Acordo de Processamento de Dados
Última atualização:
Este Acordo de Processamento de Dados (“DPA”) faz parte do acordo entre Galaxies Ltda. (“Galaxies,” “nós,” ou “nosso,” atuando como Operadora / Processadora) e o Cliente identificado na proposta comercial ou contrato de licença de software aplicável (“Cliente,” atuando como Controladora). Ele se aplica sempre que a Galaxies processar dados pessoais em nome do Cliente em conexão com a Plataforma, e está incorporado por referência aos Termos de Serviço acima. Se houver conflito entre este DPA e os Termos em relação a um assunto de proteção de dados, este DPA prevalecerá.
Os termos específicos de um DPA assinado podem variar de acordo com o contrato corporativo — escreva para contato@galaxies.gg para obter uma cópia assinada por ambas as partes. O que se segue é o nosso modelo padrão.
1. Definições
Controladora — a parte que decide por que e como os dados pessoais são processados. Geralmente, o Cliente.
Operadora — a parte que processa dados pessoais sob as instruções da Controladora. Geralmente, a Galaxies.
Sub-operadora — qualquer terceiro que a Galaxies contrate para processar dados pessoais em nome do Cliente.
Leis de Proteção de Dados — LGPD, GDPR, CCPA e qualquer outra lei de proteção de dados aplicável ao processamento sob este DPA.
Dados Pessoais, Titular dos Dados, Processamento, Transferência Internacional — têm os significados atribuídos no Glossário da Política de Privacidade, acima.
2. Objeto e duração
A Galaxies processa dados pessoais em nome do Cliente pela duração do contrato comercial subjacente, com a finalidade de fornecer e dar suporte à Plataforma. Este DPA rescinde-se automaticamente quando esse contrato terminar, sujeito à Seção 12 (Exclusão e devolução de dados).
3. Natureza e finalidade do processamento
A Galaxies processa dados pessoais para operar, proteger e dar suporte à Plataforma: autenticar Usuários, executar Personas Sintéticas, armazenar conteúdo do Cliente, fornecer suporte ao cliente e manter registros de serviço.
4. Categorias de dados e titulares dos dados
Categorias de dados — dados de contato e registro, dados de navegação, dados de uso da Plataforma e quaisquer dados adicionais que o Cliente enviar ou gerar na Plataforma durante o uso.
Categorias de titulares dos dados — funcionários, contratados e outros Usuários autorizados do Cliente a acessar a Plataforma; e, caso o Cliente envie tais dados, os próprios clientes ou participantes de pesquisa do Cliente.
O Cliente não enviará dados pessoais sensíveis para a Plataforma, a menos que um acordo por escrito separado com a Galaxies trate especificamente desses dados.
5. Obrigações da Operadora
A Galaxies concorda em:
processar dados pessoais apenas sob as instruções documentadas do Cliente, incluindo em relação a transferências internacionais, a menos que exigido de outra forma por lei — caso em que a Galaxies informará o Cliente, a menos que seja proibido de fazê-lo;
garantir que as pessoas autorizadas a processar dados pessoais estejam vinculadas por confidencialidade;
implementar as medidas técnicas e organizacionais descritas na Seção 8;
auxiliar o Cliente, às custas do Cliente quando a assistência exigir recursos materiais, na resposta a solicitações de titulares de dados e no cumprimento das obrigações do Cliente relacionadas à segurança, notificação de incidentes e relatórios de impacto à proteção de dados;
excluir ou devolver os dados pessoais ao final da contratação, conforme a Seção 12;
disponibilizar as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e permitir auditorias conforme a Seção 11.
6. Obrigações do Cliente
O Cliente garante que possui uma base legal válida para os dados pessoais que fornece à Galaxies ou envia para a Plataforma, e que suas instruções à Galaxies estão em conformidade com as Leis de Proteção de Dados aplicáveis. O Cliente é responsável pela precisão, qualidade e legalidade dos dados pessoais fornecidos.
7. Sub-operadoras
O Cliente autoriza a Galaxies a contratar sub-operadoras para apoiar a Plataforma, incluindo a infraestrutura em nuvem e provedores de IA descritos nos Termos de Serviço e na Política de Privacidade acima (incluindo Google, OpenAI e Anthropic, entre outros). A Galaxies impõe obrigações de proteção de dados às suas sub-operadoras que são substancialmente semelhantes às deste DPA, e permanece responsável pelo seu desempenho. A Galaxies notificará o Cliente com antecedência razoável sobre qualquer nova sub-operadora que altere materialmente a forma como os dados pessoais são tratados, para que o Cliente possa se opor com base em motivos razoáveis de proteção de dados.
8. Medidas de segurança
A Galaxies mantém medidas técnicas e organizacionais adequadas ao risco, incluindo:
criptografia de dados pessoais em trânsito e, quando apropriado, em repouso;
controles de acesso limitando o acesso a dados pessoais apenas ao pessoal que necessita dele;
registro (logging) e monitoramento do acesso a sistemas que processam dados pessoais;
revisão regular dessas medidas à medida que a Plataforma e o cenário de ameaças evoluem.
9. Transferências internacionais
Quando a Galaxies ou suas sub-operadoras transferirem dados pessoais para fora do país onde foram coletados, inclusive para os Estados Unidos, a Galaxies apoia-se nas salvaguardas descritas na Política de Privacidade acima (Seção 7) e, onde aplicável, em cláusulas contratuais padrão ou mecanismo equivalente reconhecido sob a Lei de Proteção de Dados aplicável.
10. Notificação de incidentes com dados pessoais
A Galaxies notificará o Cliente sem atrasos indevidos após tomar conhecimento de um incidente de segurança que afete os dados pessoais do Cliente, e fornecerá as informações razoavelmente disponíveis para ajudar o Cliente a cumprir suas próprias obrigações de notificação.
11. Auditorias
Mediante aviso prévio por escrito e razoável, e não mais do que uma vez por ano (salvo em caso de incidente de segurança), o Cliente poderá solicitar evidências de conformidade da Galaxies com este DPA, as quais a Galaxies fornecerá por meio de documentação, certificações ou uma auditoria mutuamente acordada que não perturbe de forma irracional as operações da Galaxies nem exponha dados de outros clientes.
12. Exclusão e devolução de dados
A pedido do Cliente, ou automaticamente ao final do contrato comercial subjacente, a Galaxies excluirá ou devolverá os dados pessoais que processou em nome do Cliente, exceto quando a retenção for exigida por lei — caso em que a Galaxies continuará a protegê-los nos termos deste DPA.
13. Responsabilidade
A responsabilidade de cada parte sob este DPA está sujeita às limitações de responsabilidade estabelecidas nos Termos de Serviço acima.
14. Vigência, lei aplicável e contato
Este DPA entra em vigor quando o contrato comercial do Cliente com a Galaxies entrar em vigor e permanece em vigor enquanto a Galaxies processar dados pessoais em nome do Cliente. É regido pelas leis da República Federativa do Brasil, em consonância com os Termos de Serviço. Dúvidas sobre este DPA, ou para solicitar uma cópia
assinada por ambas as partes: contato@galaxies.gg.