Acordo de Processamento de Dados
Última atualização:
Este Acordo de Processamento de Dados (“DPA”) faz parte do contrato entre a Galaxies Ltda. (“Galaxies”, “nós” ou “nosso”, atuando como Operadora) e o Cliente identificado na proposta comercial aplicável ou no contrato de licença de software (“Cliente”, atuando como Controladora). Ele se aplica sempre que a Galaxies processa dados pessoais em nome do Cliente em conexão com a Plataforma, e é incorporado por referência aos Termos de Serviço, acima. Se este DPA conflitar com os Termos em uma questão de proteção de dados, este DPA prevalecerá.
Os termos específicos de um DPA assinado podem variar de acordo com o contrato corporativo — escreva para contato@galaxies.gg para obter uma cópia assinada por ambas as partes. O que se segue é o nosso modelo padrão.
1. Definições
Controladora — a parte que decide por que e como os dados pessoais são processados. Geralmente, o Cliente.
Operadora — a parte que processa os dados pessoais de acordo com as instruções da Controladora. Geralmente, a Galaxies.
Suboperadora — qualquer terceiro contratado pela Galaxies para processar dados pessoais em nome do Cliente.
Leis de Proteção de Dados — LGPD, GDPR, CCPA e qualquer outra lei de proteção de dados aplicável ao processamento sob este DPA.
Dados Pessoais, Titular dos Dados, Processamento, Transferência Internacional — têm os significados atribuídos no Glossário da Política de Privacidade, acima.
2. Objeto e duração
A Galaxies processa dados pessoais em nome do Cliente durante a vigência do contrato comercial subjacente, com a finalidade de fornecer e apoiar a Plataforma. Este DPA rescinde-se automaticamente quando esse contrato terminar, sujeito à Seção 12 (Exclusão e devolução de dados).
3. Natureza e finalidade do processamento
A Galaxies processa dados pessoais para operar, proteger e apoiar a Plataforma: autenticando Usuários, executando Personas Sintéticas, armazenando conteúdo do Cliente, fornecendo suporte ao cliente e mantendo registros de serviço.
4. Categorias de dados e titulares dos dados
Categorias de dados — dados de contato e de cadastro, dados de navegação, dados de uso da Plataforma e quaisquer dados adicionais que o Cliente envie ou gere na Plataforma ao utilizá-la.
Categorias de titulares dos dados — funcionários, contratados e outros Usuários autorizados do Cliente a acessar a Plataforma; e, caso o Cliente envie tais dados, os próprios clientes ou participantes de pesquisa do Cliente.
O Cliente não enviará dados pessoais sensíveis para a Plataforma, a menos que um contrato por escrito separado com a Galaxies trate especificamente desses dados.
5. Obrigações da Operadora
A Galaxies concorda em:
processar dados pessoais apenas de acordo com as instruções documentadas do Cliente, inclusive em relação a transferências internacionais, a menos que seja obrigada a fazer o contrário por lei — caso em que a Galaxies informará o Cliente, a menos que seja proibida de fazê-lo;
garantir que as pessoas autorizadas a processar dados pessoais estejam vinculadas por confidencialidade;
implementar as medidas técnicas e organizacionais descritas na Seção 8;
auxiliar o Cliente, às custas do Cliente quando a assistência exigir recursos materiais, na resposta a solicitações de titulares de dados e no cumprimento das obrigações do Cliente relacionadas à segurança, notificação de incidentes e avaliações de impacto à proteção de dados;
excluir ou devolver dados pessoais ao final do serviço, conforme a Seção 12;
disponibilizar as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e permitir auditorias conforme a Seção 11.
6. Obrigações do Cliente
O Cliente garante que possui uma base legal válida para os dados pessoais que fornece à Galaxies ou envia para a Plataforma, e que suas instruções à Galaxies estão em conformidade com as Leis de Proteção de Dados aplicáveis. O Cliente é responsável pela exatidão, qualidade e legalidade dos dados pessoais que fornece.
7. Suboperadoras
O Cliente autoriza a Galaxies a contratar suboperadoras para apoiar a Plataforma, incluindo a infraestrutura em nuvem e os provedores de IA descritos nos Termos de Serviço e na Política de Privacidade, acima (incluindo Google, OpenAI e Anthropic, entre outros). A Galaxies impõe obrigações de proteção de dados às suas suboperadoras que são substancialmente semelhantes às deste DPA, permanecendo responsável pelo desempenho delas. A Galaxies notificará razoavelmente o Cliente sobre qualquer nova suboperadora que altere substancialmente a forma como os dados pessoais são tratados, de modo que o Cliente possa se opor com base em motivos razoáveis de proteção de dados.
8. Medidas de segurança
A Galaxies mantém medidas técnicas e organizacionais adequadas ao risco, incluindo:
criptografia de dados pessoais em trânsito e, quando apropriado, em repouso;
controles de acesso que limitam o acesso a dados pessoais apenas ao pessoal que necessita dele;
registro e monitoramento de acesso aos sistemas que processam dados pessoais;
revisão regular dessas medidas à medida que a Plataforma e o cenário de ameaças evoluem.
9. Transferências internacionais
Nos casos em que a Galaxies ou suas suboperadoras transferirem dados pessoais para fora do país onde foram coletados, inclusive para os Estados Unidos, a Galaxies conta com as salvaguardas descritas na Política de Privacidade acima (Seção 7) e, onde aplicável, com cláusulas contratuais padrão ou mecanismo equivalente reconhecido sob a Lei de Proteção de Dados aplicável.
10. Notificação de incidentes de dados pessoais
A Galaxies notificará o Cliente, sem atraso injustificado, após tomar conhecimento de um incidente de segurança de dados pessoais que afete os dados do Cliente, e fornecerá as informações razoavelmente disponíveis para ajudar o Cliente a cumprir suas próprias obrigações de notificação.
11. Auditorias
Mediante aviso prévio por escrito e razoável, e não mais do que uma vez por ano, salvo em caso de incidente de segurança, o Cliente poderá solicitar evidências de conformidade da Galaxies com este DPA, as quais a Galaxies fornecerá por meio de documentação, certificações ou uma auditoria mutuamente acordada que não perturbe injustificadamente as operações da Galaxies nem exponha dados de outros clientes.
12. Exclusão e devolução de dados
A pedido do Cliente, ou automaticamente ao término do contrato comercial subjacente, a Galaxies excluirá ou devolverá os dados pessoais que processou em nome do Cliente, exceto nos casos em que a retenção for exigida por lei — situação na qual a Galaxies continuará a protegê-los sob os termos deste DPA.
13. Responsabilidade
A responsabilidade de cada parte sob este DPA está sujeita às limitações de responsabilidade estabelecidas nos Termos de Serviço, acima.
14. Vigência, lei aplicável e contato
Este DPA entra em vigor quando o contrato comercial do Cliente com a Galaxies entra em vigor e permanece em vigor enquanto a Galaxies processar dados pessoais em nome do Cliente. É regido pelas leis da República Federativa do Brasil, em consonância com os Termos de Serviço. Dúvidas sobre este DPA, ou para solicitar uma cópia
assinada por ambas as partes: contato@galaxies.gg.