Adendo de Tratamento de Dados da Wefta

Papéis

O cliente é o responsável pelo tratamento (business, na CCPA) e decide as finalidades e os meios do tratamento. A Wefta é o subcontratante (service provider) e age apenas segundo as instruções documentadas do cliente, expressas pelos Termos de Uso e pela configuração da conta.

A Wefta informa o cliente sempre que uma instrução lhe pareça violar a legislação de proteção de dados aplicável, e pode recusar-se a cumpri-la.

A Wefta é responsável autónoma pelo tratamento, e não subcontratante, quanto aos registos de conta, faturação, segurança e suporte descritos na Política de Privacidade. Esses registos não são abrangidos por este adendo.

O que a Wefta nunca fará com os seus dados

Este é o compromisso que o resto do documento existe para proteger.

• Nenhuma utilização dos dados pessoais do cliente para finalidades próprias da Wefta, de espécie alguma.
• Nenhuma publicidade, definição de perfis, previsão comportamental ou pontuação.
• Nenhuma venda, partilha ou licenciamento dos dados a quem quer que seja.
• Nenhum treino de modelos de aprendizagem automática, nossos ou de terceiros, com prompts, conteúdo do espaço de trabalho ou resultados. Esta obrigação é transmitida a todos os subcontratantes.
• Nenhum cruzamento dos dados do cliente com dados de outra origem, salvo quando o cliente o determinar.

Objeto, duração, natureza e finalidade

Objeto: a prestação do serviço Wefta. Duração: enquanto a subscrição do cliente estiver ativa, mais o período de eliminação indicado abaixo. Natureza e finalidade: alojar, armazenar, organizar, recuperar e transmitir contexto aos sistemas de IA que o cliente ligar, e ainda a atividade de suporte e de segurança necessária para manter isso a funcionar.

Categorias de dados e de titulares

Categorias de dados pessoais: dados de conta e de contacto, conteúdo do espaço de trabalho, mensagens de suporte, registos de utilização e de segurança, e quaisquer dados pessoais que o cliente escolha colocar no contexto que armazena.

Categorias de titulares dos dados: os utilizadores e os colaboradores do cliente, e os clientes, prestadores e contactos comerciais sobre quem o cliente escreve no seu espaço de trabalho.

É o cliente que decide o que entra no espaço de trabalho. A Wefta não exige, e pede ao cliente que não armazene, dados de categorias especiais (saúde, biometria, convicções políticas ou religiosas, orientação sexual, filiação sindical) nem dados de menores, uma vez que o serviço não foi concebido para os conter.

Confidencialidade

O acesso está limitado às pessoas cujas funções o exigem, cada uma vinculada a um dever de confidencialidade que subsiste após o fim da sua colaboração. O acesso é concedido segundo o princípio do privilégio mínimo e é revisto sempre que uma função muda.

Medidas de segurança

A Wefta mantém medidas técnicas e organizativas adequadas ao risco, que incluem, no mínimo:

• Cifragem dos dados em trânsito e das credenciais em repouso.
• Autenticação multifator no acesso administrativo, e controlo de acessos com privilégio mínimo.
• Isolamento lógico entre clientes, com a autorização verificada ao nível de cada objeto, e não apenas na autenticação.
• Registo dos eventos administrativos e dos eventos relevantes para a segurança.
• Cópias de segurança diárias, conservadas durante 7 dias, com restauro testado.
• Revisão de código antes de cada lançamento, e monitorização de dependências e de vulnerabilidades.
• Um procedimento documentado de resposta a incidentes.

Isolamento multi-inquilino

O Wefta é multi-inquilino: os clientes partilham a infraestrutura, com separação lógica entre os seus dados. O risco característico desse desenho é um inquilino alcançar os dados de outro por faltar uma verificação de autorização ou por ela estar errada — a classe de defeito conhecida como broken object level authorisation, ou insecure direct object reference.

Nomeamo-lo aqui porque é a falha que importa nesta arquitetura, e porque é ao nomeá-la que ela passa a ser um requisito: cada pedido que resolve um registo verifica que esse registo pertence ao inquilino que o pede, e essa verificação faz parte da revisão de código.

Subcontratantes

O cliente dá autorização geral para a Wefta recorrer a outros subcontratantes. A lista atual está publicada na Política de Privacidade.

Cada subcontratante fica vinculado por termos escritos que lhe impõem obrigações de proteção de dados não inferiores às deste adendo, e a Wefta continua plenamente responsável perante o cliente pelo desempenho deles.

A Wefta avisa o cliente com pelo menos 30 dias de antecedência antes de um novo subcontratante começar a tratar os seus dados. Dentro desse prazo, o cliente pode opor-se com fundamentos de proteção de dados razoáveis e documentados. Vamos trabalhar para dar resposta à oposição; se não o conseguirmos, o cliente pode cessar a parte afetada do serviço sem penalização e receber o reembolso do período não utilizado.

Transferências internacionais

Os dados atravessam fronteiras, porque a infraestrutura é global. Cada transferência leva consigo uma salvaguarda.

A partir do Brasil: uma decisão de adequação da ANPD quando exista e, na falta dela, as Cláusulas Contratuais-Padrão emitidas ao abrigo da Resolução CD/ANPD n.º 19, de 23 de agosto de 2024, que ficam incorporadas neste adendo.

A partir do Espaço Económico Europeu e da Suíça: uma decisão de adequação quando exista e, na falta dela, as Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914), módulo dois (responsável pelo tratamento para subcontratante), incorporadas neste adendo.

A partir do Reino Unido: o Adendo de Transferência Internacional de Dados do Reino Unido a essas cláusulas.

Para transferências ulteriores para um país sem decisão de adequação, é realizada uma avaliação de impacto da transferência e são aplicadas medidas suplementares quando a avaliação as exigir.

Apoio ao cliente

A Wefta apoia o cliente, tendo em conta a natureza do tratamento e a informação de que dispõe, em: responder aos pedidos de titulares que receba diretamente; realizar avaliações de impacto sobre a proteção de dados e consultas prévias; e demonstrar o cumprimento destas obrigações.

Se um titular contactar a Wefta diretamente sobre dados que pertencem ao espaço de trabalho de um cliente, a Wefta não responde em nome do cliente. Encaminhamos o pedido para o cliente e informamos o titular de que o fizemos, sem demora injustificada.

Incidentes de segurança

A Wefta notifica o cliente sem demora injustificada e, em qualquer caso, no prazo de 24 horas a contar da confirmação de uma violação de dados pessoais que afete os seus dados. A notificação descreve o que é conhecido: a natureza do incidente, as categorias e o número aproximado de titulares e de registos em causa, as consequências prováveis, e as medidas tomadas ou propostas.

Esse prazo existe para que o responsável pelo tratamento conserve uma parte suficiente da sua própria janela de 72 horas ao abrigo do RGPD, e do prazo razoável ao abrigo da LGPD, para fazer a comunicação à autoridade e às pessoas afetadas.

A Wefta não notifica as autoridades de controlo nem os titulares dos dados em nome do cliente, salvo pedido escrito do cliente.

Auditoria

Mediante pedido, e não mais do que uma vez por ano salvo se um incidente ou uma autoridade exigir o contrário, a Wefta faculta a informação necessária para demonstrar o cumprimento deste adendo.

Quando exista um relatório de auditoria independente ou uma certificação, é esse o meio facultado em primeiro lugar e ele satisfaz a obrigação de auditoria. Uma auditoria nas instalações pode ser conduzida pelo cliente ou por um auditor independente vinculado a confidencialidade, com 30 dias de aviso, em horário de expediente, sem perturbar o serviço, e a expensas do cliente.

Devolução e eliminação

O cliente pode exportar os seus dados a qualquer momento enquanto a subscrição estiver ativa. Depois da cessação, os dados permanecem disponíveis para exportação durante 30 dias.

Findo esse prazo, a Wefta elimina os dados pessoais do cliente, incluindo das cópias de segurança à medida que o respetivo ciclo de 7 dias expira, salvo se uma lei exigir que sejam conservados, caso em que os dados continuam protegidos por este adendo e são tratados unicamente para essa finalidade legal.

Responsabilidade

A limitação de responsabilidade dos Termos de Uso aplica-se a este adendo, incluindo o limite separado e mais alto para incidentes de segurança e para falhas de proteção de dados.

Dito isto, um limite não desloca a responsabilidade. Nos termos do artigo 42 da LGPD, o subcontratante responde solidariamente quando viole as regras de segurança ou vá além das instruções lícitas, e este adendo não tenta contratar à margem disso.

Quando uma exposição de dados pessoais tem origem do lado do cliente — credenciais partilhadas ou divulgadas, acessos não revogados, uma integração que o cliente autorizou, uma configuração que o cliente escolheu, ou conteúdo que o cliente não tinha o direito de carregar —, as consequências são do cliente, e não da Wefta.

Ordem de prevalência

Nas matérias de dados pessoais, este adendo prevalece sobre os Termos de Uso. Um acordo assinado entre a Wefta e o cliente prevalece sobre ambos, na medida em que trate a mesma matéria.