adivinhar (exceto as fotos de perfil dos contatos); a migração para links assinados com validade limitada está em andamento.
• Backups: backups noturnos dos bancos de dados dos espaços de trabalho pagos, em teste e de cortesia, rotação de 10 dias para os demais espaços de trabalho, e um backup diário do banco de dados central de contas; mantidos por 30 dias em armazenamento privado nos Estados Unidos (us-east1).
• Exclusão: todo cliente pode excluir o espaço de trabalho inteiro pelo painel, incluindo suas mídias, a cópia arquivada e os arquivos de IA na OpenAI; excluir uma conversa apaga suas mensagens e mídias.
• Minimização de dados: por padrão, os payloads recebidos das plataformas são excluídos após 14 dias, os logs de servidor após 14 dias e as gravações de chamadas após 90 dias.
• Monitoramento: monitoramento externo de disponibilidade e monitoramento interno de memória, bancos de dados, sessões e filas, com alertas em tempo real nos quais números de telefone e endereços de e-mail são mascarados.

A lista atual de suboperadores, com os dados que tratam, suas localizações e as salvaguardas de transferência, está publicada em nossa página de suboperadores e faz parte deste DPA.

As Cláusulas Contratuais Padrão adotadas pela Decisão de Execução (UE) 2021/914 da Comissão são incorporadas por referência:

• Módulo Dois (de controlador para operador) quando você é controlador, e Módulo Três (de operador para operador) quando você atua como operador para outra pessoa.
• Cláusula 7 (cláusula de adesão): incluída.
• Cláusula 9(a): Opção 2 (autorização geral por escrito), com aviso prévio de 30 dias.
• Cláusula 11(a): a redação opcional não se aplica.
• Cláusula 13: a autoridade de controle competente é determinada nos termos da Cláusula 13(a), de acordo com a sua situação.
• Cláusula 17: Opção 1, regida pela lei da Irlanda. Cláusula 18: os tribunais da Irlanda.
• Anexo I.A: as partes indicadas na seção 1 (você como exportador de dados, nós como importador de dados). Anexo I.B: Anexo I deste DPA. Anexo I.C: conforme determinado nos termos da Cláusula 13. Anexo II: Anexo II deste DPA. Anexo III: Anexo III deste DPA.

Para transferências regidas pela legislação do Reino Unido, o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da UE do ICO é incorporado por referência: Tabela 1, as partes acima; Tabela 2, as cláusulas selecionadas acima; Tabela 3, os Anexos I a III; Tabela 4, qualquer das partes pode encerrar o Adendo conforme previsto em sua Seção 19.

Para transferências internacionais de dados regidas pela LGPD, ao aceitar os Termos & Condições, as partes adotam as cláusulas-padrão contratuais do Anexo II da Resolução CD/ANPD nº 19/2024 integralmente e sem qualquer alteração. Prevalece o texto oficial em português.

• Seção I: você é o exportador (controlador) e nós somos o importador (operador); a transferência está descrita no Anexo I.
• Seção III (medidas de segurança): Anexo II.
• Seção IV: sem cláusulas adicionais.

Nenhum outro termo deste DPA ou dos Termos & Condições pode excluir, modificar ou contradizer estas cláusulas.

Para transferências de dados pessoais para fora do Reino, ao aceitar os Termos & Condições, as partes adotam as Cláusulas Contratuais Padrão para Transferência de Dados Pessoais emitidas pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), Modelo 2 (de controlador para operador), sem modificações.

• Partes: você é o exportador e nós somos o importador.
• Apêndices 1 a 3 do modelo: seção 1, Anexo I e Anexo II deste DPA.
• Estas cláusulas são regidas pelas leis do Reino da Arábia Saudita, e seus tribunais têm jurisdição, conforme previsto nas cláusulas.
• Notificamos você sobre uma violação em até 24 horas, encaminhamos as solicitações dos titulares dos dados em até 48 horas e cooperamos com a SDAIA em qualquer auditoria.
• Informamos quais suboperadores fora do Reino aderiram a estas cláusulas e quais não aderiram, antes de nos valermos deles para os seus dados.