Adendo de Tratamento de Dados

A versão em inglês é a que vale. Esta tradução existe para facilitar a leitura. Em caso de divergência, prevalece a versão em inglês.

Este Adendo de Tratamento de Dados (“Adendo”) integra o Contrato entre a This and That Technologies, Inc., uma sociedade de Delaware (“this+that”, “Operador”) e a entidade que celebrou o Contrato (“Cliente”, “Controlador”). Ele se aplica na medida em que o this+that trate Dados Pessoais em nome do Cliente em conexão com o Serviço.

Se você e o this+that assinaram um acordo escrito separado que faça referência a este Adendo, esse acordo assinado prevalece em caso de conflito. Do contrário, este Adendo é incorporado aos Termos de Serviço e entra em vigor na data em que você aceita os Termos de Serviço ou assina um Pedido. Uma cópia em PDF contra-assinada deste Adendo está disponível mediante pedido a legal@thisandthat.chat.

1. Definições

Os termos com inicial maiúscula usados e não definidos neste Adendo têm o significado dado nos Termos de Serviço. Para clareza, os termos “Cliente”, “conta do Cliente” e “Usuários Autorizados” usados ao longo deste Adendo correspondem aos nomes usados no produto “Team Owner”, “Team” e “Members”, respectivamente; a correspondência está na Seção 1.6 dos Termos de Serviço e não muda a substância de nenhuma disposição deste Adendo. Aplicam-se as seguintes definições adicionais:

• Lei de Proteção de Dados Aplicável significa todas as leis de proteção de dados e de privacidade aplicáveis ao tratamento de Dados Pessoais por uma parte sob o Contrato, incluindo o Regulamento Geral de Proteção de Dados da UE 2016/679 (“GDPR da UE”), o UK Data Protection Act 2018 e o UK GDPR (“GDPR do Reino Unido”), a Lei Federal Suíça de Proteção de Dados (“FADP”), a California Consumer Privacy Act conforme alterada pela CPRA (“CCPA”), a Lei Geral de Proteção de Dados brasileira (“LGPD”), e qualquer lei equivalente de qualquer outra jurisdição.
• Dados Pessoais, Controlador, Operador, Titular dos Dados, Tratamento, Violação de Dados Pessoais e Autoridade de Controle têm os significados dados no GDPR da UE (e os significados equivalentes sob o GDPR do Reino Unido e a FADP).

• Cláusulas Contratuais Padrão ou SCCs significa as Cláusulas Contratuais Padrão para a transferência de Dados Pessoais a países terceiros aprovadas pela Comissão Europeia na Decisão 2021/914, de 4 de junho de 2021, incluindo as atualizações emitidas pela Comissão, conforme alteradas de tempos em tempos.
• Adendo do Reino Unido significa o International Data Transfer Addendum às Cláusulas Contratuais Padrão da Comissão da UE emitido pelo Information Commissioner do Reino Unido sob a seção 119A do UK Data Protection Act 2018, conforme alterado de tempos em tempos.
• Sub-processador significa qualquer terceiro contratado pelo this+that para tratar Dados Pessoais em nome do Cliente em conexão com o Serviço.

2. Papéis e escopo

2.1 Papéis

Para os Dados Pessoais dentro dos Dados de Cliente, o Cliente é o Controlador e o this+that é o Operador. Onde o Cliente atua como Operador para um controlador terceiro, o this+that atua como Sub-processador e os termos deste Adendo se estendem a esse controlador terceiro como se ele fosse o Cliente.

2.2 Escopo do tratamento

O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de Dados Pessoais e as categorias de Titulares dos Dados estão no Anexo I (Detalhes do Tratamento) abaixo. O this+that vai tratar Dados Pessoais apenas para as finalidades previstas no Contrato e nas instruções documentadas do Cliente, que incluem este Adendo e as escolhas de configuração que o Cliente faz no Serviço. O this+that vai informar o Cliente se, na opinião do this+that, uma instrução infringir a Lei de Proteção de Dados Aplicável.

2.3 Obrigações do Cliente

O Cliente declara e garante que (a) tem base legal sob a Lei de Proteção de Dados Aplicável para o tratamento de Dados Pessoais que instrui o this+that a realizar; (b) forneceu todos os avisos exigidos e obteve todos os consentimentos exigidos dos Titulares dos Dados; e (c) as instruções dele ao this+that cumprem a Lei de Proteção de Dados Aplicável.

3. Sem treinamento

O this+that não vai usar Dados de Cliente, incluindo quaisquer Dados Pessoais dentro deles, para treinar, ajustar ou de outra forma melhorar qualquer modelo de aprendizado de máquina ou de IA generativa, nosso ou de terceiros. Essa restrição se aplica independentemente de os dados estarem em forma identificável, pseudonimizada, anonimizada ou agregada. O this+that exige contratualmente que os Sub-processadores dele que tratam Dados Pessoais em seu nome, incluindo provedores de modelos de IA, apliquem a mesma restrição. A telemetria operacional agregada que não contém Dados Pessoais (como métricas de disponibilidade e volumes agregados de requisição) não é Dado de Cliente e não está sujeita a essa restrição.

Exceção de personalização dentro da conta. Nada nesta Seção 3 impede o this+that de usar os próprios dados e o retorno do Cliente (por exemplo, sinais de qualquer Usuário Autorizado sobre se uma tarefa extraída estava correta) para personalizar resultados dentro da conta do Cliente, inclusive para outros Usuários Autorizados do Cliente na mesma conta. Os dados de personalização são tratados apenas em nome do Cliente, não são disponibilizados a nenhum outro Cliente, e não são usados para treinar, ajustar ou melhorar nenhum modelo compartilhado ou global que sirva a outros clientes. Os dados de personalização são apagados conforme a Seção 12 (Devolução e Exclusão) na rescisão do acesso do Usuário Autorizado relevante ou do Contrato, conforme o caso.

4. Confidencialidade

O this+that garante que o pessoal autorizado a tratar Dados Pessoais está sujeito a obrigações escritas de confidencialidade ou a obrigação legal apropriada de confidencialidade. O acesso a Dados Pessoais é restrito ao pessoal que precisa de acesso para prestar o Serviço.

5. Segurança

5.1 Medidas técnicas e organizacionais

O this+that implementa e mantém as medidas técnicas e organizacionais do Anexo II (Medidas de Segurança) para proteger Dados Pessoais contra destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso. Podemos atualizar essas medidas de tempos em tempos, desde que as atualizações não reduzam materialmente o nível de proteção.

5.2 Criptografia

Os Dados de Cliente são criptografados em trânsito com TLS 1.2 ou superior e criptografados em repouso com chaves AES-256 gerenciadas no AWS Key Management Service (KMS). As credenciais de serviços de terceiros (incluindo servidores MCP e tokens de autenticação da Microsoft) são criptografadas em repouso com o KMS.

5.3 Autenticação

O this+that suporta autenticação de múltiplos fatores, incluindo senha de uso único baseada em tempo (TOTP) e herança de múltiplos fatores do provedor de identidade Google ou Microsoft do Cliente.

6. Sub-processadores

6.1 Autorização geral

O Cliente dá autorização geral para o this+that contratar Sub-processadores para auxiliar na prestação do Serviço, sujeito aos termos desta Seção 6.

6.2 Lista

A lista atual de Sub-processadores está publicada em thisandthat.chat/subprocessors. O Cliente pode assinar avisos por e-mail sobre mudanças a partir daquela página.

6.3 Aviso e objeção

Com pelo menos dez (10) dias de antecedência da autorização de um novo Sub-processador que trate Dados Pessoais, o this+that vai avisar pela Lista de Sub-processadores ou por e-mail ao endereço de notificação do Cliente. Se o Cliente tiver preocupações razoáveis e de boa-fé sobre o novo Sub-processador (por exemplo, o Sub-processador não consegue oferecer nível comparável de proteção de dados), o Cliente pode objetar por aviso escrito em até dez (10) dias. As partes vão trabalhar juntas de boa-fé para tratar da objeção. Se as partes não chegarem a uma solução em trinta (30) dias da objeção, o Cliente pode rescindir a parte afetada do Serviço por descumprimento material sem penalidade e receber reembolso das Taxas pagas antecipadamente pela parte não usada do prazo.

Integrações de terceiros que um Usuário Autorizado escolha conectar, inclusive pelo Model Context Protocol, não são Sub-processadores para os fins desta Seção 6. O this+that não contrata esses provedores e não tem acordo com eles; os dados chegam a eles apenas onde o Cliente os direciona ao habilitar a integração. O Cliente é responsável por revisar um provedor antes de habilitar a integração dele e por firmar diretamente com esse provedor qualquer acordo de que precise.

6.4 Repasse e responsabilidade

O this+that impõe a cada Sub-processador obrigações de proteção de dados pelo menos tão protetivas quanto as deste Adendo. O this+that permanece responsável perante o Cliente por qualquer descumprimento deste Adendo causado pelos Sub-processadores dele.

7. Transferências internacionais de dados

7.1 Mecanismo de transferência para o EEE

Na medida em que o this+that trate Dados Pessoais sujeitos ao GDPR da UE fora do Espaço Econômico Europeu, num país que não tenha sido objeto de decisão de adequação, as Cláusulas Contratuais Padrão são incorporadas a este Adendo por referência e se aplicam assim:

• Módulo Dois (Controlador para Operador) se aplica onde o Cliente é Controlador e o this+that é Operador.
• Módulo Três (Operador para Sub-processador) se aplica onde o Cliente é Operador e o this+that é Sub-processador.
• Cláusula de adesão (Cláusula 7) se aplica.
• Opção 2 da Cláusula 9(a) se aplica; o prazo é de dez (10) dias.
• Cláusula 11(a), a opção de resolução independente de disputas, não se aplica.
• Cláusulas 17 e 18: a lei aplicável é a da Irlanda e os tribunais da Irlanda têm jurisdição.
• Anexo I.A é preenchido com os dados das partes no Contrato.
• Anexo I.B está no Anexo I deste Adendo.
• Anexo I.C: a autoridade de controle competente é a Comissão de Proteção de Dados da Irlanda.
• Anexo II está no Anexo II deste Adendo.

7.2 Mecanismo de transferência para o Reino Unido

Na medida em que o this+that trate Dados Pessoais sujeitos ao GDPR do Reino Unido fora do Reino Unido, num país que não tenha sido objeto de decisão de adequação do Reino Unido, o Adendo do Reino Unido é incorporado a este Adendo por referência. Na Tabela 1, os dados das partes são os do Contrato. Na Tabela 2, a versão das SCCs aprovadas da UE à qual o Adendo se anexa é a versão referida na Seção 7.1 acima. Na Tabela 3, as Informações do Apêndice estão nos Anexos I e II. Na Tabela 4, nenhuma das partes pode encerrar o Adendo em caso de mudança do Adendo Aprovado.

7.3 Mecanismo de transferência para a Suíça

Na medida em que o this+that trate Dados Pessoais sujeitos à FADP fora da Suíça, as SCCs se aplicam com as seguintes modificações: as referências ao GDPR são consideradas incluir a FADP; o Comissário Federal de Proteção de Dados e Informação é a autoridade de controle; a lei aplicável às SCCs é a lei suíça; e as referências a Estados-membros da UE não impedem Titulares dos Dados na Suíça de exercer os direitos deles no lugar de residência habitual.

7.4 Ordem de prevalência

Em caso de conflito entre este Adendo e as SCCs ou o Adendo do Reino Unido sobre um tema que as SCCs ou o Adendo do Reino Unido tratem, prevalecem as SCCs ou o Adendo do Reino Unido.

8. Direitos dos Titulares dos Dados

Levando em conta a natureza do tratamento, o this+that vai auxiliar o Cliente por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, a responder a pedidos de Titulares dos Dados que exerçam os direitos deles sob a Lei de Proteção de Dados Aplicável (incluindo direitos de acesso, retificação, exclusão, restrição, portabilidade e oposição). Se o this+that receber diretamente um pedido de um Titular dos Dados relativo a Dados de Cliente, o this+that vai, onde legalmente permitido, direcionar o Titular dos Dados ao Cliente e avisar o Cliente do pedido sem demora indevida.

9. Violação de Dados Pessoais

9.1 Aviso

O this+that vai avisar o Cliente sem demora indevida, e em todo caso em até setenta e duas (72) horas, depois de tomar conhecimento de uma Violação de Dados Pessoais confirmada que afete os Dados Pessoais do Cliente. O aviso vai incluir, na medida do que for conhecido, a natureza da violação, as categorias e o número aproximado de Titulares dos Dados e de registros envolvidos, as consequências prováveis, e as medidas tomadas ou propostas para tratar do caso.

9.2 Auxílio

O this+that vai auxiliar razoavelmente o Cliente no cumprimento das obrigações dele de avisar Autoridades de Controle e Titulares dos Dados sobre uma Violação de Dados Pessoais, onde exigido pela Lei de Proteção de Dados Aplicável.

9.3 Sem admissão

O aviso do this+that sobre uma Violação de Dados Pessoais, ou a resposta a ela, não é reconhecimento de culpa ou responsabilidade.

10. Avaliações de impacto à proteção de dados

Mediante pedido razoável do Cliente, o this+that vai fornecer informação razoavelmente necessária para auxiliar o Cliente a realizar uma avaliação de impacto à proteção de dados ou a consultar Autoridades de Controle, em cada caso quanto ao tratamento de Dados Pessoais pelo this+that sob o Contrato.

11. Auditorias

11.1 Relatórios de auditoria

O this+that vai, mediante pedido escrito do Cliente e no máximo uma vez por ano-calendário (exceto onde exigido por Autoridade de Controle ou após Violação de Dados Pessoais confirmada), disponibilizar cópia dos relatórios de auditoria de terceiros então vigentes (como o SOC 2) e a documentação de medidas de segurança referida no Anexo II, sujeito às obrigações de confidencialidade do Cliente.

11.2 Auditorias adicionais

Onde a documentação da Seção 11.1 não for suficiente para demonstrar conformidade, o Cliente (ou uma auditoria independente contratada pelo Cliente que não seja concorrente do this+that e que esteja sujeita a obrigações de confidencialidade) pode realizar auditoria do tratamento feito pelo this+that com pelo menos sessenta (60) dias de aviso escrito, em horário comercial normal, de modo que não perturbe de forma não razoável as operações do this+that, e às custas do Cliente. As partes vão acordar previamente o escopo e o momento da auditoria.

12. Devolução e exclusão

Na rescisão ou no término do Contrato, o this+that vai, à escolha do Cliente, devolver os Dados de Cliente ao Cliente ou apagar os Dados de Cliente dos sistemas de produção dele em até trinta (30) dias, exceto na medida em que a retenção seja exigida pela Lei de Proteção de Dados Aplicável. As cópias de backup são apagadas no curso normal em até noventa (90) dias. O this+that vai, mediante pedido do Cliente, certificar a exclusão por escrito.

13. Responsabilidade

A responsabilidade de cada parte sob este Adendo está sujeita às limitações e exclusões do Contrato, incluindo a seção de Limitação de Responsabilidade. Onde a Lei de Proteção de Dados Aplicável exigir alocação diferente de responsabilidade (por exemplo, as disposições de responsabilidade solidária do Artigo 82(4) do GDPR da UE), nada neste Adendo limita os direitos de um Titular dos Dados sob aquela lei.

14. Termos específicos da CCPA

Na medida em que o this+that trate Dados Pessoais sujeitos à CCPA, o this+that é um “prestador de serviço” conforme definido na CCPA. O this+that não vai (a) vender nem compartilhar Dados Pessoais conforme esses termos são definidos na CCPA; (b) reter, usar ou divulgar Dados Pessoais para qualquer finalidade que não a finalidade específica de executar o Serviço ou conforme permitido de outra forma pela CCPA; nem (c) combinar Dados Pessoais com informação pessoal recebida de outras fontes, exceto conforme permitido pela CCPA.

15. Ordem de prevalência

Em caso de conflito entre este Adendo e os Termos de Serviço, prevalece este Adendo quanto ao tratamento de Dados Pessoais. Em caso de conflito entre este Adendo e as SCCs ou o Adendo do Reino Unido, prevalecem as SCCs ou o Adendo do Reino Unido.

16. Mudanças

Podemos atualizar este Adendo de tempos em tempos. Para mudanças que reduzam materialmente os direitos do Cliente sob este Adendo, daremos pelo menos trinta (30) dias de aviso prévio conforme descrito nos Termos de Serviço. A versão em vigor na data em que uma disputa surgir rege essa disputa.

---

Anexo I — Detalhes do tratamento

A. Lista das partes

Exportador de Dados (Controlador): o Cliente, conforme identificado no Contrato. Contato: conforme consta na conta do Cliente.

Importador de Dados (Operador): This and That Technologies, Inc., uma sociedade de Delaware. Contato: legal@thisandthat.chat. Atividades relevantes aos dados transferidos: prestação do Serviço descrito nos Termos de Serviço.

B. Descrição da transferência

• Categorias de Titulares dos Dados: empregados, contratados, agentes, clientes, fornecedores, prospectos e outras pessoas cujos Dados Pessoais apareçam em caixas postais, contas de mensagem, calendários, arquivos ou outros sistemas que o Cliente conecte ao Serviço.
• Categorias de Dados Pessoais: identificadores (nome, endereço de e-mail, telefone); informação de contato comercial; informação profissional e de emprego; o conteúdo de comunicações e quaisquer anexos; eventos de calendário e participantes; conteúdo de tarefa, fluxo e brain criado ou referenciado por usuários; dados de configuração e metadados de conta. O Cliente determina se inclui categorias especiais de Dados Pessoais e é responsável por quaisquer consentimentos exigidos.
• Categorias especiais de Dados Pessoais: nenhuma esperada, mas podem estar presentes incidentalmente onde o Cliente ou os usuários dele incluam tais dados em sistemas conectados. O Serviço não tem como alvo específico categorias especiais de Dados Pessoais.
• Frequência da transferência: contínua, pela duração do Contrato.
• Natureza e finalidade do tratamento: hospedar, guardar, transmitir, analisar e agir sobre Dados de Cliente para prestar o Serviço, incluindo extração de tarefas, busca, escrita assistida por IA, execução de fluxos e a camada de conhecimento do brain.
• Duração do tratamento: pelo prazo do Contrato, mais o período de retenção e exclusão da Seção 12.
• Para Sub-processadores: o objeto, a natureza e a duração do tratamento realizado por cada Sub-processador estão na Lista de Sub-processadores.

C. Autoridade de controle competente

A Comissão de Proteção de Dados da Irlanda para Dados Pessoais da UE; o Information Commissioner’s Office do Reino Unido para Dados Pessoais do Reino Unido; o Comissário Federal de Proteção de Dados e Informação para Dados Pessoais suíços.

---

Anexo II — Medidas de segurança

O this+that implementa e mantém as seguintes medidas técnicas e organizacionais:

Controle de acesso

• Controle de acesso por papéis com padrão de menor privilégio.
• Autenticação de múltiplos fatores obrigatória para todo o pessoal do this+that com acesso a sistemas de produção.
• A autenticação do Serviço suporta múltiplos fatores por TOTP e códigos de reserva, e herda os múltiplos fatores do provedor de identidade Google ou Microsoft do Cliente.
• Revisão periódica do acesso do pessoal.

Criptografia

• TLS 1.2 ou superior para todos os dados em trânsito.
• Criptografia AES-256 em repouso usando o AWS KMS. O conteúdo de mensagem, as tarefas, as páginas de conhecimento, as notas de contato e as credenciais de integração do Cliente são adicionalmente criptografados em envelope sob chaves dedicadas gerenciadas para o cliente, com a decifragem restrita aos papéis de serviço da aplicação.
• Acesso às chaves de criptografia registrado e auditado.

Segurança de rede e infraestrutura

• Cargas de produção hospedadas na AWS, principalmente nos Estados Unidos.
• Segmentação de rede entre ambientes de produção e de não produção.
• Serviços de segurança da AWS para registro, monitoramento e detecção de ameaças.
• Varredura de vulnerabilidades em dependências e imagens de contêiner.

Segurança de aplicação

• Revisão de código e testes automatizados de segurança na esteira de desenvolvimento.
• Gestão de segredos pelo AWS Secrets Manager e pelo AWS KMS.
• Processos de correção de defeitos e de aplicação de correções para avisos de segurança.

Pessoal

• Verificação de antecedentes para pessoal com acesso a sistemas de produção, onde permitido pela lei local.
• Acordos de confidencialidade para todo o pessoal e para contratados.
• Treinamento de segurança e privacidade na contratação e anualmente.

Operações e resposta a incidentes

• Registro e monitoramento dos sistemas de produção.
• Procedimentos documentados de resposta a incidentes, incluindo escalada, aviso e revisão pós-incidente.
• Procedimentos de continuidade de negócio e de backup.

Gestão de sub-processadores

• Acordos escritos com todos os Sub-processadores que incluem termos de proteção de dados pelo menos tão protetivos quanto este Adendo.
• Seleção e revisão de Sub-processadores com base em critérios de segurança e privacidade.
• A inferência de IA é feita pelo Amazon Bedrock; os termos do provedor aplicáveis ao Bedrock proíbem o uso de entradas e saídas de cliente para treinar modelos de fundação.

Certificações

• SOC 2 Type I, avaliado pela Atom Assurances LLC, uma firma independente de contadores, reportando sobre a adequação do desenho dos nossos controles de segurança na data de 31 de julho de 2026. Uma avaliação SOC 2 Type II cobrindo um período de observação posterior está prevista.

Contato

Para dúvidas sobre o Adendo ou para pedir uma cópia contra-assinada, escreva para legal@thisandthat.chat.

Registro de mudanças

• 9 de junho de 2026. Publicação inicial do Adendo, incorporando os termos do Artigo 28 do GDPR, as SCCs (Módulos Dois e Três), o Adendo do Reino Unido, termos equivalentes à FADP, termos de prestador de serviço da CCPA, uma cláusula contratual de não treinar, e um anexo de medidas de segurança refletindo o trabalho de AWS KMS e múltiplos fatores concluído em 2026. A cláusula de não treinar inclui uma exceção de personalização dentro da conta, permitindo o uso dos próprios dados e do retorno do Cliente (inclusive sinais de qualquer Usuário Autorizado) para personalizar resultados dentro da conta do Cliente, inclusive entre os Usuários Autorizados do Cliente na mesma conta; a personalização entre clientes e o treino de modelos compartilhados seguem proibidos. A seção de Definições agora aponta para a correspondência de vocabulário do produto na Seção 1.6 dos Termos de Serviço (Cliente = Team Owner, conta do Cliente = Team, Usuários Autorizados = Members).