Adendo de Tratamento de Dados

Este Aditivo de Tratamento de Dados (o "DPA") complementa o contrato entre a CITATIONS IO LTD (que opera sob o nome comercial Citations.io, "Operador"; registrada no Information Commissioner's Office do Reino Unido sob o número de registro ZC187049) e o cliente identificado nesse contrato ("Controlador") para a prestação dos serviços da Citations.io (o "Contrato Principal"). Ele se aplica quando o Operador trata Dados Pessoais em nome do Controlador em conexão com o Contrato Principal. Em caso de conflito, este DPA prevalece sobre o Contrato Principal no que diz respeito aos Dados Pessoais.

• "Legislação de Proteção de Dados Aplicável" significa o GDPR do Reino Unido, o GDPR da UE, a Lei de Proteção de Dados do Reino Unido de 2018, a Lei de Privacidade do Consumidor da Califórnia (conforme alterada pela CPRA) e qualquer outra lei de privacidade ou proteção de dados aplicável ao tratamento de Dados Pessoais por uma das partes.
• "Controlador", "Operador", "Dados Pessoais", "Tratamento", "Suboperador" e "Titular dos Dados" têm os significados atribuídos pelo GDPR do Reino Unido / GDPR da UE.
• "Violação de Dados Pessoais" significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais, de forma acidental ou ilícita.
• "Cláusulas Contratuais Padrão" ou "SCCs" significa as cláusulas do Módulo 2 (Controlador para Operador) aprovadas pela Comissão Europeia na Decisão 2021/914.
• "Aditivo do Reino Unido" significa o Aditivo de Transferência Internacional de Dados do Reino Unido às SCCs emitido pelo Information Commissioner.

O Controlador é o Controlador e o Operador é o Operador dos Dados Pessoais tratados nos termos do Contrato Principal. O Operador tratará Dados Pessoais somente de acordo com instruções documentadas do Controlador, incluindo o Contrato Principal, este DPA e o uso do Serviço pelo Controlador. O Operador informará o Controlador se considerar que alguma instrução viola a Legislação de Proteção de Dados Aplicável.

Objeto e duração

Prestação do serviço da Citations.io durante a vigência do Contrato Principal e qualquer período após o término necessário para devolver ou excluir Dados Pessoais.

Natureza e finalidade

Hospedagem, tratamento e análise de Dados Pessoais para permitir que o Controlador monitore a visibilidade da marca em mecanismos de busca com IA e gerencie prompts, citações, concorrentes, integrações, relatórios e fluxos de trabalho relacionados.

Categorias de Titulares dos Dados

Usuários autorizados do Controlador; clientes, potenciais clientes ou contatos do Controlador (quando o Controlador importar esses dados para o Serviço); pessoas mencionadas em respostas geradas por IA disponíveis publicamente e analisadas pelo Serviço.

Categorias de Dados Pessoais

Identificadores (nome, e-mail, função), informações profissionais, credenciais de conta (em formato hash), logs de uso, conteúdo de prompts e relatórios e quaisquer outros Dados Pessoais que o Controlador opte por enviar. O Serviço não exige dados de categorias especiais; o Controlador não deve enviar dados de categorias especiais nem dados relativos a infrações penais.

O Operador garantirá que o pessoal autorizado a tratar Dados Pessoais esteja sujeito a obrigações de confidencialidade e tenha recebido treinamento adequado sobre proteção de dados e segurança da informação.

O Operador implementará medidas técnicas e organizacionais adequadas para garantir um nível de segurança apropriado ao risco, incluindo:

• criptografia em trânsito (TLS 1.2+) e em repouso (AES-256);
• controle de acesso baseado em funções e gestão de acesso com privilégio mínimo;
• autenticação multifator para acesso administrativo;
• segmentação de rede e infraestrutura de nuvem gerenciada;
• registro centralizado de logs e trilhas de auditoria;
• verificação regular de vulnerabilidades e gestão de patches;
• ciclo de vida de desenvolvimento seguro, incluindo revisão de código e verificação de dependências;
• planos documentados de resposta a incidentes e continuidade de negócios;
• revisões anuais de segurança e treinamento de pessoal.

Os detalhes completos estão em /security.

O Controlador autoriza o Operador a contratar os Suboperadores listados em /subprocessors. O Operador imporá a cada Suboperador obrigações de proteção de dados que ofereçam proteção não inferior à prevista neste DPA. O Operador notificará o Controlador com pelo menos 30 dias de antecedência sobre qualquer adição ou substituição pretendida de um Suboperador (por e-mail aos inscritos e pela página de Suboperadores). O Controlador poderá se opor por motivos razoáveis de proteção de dados dentro desse prazo de aviso, caso em que as partes trabalharão de boa-fé para resolver a objeção e, se não houver solução, o Controlador poderá rescindir a parte afetada do Serviço por conveniência. O Operador permanece responsável pelos atos e omissões de seus Suboperadores.

Levando em conta a natureza do tratamento, o Operador prestará assistência razoável ao Controlador por meio de medidas técnicas e organizacionais adequadas, na medida do possível, para permitir que o Controlador responda às solicitações dos Titulares dos Dados. O Serviço oferece ferramentas de autoatendimento para acessar, exportar e excluir Dados Pessoais; assistência adicional está disponível em privacy@citations.io.

O Operador notificará o Controlador sem demora indevida e, em qualquer caso, dentro de 72 horas após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Controlador. A notificação incluirá, na medida em que forem conhecidos, a natureza da violação, as categorias e os números aproximados de Titulares dos Dados e registros afetados, as consequências prováveis e as medidas tomadas ou propostas.

O Operador prestará assistência razoável ao Controlador nas avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de supervisão exigidas pelos Artigos 35 e 36 do GDPR, em cada caso exclusivamente em relação ao tratamento de Dados Pessoais pelo Operador.

Quando o Operador transferir Dados Pessoais do Reino Unido ou do EEE para um país não abrangido por uma decisão de adequação, as partes concordam que as SCCs (Módulo 2, com adesão nos termos da Cláusula 7, Cláusula 9(a) Opção 2 com aviso prévio de 30 dias, Cláusula 11 sem resolução independente de disputas, Cláusula 17 Opção 1 regida pela legislação da Irlanda, Cláusula 18(b) com jurisdição dos tribunais da Irlanda) serão incorporadas por referência. Para transferências do Reino Unido, o Adendo do Reino Unido será incorporado e as SCCs serão alteradas de acordo. Os Anexos I-III das SCCs são os descritos neste DPA.

O Operador disponibilizará ao Controlador as informações necessárias para demonstrar a conformidade com este DPA. O Controlador poderá, no máximo uma vez por ano e às suas próprias custas, realizar uma auditoria mediante aviso por escrito com pelo menos 30 dias de antecedência, durante o horário comercial e sujeito a obrigações de confidencialidade. Em substituição a uma auditoria presencial, o Operador poderá fornecer ao Controlador relatórios de auditoria de terceiros (por exemplo, SOC 2, ISO 27001 quando disponíveis) e respostas a um questionário de segurança. As auditorias presenciais em resposta a uma Violação de Dados Pessoais não estão sujeitas ao limite de uma vez por ano.

Após o término do Contrato Principal, o Operador, a critério do Controlador, excluirá ou devolverá todos os Dados Pessoais em até 30 dias e excluirá as cópias existentes, salvo se a retenção for exigida por lei. As cópias de backup serão sobrescritas ou excluídas de acordo com o ciclo de retenção de backups do Operador, durante o qual permanecerão sujeitas às obrigações de segurança e confidencialidade deste DPA.

Em relação aos Dados Pessoais sujeitos à CCPA, o Operador é um "Prestador de Serviços" e o Controlador é uma "Empresa". O Operador não poderá (a) vender ou compartilhar Dados Pessoais; (b) reter, usar ou divulgar Dados Pessoais para qualquer finalidade que não seja a finalidade comercial específica de fornecer o Serviço; (c) reter, usar ou divulgar Dados Pessoais fora da relação comercial direta entre as partes; ou (d) combinar Dados Pessoais recebidos do Controlador com Dados Pessoais de outras fontes, exceto conforme permitido pelos regulamentos da CCPA. O Operador notificará o Controlador caso não consiga mais cumprir suas obrigações previstas na CCPA.

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações de responsabilidade previstas no Contrato Principal, exceto quando a legislação aplicável não permitir tal limitação.