Adendo de Tratamento de Dados

1. O que é este adendo e como ele entra em vigor

Este Adendo de Processamento de Dados (o "DPA") faz parte do Termos de Serviço (os "Termos") entre você (ou a organização que você representa) e a Hedgeling LLC, uma sociedade de responsabilidade limitada de Utah ("Hedgeling", "nós", "nosso"). Ele se aplica sempre que processamos Dados Pessoais do Cliente em seu nome ao fornecer o Serviço.

Você não precisa assinar nada para que este DPA se aplique. Ele entra em vigor automaticamente quando você aceita os Termos e dura enquanto processarmos os Dados Pessoais do Cliente. Se sua organização precisar de uma cópia assinada por ambas as partes, envie um e-mail para support@thehedgeling.com e nós enviaremos uma.

Se você possuir um contrato Enterprise ou outro acordo assinado conosco que contenha termos próprios de processamento de dados, esses termos se aplicarão em vez deste DPA. Caso contrário, se houver conflito entre este DPA e os Termos sobre o tratamento de dados pessoais, este DPA prevalecerá.

2. Definições

• Conteúdo do Cliente tem o significado atribuído nos Termos: as strings de origem, contexto de código, traduções, glossários, personas, guias de estilo, documentos e outros materiais enviados por você ao Serviço.
• Dados Pessoais do Cliente significa os dados pessoais contidos no Conteúdo do Cliente que processamos em seu nome.
• Leis de Proteção de Dados significa as leis aplicáveis ao processamento de Dados Pessoais do Cliente sob este DPA. Dependendo de onde você e os indivíduos envolvidos estão localizados, estas podem incluir o Regulamento Geral sobre a Proteção de Dados da UE (GDPR), o GDPR do Reino Unido, a Lei Federal Suíça sobre Proteção de Dados e leis estaduais de privacidade dos EUA, como a Lei de Privacidade do Consumidor da Califórnia.
• Subprocessador significa um terceiro contratado por nós para processar Dados Pessoais do Cliente.
• Cláusulas Contratuais Padrão significa as cláusulas anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia.
• Adendo do Reino Unido significa o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão emitido pelo Information Commissioner do Reino Unido.

Os termos "controlador", "operador", "dados pessoais", "processamento", "titular dos dados" e "violação de dados pessoais" têm os significados atribuídos no GDPR e incluem os termos equivalentes em outras Leis de Proteção de Dados, como "empresa" e "prestador de serviços". Outros termos em maiúsculas têm os significados atribuídos nos Termos.

3. Papéis

Para os Dados Pessoais do Cliente, você é o controlador e o Hedgeling é o seu operador. Se você for um operador atuando em nome de terceiro, o Hedgeling será o seu suboperador, e você confirma que suas instruções para nós foram autorizadas pelo controlador.

Este DPA não cobre os dados que tratamos como controlador por direito próprio: dados de conta, registros de uso e faturamento, credenciais, registros de log e segurança, e análises do site. O Política de Privacidade descreve o que fazemos com esses dados.

Se você conectar sua própria chave de provedor de IA, esse provedor processará seus dados de acordo com o contrato mantido com ele. Ele é seu provedor, não nosso Suboperador. Quando você executa o pacote de linha de comando em sua própria máquina com sua própria chave, os dados vão diretamente da sua máquina para esse provedor e nós não os processamos de forma alguma.

4. Detalhes do processamento

• Objeto e finalidade: prestação do Serviço a você: extração, armazenamento, tradução, revisão e entrega de suas strings, além da segurança e suporte ao Serviço.
• Natureza do tratamento: hospedagem e armazenamento, envio de strings e contexto a provedores de IA para tradução e chat, exibição de conteúdo aos usuários autorizados por você, leitura e gravação nos repositórios conectados, backup e exclusão.
• Duração: enquanto o seu espaço de trabalho existir e, em seguida, até que a exclusão seja concluída conforme descrito na seção 11.
• Tipos de dados pessoais: quaisquer dados pessoais incluídos por você no Conteúdo do Cliente. Como o Conteúdo do Cliente consiste principalmente em textos de interface, isso normalmente se limita a nomes, endereços de e-mail e identificadores semelhantes que aparecem em strings de origem, contexto de código, glossários, documentos importados, comentários de revisão ou mensagens de chat do console.
• Titulares dos dados: as pessoas físicas a quem os dados pessoais se referem, por exemplo, seus funcionários, contratados e os usuários finais dos seus produtos.
• Dados sensíveis: o Serviço não foi projetado para categorias especiais de dados pessoais, dados de saúde, dados de cartão de pagamento ou identificadores governamentais, e você concorda em não incluí-los no Conteúdo do Cliente.

5. Suas instruções

Processamos os Dados Pessoais do Cliente apenas de acordo com suas instruções documentadas. Os Termos, este DPA e a maneira como você e seus usuários configuram e usam o Serviço constituem suas instruções completas. Se precisar de algo além disso, pergunte-nos em support@thehedgeling.com e informaremos se é possível atender.

Informaremos se acreditarmos que uma instrução viola as Leis de Proteção de Dados e poderemos pausar o tratamento até que você confirme ou altere a instrução. Se a legislação exigir que tratemos os Dados Pessoais do Cliente de outra forma, informaremos você antes de fazê-lo, a menos que a lei o proíba.

Não vendemos nem compartilhamos os Dados Pessoais do Cliente, não os usamos para treinar modelos de IA e não os mantemos, usamos ou divulgamos para qualquer outra finalidade que não seja fornecer, proteger, dar suporte e melhorar o Serviço para você, conforme descrito nos Termos.

6. Confidencialidade

O acesso aos Dados Pessoais do Cliente é limitado às pessoas que precisam dele para operar e dar suporte ao Serviço, e todos a quem autorizamos o tratamento estão vinculados ao dever de confidencialidade.

7. Medidas de segurança

Protegemos os Dados Pessoais do Cliente com criptografia em trânsito (HTTPS) e em repouso, controle de acesso baseado em funções, isolamento de locatários, armazenamento criptografado de chaves de provedores, armazenamento com hash de credenciais do serviço, concessões temporárias de direitos assinadas, limitação de taxa e registros de auditoria.

Podemos alterar essas medidas à medida que o Serviço se desenvolve, mas não reduziremos materialmente o nível geral de proteção. Você é responsável por como utiliza o Serviço, incluindo a escolha do que enviar, o gerenciamento de quem tem acesso ao seu espaço de trabalho e a manutenção da segurança de suas credenciais e chaves de API.

8. Subprocessadores

Você nos concede autorização geral para utilizar Subprocessadores, incluindo aqueles listados na seção 17. Utilizamos cada Subprocessador sob um contrato por escrito que exige a proteção de dados pessoais, e permanecemos responsáveis perante você pelo trabalho que nossos Subprocessadores realizam para nós.

Antes de adicionar ou substituir um Subprocessador, atualizaremos a lista na seção 17 e notificaremos o proprietário do seu espaço de trabalho por e-mail ou no console pelo menos 30 dias antes que o novo Subprocessador comece a processar Dados Pessoais do Cliente. Se precisarmos substituir um Subprocessador com urgência por motivos de segurança ou continuidade, notificaremos o mais rápido possível.

Você pode se opor a um novo Subprocessador por motivos razoáveis de proteção de dados, escrevendo para support@thehedgeling.com dentro desse período de aviso prévio. Trabalharemos com você de boa-fé para encontrar uma alternativa, como uma forma de usar o Serviço sem esse Subprocessador. Se não encontrarmos uma, você poderá parar de usar o recurso afetado ou cancelar o Serviço conforme descrito nos Termos.

9. Solicitações de indivíduos e outra assistência

Você pode visualizar, corrigir, exportar e excluir o Conteúdo do Cliente no console a qualquer momento, e pode usar essas ferramentas para responder a solicitações de indivíduos que desejam exercer seus direitos. Se um indivíduo entrar em contato conosco sobre Dados Pessoais do Cliente, repassaremos a solicitação a você ou pediremos que o indivíduo entre em contato com você, e não responderemos diretamente, a menos que a lei exija.

Levando em consideração a natureza do processamento e as informações disponíveis para nós, também forneceremos ajuda razoável com avaliações de impacto sobre a proteção de dados e com a consulta a órgãos reguladores quando as Leis de Proteção de Dados o exigirem.

10. Violações de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente, notificaremos o proprietário do seu espaço de trabalho por e-mail sem demora indevida. Informaremos o que sabemos sobre o ocorrido, os dados envolvidos, as prováveis consequências e o que estamos fazendo a respeito, e atualizaremos você à medida que soubermos mais. Tomaremos medidas razoáveis para conter a violação e limitar seus efeitos.

A notificação de uma violação não constitui admissão de culpa ou responsabilidade. Você é responsável por quaisquer notificações que deva a órgãos reguladores ou indivíduos; forneceremos as informações que possuímos para ajudá-lo a realizá-las.

11. Exclusão e devolução

Você pode exportar seus catálogos a qualquer momento. O encerramento de uma assinatura não exclui seus dados: você mantém acesso de leitura e exportação verificada por um período de carência de pelo menos 30 dias, e mantemos o Conteúdo do Cliente até que a exclusão seja solicitada.

A exclusão começa quando um usuário autorizado solicita a exclusão de um projeto ou organização no console. Essa solicitação abre uma janela de apenas exportação de 30 dias. Após essa janela, purgamos o conteúdo: strings de origem, traduções, contexto, glossários, prompts, personas, documentos importados, cargas úteis de chat e IA, e capturas de conteúdo em registros de auditoria. O conteúdo purgado pode permanecer em backups criptografados do banco de dados por um curto período (atualmente até sete dias) antes que esses backups expirem.

Após a exclusão permanente, mantemos apenas os registros mínimos de faturamento, segurança e auditoria descritos no Política de Privacidade, com o conteúdo removido. Se você não conseguir usar o console para exportar ou excluir seus dados, envie um e-mail para support@thehedgeling.com e nós ajudaremos.

12. Informações e auditorias

Mediante solicitação por escrito, forneceremos as informações razoavelmente necessárias para demonstrar que cumprimos nossas obrigações nos termos deste DPA, incluindo respostas a um questionário de segurança razoável. A menos que um órgão regulador exija mais ou tenha ocorrido uma violação de dados pessoais que afete seus dados, você poderá solicitar isso uma vez a cada período de 12 meses.

Se as Leis de Proteção de Dados lhe derem direito a mais do que essas informações, você poderá solicitar uma auditoria. Uma auditoria requer pelo menos 30 dias de aviso prévio por escrito e um escopo acordado, ocorre durante o horário comercial normal, é custeada por você, está sujeita à confidencialidade e não deve expor dados de outros clientes nem interromper o Serviço. O Serviço é executado em infraestrutura operada pela Amazon Web Services, portanto, não podemos fornecer acesso físico aos data centers.

13. Transferências internacionais

O console é hospedado na AWS nos Estados Unidos, e nossos Suboperadores podem processar dados nos Estados Unidos e em outros países. Ao usar o Serviço, você nos instrui a processar os Dados Pessoais do Cliente nesses locais.

Quando você nos transferir Dados Pessoais do Cliente protegidos pelo GDPR, e a transferência não for coberta por uma decisão de adequação, as Cláusulas Contratuais-Padrão serão incorporadas a este DPA e aplicadas da seguinte forma:

• O Módulo Dois (controlador para operador) é aplicável quando você for um controlador, e o Módulo Três (operador para operador) é aplicável quando você for um operador.
• Você é o exportador de dados e o Hedgeling é o importador de dados.
• A cláusula de adesão opcional (Cláusula 7) e a redação opcional da Cláusula 11 não se aplicam.
• Para a Cláusula 9, aplica-se a autorização por escrito geral, com o prazo de aviso estipulado na seção 8.
• Para as Cláusulas 17 e 18, a legislação aplicável é a da Irlanda e os tribunais competentes são os da Irlanda.
• O Anexo I é preenchido com as informações das seções 1, 3 e 4, o Anexo II com a seção 7 e o Anexo III com a seção 17. A autoridade de controle competente é a determinada nos termos da Cláusula 13.

Para transferências protegidas pelo UK GDPR, o Adendo do Reino Unido é incorporado a este DPA e suas tabelas são preenchidas com as mesmas informações; nenhuma das partes pode encerrar o Adendo do Reino Unido nos termos da sua seção 19. Para transferências protegidas pela legislação suíça, as Cláusulas Contratuais-Padrão se aplicam, sendo que as referências ao GDPR devem ser lidas como referências à Lei Federal de Proteção de Dados da Suíça e ao Encarregado Federal de Proteção de Dados e Informação da Suíça como autoridade de controle.

Em caso de conflito entre as Cláusulas Contratuais-Padrão ou o Adendo do Reino Unido e o restante deste DPA ou os Termos, prevalecerão as Cláusulas Contratuais-Padrão ou o Adendo do Reino Unido.

14. Suas responsabilidades

Você é responsável pelos Dados Pessoais do Cliente que enviar: por ter uma base legal e quaisquer avisos ou consentimentos necessários para enviá-los, por sua exatidão e por garantir que suas instruções para nós estejam em conformidade com as Leis de Proteção de Dados. Mantenha dados pessoais fora do Conteúdo do Cliente sempre que possível.

15. Responsabilidade e lei aplicável

A responsabilidade de cada parte nos termos deste DPA está sujeita à limitação de responsabilidade da seção 15 dos Termos. Nada neste DPA limita os direitos dos indivíduos sob as Cláusulas Contratuais-Padrão nem qualquer responsabilidade que não possa ser limitada por lei.

Este DPA é regido pela legislação que rege os Termos, e as disputas serão tratadas conforme descrito nos Termos, exceto se as Cláusulas Contratuais-Padrão ou o Adendo do Reino Unido exigirem o contrário.

16. Alterações a este adendo

Podemos atualizar este DPA quando houver alterações no Serviço, em nossos Suboperadores ou na legislação. Cada versão contém uma data de versão no topo desta página. Para alterações materiais, forneceremos um aviso prévio de pelo menos 30 dias por e-mail ou no console antes que a nova versão entre em vigor. As alterações nos Suboperadores seguem a seção 8.

17. Subprocessadores atuais

Estes são os provedores que usamos atualmente para operar o Serviço e a função de cada um.

• Amazon Web Services (AWS): hospedagem, bancos de dados, armazenamento e backups para o console, e Amazon Cognito para criação de conta, login, armazenamento de senha e e-mail de verificação. Localizado nos Estados Unidos.
• Google (Gemini): Inferência de IA. Quando você usa IA gerenciada na chave da nossa plataforma e o Gemini é o provedor selecionado, as strings, o contexto e as mensagens de chat na solicitação são enviados para a API dele.
• Meta (Llama): Inferência de IA. Quando você usa IA gerenciada na chave da nossa plataforma e o Llama é o provedor selecionado, as strings, o contexto e as mensagens de chat na solicitação são enviados para a API dele.
• GitHub: ao conectar um repositório, lemos os arquivos-fonte escolhidos e, a seu pedido, abrimos pull requests com as traduções, usando o acesso concedido.
• Stripe: checkout, métodos de pagamento, faturas e o portal de faturamento do cliente.
• Google Workspace: e-mails enviados para nossos endereços de suporte e vendas.

O Stripe e o Google Workspace tratam dos detalhes de faturamento e correspondências, não do Conteúdo do Cliente. Eles estão listados aqui para que a lista corresponda ao Política de Privacidade. Os provedores de IA que você conecta com sua própria chave não estão nesta lista porque atuam em seu nome, não no nosso.

18. Contato

Dúvidas sobre este DPA, solicitações de cópia assinada por ambas as partes e objeções a um Subprocessador: support@thehedgeling.com.