Adendo de Tratamento de Dados (DPA)

Este Adendo de Tratamento de Dados ("DPA") integra os Termos e Condições da Grovity ou qualquer contrato assinado entre a Grovity Services LLC ("Grovity" ou "Operador") e o Cliente ("Cliente" ou "Controlador") (o "Contrato"), e aplica-se ao Tratamento de dados pessoais realizado pela Grovity em nome do Cliente. Os Clientes Enterprise podem solicitar uma via assinada por ambas as partes escrevendo para privacy@grovity.ai.

Termos como "dados pessoais", "Tratamento", "Controlador", "Operador", "Titular" e "autoridade de controle" têm o significado atribuído pela Legislação de Proteção de Dados aplicável. "Legislação de Proteção de Dados" significa todas as leis aplicáveis ao Tratamento de dados pessoais no âmbito do Contrato, incluindo o GDPR, o CCPA/CPRA, a Ley 1581 de 2012 da Colômbia, a Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018) do Brasil e as leis indicadas na Política de Privacidade. "Dados Pessoais do Cliente" significa os dados pessoais tratados pela Grovity em nome do Cliente na prestação dos Serviços. "Incidente de Segurança" significa uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação não autorizada ou o acesso aos Dados Pessoais do Cliente.

2.1. O Cliente é o Controlador e a Grovity é o Operador dos Dados Pessoais do Cliente. Quando o Cliente atuar como Operador em nome de um terceiro, a Grovity atua como seu Suboperador.

2.2. Detalhes do Tratamento:

Item	Descrição
Objeto	Prestação dos Serviços nos termos do Contrato
Duração	Vigência do Contrato, acrescida dos prazos de exportação e eliminação previstos na Seção 10
Natureza e finalidade	Hospedagem, armazenamento, transmissão e Tratamento de conversas e dados relacionados por meio de agentes de IA configurados pelo Cliente
Titulares	Os Usuários Finais, clientes, potenciais clientes, pacientes e demais pessoas físicas que interagem com os agentes de IA do Cliente; os usuários autorizados do Cliente
Categorias de dados	Dados de identificação e de contato; conteúdo das conversas (texto, áudio, imagens, arquivos); dados obtidos das integrações do Cliente; dados técnicos; e, quando o Cliente assim configurar, dados sensíveis em conformidade com o Adendo de Dados de Saúde

3.1. A Grovity tratará os Dados Pessoais do Cliente somente de acordo com as instruções documentadas do Cliente, que consistem no Contrato, neste DPA e na configuração dos Serviços feita pelo Cliente, salvo se de outra forma exigido por lei, caso em que a Grovity informará o Cliente, a menos que seja legalmente proibida de fazê-lo. A Grovity informará o Cliente caso, em sua opinião, uma instrução viole a Legislação de Proteção de Dados.

3.2. O Cliente é responsável pela licitude do Tratamento, incluindo dispor de uma base legal válida, obter quaisquer consentimentos exigidos, fornecer avisos de privacidade aos Titulares (incluindo aviso sobre o uso de IA) e assegurar que suas instruções estejam em conformidade com a Legislação de Proteção de Dados.

A Grovity assegura que as pessoas autorizadas a tratar os Dados Pessoais do Cliente estejam sujeitas a obrigações de confidencialidade e acessem os dados somente na medida necessária para prestar os Serviços.

A Grovity implementa as medidas técnicas e organizacionais descritas na Descrição da Segurança dos Serviços (https://www.grovity.ai/security), que constitui o Anexo II deste DPA. A Grovity poderá atualizar essas medidas, desde que o nível geral de proteção não seja reduzido de forma relevante.

6.1. O Cliente concede autorização geral para que a Grovity contrate os Suboperadores listados em https://www.grovity.ai/subprocessors.

6.2. A Grovity publicará qualquer novo Suboperador com pelo menos trinta (30) dias de antecedência ao início do Tratamento dos Dados Pessoais do Cliente. O Cliente poderá apresentar objeção, por motivos razoáveis relacionados à proteção de dados, dentro desse prazo. As partes discutirão a objeção de boa-fé; caso ela não seja resolvida, o Cliente poderá rescindir os Serviços afetados e receber o reembolso das tarifas pagas antecipadamente referentes ao período ainda não prestado.

6.3. A Grovity imporá a cada Suboperador obrigações de proteção de dados substancialmente equivalentes às deste DPA, incluindo a de que os Dados Pessoais do Cliente não sejam utilizados para treinar os modelos do Suboperador, e permanece responsável pelo desempenho de seus Suboperadores.

A Grovity encaminhará prontamente ao Cliente qualquer solicitação recebida diretamente de um Titular relativa aos Dados Pessoais do Cliente e não a responderá, exceto mediante instruções do Cliente. Levando em conta a natureza do Tratamento, a Grovity prestará assistência razoável, inclusive por meio das funcionalidades dos Serviços, para ajudar o Cliente a responder a tais solicitações.

A Grovity notificará o Cliente sem demora indevida e, em qualquer caso, no prazo de setenta e duas (72) horas após tomar conhecimento de um Incidente de Segurança, salvo se um prazo menor for estabelecido no Contrato. A notificação incluirá, na medida em que estiverem disponíveis, a natureza do incidente, as categorias e o número aproximado de Titulares e de registros afetados, as consequências prováveis e as medidas adotadas ou propostas. A Grovity adotará medidas razoáveis para conter o incidente e cooperará com o Cliente em suas comunicações às autoridades e aos Titulares. A notificação de um Incidente de Segurança não constitui reconhecimento de culpa ou de responsabilidade.

9.1. A Grovity prestará assistência razoável em relatórios de impacto à proteção de dados pessoais e em consultas prévias às autoridades de controle, na medida exigida pela Legislação de Proteção de Dados e relacionada aos Serviços.

9.2. A Grovity disponibilizará ao Cliente, mediante solicitação por escrito e sujeito a confidencialidade, as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, incluindo sua documentação de segurança, respostas a questionários de segurança e as certificações e relatórios de seus provedores de infraestrutura.

9.3. Caso essas informações não sejam suficientes para demonstrar a conformidade, ou quando exigido por uma autoridade de controle, o Cliente poderá realizar uma auditoria, no máximo uma vez por ano, mediante aviso prévio de pelo menos trinta (30) dias, em horário comercial, por meio de um auditor independente sujeito a confidencialidade, às custas do Cliente e sem acesso a dados de outros clientes ou à infraestrutura operada pelos provedores da Grovity.

Com o término dos Serviços, a Grovity disponibilizará os Dados Pessoais do Cliente para exportação durante o prazo de exportação estabelecido nos Termos e Condições e, em seguida, os eliminará de seus sistemas ativos no prazo de trinta (30) dias, e dos backups ao final do respectivo ciclo de retenção, salvo se a retenção for exigida por lei. Mediante solicitação, a Grovity confirmará a eliminação por escrito.

11.1. A Grovity trata os Dados Pessoais do Cliente nos Estados Unidos e poderá conceder acesso a eles a seu pessoal e a seus Suboperadores nos países indicados na Política de Privacidade e na página de Suboperadores.

11.2. Na medida exigida pela Legislação de Proteção de Dados, aplicam-se os seguintes instrumentos, que ficam incorporados por referência:

• A partir da UE/EEE: as Cláusulas Contratuais-Padrão (Standard Contractual Clauses) adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, Módulo Dois (de controlador para operador) ou Módulo Três (de operador para operador), conforme aplicável, com o Anexo I preenchido pela Seção 2 deste DPA e o Anexo II pela Descrição da Segurança dos Serviços. Autoridade de controle: a do estabelecimento do Cliente. Lei aplicável e foro para as cláusulas: Irlanda.
• A partir do Brasil: as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024.
• A partir da Colômbia: este DPA constitui um contrato de transmissão de dados pessoais nos termos do Artigo 2.2.2.25.5.2 do Decreto 1074 de 2015.

O Tratamento de dados de saúde é regido adicionalmente pelo Adendo de Dados de Saúde. As Informações de Saúde Protegidas (PHI) nos termos da HIPAA são tratadas somente ao amparo de um Business Associate Agreement (BAA) celebrado separadamente.

A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações do Contrato, exceto quando a Legislação de Proteção de Dados dispuser de outra forma. Em caso de conflito entre este DPA e o Contrato no que se refere ao Tratamento de dados pessoais, prevalece este DPA; em caso de conflito com as Cláusulas Contratuais-Padrão, prevalecem as cláusulas.