Última atualização: 4 de novembro de 2026
Este acordo faz parte do contrato entre a Create Your AI LLC (“nós”) e cada cliente, e se aplica sempre que tratamos dados pessoais em nome do cliente. Ele foi escrito para a LGPD e para as leis estaduais de privacidade dos EUA, incluindo a lei de privacidade da Califórnia (CCPA) e as suas alterações.
Papéis e instruções
O cliente é o controlador. Nós somos o operador (prestador de serviço, nas leis dos EUA).
Tratamos dados pessoais apenas conforme as instruções documentadas do cliente, que são o contrato, o pedido, as configurações do cliente e as suas solicitações por escrito, salvo exigência legal. Nesse caso, avisamos o cliente antes, a menos que a lei proíba.
O que tratamos
| Titulares | Clientes e consumidores que usam o concierge; funcionários do cliente que usam as nossas ferramentas. |
|---|---|
| Dados | Mensagens; interesse em produtos; dados de contato que a pessoa escolhe informar para a passagem ao time (nome, e-mail, telefone, WhatsApp); números de pedido; dados técnicos como endereço IP, navegador e horários. |
| Dados sensíveis | Não previstos. Os concierges são configurados para não pedi-los (veja a seção 6). |
| Finalidade | Prestar, proteger, dar suporte e melhorar o concierge do cliente. |
| Duração | O contrato, mais até 30 dias para devolver e eliminar os dados. |
Nossos compromissos
- Tratamos dados pessoais apenas para as finalidades acima.
- Não vendemos nem compartilhamos esses dados para publicidade comportamental.
- Não os guardamos, usamos ou divulgamos fora da nossa relação direta com o cliente, e não os combinamos com dados de outras fontes, salvo quando a lei permitir.
- Nunca usamos os dados de um cliente para atender outro, e não os usamos para treinar modelos de IA.
- A nossa equipe e os nossos contratados têm dever de sigilo.
- Avisamos o cliente se não pudermos mais cumprir estes deveres, e o cliente pode tomar medidas razoáveis para impedir uso não autorizado.
Medidas de segurança
- Criptografia em trânsito (TLS) e em repouso quando os fornecedores permitem.
- Acesso limitado por função, com autenticação em dois fatores.
- Dados e configurações de cada cliente mantidos separados.
- Registro dos acessos administrativos.
- Backups com recuperação testada.
- Avaliação de fornecedores antes do uso e atualização rápida dos sistemas que gerenciamos.
Suboperadores
O cliente autoriza o uso dos suboperadores abaixo. Avisamos por e-mail com pelo menos 30 dias de antecedência sobre um novo suboperador. O cliente pode se opor por motivos razoáveis de proteção de dados e, se não resolvermos, encerrar o serviço afetado sem multa. Exigimos de cada suboperador termos de proteção de dados no mínimo tão protetivos quanto estes.
| Suboperador | O que faz | Onde |
|---|---|---|
| Anthropic, PBC | Modelos de IA que entendem as perguntas e escrevem as respostas | Estados Unidos |
| Railway Corporation | Hospedagem da aplicação | Estados Unidos |
| Meta Platforms, Inc. (plataforma WhatsApp Business) | Passagem e agente no WhatsApp, quando o cliente usa | Estados Unidos e outros países |
| Microsoft Corporation (Microsoft 365, via GoDaddy) | Estados Unidos |
Dados sensíveis e de saúde
Os concierges são configurados para não pedir dados pessoais sensíveis, como dados de saúde, origem racial ou étnica, convicção religiosa, vida sexual, dados biométricos ou dados de contas financeiras. Clientes da área da saúde devem nos informar no kickoff.
Não tratamos informações de saúde protegidas pela HIPAA, nos EUA, sem um Business Associate Agreement assinado com o cliente.
Transferência internacional
Os dados pessoais podem ser tratados nos Estados Unidos e em outros países onde os nossos suboperadores atuam. Para dados pessoais do Brasil, quando outro mecanismo não se aplicar, as partes adotam as cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19/2024. Elas são incorporadas por referência e prevalecem sobre este acordo para essas transferências.
Apoio ao cliente
Ajudamos o cliente a responder pedidos de titulares (acesso, correção, eliminação e outros), relatórios de impacto à proteção de dados e questionamentos de autoridades, dentro do nosso papel. Se um titular nos procurar diretamente sobre dados do cliente, encaminhamos o pedido ao cliente e não respondemos por conta própria, salvo se o cliente pedir.
Incidentes de segurança
Avisamos o cliente sem demora indevida, e em até 48 horas após confirmar um incidente de segurança que afete os dados pessoais dele, com o que soubermos: o que aconteceu, os dados e titulares afetados, as consequências prováveis e as medidas que estamos tomando. Mantemos o cliente informado.
Isso permite ao cliente cumprir os seus próprios prazos, como os três dias úteis definidos pela ANPD para comunicar a autoridade e os titulares (Resolução CD/ANPD nº 15/2024).
Auditorias
Uma vez por ano, a pedido, damos ao cliente as informações necessárias para verificar que cumprimos este acordo, como um resumo das medidas de segurança e a lista atual de suboperadores. Outras auditorias dependem de acordo, ficam a cargo do cliente e exigem aviso razoável e sigilo.
Término do contrato
Em até 30 dias após o término do contrato, devolvemos os dados pessoais do cliente, se ele pedir, em formato comum, e depois os eliminamos, inclusive nos suboperadores, salvo quando a lei exigir a guarda. Os backups são sobrescritos no ciclo normal.
Prevalência
Se este acordo conflitar com os nossos termos de serviço sobre o tratamento de dados pessoais, vale este acordo. Dúvidas: hello@createyourai.co.