Este Acordo de Tratamento de Dados (DPA) integra o contrato entre uma empresa, um órgão do setor público ou outro cliente organizacional (Cliente) e František Mráz, IČO 07961731, que atua como DIRI AI (Operadora), quando a DIRI AI trata Dados Pessoais do Cliente por conta do Cliente.
1. Definições e papéis
Legislação de Proteção de Dados Aplicável significa o GDPR (Regulamento Geral sobre a Proteção de Dados), a legislação tcheca de proteção de dados e qualquer outra lei de privacidade que se aplique ao tratamento em questão. Dados Pessoais do Cliente significa os dados pessoais contidos no Conteúdo do Cliente que a DIRI AI trata exclusivamente conforme instruções documentadas do Cliente. Incidente de Segurança tem o significado indicado na seção 8.
O Cliente é controlador ou operador, conforme o caso. A DIRI AI é operadora ou suboperadora em relação aos Dados Pessoais do Cliente. A DIRI AI continua sendo controladora independente em relação à sua própria conta, cobrança, prevenção de fraudes, conformidade legal e administração de segurança descritas na Política de privacidade.
2. Escopo e vigência
A DIRI AI tratará os Dados Pessoais do Cliente somente para prestar, proteger, apoiar e excluir o serviço, conforme descrito no Anexo 1 e nas instruções documentadas. Este DPA começa com o contrato de serviço e continua até que os Dados Pessoais do Cliente sejam excluídos ou devolvidos, observada a retenção lícita.
O contrato de serviço, as configurações, as solicitações de suporte e o uso lícito das funções documentadas do produto constituem instruções. Uma instrução que extrapole o serviço padrão pode exigir alteração por escrito, remuneração ou análise técnica. A DIRI AI informará prontamente o Cliente se, em sua opinião razoável, uma instrução infringir a Legislação de Proteção de Dados Aplicável, e poderá pausar o tratamento afetado enquanto as partes resolvem a questão.
3. Obrigações da operadora
A DIRI AI:
- tratará os Dados Pessoais do Cliente somente conforme instruções documentadas, salvo se o direito da União ou de um Estado-Membro exigir de outra forma; quando permitido, informará o Cliente antes desse tratamento;
- garantirá que as pessoas autorizadas a tratá-los estejam vinculadas por dever de confidencialidade;
- implementará e manterá as medidas, adequadas ao risco, descritas no Anexo 2;
- auxiliará o Cliente, considerando a natureza do tratamento e as informações disponíveis, quanto aos direitos dos titulares dos dados, à segurança, às avaliações de violações, às DPIAs e às consultas a autoridades reguladoras;
- manterá os registros e as informações necessários para demonstrar a conformidade com o artigo 28 do GDPR;
- notificará o Cliente se receber uma solicitação vinculante de uma autoridade relativa aos Dados Pessoais do Cliente, a menos que a lei proíba a notificação; e
- não venderá os Dados Pessoais do Cliente, não os usará para publicidade de terceiros, não realizará identificação biométrica nem reconhecimento de emoções, nem treinará um modelo de uso geral com eles sem um acordo escrito separado e uma base legal.
4. Obrigações do Cliente
O Cliente é responsável pela licitude, pela lealdade e pela exatidão de suas instruções e dos Dados Pessoais do Cliente. Ele deve:
- fornecer os avisos exigidos e estabelecer uma base legal válida;
- configurar acessos, retenção e perfis de forma proporcional;
- evitar dados desnecessários de categorias especiais, de infrações penais, de cartão de pagamento, de credenciais, de saúde ou segredos de clientes reais;
- cumprir os deveres de consulta a empregados/trabalhadores, as regras de monitoramento, os deveres perante sindicatos ou conselhos de trabalhadores e a supervisão humana;
- responder aos titulares dos dados e concluir qualquer DPIA exigida; e
- assegurar que suas instruções não utilizem a DIRI AI para finalidades proibidas ou de alto risco.
5. Suboperadores
O Cliente concede autorização geral para os suboperadores constantes da Lista de suboperadores em vigor. A DIRI AI vinculará cada suboperador a obrigações de proteção de dados que, em substância, não sejam menos protetoras do que as obrigações pertinentes deste DPA e continuará responsável pelo desempenho dele, conforme exigido por lei.
A DIRI AI deve dar aviso prévio de pelo menos 30 dias sobre um novo suboperador que tratará Dados Pessoais do Cliente. Durante esse prazo, o Cliente poderá apresentar objeção por motivos razoáveis de proteção de dados. As partes buscarão uma salvaguarda razoável ou uma alternativa. Se nenhuma estiver razoavelmente disponível, qualquer das partes poderá rescindir a funcionalidade ou o serviço afetado sem penalidade, quanto ao período afetado pré-pago e não utilizado.
Uma substituição urgente necessária por motivo de segurança, de lei ou de continuidade do serviço pode ser feita antes, com aviso assim que razoavelmente possível. A DIRI AI registra e envia esses avisos por um canal de contato empresarial durável.
6. Transferências internacionais
A DIRI AI não realizará uma transferência restrita sem um mecanismo lícito. Conforme a transferência, poderá ser uma decisão de adequação, as Cláusulas Contratuais Padrão da Comissão Europeia aplicáveis, o Adendo do Reino Unido ou outra salvaguarda válida. A DIRI AI realizará e documentará uma avaliação da transferência e medidas complementares razoáveis, quando exigido.
A pedido razoável do Cliente, a DIRI AI fornecerá as informações pertinentes sobre as salvaguardas, sujeitas a omissões por razões de confidencialidade e de segurança. A Lista de suboperadores identifica os provedores e as finalidades; o Registro de fornecedores e transferências da DIRI AI registra as localizações e os mecanismos de transferência aplicáveis. A sede de um provedor ou a região selecionada, isoladamente, não comprova que nenhuma transferência ocorre.
7. Solicitações dos titulares dos dados e assistência
Se a DIRI AI receber uma solicitação relativa a Dados Pessoais do Cliente, não responderá quanto ao mérito, exceto conforme instruções do Cliente ou quando exigido por lei. Encaminhará prontamente a solicitação quando o Cliente puder ser identificado e disponibilizará as funções de autoatendimento de exportação, correção e exclusão existentes.
A assistência razoável padrão está incluída. A assistência desproporcional, repetitiva ou personalizada pode ser cobrada, para clientes empresariais, por um valor razoável acordado, quando a lei permitir, mas a DIRI AI não cobrará por trabalho decorrente de sua própria violação.
8. Incidentes de segurança e violações de dados pessoais
Um Incidente de Segurança é uma destruição, perda, alteração, divulgação ou acesso não autorizado, acidental ou ilícito, de Dados Pessoais do Cliente, que tenha sido confirmado. Excluem-se as tentativas malsucedidas que não comprometam os Dados Pessoais do Cliente, como varreduras bloqueadas ou logins fracassados.
A DIRI AI notificará o Cliente sem demora injustificada após tomar conhecimento de um Incidente de Segurança. A meta operacional é um aviso inicial em até 48 horas, quando razoavelmente possível, mas o padrão legal é a ausência de demora injustificada. O aviso incluirá as informações disponíveis sobre:
- natureza, momento e sistemas/titulares dos dados afetados;
- consequências prováveis;
- contenção, mitigação e correção;
- um ponto de contato; e
- informações razoavelmente necessárias para os deveres de notificação do Cliente.
As informações podem ser fornecidas por etapas. A DIRI AI preservará as provas pertinentes, cooperará com o Cliente e fornecerá atualizações adequadas. A notificação não constitui admissão de culpa ou de responsabilidade. O Cliente decide se deve notificar uma autoridade reguladora ou as pessoas afetadas, a menos que a DIRI AI tenha um dever legal independente.
O prazo de 48 horas é uma meta operacional, não um prazo garantido, e não retarda nenhuma notificação anterior exigida por lei ou por este DPA.
9. Devolução e exclusão
Durante a assinatura e o período documentado de exportação, o Cliente pode exportar o Conteúdo do Cliente disponível em um formato comumente utilizado e legível por máquina. Com o término ou mediante solicitação por escrito, a DIRI AI excluirá ou devolverá os Dados Pessoais do Cliente, à escolha do Cliente, salvo se a lei exigir a retenção.
A exclusão nos sistemas ativos deve ser concluída em até 30 dias após o período aplicável de encerramento/exportação. Backups criptografados e isolados podem persistir até o ciclo de expiração verificado do provedor; permanecem protegidos, não são restaurados para uso ordinário e serão excluídos novamente se forem restaurados para recuperação de desastres. Os registros de cobrança, de segurança, de fraude, de reclamações e de bloqueio legal são retidos somente conforme as finalidades de controladora da DIRI AI e a Política de retenção de dados.
A DIRI AI mantém controles de ciclo de vida para o período aplicável de exportação, as rotinas de exclusão e o ciclo de expiração dos backups do provedor, e os revisa após uma mudança relevante no ciclo de vida ou no provedor.
10. Auditoria e evidências
Mediante solicitação escrita razoável, no máximo uma vez por ano, a DIRI AI fornecerá as informações necessárias para demonstrar a conformidade, como este DPA, informações sobre suboperadores, documentação de segurança e relatórios independentes disponíveis. São permitidas solicitações adicionais após um Incidente de Segurança relevante ou uma exigência de autoridade reguladora.
Se essas informações forem insuficientes, o Cliente poderá solicitar uma auditoria remota proporcional, por auditor independente qualificado e vinculado por confidencialidade. Uma auditoria presencial é o último recurso, durante o horário comercial normal, sem acesso aos dados de outros clientes e sem comprometer a segurança. O Cliente arca com os custos razoáveis da auditoria, a menos que ela identifique uma violação relevante pela DIRI AI. Nenhuma certificação de provedor é apresentada como certificação da DIRI AI.
11. Responsabilidade e precedência
A responsabilidade nos termos deste DPA segue o contrato de serviço, exceto na medida em que a Legislação de Proteção de Dados Aplicável não permita uma limitação. Se este DPA conflitar com o contrato de serviço quanto ao tratamento de Dados Pessoais do Cliente, prevalece este DPA. A lei imperativa e quaisquer Cláusulas Contratuais Padrão aplicáveis e firmadas prevalecem sobre ambos.
12. Contato e formalização
Contato de privacidade: privacy@diriai.com. Este DPA passa a integrar um contrato somente quando a versão exata 1.2.0 for disponibilizada antes do pedido e incorporada por meio de um contrato de serviço válido ou de uma ordem assinada.
Versão: 1.2.0. Data: 30 de agosto de 2026.
Anexo 1 — Detalhes do tratamento
| Item | Descrição |
|---|---|
| Objeto | Hospedagem e operação de um serviço de treinamento de conversas por voz/texto assistido por IA, com relatórios, administração de equipes, suporte, segurança, exportação e exclusão |
| Duração | Vigência da assinatura, mais o período documentado de exportação/exclusão e as exceções legais |
| Natureza | Coleta, gravação quando ativada, estruturação, armazenamento, consulta, transmissão a provedores aprovados, análise, geração, pontuação, suporte, restrição, exportação e exclusão |
| Finalidades | Fornecer as simulações e os relatórios solicitados pelo Cliente; administrar o espaço de trabalho e os limites; proteger, apoiar e manter o serviço |
| Titulares dos dados | Usuários do Cliente, administradores, participantes do treinamento, empregados/contratados representados no conteúdo e outras pessoas cujos dados o Cliente envie licitamente |
| Tipos de dados | Nomes, dados de contato profissional e de conta, funções, identificadores, cenários, entradas de texto/voz, áudio opcional, transcrições, anotações, relatórios, pontuações, dados de uso, de dispositivo/rede e de auditoria, mensagens de suporte |
| Dados especiais | Não são previstos nem autorizados nos planos padrão. O Cliente não deve enviá-los, a menos que sejam acordados uma instrução escrita separada e uma base legal, uma avaliação e salvaguardas nos termos dos artigos 9 e 10 |
| Frequência | Sob demanda e de forma contínua para a administração da conta, da segurança e do serviço |
| Devolução/exclusão | Exportação por autoatendimento/solicitada, seguida de exclusão conforme a seção 9 e a Política de retenção de dados |
Anexo 2 — Medidas técnicas e organizacionais
Estes são requisitos contratuais mínimos de projeto, não uma certificação:
- Controle de acesso: contas únicas, autorização baseada em perfis e restrita ao tenant, privilégio mínimo, gestão de membros controlada por administradores e revisão de acessos privilegiados.
- Autenticação e sessões: cookies de sessão protegidos, transporte seguro, limitação de taxa, separação de credenciais/segredos e autenticação multifator quando oferecida.
- Separação entre tenants: identificadores de tenant e autorização no servidor para o Conteúdo do Cliente e as ações administrativas; testes de acesso entre tenants.
- Criptografia: TLS para dados compatíveis em trânsito e criptografia em repouso gerenciada pelo provedor, quando verificada; chaves e segredos excluídos do código-fonte e dos logs.
- Minimização de dados: gravação desativada por padrão, telemetria controlada, depuração restrita em produção, sem dados completos de cartão, filtragem de conteúdo nos logs e retenção configurável/curta.
- Registro e monitoramento: eventos auditáveis de segurança/administração, monitoramento de erros higienizado, alertas e evidências protegidas, com limites de acesso e de retenção.
- Disponibilidade e recuperação: monitoramento da saúde do serviço, filas e novas tentativas quando apropriado, backups do provedor, procedimentos de restauração e revisão periódica da recuperação; os planos padrão não incluem objetivo contratual de recuperação, salvo acordo expresso.
- Desenvolvimento seguro: revisão de alterações, testes automatizados, verificações de dependências e de segredos, separação de ambientes e alterações controladas em produção.
- Resposta a incidentes: processo documentado de triagem, contenção, evidências, notificação e lições aprendidas, com responsável pelo contato.
- Gestão de fornecedores: análise de DPA/segurança, avaliação de região e de transferência, configuração com o mínimo de dados e revisão de desligamento/exclusão.
- Exclusão e continuidade: rotinas de ciclo de vida para conteúdo, exportações, logs e objetos do provedor; expiração de backups e bloqueios legais documentados separadamente.
- Pessoal e governança: confidencialidade, acesso restrito à necessidade de conhecer, revisão periódica de acessos, treinamento em privacidade/segurança e registros de tratamento.
Anexo 3 — Suboperadores aprovados
A lista em vigor em https://diriai.com/en/legal/subprocessors é incorporada por referência. Um provedor é autorizado por este Anexo somente para a função listada que a DIRI AI efetivamente usa nos termos de um contrato de provedor aplicável.