Acordo de Tratamento de Dados (DPA)

Tradução fornecida apenas para fins informativos; somente a versão em alemão é vinculante.

Versão 2026-10-16, atualizada em 16 de outubro de 2026; eficaz para cada cliente a partir da celebração nos termos da cláusula 2

Este Acordo de Tratamento de Dados ("DPA") complementa os Termos e Condições Gerais (o "Contrato Principal") entre Benjamin Wagner, atuando sob o nome Customermates, An den Kasernen 25, 68167 Mannheim, Alemanha (o "Prestador" ou "Operador"), e o cliente (o "Cliente" ou "Controlador") e é parte integrante deles. Ele regula o tratamento de dados pessoais que o Prestador realiza em nome do Cliente no âmbito da oferta de software como serviço, incluindo a função opcional de contas conectadas (e-mail, mensagens e operações em redes sociais, além de calendário) e o assistente de IA hospedado Mate, nos termos do art. 28 do GDPR.

Esta versão só entra em vigor para um Cliente quando é celebrada nos termos da cláusula 2. A mera publicação, exibição ou disponibilidade de consulta deste documento não celebra nem altera nenhum DPA para um cliente existente.

1. Objeto, papéis e duração

Objeto deste DPA é o tratamento de dados pessoais que o Prestador realiza em nome do Cliente e conforme as instruções documentadas dele no cumprimento do Contrato Principal.

Com relação aos dados pessoais abrangidos por este DPA, em especial os registros do CRM, as caixas de correio conectadas, as mensagens, os contatos e os calendários do Cliente, bem como os conteúdos e dados de interação de redes sociais, os perfis, as solicitações de conexão, os dados de busca e de listas do Sales Navigator e os conteúdos de responsabilidade do Cliente em uma solicitação ao Mate, o Cliente atua como controlador e o Prestador como operador, na acepção do art. 4 do GDPR. As plataformas de comunicação subjacentes que o Cliente conecta (por exemplo, Google, Microsoft, LinkedIn, Meta/WhatsApp, Meta/Instagram e Telegram) atuam como controladoras independentes para os próprios serviços.

Essa atribuição não afeta o papel do Prestador como controlador independente para os próprios dados de site, de conta, de cobrança, de segurança e de suporte, descritos na política de privacidade do Prestador e que não são objeto deste DPA.

Este DPA entra em vigor junto com o Contrato Principal e permanece em vigor enquanto o Prestador tratar dados pessoais em nome do Cliente, independentemente do término do Contrato Principal, até que todos esses dados tenham sido excluídos ou devolvidos nos termos da cláusula 11.

2. Celebração e partes contratantes

As partes contratantes deste DPA são o Prestador acima indicado e o Cliente, identificado pelos dados da conta e da empresa registrados na conta do Cliente.

Este DPA é celebrado em forma eletrônica, nos termos do art. 28(9) do GDPR, quando um administrador de sistema autorizado aceita, durante o onboarding e em nome do cliente empresarial, o Contrato Principal e esta versão designada do DPA. Uma versão designada posterior só altera este DPA se um administrador de sistema autorizado a aceitar por via eletrônica, após o aviso descrito na cláusula 10 do Contrato Principal, por meio do fluxo de documentos legais do serviço gerenciado. A atualização da lista mantida em Suboperadores, conforme a cláusula 9, não constitui alteração deste DPA e continua sujeita ao procedimento separado de aviso e objeção dessa cláusula. Mediante solicitação, o Prestador disponibiliza ao Cliente uma cópia deste DPA em forma textual (Textform).

Se o Cliente não determina por conta própria as finalidades e os meios do tratamento, mas disponibiliza o serviço aos próprios clientes com base em um contrato próprio, por exemplo como revendedor ou parceiro, o Cliente atua, perante esses clientes, como operador e o Prestador como suboperador. Nesse caso, toda referência neste DPA ao Cliente como controlador deve ser entendida como referência ao Cliente agindo conforme as instruções documentadas do seu próprio cliente. O Cliente garante que está autorizado a celebrar este DPA e a dar as instruções dadas com base nele e que o respectivo controlador concordou com a contratação do Prestador como suboperador. O Cliente permanece responsável perante o Prestador por todas as obrigações decorrentes deste DPA.

Este DPA abrange exclusivamente o serviço gerenciado operado pelo Prestador. A execução do software em uma infraestrutura que um responsável pela hospedagem própria controla de forma independente não torna o Prestador, por si só, um operador; dados pessoais de clientes não são transmitidos ao Prestador apenas porque o software é instalado ou atualizado. O responsável independente define a própria infraestrutura, os próprios prestadores de serviços e as finalidades e os meios do tratamento, e responde pelos próprios acordos de tratamento de dados e garantias de transferência. Para suporte, operação gerenciada, serviços Enterprise ou outras atividades em que o Prestador realmente receba dados pessoais, é necessário o acordo aplicável em separado.

3. Natureza e finalidade do tratamento

O Prestador trata dados pessoais exclusivamente para prestar os serviços contratuais nos termos do Contrato Principal. O tratamento compreende:

o serviço central de CRM: a criação, o armazenamento, a exibição, a busca, a vinculação, a exportação e a exclusão dos registros de CRM do Cliente, em especial contatos, organizações, negócios, serviços, tarefas, notas e campos personalizados; a gestão de usuários e permissões; o registro de atividades e de auditoria; as notificações do produto; e a entrega de webhooks aos endpoints configurados pelo Cliente;
quando ativada, a função de contas conectadas: a conexão das contas de e-mail, mensagens, redes sociais e calendário do próprio Cliente; a obtenção, o envio, a sincronização e a exibição de mensagens, contatos e eventos de calendário; a obtenção e a exibição de publicações em redes sociais, comentários, reações e perfis de pessoas e de empresas; a listagem, o envio, a aceitação, a retirada ou a recusa de solicitações de conexão; a realização de buscas de leads e de empresas no Sales Navigator; a exibição de listas de leads ou de contas existentes e a inclusão de itens nelas; e o armazenamento de uma cópia dos conteúdos sincronizados, na medida descrita na política de privacidade;
quando um usuário aciona o Mate de forma interativa, incluindo a configuração do espaço de trabalho guiada por IA e a importação de um site para a Base de conhecimento: o armazenamento da conversa do Mate, a montagem da entrada solicitada e da conversa mais recente, a obtenção de contexto autorizado do CRM ou de contas conectadas por meio de ferramentas, a obtenção das páginas públicas de um site indicado pelo usuário e a leitura de uma planilha enviada pelo usuário, o envio do contexto necessário da solicitação, pelo Vercel AI Gateway, ao modelo selecionado ou ao provedor de busca na web indicados em Suboperadores, o recebimento e o armazenamento das saídas geradas, a exibição de ações propostas, a aplicação das permissões existentes, a realização de operações autorizadas no CRM ou em contas conectadas, a espera por uma confirmação separada quando a política do produto a exigir, bem como o registro de execuções, rodadas do modelo, aprovações, comprovantes e resultados de ferramentas e resultados de comandos de interface;
a busca na Base de conhecimento e no aplicativo, enquanto o espaço de trabalho tiver créditos de IA utilizáveis: o envio dos textos de páginas novas e alteradas da Base de conhecimento, dos nomes de listas, campos e visualizações salvas e de consultas de busca, pelo Vercel AI Gateway, aos provedores indicados em Suboperadores, para gerar resumos de páginas e vetores de busca e ordenar os resultados, bem como o armazenamento dos resumos e dos vetores junto com a respectiva página; e
na medida em que o serviço gerenciado oferecer Rotinas ou outras execuções salvas ou automatizadas do Mate: o armazenamento da instrução salva, do usuário associado, do gatilho, dos limites e do status de proteção e de execução; a análise opcional de uma instrução salva orientada a eventos, pela cadeia de provedores de modelos, quanto a possíveis loops de gatilho antes da execução; o início, manual, por agendamento ou por um evento interno do produto configurado, de uma conversa comum do Mate, incluindo um evento decorrente de atividades do CRM ou da sincronização de contas conectadas; a inclusão do nome do evento e do identificador do registro correspondente na instrução inicial; a obtenção de contexto autorizado por meio de ferramentas; a aplicação das permissões atuais do usuário associado e dos controles de confirmação aplicáveis; a realização de operações permitidas, incluindo ações que podem ocorrer sem confirmação separada em cada caso; e o registro da conversa, da execução, das rodadas do modelo, das atividades de ferramentas, dos resultados e das informações de status daí decorrentes.

A função de contas conectadas é prestada pela provedora de transporte UNIPILE SAS, que, sob ressalva da cláusula 9, é contratada como suboperadora. A autenticação ocorre em um fluxo hospedado pela Unipile, no qual o usuário do Cliente informa as credenciais do respectivo provedor da conta ou percorre o fluxo OAuth dele. Essas credenciais ou a autorização OAuth são tratadas dentro desse fluxo; o Prestador não recebe senhas dos provedores das contas nem tokens OAuth e guarda apenas um identificador opaco da conta e metadados da conta que não são secretos.

4. Categorias de titulares e de dados pessoais

Categorias de titulares. O tratamento envolve os próprios usuários do Cliente, todas as pessoas naturais cujos dados pessoais o Cliente armazena no CRM, por exemplo contatos, leads, interessados, clientes, fornecedores, parceiros e seus funcionários, interlocutores com quem o Cliente se comunica, bem como outras pessoas retornadas por operações de contas conectadas ou afetadas por elas, entre as quais autores de publicações e de comentários, pessoas que reagiram, pessoas cujos perfis foram obtidos, partes de solicitações de conexão, leads do Sales Navigator e representantes de empresas.

Categorias de dados pessoais. Dependendo de como o Cliente configura e usa o serviço, o tratamento pode abranger o seguinte:

dados de registros do CRM, incluindo nomes, dados de contato, empresa e cargo, dados de negócios e tarefas, notas em texto livre e campos personalizados definidos pelo Cliente;
registros de auditoria e de atividades sobre as ações realizadas na conta do Cliente;
entradas e instruções salvas do Mate, textos da conversa mais recente, saídas geradas, definições de ferramentas, entradas e resultados de ferramentas, status de aprovação e de confirmação, resultados de comandos de interface, registros das rodadas do modelo, usuários associados e configurações de gatilho da Rotina, agendamentos, nomes de eventos e identificadores de registros correspondentes, limites, status de proteção e de execução, constatações sobre riscos de loop, identificadores de modelo e de provedor, carimbos de data e hora, bem como os identificadores da empresa e do usuário necessários para atribuir esses registros ao Cliente;
conteúdos da conta do Cliente que ele anexa a uma solicitação de suporte ou de feedback ou reproduz nela;
metadados de contas conectadas (por exemplo, identificador, tipo e status da conta conectada);
conteúdos de e-mail, incluindo assunto, texto, endereços de remetente e de destinatário e anexos;
conteúdos de chat e de mensagens diretas dos canais conectados de redes sociais e de mensagens;
dados de perfil de contatos e de participantes, incluindo nome, avatar, título ou atividade no LinkedIn, URL do perfil e o endereço de e-mail, o número de telefone ou o identificador de usuário (handle) usado como identificador;
publicações em redes sociais e dados de interação, incluindo texto da publicação ou do comentário, autores, pessoas que reagiram, carimbos de data e hora, tipos de reação e contagens;
perfis de pessoas e de empresas e dados de relacionamento, incluindo identificadores do provedor, nomes, URLs e imagens de perfil, descrições, vínculo profissional, localização, setor, distância na rede, status da conexão e textos de solicitações;
entradas, resultados e dados de listas do Sales Navigator, incluindo URLs e filtros de busca, perfis de leads e de empresas, nomes e participação em listas e status de salvamento;
eventos de calendário, incluindo os endereços de e-mail dos participantes e o status de aceite ou recusa;
metadados de mensagens e de contas; e
as cargas úteis (payloads) brutas recebidas dos provedores subjacentes.

Os dados binários de anexos são transmitidos em fluxo ou repassados quando necessário e não são armazenados pelo Prestador; são armazenados somente os metadados dos anexos. Como os conteúdos de mensagens, contatos, calendários, redes sociais, relacionamentos e buscas são determinados pelo Cliente, por seus interlocutores e pelas plataformas subjacentes, eles podem conter outras categorias de dados pessoais, incluindo categorias especiais de dados pessoais nos termos do art. 9 do GDPR, na medida em que o Cliente determine tais conteúdos. Como controlador, o Cliente é responsável pela licitude dos conteúdos e das operações que inicia por meio do serviço.

Se o Cliente instruir o Mate a tratar dados pessoais, ele deve limitar os dados e os acessos ao que for necessário para a tarefa solicitada e assegurar uma base legal aplicável, a limitação da finalidade, a transparência, a minimização de dados e salvaguardas adequadas ao risco. Antes de instruir o Mate a tratar categorias especiais de dados pessoais nos termos do art. 9 do GDPR, dados relativos a condenações penais e infrações nos termos do art. 10 do GDPR, informações de contas financeiras ou identificadores emitidos por autoridades, o Cliente deve cumprir todos os requisitos legais adicionais aplicáveis a esses dados. Os registros separados de autorização, de medição de consumo, de uso, de custos, de créditos, de cobrança, de segurança e de diagnóstico que o Prestador trata como controlador independente ficam, nos termos da cláusula 1 e da política de privacidade, fora deste DPA. Esses registros separados contêm identificadores, contagens de modelos e de tokens, custos, créditos, status do plano e da cobrança, carimbos de data e hora e status de segurança ou de diagnóstico, mas não armazenam, por si, entradas, conversas, saídas geradas, entradas de ferramentas ou resultados de ferramentas.

5. Instruções do controlador

O Prestador trata os dados pessoais abrangidos por este DPA somente conforme instruções documentadas do Cliente, inclusive no que diz respeito à transferência de dados pessoais para um país terceiro ou uma organização internacional, a menos que seja obrigado a outro tratamento pelo direito da União ou de um Estado-Membro a que o Prestador esteja sujeito; nesse caso, o Prestador informa o Cliente dessa exigência legal antes do tratamento, a não ser que o direito em questão proíba essa informação por motivo importante de interesse público.

As instruções documentadas do Cliente resultam deste DPA, do Contrato Principal e do uso e da configuração do serviço pelo Cliente (incluindo as contas que ele conecta e as ações iniciadas por meio do produto). Na medida em que Rotinas forem oferecidas, a configuração e a ativação da instrução salva, incluindo o usuário associado, o gatilho, os limites e as permissões vinculadas, valem como instrução permanente documentada para cada execução daí decorrente, até que a Rotina seja desativada ou alterada de forma substancial. Instruções adicionais ou alteradas exigem a forma textual.

O Prestador informa o Cliente sem demora se, em sua avaliação, uma instrução violar o GDPR ou outras normas de proteção de dados aplicáveis.

6. Obrigações e direitos do controlador

O Cliente é responsável pela licitude do tratamento e das instruções que der. Em especial, o Cliente é responsável por haver uma base legal para os dados pessoais que ele carrega, importa ou introduz no serviço, pela limitação da finalidade, pela transparência, pela minimização de dados, pelas restrições de acesso e por salvaguardas adequadas ao risco, pelo cumprimento de seus deveres de informação perante os titulares, pelo cumprimento dos requisitos adicionais para categorias especiais de dados pessoais nos termos do art. 9 do GDPR e para dados relativos a condenações penais e infrações nos termos do art. 10 do GDPR, bem como pela exatidão dos dados pessoais tratados por meio do serviço. Antes de ativar ou de alterar de forma substancial uma Rotina, o Cliente deve examinar a instrução, o usuário associado, o gatilho, o volume de dados, as permissões, os limites, os possíveis efeitos colaterais e as salvaguardas, e acompanhar a operação e os resultados.

O Cliente tem o direito de dar ao Prestador instruções sobre o tratamento de dados pessoais em seu nome, de pedir informações sobre esse tratamento e de exercer os direitos de controle previstos neste DPA.

7. Confidencialidade

O Prestador assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a um dever legal adequado de sigilo e que tratam os dados pessoais somente conforme instruções do Cliente.

Levando em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, as circunstâncias e as finalidades do tratamento, bem como o risco para os direitos e as liberdades das pessoas naturais, o Prestador adota medidas técnicas e organizacionais adequadas para garantir um nível de proteção adequado ao risco, em conformidade com o art. 32 do GDPR. Essas medidas incluem, em especial: a criptografia de dados pessoais em trânsito por TLS e a criptografia do banco de dados de produção e de seus backups em repouso; o controle de acesso baseado em papéis, contas de usuário nominais e autenticação para todos os acessos administrativos; a separação dos dados dos clientes por conta da empresa no nível dos dados; o registro e o monitoramento de acessos e de eventos relevantes para a segurança; medidas para restabelecer rapidamente a disponibilidade dos dados pessoais e o acesso a eles após um incidente físico ou técnico; e um procedimento para verificar e avaliar regularmente a eficácia dessas medidas.

9. Suboperadores

O Cliente concede ao Prestador uma autorização geral por escrito para contratar suboperadores. O Prestador mantém, em Suboperadores, uma página atualizada de seus operadores, suboperadores e outros destinatários. Somente os itens ali designados expressamente como envolvidos com dados pessoais do cliente em nome do Cliente passam a integrar este DPA, por referência, como suboperadores, incluindo sua identidade, finalidade e local.

Antes de um suboperador tratar dados pessoais em nome do Cliente, o Prestador celebra com ele um contrato escrito que lhe impõe, nos termos do art. 28(2) e (4) do GDPR, as mesmas obrigações de proteção de dados estabelecidas neste DPA. A divulgação de uma lacuna contratual não substitui esse contrato escrito nem autoriza o tratamento. Se um suboperador não cumprir suas obrigações de proteção de dados, o Prestador continua respondendo integralmente perante o Cliente pelo cumprimento dessas obrigações.

Para a função de contas conectadas, o Prestador contrata a UNIPILE SAS (RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, França) como suboperadora para dados de e-mail, mensagens, redes sociais e calendário e para as operações correspondentes. Isso inclui a obtenção de publicações e interações, a consulta de perfis de pessoas e de empresas, a gestão de solicitações de conexão e as buscas e operações de listas do Sales Navigator iniciadas pelo Cliente. O DPA de fornecedor assinado designa o Prestador como controlador e a Unipile como operadora; no tratamento posterior regulado por este DPA, o Cliente é o controlador, o Prestador é o operador e a Unipile assume o papel de fornecedora aqui descrito. O anexo do DPA de fornecedor menciona dados cadastrais pessoais, dados de contato, dados profissionais, informações divulgadas ou constantes de diretórios públicos e endereços IP; o alcance real inclui também as categorias listadas na cláusula 4. Mais detalhes constam em Suboperadores.

Para o armazenamento dos dados pessoais tratados em nome do Cliente, o Prestador contrata a Databricks, Inc. (Neon) (https://neon.com) como suboperadora contratual, que opera o banco de dados PostgreSQL gerenciado por meio da Neon, LLC. O Prestador configurou seu banco de dados principal de produção na região AWS Frankfurt (eu-central-1). Trata-se de uma configuração de produto escolhida, e não de uma garantia contratual de residência de dados; sobre uma mudança de região, o Prestador informa o Cliente conforme o procedimento previsto nesta cláusula. O Neon Platform Services Product Specific Schedule na versão de 5 de agosto de 2026 acrescenta a Grafana Labs, nos Estados Unidos, à lista completa e atual de suboperadores da Databricks. A lista designa alguns provedores de nuvem e de IA como escolhidos pelo cliente; o Prestador não escolheu nenhum serviço da Databricks baseado em IA para o seu banco de dados Neon. A Databricks tem sede em um país terceiro; o mecanismo de transferência para transferências restritas à Databricks está indicado em Suboperadores.

A Forward Email, LLC hospeda e armazena a caixa de correio operacional final do Prestador e não é usada nem para a função de contas conectadas nem para o tratamento comum do CRM. Se o Cliente incluir em uma solicitação de suporte ou de feedback dados pessoais de clientes abrangidos por este DPA, ou os reproduzir nela, e a solicitação for entregue a essa caixa de correio, a Forward Email armazena e trata esse trecho como suboperadora. Na correspondência comum de conta e de negócios, o serviço apoia um tratamento do qual o Prestador é controlador independente e que não está sujeito a este DPA. O DPA padrão da Forward Email é aceito eletronicamente por meio dos termos de uso dela e incorpora, para as transferências pertinentes, as cláusulas contratuais padrão da UE; detalhes estão indicados em Suboperadores.

Para o Mate, o Prestador usa o Vercel AI Gateway, operado pela Vercel Inc., para encaminhar solicitações de modelo, de busca na web e de classificação, e as respectivas respostas, aos provedores a jusante indicados em Suboperadores. O gateway e o provedor a jusante recebem apenas os conteúdos da solicitação e os metadados necessários para a geração pedida; isso pode incluir as categorias de responsabilidade do Cliente listadas na cláusula 4. Identidade, finalidade, termos do provedor, locais, informações sobre transferências, limites de retenção e limites operacionais atuais estão indicados em Suboperadores. O uso interativo do Mate pelo Cliente, incluindo a configuração do espaço de trabalho guiada por IA e as importações de sites, o uso da busca na Base de conhecimento ou, na medida em que for oferecida, a configuração e a ativação de uma Rotina, constitui, para cada solicitação, atualização de índice, análise de segurança e execução daí decorrente, uma instrução para usar essa cadeia de provedores. Essa instrução não substitui o dever do Prestador de assegurar, antes do respectivo tratamento, que todo contrato exigido pelo art. 28 do GDPR e toda garantia de transferência exigida pelo Capítulo V estejam em vigor.

Se o Prestador decidir por conta própria incluir ou substituir um suboperador, ele informa o Cliente antes de esse suboperador tratar dados pessoais em nome do Cliente e dá ao Cliente, antes do início do tratamento, uma oportunidade razoável de objeção. Se um fornecedor já em uso anunciar uma inclusão ou substituição prevista na própria cadeia de fornecimento, o Prestador informa o Cliente sem demora após receber esse aviso. Se o aviso do fornecedor previr um prazo de objeção, o Prestador indica ao Cliente, em seu aviso, o prazo restante. O Cliente pode se opor à alteração sem demora, em forma textual, por motivos razoáveis de proteção de dados. Se o Cliente se opuser e as partes não puderem resolver a objeção, o Cliente pode encerrar o serviço afetado nos termos do Contrato Principal. Para alterações vindas da cadeia de fornecimento, o Prestador não promete um prazo fixo de antecedência que seus contratos com fornecedores não garantam.

10. Apoio ao controlador

Levando em conta a natureza do tratamento, o Prestador apoia o Cliente, na medida do possível, com medidas técnicas e organizacionais adequadas, no cumprimento da obrigação do Cliente de responder a solicitações de titulares para o exercício de seus direitos nos termos dos arts. 12 a 23 do GDPR. Se um titular dirigir essa solicitação diretamente ao Prestador, o Prestador a encaminha sem demora ao Cliente e não a responde por conta própria, a menos que o Cliente o instrua a fazê-lo.

O Prestador apoia ainda o Cliente no cumprimento das obrigações dos arts. 32 a 36 do GDPR, levando em conta a natureza do tratamento e as informações à disposição do Prestador. Em especial, o Prestador notifica o Cliente sem demora depois de tomar conhecimento de uma violação de dados pessoais que afete os dados pessoais tratados em nome do Cliente e fornece as informações de que o Cliente razoavelmente precise para cumprir suas próprias obrigações de notificação e de comunicação nos termos dos arts. 33 e 34 do GDPR.

11. Exclusão ou devolução de dados

Se o Cliente desconectar uma conta conectada, o Prestador exclui de seus próprios sistemas as conversas, mensagens, participantes e dados de calendário armazenados dessa conta e solicita à Unipile que remova a conta correspondente. O Prestador não tem direito contratual contra a Unipile à exclusão de uma conta individual; ele só pode fazer essa solicitação. Se uma conta conectada for removida automaticamente, em especial em caso de pagamento recusado, término de um período de teste ou inatividade prolongada, os dados armazenados nos sistemas do Prestador são, por ora, apenas desativados e marcados como excluídos; o Cliente pode exigir a exclusão deles a qualquer momento. Dados brutos recebidos que não puderam ser atribuídos a uma conta conectada não podem, por ora, ser atribuídos a nenhum cliente para exportação ou exclusão e são guardados sem prazo fixo para análise de erros.

Arquivar uma conversa do Mate não a exclui. Quando um usuário autorizado exclui definitivamente uma conversa arquivada, o Prestador exclui de seu banco de dados ativo essa conversa e suas mensagens, solicitações de execução, registros das rodadas do modelo, aprovações, comprovantes e resultados de ferramentas e resultados de comandos de interface. Os registros separados de uso e de cobrança que o Prestador trata como controlador independente ficam fora deste DPA e podem ser guardados para medição de consumo, contabilidade, auditoria e prevenção de abusos; os registros de CRM criados ou alterados pelo Mate continuam sendo registros comuns do cliente até serem excluídos conforme as regras aplicáveis a esses registros. As conversas ativas do Mate não têm exclusão automática por idade durante o contrato. Uma escalação expressa ao suporte pode reproduzir textos da conversa mais recente na correspondência de suporte do Prestador.

Na medida em que Rotinas forem oferecidas, a exclusão de uma Rotina salva não exclui automaticamente as conversas do Mate geradas por suas execuções. Essas conversas estão sujeitas ao parágrafo anterior e precisam ser excluídas separadamente pelos controles comuns de exclusão do Mate.

O Prestador mantém por 30 dias, após o término dos serviços ligados ao tratamento, os dados pessoais disponíveis em seus próprios sistemas e atribuíveis ao Cliente, para que o Cliente possa escolher, em forma textual, entre a exclusão e a devolução. Se o Cliente escolher a exclusão ou não comunicar nenhuma escolha nesse prazo, o Prestador exclui os dados de seus próprios sistemas sem demora após a escolha ou o término do prazo. Se o Cliente escolher a devolução nesse prazo, o Prestador devolve os dados nos termos do Contrato Principal e em seguida exclui as cópias restantes em seus próprios sistemas. Permanece inalterada uma conservação adicional exigida pelo direito da União ou de um Estado-Membro. As limitações para dados em suboperadores e para dados brutos recebidos não atribuídos estão indicadas nesta cláusula e em Suboperadores.

Uma exclusão exigida por esta cláusula é concluída sem demora nos sistemas ativos do Prestador e, em seus backups, no máximo em 90 dias, conforme o ciclo de expiração deles. O Prestador instrui seus suboperadores a excluir os dados correspondentes; a exclusão no nível dos suboperadores segue as disposições do respectivo contrato com esse suboperador.

12. Controles e comprovações

O Prestador disponibiliza ao Cliente todas as informações razoavelmente necessárias para comprovar o cumprimento das obrigações estabelecidas no art. 28 do GDPR e neste DPA; ele permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por outro auditor por ele incumbido.

Para atender a essas solicitações, o Prestador pode, em primeiro lugar, fornecer documentos pertinentes, resumos de suas medidas técnicas e organizacionais e relatórios de auditoria ou certificações de terceiros disponíveis (incluindo os de seus suboperadores). As inspeções presenciais ocorrem com aviso prévio razoável, durante o horário comercial normal, sem perturbar a operação do Prestador e sob compromissos adequados de confidencialidade.

13. Transferências internacionais de dados

O Prestador trata dados pessoais em nome do Cliente principalmente dentro da União Europeia. Antes de um suboperador tratar esses dados em um país terceiro, o Prestador assegura que exista um mecanismo de transferência aplicável nos termos do Capítulo V do GDPR e o indica em Suboperadores. Criptografia, minimização de dados e outras medidas técnicas complementares não substituem um mecanismo de transferência exigido pelo Capítulo V do GDPR.

Para a função de contas conectadas, a Unipile informa que os dados das contas conectadas são armazenados na UE (França). O acordo de tratamento de dados da Unipile permite, mesmo assim, transferências para fora da União Europeia, desde que haja garantias nos termos do Capítulo V do GDPR, e a lista de suboperadores da Unipile menciona um provedor de pagamentos nos EUA e cinco provedores de proxy sem indicação de local. O DPA de fornecedor não indica nenhum mecanismo de transferência concreto para esses provedores; para cada transferência afetada vale, portanto, o requisito do parágrafo anterior de que um mecanismo aplicável nos termos do Capítulo V deve existir previamente.

Para o Mate, as solicitações de modelo são encaminhadas, pelo Vercel AI Gateway, ao provedor de modelo a jusante selecionado, indicado em Suboperadores, e podem ser tratadas nos Estados Unidos ou em outros países usados pelo gateway, por esse provedor e por seus suboperadores. O adendo de tratamento de dados da Vercel incorpora, para transferências restritas abrangidas por esse adendo, as cláusulas contratuais padrão da UE de 2021. Os Notices and License Information atuais da Vercel tornam aplicáveis à rota os termos indicados para esse provedor. Antes de dados pessoais de responsabilidade do Cliente serem tratados por essa rota, o Prestador deve assegurar que as garantias exigidas pelo art. 28 e pelo Capítulo V do GDPR estejam em vigor. O destinatário atual, os termos do provedor, as informações sobre transferências e os controles de retenção no nível do gateway estão indicados em Suboperadores; esses controles não alteram o armazenamento no nível do aplicativo descrito na cláusula 11 nem substituem as garantias contratuais e de transferência exigidas.

14. Responsabilidade

Cada parte responde conforme as disposições legais, em especial conforme o art. 82 do GDPR sobre a repartição da responsabilidade entre controlador e operador. Na relação entre as partes, aplicam-se a este DPA as regras de responsabilidade do Contrato Principal. Permanece inalterada a responsabilidade legal imperativa, em especial por dolo e culpa grave, por lesão à vida, ao corpo ou à saúde e demais responsabilidades que, segundo o direito aplicável, não possam ser excluídas nem limitadas.

15. Ordem de prevalência

Em caso de conflito entre este DPA e o Contrato Principal quanto ao tratamento de dados pessoais em nome do Cliente, prevalece este DPA. Em caso de conflito entre este DPA e o direito imperativo de proteção de dados, prevalece esse direito imperativo.

Se as partes tiverem celebrado individualmente um acordo de tratamento de dados assinado, esse acordo prevalece sobre este DPA para o Cliente em questão.

16. Disposições finais

Este DPA é regido pelo direito da República Federal da Alemanha, com exclusão da Convenção das Nações Unidas sobre os Contratos de Compra e Venda Internacional de Mercadorias. O foro competente é a sede do Prestador, na medida em que a lei o permita. A aceitação eletrônica nos termos da cláusula 2 cumpre a forma textual para a versão designada do DPA; outras alterações e complementos deste DPA exigem a forma textual. Se uma disposição deste DPA for ou se tornar inválida, a validade das demais disposições permanece inalterada.

Este DPA existe em alemão e em inglês. Prevalece a versão em alemão; a versão em inglês é uma tradução para fins informativos.

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
mail@customermates.com

Última atualização: 01/09/2026