Acordo de tratamento de dados

1. Objeto e papéis

• Objeto: os dados pessoais contidos nos arquivos, fontes, rótulos e datasets que você envia ao serviço (conteúdo do cliente), sobre os seus próprios clientes, funcionários ou outras pessoas.
• Você é o controlador: decide por que os dados são tratados e responde por ter uma base legal para isso, inclusive por informar as pessoas envolvidas.
• Nós somos a operadora: tratamos os dados apenas para executar o serviço para você (mascaramento, estruturação, rotulagem, treino, comparação com o Jev, entrega do modelo), pelo tempo que a retenção da política de privacidade permite.

2. As suas instruções

As suas instruções são os termos de uso, este DPA e o que você faz no serviço (envios, as decisões escolhidas, rótulos, treinos, exclusões, publicação no Hugging Face). Não damos aos dados nenhum outro uso. Se entendermos que uma instrução viola a lei, avisaremos você e poderemos recusá-la.

3. Categorias de dados e de titulares

• Dados: o que o seu conteúdo tiver, normalmente nomes, contatos, documentos, mensagens, chamados, avaliações e registros da sua operação.
• Titulares: os seus clientes, usuários, funcionários, fornecedores e outras pessoas que aparecem no seu conteúdo.
• Dados sensíveis (LGPD art. 11, GDPR art. 9) e dados de crianças não devem ser enviados, salvo com base legal e aviso prévio a nós.

4. Mascaramento e minimização

• A primeira coisa que fazemos com um envio é mascarar os dados pessoais (nomes, e-mails, telefones, documentos como CPF e CNPJ, números de cartão). O envio original é apagado assim que a cópia mascarada existe.
• Todas as etapas seguintes, inclusive as máquinas de treino e os modelos de linguagem, recebem apenas dados mascarados.
• Se você declarar que os seus arquivos não têm dados pessoais, o mascaramento é dispensado a seu pedido e sob sua responsabilidade.

5. Confidencialidade e segurança

• Só as pessoas e os sistemas que precisam dos dados para executar o serviço têm acesso a eles, sob dever de confidencialidade.
• O tráfego é criptografado (TLS), o armazenamento é criptografado em repouso pelos nossos fornecedores, senhas e chaves de API ficam guardadas apenas como hash, e as máquinas de treino são destruídas ao fim de cada execução.

6. Suboperadores

• Você autoriza os suboperadores listados na seção 6 da política de privacidade (Cloudflare, Railway, vast.ai e os seus hosts, OpenRouter e os provedores de modelos por trás dele, Stripe, Resend, Sentry, Better Stack), cada um sob termos de proteção de dados ao menos tão protetivos quanto este DPA.
• Avisamos por e-mail com pelo menos 15 dias de antecedência antes de incluir ou trocar um suboperador que trate conteúdo do cliente. Se você se opuser por motivo razoável de proteção de dados e não conseguirmos resolver, você pode encerrar a conta e receber de volta o dinheiro dos créditos não gastos.
• Respondemos perante você pelos suboperadores que escolhemos.

7. Transferências internacionais

Os suboperadores podem tratar dados fora do Brasil, principalmente nos Estados Unidos, e as máquinas do vast.ai podem estar em outros países (nunca na China). As transferências se apoiam nos mecanismos do art. 33 da LGPD e do GDPR, como cláusulas contratuais padrão e os termos de tratamento de dados de cada fornecedor, e só dados mascarados vão para as máquinas de treino e os modelos de linguagem.

8. Pedidos dos titulares

Se alguém nos pedir para exercer um direito sobre dados do seu conteúdo, encaminhamos o pedido a você e não respondemos diretamente, salvo quando a lei exigir. Ajudamos você a responder, principalmente pelo que o painel já faz: apagar datasets, modelos e a conta.

9. Incidentes de segurança

Se soubermos de um incidente que afete dados pessoais do seu conteúdo, avisamos você sem demora indevida e, em qualquer caso, em até 48 horas, com o que soubermos: o que aconteceu, os dados e titulares provavelmente afetados, as medidas tomadas e um contato. Você decide sobre a comunicação à ANPD ou a outra autoridade e aos titulares, e nós ajudamos com as informações que tivermos.

10. Exclusão e devolução

• Os dados são apagados no prazo da seção 8 da política de privacidade: envios originais logo após o mascaramento, dados mascarados 90 dias após o último uso, arquivos de modelo 30 dias após o treino, tudo 30 dias após o encerramento da conta.
• Antes da exclusão você pode baixar os seus modelos e apagar os seus datasets a qualquer momento. Registros que a lei nos obriga a manter (pagamentos, logs de acesso) ficam guardados só para esse fim.

11. Auditoria e informações

Disponibilizamos as informações necessárias para demonstrar o cumprimento deste DPA: este texto, a política de privacidade, a lista de suboperadores e o arquivo de auditoria de cada treino. Outras perguntas ou uma auditoria razoável, no máximo uma vez por ano e com 30 dias de aviso, podem ser pedidas em privacy@typestrict.ai; a auditoria corre por sua conta e sob confidencialidade.

12. Vigência, responsabilidade e lei

Este DPA vale enquanto tratarmos dados pessoais do seu conteúdo. A responsabilidade segue os limites dos termos de uso, salvo onde a lei não os admitir. Ele segue a lei brasileira e o foro definido nos termos de uso.