Processamento de Dados

Este Adendo de Processamento de Dados rege o processamento de Dados do Cliente pela Zafy.

Válido desde Setembro 15, 2026

Adendo de processamento de dados

Este Adendo de Processamento de Dados (“APD”) rege o processamento de Dados do Cliente pela Zafy (i) fornecidos pelo Cliente à Zafy por meio da API da Zafy (“Serviços de API”) ou (ii) de acordo com o fornecimento do serviço da Zafy para empresas (os “Serviços Zafy Advanced”) (para fins deste APD, os Serviços de API e os Serviços Zafy Advanced são juntos os “Serviços”) sob os Termos Comerciais da Zafy, Contrato Empresarial ou outro contrato entre o Cliente e a Zafy que rege o uso dos Serviços pelo Cliente (o “Contrato”) e é aqui incorporado ao Contrato. Se é na medida em que a linguagem neste APD entrar em conflito com o Contrato, os termos conflitantes neste APD prevalecerão. Termos em maiúsculas não definidos neste APD têm o significado estabelecido no Contrato. Para os propósitos deste APD somente, “Cliente” inclui qualquer entidade afiliada do Cliente que (a) tenha celebrado um Formulário de Pedido com a Zafy e que (b) direta ou indiretamente, por meio de um ou mais controles intermediários, seja controlada por, ou esteja sob controle comum com o Cliente.

Em conexão com o Contrato, o Cliente é a pessoa que determina os propósitos e meios para os quais os Dados do Cliente (conforme definido abaixo) são processados (um “Controlador de Dados”), enquanto a Zafy processa os Dados do Cliente de acordo com as instruções do Controlador de Dados e em nome do Controlador de Dados (como um “Processador de Dados”). “Controlador de Dados” e “Processador de Dados” também significam os conceitos equivalentes sob as Leis de Proteção de Dados. Para os propósitos do Contrato e deste APD, (i) “Dados Pessoais” tem o significado atribuído ao termo “dados pessoais” ou “informações pessoais” sob as Leis de Proteção de Dados aplicáveis; e (ii) “Dados do Cliente” significa Dados Pessoais que o Cliente fornece à Zafy que a Zafy processa em nome do Cliente para fornecer os Serviços. A Zafy processará os Dados do Cliente como Processador de Dados do Cliente para fornecer ou manter os Serviços e para os propósitos estabelecidos neste APD, no Contrato e/ou em quaisquer outros acordos aplicáveis entre o Cliente e a Zafy.

1. Requisitos de Processamento

Como Processador de Dados, a Zafy concorda em:

  • (a) processar Dados do Cliente somente (i) em nome do Cliente para fins de fornecer e dar suporte aos Serviços da Zafy (incluindo fornecer insights, relatórios, análises e monitoramento de abuso, confiança e segurança da plataforma); (ii) em conformidade com as instruções escritas recebidas do Cliente; e (iii) de uma maneira que forneça não menos do que o nível de proteção de privacidade exigido pelas Leis de Proteção de Dados;

  • (b) informar prontamente o Cliente por escrito se a Zafy não puder cumprir com os requisitos deste APD;

  • (c) não fornecer ao Cliente remuneração em troca de Dados do Cliente do Cliente. As partes reconhecem e concordam que o Cliente não “vendeu” (conforme tal termo é definido pela CCPA) Dados do Cliente para a Zafy;

  • (d) não “vendeu” (conforme tal termo é definido pelas Leis de Privacidade dos Brasil) ou “compartilha” (conforme tal termo é definido pela CCPA) Dados Pessoais;

  • (e) informar o Cliente prontamente se, na opinião da Zafy, uma instrução do Cliente viola as Leis de Proteção de Dados aplicáveis;

  • (f) exigir que (i) as pessoas empregadas por ela e (ii) outras pessoas contratadas para atuar em nome da Zafy estejam sujeitas a um dever de confidencialidade com relação aos Dados do Cliente e cumpram as obrigações de proteção de dados aplicáveis à Zafy sob o Contrato e este APD;

  • (g) envolver as organizações ou pessoas listadas para processar Dados do Cliente (cada “Subprocessador” e a lista na URL anterior, a “Lista de Subprocessadores”) para ajudar a Zafy a satisfazer suas obrigações de acordo com este APD ou delegar todas ou parte das atividades de processamento a tais Subprocessadores. O Cliente consente com o uso de tais Subprocessadores. Se o Cliente assinar notificações por e-mail conforme fornecido no site da Lista de Subprocessadores, a Zafy notificará o Cliente sobre quaisquer alterações que a Zafy pretende fazer na Lista de Subprocessadores pelo menos 15 dias antes das alterações entrarem em vigor (o que pode ser por e-mail, uma publicação ou notificação em um portal online para nossos serviços ou outros meios razoáveis). No caso de o Cliente não desejar consentir com o uso de tal Subprocessador adicional, o Cliente pode notificar a Zafy de que o Cliente não consente dentro de quinze (15) dias por motivos razoáveis relacionados à proteção dos Dados do Cliente, seguindo as instruções estabelecidas na Lista de Subprocessadores ou entrando em contato com privacy@Zafy.ai⁠. Nesse caso, a Zafy terá o direito de sanar a objeção por meio de uma das seguintes opções: (i) a Zafy cancelará seus planos de usar o Subprocessador com relação ao processamento de Dados do Cliente ou oferecerá uma alternativa para fornecer seus Serviços ou serviços sem tal Subprocessador; (ii) a Zafy tomará as medidas corretivas solicitadas pelo Cliente no aviso de objeção do Cliente e prosseguirá com o uso do Subprocessador; (iii) a Zafy pode deixar de fornecer, ou o Cliente pode concordar em não usar, temporária ou permanentemente, o aspecto ou recurso específico dos Serviços Zafy ou serviços que envolveriam o uso de tal Subprocessador; ou (iv) o Cliente pode deixar de fornecer Dados do Cliente à Zafy para processamento envolvendo tal Subprocessador. Se nenhuma das opções acima for comercialmente viável, no julgamento razoável da Zafy, e a(s) objeção(ões) não tiver(em) sido resolvida(s) para satisfação das partes dentro de trinta (30) dias do recebimento pela Zafy do aviso de objeção do Cliente, então qualquer uma das partes pode rescindir quaisquer assinaturas, formulários de pedido ou uso referentes aos Serviços que não podem ser fornecidos sem o uso do novo Subprocessador por justa causa e, nesse caso, o Cliente será reembolsado por quaisquer taxas pré-pagas para as assinaturas, formulários de pedido ou uso aplicáveis na medida em que cubram períodos ou termos após a data de tal rescisão. Esse direito de rescisão é o único e exclusivo recurso do Cliente se opuser a qualquer novo Subprocessador. A Zafy celebrará acordos contratuais com cada Subprocessador, obrigando-os a fornecer um nível comparável de proteção de dados e segurança de informações ao aqui previsto. Sujeito às limitações de responsabilidade incluídas no Contrato, a Zafy concorda em ser responsável pelos atos e omissões de seus Subprocessadores na mesma medida em que a Zafy seria responsável sob os termos do APD se ela própria realizasse tais atos ou omissões;

  • (h) mediante solicitação razoável, no máximo uma vez por ano, fornecer ao Cliente as políticas de privacidade e segurança da Zafy e outras informações necessárias para demonstrar conformidade com as obrigações estabelecidas neste APD e nas Leis de Proteção de Dados aplicáveis;

  • (i) quando exigido por lei e mediante notificação razoável e acordos de confidencialidade apropriados, cooperar com avaliações, auditorias ou outras etapas realizadas por ou em nome do Cliente às custas exclusivas do Cliente e de uma maneira que seja minimamente prejudicial aos negócios da Zafy que sejam necessárias para confirmar que a Zafy está processando Dados do Cliente de uma maneira consistente com este APD. Quando permitido por lei, a Zafy pode, em vez disso, disponibilizar ao Cliente um resumo dos resultados de uma auditoria de terceiros ou relatórios de certificação relevantes para a conformidade da Zafy com este APD. Tais resultados e/ou os resultados de quaisquer avaliações, auditorias ou outras etapas serão as Informações Confidenciais da Zafy;

  • (j) na medida em que o Cliente permitir ou instruir a Zafy a processar Dados do Cliente sujeitos às Leis de Privacidade dos Brasil de forma desidentificada, anônima e/ou agregada como parte dos Serviços, a Zafy deverá (i) adotar medidas razoáveis para impedir que tais dados desidentificados sejam usados para inferir informações sobre, ou de outra forma serem vinculados a, uma pessoa física ou domicílio específico; (ii) não tentar identificar as informações, exceto que a Zafy pode tentar identificar as informações exclusivamente com o propósito de determinar se seus processos de desidentificação estão em conformidade com as Leis de Proteção de Dados ou estão funcionando conforme o esperado; e (iii) antes de compartilhar dados desidentificados com qualquer outra parte, incluindo Subprocessadores, obrigar contratualmente tais destinatários a cumprir com os requisitos desta disposição;

  • (k) onde os Dados do Cliente estão sujeitos ao CCPA, não (i) reter, usar, divulgar ou processar Dados do Cliente, exceto conforme necessário para os fins comerciais especificados no Contrato ou neste APD; (ii) reter, usar, divulgar ou processar Dados do Cliente de qualquer maneira fora do relacionamento comercial direto entre a Zafy e o Cliente; ou (iii) combinar quaisquer Dados do Cliente com Dados Pessoais que a Zafy recebe de ou em nome de qualquer outro terceiro ou coleta das próprias interações da Zafy com indivíduos, desde que a Zafy possa combinar Dados do Cliente para uma finalidade permitida pelo CCPA se orientado a fazê-lo pelo Cliente ou conforme permitido pelo CCPA;

  • (l) quando exigido por lei, conceder ao Cliente os direitos de (i) tomar medidas razoáveis e apropriadas para garantir que a Zafy use Dados do Cliente de maneira consistente com as Leis de Proteção de Dados, exercendo as disposições de auditoria estabelecidas neste APD acima; e (ii) interromper e remediar o uso não autorizado de Dados do Cliente, por exemplo, solicitando que a Zafy forneça confirmação por escrito de que os Dados do Cliente aplicáveis foram excluídos.

2. Aviso ao Cliente

A Zafy informará o Cliente se a Zafy tomar conhecimento de:

  • (a) qualquer solicitação legalmente vinculativa para divulgação de Dados do Cliente por uma autoridade policial, a menos que a Zafy seja proibida por lei de informar o Cliente, por exemplo, para preservar a confidencialidade de uma investigação por autoridades policiais;

  • (b) qualquer notificação, inquérito ou investigação por uma autoridade pública independente estabelecida por um estado-membro de acordo com o Artigo 51 do GDPR (uma "Autoridade Supervisora") com relação aos Dados do Cliente; ou

  • (c) qualquer reclamação ou solicitação (em particular, solicitações de acesso, retificação ou bloqueio de Dados do Cliente) recebidas diretamente dos titulares dos dados do Cliente. A Zafy não responderá a nenhuma solicitação desse tipo sem a autorização prévia por escrito do Cliente.

3. Assistência ao Cliente

A Zafy fornecerá assistência razoável ao Cliente em relação a:

  • (a) informações necessárias, levando em consideração a natureza do processamento, para responder às solicitações recebidas de acordo com as Leis de Proteção de Dados dos titulares dos dados do Cliente em relação ao acesso ou retificação, exclusão, restrição, portabilidade, objeção, bloqueio ou exclusão de Dados do Cliente que a Zafy processa para o Cliente. No caso de um titular de dados enviar tal solicitação diretamente à Zafy, a Zafy enviará prontamente tal solicitação ao Cliente;

  • (b) a investigação de qualquer violação da segurança da Zafy que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso não autorizado aos Dados do Cliente processados pela Zafy para o Cliente (uma “Violação de Dados Pessoais”); e

  • (c) quando apropriado, a preparação de avaliações de impacto de proteção de dados com relação ao processamento de Dados do Cliente pela Zafy e, quando necessário, a realização de consultas com qualquer autoridade supervisora com jurisdição sobre tal processamento.

4. Processamento Obrigatório

Se a Zafy for obrigada pelas Leis de Proteção de Dados a processar quaisquer Dados do Cliente por um motivo diferente do Contrato, a Zafy informará o Cliente sobre este requisito antes de qualquer processamento, a menos que seja legalmente proibido.

5. Segurança

A Zafy irá:

  • (a) manter medidas de segurança técnicas e organizacionais razoáveis e apropriadas, incluindo, mas não se limitando às medidas descritas no Anexo B deste APD (incluindo com relação a pessoal, instalações, hardware e software, armazenamento e redes, controles de acesso, monitoramento e registro, vulnerabilidade e detecção de violação, resposta a incidentes e criptografia) para proteger contra acesso não autorizado ou acidental, perda, alteração, divulgação ou destruição de Dados do Cliente e para proteger os direitos dos titulares desses Dados do Cliente;

  • (b) tomar as medidas adequadas para confirmar que o pessoal da Zafy está protegendo a segurança, privacidade e confidencialidade dos Dados do Cliente consistentes com os requisitos deste APD; e

  • (c) notificar o Cliente sobre qualquer Violação de Dados Pessoais pela Zafy, seus Subprocessadores ou quaisquer outros terceiros agindo em nome da Zafy sem demora indevida após a Zafy tomar conhecimento de tal Violação de Dados Pessoais.

6. Obrigações do Cliente

  • (a) O Cliente declara, garante e concorda que tem e manterá durante todo o prazo todos os direitos, consentimentos e autorizações necessários para fornecer os Dados do Cliente à Zafy e autorizar a Zafy a usar, divulgar, reter e de outra forma processar os Dados do Cliente conforme contemplado por este APD, o Contrato e/ou outras instruções de processamento fornecidas à Zafy.

  • (b) O Cliente cumprirá todas as Leis de Proteção de Dados aplicáveis.

  • (c) O Cliente cooperará razoavelmente com a Zafy para auxiliar a Zafy a executar qualquer uma de suas obrigações com relação a quaisquer solicitações dos titulares de dados do Cliente.

  • (d) Sem prejuízo das obrigações de segurança da Zafy na Seção 5 deste APD, o Cliente reconhece e concorda que ele, e não a Zafy, é responsável por certas configurações e decisões de design para os serviços e que o Cliente, e não a Zafy, é responsável por implementar essas configurações e decisões de design de forma segura e em conformidade com as Leis de Proteção de Dados aplicáveis.

  • (e) O Cliente não deve fornecer Dados do Cliente à Zafy, exceto por meio de mecanismos acordados. Por exemplo, o Cliente não deve incluir Dados do Cliente além de informações de contato técnico ou, em tíquetes de suporte técnico, transmitir Dados do Cliente do usuário à Zafy por e-mail. Sem limitação ao exposto acima, o Cliente declara, garante e concorda que somente transferirá Dados do Cliente para a Zafy usando mecanismos seguros, razoáveis e apropriados, na medida em que tais mecanismos estejam sob o controle do Cliente.

  • (f) O Cliente não deve tomar nenhuma ação que (i) torne o fornecimento de Dados do Cliente à Zafy uma "venda" sob as Leis de Privacidade do Brasil ou uma "partilha" sob a CCPA (ou conceitos equivalentes sob as Leis de Privacidade do Brasil); ou (ii) tornar a Zafy não uma “provedora de serviços” sob a CCPA ou “processadora” sob as Leis de Privacidade do Brasil.

7. Prazo; Devolução e exclusão de dados

Este APD permanecerá em vigor enquanto a Zafy realizar operações de processamento de Dados do Cliente em nome do Cliente ou até a rescisão do Contrato (e todos os Dados do Cliente tiverem sido devolvidos ou excluídos de acordo com este APD). A Zafy reterá os Dados do Cliente do Serviço de API enviados por meio da API por um máximo de trinta (30) dias, após os quais serão excluídos, exceto quando a Zafy for obrigada a reter cópias de acordo com as leis aplicáveis, caso em que a Zafy isolará e protegerá esses Dados do Cliente de qualquer processamento posterior, exceto na medida exigida pelas leis aplicáveis. A Zafy reterá os Dados do Cliente do Serviço Empresarial Zafy durante o prazo do Contrato, a menos que indicado de outra forma no Contrato ou no Formulário de Pedido. Após a rescisão do APD, a Zafy orientará cada Subprocessador a excluir os Dados do Cliente dentro de trinta (30) dias da rescisão do APD, a menos que seja proibido por lei. Para maior clareza, a Zafy pode continuar a processar informações derivadas de Dados do Cliente que foram desidentificados, anonimizados e/ou agregados de forma que os dados não sejam mais considerados Dados Pessoais sob as Leis de Proteção de Dados aplicáveis e de uma maneira que não identifique indivíduos ou o Cliente para melhorar os sistemas e serviços da Zafy.

8. Segurança

A missão da Zafy é implantar IA segura e responsável em escala para o benefício de todos. De acordo com esta missão, a Zafy mantém um programa de segurança da informação projetado para proteger seus sistemas, dados e Dados do Cliente.

  • 8.1 Avaliações de Segurança. A Zafy realiza testes regulares de segurança e vulnerabilidade para avaliar se os principais controles são implementados adequadamente e são eficazes, conforme medido em relação aos padrões de segurança do setor e suas políticas e procedimentos, e para garantir a conformidade contínua com as obrigações impostas por lei, regulamentação ou contrato com relação à segurança dos Dados do Cliente, bem como à manutenção e estrutura dos sistemas de informação da Zafy.