Este Acordo de Tratamento de Dados («DPA») faz parte do acordo de serviços entre a Multiuniversal UAB («Subcontratante») e o cliente («Responsável»). Ele se aplica automaticamente a todos os contratos em que a Multiuniversal trata dados pessoais por conta do Responsável.
Para dúvidas sobre este DPA, entre em contato com privacy@multiuniversal.com.
- Definições
- Escopo e papéis
- Obrigações do Subcontratante
- Obrigações do Responsável
- Subcontratantes ulteriores
- Medidas de segurança
- Direitos do titular de dados
- Violações de dados
- Transferências internacionais
- Direitos de auditoria
- Vigência e término
- Lei aplicável
- Anexo de tratamento
Definições
Neste DPA:
- «Responsável» significa o cliente que determina as finalidades e os meios do tratamento.
- «Subcontratante» significa a Multiuniversal UAB, agindo conforme as instruções do Responsável.
- «Dados Pessoais», «Titular dos Dados», «Tratamento», «Autoridade de Controle» e «Violação» têm o significado dado pelo RGPD.
- «RGPD» significa o Regulamento (UE) 2016/679.
- «Serviços» significa os serviços de infraestrutura de IA, automação ou integração do Subcontratante.
- «Subcontratante ulterior» significa qualquer terceiro contratado pelo Subcontratante.
Escopo e papéis
O Subcontratante fornece serviços de infraestrutura de IA que podem envolver o tratamento de dados pessoais por conta do Responsável. Nesse contexto:
- O Responsável determina a base legal e a finalidade do tratamento.
- O Subcontratante trata os dados apenas conforme instruções documentadas.
- As categorias, a natureza e a duração constam do Anexo de Tratamento de cada contrato.
Obrigações do Subcontratante
O Subcontratante:
- Trata os dados apenas conforme instruções documentadas, salvo quando exigido por lei da UE ou de um estado-membro.
- Garante que as pessoas autorizadas estejam vinculadas a obrigações de confidencialidade.
- Implementa medidas técnicas e organizacionais de segurança adequadas.
- Auxilia o Responsável nas obrigações de resposta aos titulares de dados.
- Auxilia o Responsável no cumprimento dos Artigos 32 a 36 do RGPD.
- Conforme a escolha do Responsável, elimina ou devolve os dados no término dos Serviços.
- Disponibiliza as informações necessárias para demonstrar conformidade e coopera com auditorias.
- Notifica o Responsável imediatamente se alguma instrução violar o RGPD.
Obrigações do Responsável
O Responsável:
- Garante base legal válida conforme o Artigo 6 do RGPD para todos os dados fornecidos.
- Fornece instruções documentadas e notifica quaisquer alterações.
- Garante que os titulares de dados foram informados conforme os Artigos 13 e 14 do RGPD.
- Não instrui nenhum tratamento que viole a lei aplicável.
Subcontratantes ulteriores
O Subcontratante não contrata subcontratantes ulteriores sem autorização prévia por escrito. Com autorização geral, ele notifica alterações dando 14 dias para objeção.
Qualquer subcontratante ulterior fica vinculado a obrigações equivalentes. O Subcontratante continua totalmente responsável.
A lista atual de subcontratantes ulteriores aprovados é mantida em privacy@multiuniversal.com. Quando a inferência de IA faz parte da prestação do serviço, os subcontratantes ulteriores envolvidos constam da mesma lista e são notificados ao Responsável conforme a cláusula 5.1.
Medidas de segurança
O Subcontratante implementa medidas técnicas e organizacionais adequadas ao risco:
| Medida | Implementação |
|---|---|
| Criptografia em trânsito | TLS 1.2+ para toda a transmissão |
| Criptografia em repouso | Armazenamento criptografado para bancos de dados com dados pessoais |
| Controle de acesso | Por função; menor privilégio; autenticação forte |
| Minimização | Apenas os dados necessários |
| Controles de tratamento de IA | Inferência de IA dentro do perímetro do contrato; controles de acesso e registro alinhados com o restante do tratamento |
| Resposta a incidentes | Procedimentos documentados |
O Subcontratante revisa e atualiza essas medidas periodicamente.
Direitos do titular de dados
Considerando a natureza do tratamento, o Subcontratante auxilia o Responsável a responder a pedidos dos titulares de dados conforme o Capítulo III do RGPD.
Se o Subcontratante receber um pedido direto, ele o encaminha ao Responsável e não responde diretamente sem instrução.
Violações de dados
O Subcontratante notifica o Responsável sem demora injustificada — em qualquer caso, em até 48 horas — depois de tomar conhecimento de uma Violação. A notificação inclui:
- Descrição da natureza, das categorias e do número aproximado de titulares de dados e registros
- Nome e contato do DPO
- Descrição das consequências prováveis
- Descrição das medidas tomadas
O Subcontratante coopera para mitigar os efeitos. O Responsável continua responsável pelas notificações conforme os Artigos 33 e 34 do RGPD.
Transferências internacionais
A infraestrutura e a equipe do Subcontratante estão na Lituânia, um estado-membro da UE. Por padrão, os dados não são transferidos para fora do EEE.
Se um contrato exigir transferência para um país terceiro, o Subcontratante notifica com antecedência. Essa transferência fica sujeita às salvaguardas do Capítulo V do RGPD.
Direitos de auditoria
O Subcontratante disponibiliza as informações necessárias. O Responsável pode auditar sob as seguintes condições:
- Aviso prévio por escrito de pelo menos 14 dias
- Auditoria em horário comercial, sem atrapalhar as operações
- Auditor vinculado a obrigação de confidencialidade equivalente
O Responsável arca com os custos da auditoria, exceto se ela revelar descumprimento material.
Vigência e término
Este DPA permanece em vigor durante todo o contrato. No término, o Subcontratante terá 30 dias para devolver ou eliminar todos os dados, conforme a escolha do Responsável. Ele pode manter uma cópia por até 3 anos para fins de resolução de disputas.
Se uma retenção superior a 3 anos for exigida por lei da UE ou de um estado-membro, o Subcontratante vai informar o Responsável.
Lei aplicável
Este DPA é regido pela lei lituana. As disputas estão sujeitas à jurisdição exclusiva dos tribunais de Vilnius.
Se o Responsável estiver sujeito às leis de outro estado da UE, nada aqui limita o direito de apresentar reclamação à autoridade local.
Anexo de tratamento
O anexo a seguir é preenchido por contrato e faz parte deste DPA.
| Nome e endereço do Responsável | A ser preenchido por contrato |
| Descrição dos serviços | A ser preenchido por contrato |
| Finalidade do tratamento | A ser preenchido por contrato |
| Categorias de dados pessoais | A ser preenchido por contrato |
| Categorias de titulares de dados | A ser preenchido por contrato |
| Período de retenção | A ser preenchido por contrato |
| Subcontratantes ulteriores aprovados | Nenhuma por padrão; listadas quando aplicável |
| Transferências internacionais | Nenhuma por padrão; mecanismo listado quando aplicável |
Para receber um Anexo preenchido, entre em contato com privacy@multiuniversal.com.