Acordo de Tratamento de Dados
Introdução
O presente acordo rege o tratamento de dados pessoais pela revzper SAS (subcontratante) em nome do cliente (responsável pelo tratamento).
1. Âmbito e Instruções
O subcontratante tratará os dados pessoais apenas mediante instruções escritas fornecidas através de um canal seguro e registadas nos registos de tratamento do responsável pelo tratamento. A revzper SAS confirmará a receção das instruções e documentará todas as medidas de conformidade adotadas em resposta. O subcontratante assegurará que as pessoas autorizadas a tratar dados pessoais se tenham comprometido a respeitar a confidencialidade. O subcontratante implementará medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco. O subcontratante assistirá o responsável pelo tratamento a assegurar o cumprimento das obrigações.
2. Código-Fonte e Metadados do Repositório
Quando o responsável pelo tratamento os apresentar para análise, os dados pessoais tratados ao abrigo do presente Acordo incluem código-fonte e metadados do repositório: caminhos de ficheiros, assuntos dos commits, datas e contagens, e linhas de configuração, que podem identificar os colaboradores do responsável pelo tratamento, bem como os nomes, números de processo e horas de início dos programas em execução nos computadores do responsável pelo tratamento.
Ref.: Artigo 28.º, n.º 3, do RGPD
3. Não Formação com Dados Pessoais
A revzper SAS não utiliza os dados pessoais tratados ao abrigo do presente Acordo para formar ou afinar modelos de IA. O afinamento de um modelo para o responsável pelo tratamento requer um acordo escrito separado com o responsável pelo tratamento e é realizado apenas com dados que o responsável pelo tratamento tenha explicitamente designado para esse fim. A única exceção é o feedback que um utilizador envia através de uma aplicação depois de assinalar, para esse feedback, uma caixa separada que fica sempre desmarcada e nunca é assinalada pelo utilizador. A revzper SAS trata então esse feedback como responsável pelo tratamento, com base no consentimento do utilizador: remove os segredos e os dados que identificam uma pessoa antes de o feedback integrar um conjunto de dados; utiliza esse conjunto de dados apenas para testar, formar e afinar os modelos de IA que suportam as funcionalidades da plataforma para todos os utilizadores, nunca um modelo criado para outro cliente; pode fazer com que a formação seja realizada por um fornecedor de IA na União Europeia que atue como seu subcontratante, ao abrigo de um contrato que proíba esse fornecedor de utilizar o conjunto de dados para si próprio; e conserva cada item por um período máximo de um ano. O responsável pelo tratamento continua a ser responsável por assegurar que os seus utilizadores têm o direito de partilhar o conteúdo que anexam ao seu feedback.
Ref.: Artigo 28.º, n.º 3, alínea a), e artigo 28.º, n.º 10, do RGPD
4. Medidas após a Cessação
Após a cessação do presente Acordo ou na sequência das instruções do responsável pelo tratamento, a revzper SAS deverá:
Medidas por Defeito
- Eliminar todos os dados pessoais no prazo de 30 dias após a cessação, salvo instrução escrita em contrário do responsável pelo tratamento.
- Devolver todos os dados pessoais ao responsável pelo tratamento num formato estruturado, de uso corrente e de leitura automática, se tal for solicitado por escrito pelo responsável pelo tratamento no prazo de 15 dias após a cessação.
- Fornecer ao responsável pelo tratamento uma certificação escrita que confirme a conclusão da eliminação ou devolução, incluindo a data e o método da medida.
- Permitir que o responsável pelo tratamento verifique o cumprimento da presente cláusula mediante pedido razoável.
Obrigações Adicionais
- A revzper SAS não conservará quaisquer dados pessoais para além da conclusão das medidas acima referidas, salvo se tal for exigido por lei.
Localização do Tratamento e Subcontratantes
Todo o tratamento de dados pessoais ao abrigo do presente Acordo ocorre na União Europeia. Os dados pessoais são alojados em França (região de Paris) pela Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Os dados de pagamento são tratados pela Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, como responsável independente pelo tratamento ao abrigo dos seus próprios termos. As funcionalidades de IA são tratadas pela Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, implementações na zona de dados da União Europeia num recurso em França) e pela Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, dados alojados na União Europeia), enquanto subcontratantes. Um fornecedor de IA configurado a pedido do responsável pelo tratamento é identificado perante esse responsável antes da utilização. A revzper SAS informa o responsável pelo tratamento antes de contratar qualquer outro subcontratante.
2. Fornecedores e Modelos de IA Escolhidos pelo Responsável pelo Tratamento
Quando o responsável pelo tratamento, ou um utilizador que atue em seu nome, tiver uma funcionalidade de IA disponibilizada por um fornecedor de IA configurado com a conta do responsável pelo tratamento ou com a própria conta do utilizador, ou por um modelo executado no próprio equipamento do responsável pelo tratamento, esse fornecedor ou modelo é contratado pelo responsável pelo tratamento e não é um subcontratante da revzper SAS; a revzper SAS limita-se, no máximo, a transmitir-lhe os pedidos. O responsável pelo tratamento é responsável por essa escolha, pelo seu acordo com esse fornecedor e pela licitude da consequente transferência de dados pessoais, qualquer que seja a função no serviço do utilizador que fez essa escolha, incluindo criador ou administrador.
Ref.: Artigo 24.º e artigo 28.º, n.º 2, do RGPD