Acordo de Tratamento de Dados

§1. Definições

Os principais termos definidos incluem: Grupo Harmony (Harmony Global Inc., Harmony Labs Limited e Harmony Brasil Ltda.); Entidade Contratante Harmony (o membro do Grupo Harmony identificado no Pedido, que é a Operadora); Cláusulas Contratuais Padrão da UE (Decisão de Execução (UE) 2021/914); Cláusulas Contratuais Padrão da ANPD (Resolução CD/ANPD nº 19, de 23 de agosto de 2024); Transferência Intragrupo; GDPR; LGPD; Legislação de Proteção de Dados Aplicável; Categorias Especiais de Dados Pessoais (Art. 9(1) do GDPR); e o Apêndice de Transferência Internacional constante do Apêndice 1.

Controlador, Operador, Suboperador, Titular de Dados, Dados Pessoais, Tratamento, Incidente de Segurança com Dados Pessoais e Autoridade Supervisora têm os significados atribuídos no GDPR.

§2. Objeto

Nos termos deste Acordo, o Controlador contrata a Operadora, em conformidade com o artigo 28 do GDPR, para tratar dados pessoais em seu nome, na extensão prevista no §3.

§3. Escopo do tratamento

3.1. O objeto do tratamento são quaisquer dados pessoais que a Operadora trate em nome do Controlador em conexão com os Termos de Uso.

3.2. Os dados incluem dados pessoais de empregados, colaboradores, Usuários autorizados e clientes finais, tais como: dados de identificação; dados de contato; dados financeiros; gravações de voz e conteúdos delas derivados, incluindo transcrições; dados técnicos; dados profissionais; preferências pessoais; e outros dados decorrentes das especificidades dos serviços.

3.3. A Operadora tratará todas as categorias de dados pessoais fornecidas pelo Controlador. Como o acúmulo ocorre automaticamente durante o uso, a Operadora não detém controle em tempo real sobre a forma como o Controlador categoriza tais dados.

3.4. O Controlador não deve submeter Categorias Especiais de Dados Pessoais, inclusive dados de saúde, salvo se o Pedido expressamente o permitir ou se as Partes acordarem de outro modo por escrito. Nada constando do Pedido, tais dados não poderão ser submetidos, lendo-se o §3.2 em conformidade. Quando permitido, o Pedido identificará as categorias, o Controlador permanecerá responsável pela base legal do art. 9(2) do GDPR ou do art. 11 da LGPD, e a Operadora aplicará as salvaguardas adicionais do Anexo II.

3.5. Dados biométricos e inferência de emoções. Os Serviços tratam gravações de voz como dados de áudio para fins de transcrição, sumarização e processamento analítico do conteúdo conversacional. (a) Os Serviços não tratam gravações de voz para extrair identificadores biométricos com a finalidade de identificar unicamente pessoas naturais, nos termos dos arts. 4(14) e 9 do GDPR. (b) Os Serviços não inferem emoções ou intenções de pessoas naturais a partir de dados biométricos, nos termos do Regulamento (UE) 2024/1689. Quando os Serviços derivam sentimento, pontuação ou indicadores similares, fazem-no a partir do texto das transcrições e não de características vocais, acústicas, prosódicas ou outras características biométricas. (c) O tratamento que constitua identificação biométrica ou reconhecimento de emoções está fora do escopo dos Serviços e exige acordo escrito em separado. (d) A Operadora não reduzirá materialmente a posição descrita em (a) e (b) durante a vigência. Qualquer alteração material será comunicada nos termos do §7, aplicando-se os direitos de objeção e rescisão dos §§7.4 e 7.5.

§4. Finalidade, natureza e duração

4.1. O tratamento é realizado conforme instruções documentadas do Controlador, em linha com o art. 28 do GDPR, para a finalidade de utilização dos Serviços pelo Controlador.

4.2. A celebração dos Termos de Uso e deste Acordo, somada à seleção dos serviços pelo Controlador, constitui a instrução documentada.

4.3. Os dados são tratados durante a vigência dos Termos de Uso. Após o término ou o vencimento, a Harmony disponibilizará os Dados do Cliente para exportação por 30 dias e excluirá definitivamente todos os Dados do Cliente em até 90 dias, exceto quando a retenção for exigida pela lei aplicável.

4.4. Em até 90 dias contados do término ou de solicitação documentada de exclusão, a Operadora eliminará os dados pessoais de todas as mídias de armazenamento, programas e aplicações, inclusive cópias, ou os anonimizará irreversivelmente, salvo se o tratamento adicional for exigido por lei.

4.5. Mediante solicitação escrita, a Operadora confirmará por escrito a eliminação ou devolução de todos os dados pessoais, exceto quando a retenção for exigida por lei.

4.6. A Operadora disponibiliza opções de configuração nos Serviços, inclusive definições de retenção e a seleção de provedores de modelos de IA, por meio das quais o Controlador pode personalizar o tratamento dos Dados do Cliente no âmbito da operação padrão. O uso dessas opções pelo Controlador ou por Usuários autorizados constitui instrução documentada. Instruções individuais que exijam customização do serviço padrão somente vinculam na medida acordada por escrito em Pedido ou aditivo.

4.7. Durante a vigência dos Termos de Uso e até a exclusão nos termos do §4.4, o Controlador pode exportar Dados do Cliente a qualquer momento pelas funções de exportação disponibilizadas nos Serviços.

§5. Direitos e obrigações

5.1. O Controlador compromete-se a que os dados pessoais sejam tratados com base legal do art. 6º (e do art. 9º para categorias especiais) do GDPR, ou em nome de outro controlador, hipótese em que declara possuir autoridade para contratar a Operadora.

5.2. A Operadora compromete-se a: (a) cooperar no atendimento de solicitações de titulares nos termos dos arts. 12 a 23 do GDPR; (b) auxiliar no cumprimento dos arts. 32 a 36 do GDPR; (c) eliminar ou devolver os dados pessoais ao término; (d) disponibilizar as informações necessárias para demonstrar conformidade e viabilizar auditorias, observados os §§5.3 e 5.4; (e) informar o Controlador caso uma instrução viole a legislação aplicável; (f) vincular todos os suboperadores a obrigações equivalentes; (g) utilizar somente suboperadores constantes da Lista de Suboperadores; e (h) não utilizar dados pessoais para treinar modelos de inteligência artificial ou de aprendizado de máquina, próprios ou de terceiros, mantendo compromissos contratuais com seus suboperadores de inteligência artificial que proíbam tal uso e exijam retenção zero de dados.

5.3. As auditorias podem ser realizadas em horário comercial, mediante aviso prévio de pelo menos uma semana, no máximo uma vez por ano-calendário, com duração máxima de 3 dias úteis, às expensas do Controlador.

5.4. As limitações do §5.3 não se aplicam quando a auditoria decorrer de Incidente de Segurança que afete os dados do Controlador, for exigida por Autoridade Supervisora ou pela Legislação de Proteção de Dados Aplicável (inclusive quando o Controlador for entidade financeira sujeita ao Regulamento (UE) 2022/2554 e o direito de auditoria dever estender-se à sua autoridade competente), ou quando a Operadora estiver em violação substancial. Nessas hipóteses a auditoria ocorre mediante aviso razoável, às expensas da Operadora, podendo a autoridade dela participar.

5.5. As deficiências identificadas em auditoria são sanadas no prazo acordado, considerada a gravidade.

5.6. A Operadora pode contratar suboperadores, inclusive fora do EEE, observados o §7 e o §5.7. Quando a Operadora for a Harmony Labs ou a Harmony Brasil, a Harmony Global atua como suboperadora, fornecendo a hospedagem e a infraestrutura da plataforma.

5.7. Transferências internacionais. Os Dados do Cliente são armazenados nos Estados Unidos e, ressalvado o §5.10, ali tratados. As transferências para países terceiros não abrangidos por decisão de adequação observam o Apêndice de Transferência Internacional (Apêndice 1).

5.8. Alocação da transferência restrita. Quando a Operadora for a Harmony Labs e o Controlador estiver estabelecido no EEE, a relação é intra-EEE e não são exigidas cláusulas contratuais padrão nem representante do art. 27 nessa etapa. A transferência restrita ocorre na etapa Intragrupo entre a Harmony Labs, como exportadora, e a Harmony Global, como importadora, regida pelas Cláusulas Contratuais Padrão da UE, conforme A1.6. Quando a Operadora for a Harmony Brasil, a Transferência Intragrupo correspondente é regida pelas Cláusulas Contratuais Padrão da ANPD, conforme A1.7.

5.9. O Controlador compromete-se, nos termos dos arts. 13 e 14 do GDPR, a informar aos titulares as transferências internacionais realizadas sob este Acordo.

5.10. Localização dos dados. Os Dados do Cliente são armazenados em infraestrutura operada pela Harmony Global nos Estados Unidos, independentemente da Entidade Contratante Harmony. Não são atualmente oferecidas escolha de região de infraestrutura nem armazenamento na União Europeia ou no EEE. Determinados tratamentos ocorrem na União Europeia: a transcrição de voz para texto é realizada por suboperador localizado na França e a camada de inteligência artificial conversacional opera em infraestrutura localizada na União Europeia. A lista atual de suboperadores, os países de tratamento e o mecanismo de transferência aplicável a cada um são mantidos em security.heyharmony.com.

5.11. Registros de tratamento. A Operadora mantém registros nos termos do art. 30 do GDPR.

5.12. Quando o Controlador ou seus Usuários autorizados selecionarem um modelo de IA ou provedor cujo tratamento ocorra fora do EEE, essa seleção constitui instrução documentada para o tratamento associado e para a transferência internacional correlata. A Operadora assegurará mecanismo de transferência adequado, identificado na lista de suboperadores em security.heyharmony.com.

5.13. O Controlador instrui a Operadora a atender, de forma independente e sem consulta prévia, solicitações de titulares relativas à retificação de dados de conta ou perfil e à desativação ou exclusão de conta de usuário e dos dados exclusivamente a ela associados, quando a solicitação for apresentada diretamente à Operadora e a identidade do titular tiver sido verificada. Demais solicitações observam o §5.2(a).

5.14. A conformidade com este Acordo e com o art. 28 do GDPR demonstra-se, em regra, mediante atestado ou relatório atualizado emitido por organismo independente no âmbito de certificação ou auditoria de segurança da informação ou proteção de dados. Os direitos de auditoria dos §§5.2(d), 5.3 e 5.4 permanecem inalterados; as inspeções devem considerar os interesses legítimos da Operadora, preferencialmente por informações escritas ou revisão remota, e qualquer terceiro nomeado pelo Controlador não pode ser concorrente da Operadora e deve vincular-se previamente a confidencialidade por escrito.

5.15. Quando a assistência prestada sob o §5.2 exceder a assistência razoavelmente devida, em especial em avaliações de impacto, consultas prévias ou questões regulatórias extensas atribuíveis a circunstâncias específicas do Controlador, as Partes acordarão previamente remuneração adicional. A assistência decorrente de incidente de segurança pelo qual a Operadora seja responsável nunca é cobrável.

§6. Incidentes de segurança com dados pessoais

6.1. A Operadora comunicará ao Controlador qualquer incidente de segurança com dados pessoais sem atraso indevido e, em qualquer caso, em prazo não superior a 72 horas. Esse prazo é o padrão e pode ser modificado por Pedido.

6.2. A comunicação incluirá a natureza do incidente, as categorias e os números aproximados de titulares e registros afetados, as prováveis consequências e as medidas aplicadas ou propostas.

6.3. A comunicação à autoridade supervisora e aos titulares permanece de responsabilidade do Controlador. A Operadora prestará assistência razoável para viabilizar o cumprimento nos prazos do GDPR e, quando aplicável a LGPD, do art. 48 da LGPD.

§7. Suboperadores

7.1. O Controlador concede autorização geral para a contratação de suboperadores. A lista é mantida em security.heyharmony.com. Quando a Operadora for a Harmony Labs ou a Harmony Brasil, a Harmony Global Inc. figura em tal lista como suboperadora, com suas localidades de tratamento e o mecanismo de transferência aplicável. Qualquer alteração da entidade do Grupo Harmony que preste hospedagem sujeita-se aos §§7.2 e 7.4.

7.2. A Operadora dará aviso por e-mail com pelo menos 30 dias de antecedência da contratação de novo suboperador.

7.3. A contratação de suboperador substituto sem aviso prévio somente será admitida quando necessária para manter a continuidade dos Serviços após falha, insolvência ou rescisão de suboperador existente. O aviso será dado em até cinco dias úteis, o substituto deverá oferecer condições de segurança equivalentes ou superiores, e os direitos de objeção correm a partir de tal aviso.

7.4. O Controlador pode objetar em até 30 dias contados do aviso, apresentando as razões. A ausência de objeção é considerada consentimento. O Controlador compromete-se a não objetar sem razões válidas.

7.5. Havendo objeção, as Partes atuarão de boa-fé por 30 dias. Não havendo solução, o Controlador poderá rescindir os Serviços afetados sem penalidade e receber reembolso proporcional das taxas pagas antecipadamente.

7.6. Mediante solicitação razoável, a Operadora confirmará que seus contratos com suboperadores contêm cláusulas de proteção de dados substancialmente equivalentes.

§8. Medidas técnicas e organizacionais

8.1. As pessoas que atuam sob a autoridade da Operadora e têm acesso a dados pessoais estão vinculadas a dever de confidencialidade.

8.2. A Operadora implementa as medidas exigidas pelo art. 32 do GDPR, conforme o Anexo II.

8.3. A Operadora mantém documentação das medidas implementadas.

8.4. A Operadora poderá alterar ou adaptar as medidas técnicas e organizacionais do Anexo II durante a vigência, desde que continuem a atender aos requisitos legais e o nível geral de proteção não seja reduzido.

§9. Troca mútua de informações

9.1. As Partes notificam-se mutuamente sobre incidentes suspeitos sem atraso indevido e cooperam de boa-fé nos termos do GDPR.

9.2. As Partes consultam-se sobre a necessidade e o conteúdo de comunicações à autoridade supervisora competente ou aos titulares.

9.3. As notificações são enviadas ao e-mail associado à conta do Cliente e para [email protected].

§10. Responsabilidade

10.1. A responsabilidade da Operadora sujeita-se à Cláusula 14 dos Termos de Uso, conforme modificada por Pedido.

10.2. As reclamações envolvendo violação da Legislação de Proteção de Dados Aplicável, divulgação não autorizada ou perda de dados pessoais, ou violação de direitos de titulares, sujeitam-se ao limite ampliado da Cláusula 14.2 dos Termos de Uso.

10.3. A Operadora permanece integralmente responsável pelos atos ou omissões de seus suboperadores, como se próprios fossem.

10.4. Nada limita a responsabilidade de qualquer das Partes perante titulares ou Autoridade Supervisora, nem qualquer responsabilidade que não possa ser limitada pela Legislação de Proteção de Dados Aplicável.

§11. Disposições finais e rescisão

11.1 a 11.3. O Acordo vigora pelo prazo dos Termos de Uso, entra em vigor com a celebração ou aceitação e é alterado por escrito.

11.4. O Controlador pode rescindir com efeito imediato caso a Operadora deixe de sanar, em prazo de cura não inferior a 14 dias, deficiências identificadas em auditoria ou tratamento em violação deste Acordo ou da Legislação de Proteção de Dados Aplicável.

11.5. Caso a Operadora razoavelmente entenda, com base em fundamentos objetivos, que o Controlador trata dados pessoais em violação ao §5.1, notificará o Controlador expondo os fundamentos e as Partes atuarão de boa-fé por 15 dias. Durante esse período a Operadora poderá suspender o tratamento afetado apenas na medida necessária para evitar violação iminente. A Operadora somente poderá rescindir se a questão permanecer não resolvida ao fim de tal prazo, ou quando a cessação imediata for exigida por lei ou por Autoridade Supervisora.

11.6 a 11.9. O Apêndice 1 e o Anexo II integram este Acordo. Este Acordo prevalece sobre os Termos de Uso em matéria de proteção de dados; o Pedido prevalece naquilo que expressamente tratar. A lei aplicável e o foro seguem o Pedido ou, na ausência de especificação, a Irlanda. É admitida a assinatura eletrônica.

11.10. Este Acordo não pode ser rescindido separadamente dos Termos de Uso. O término ou o vencimento dos Termos de Uso implica o término deste Acordo, que permanece vigente até a conclusão da exclusão dos Dados do Cliente nos termos do §4.4.

Apêndice 1 — Apêndice de Transferência Internacional

A1.1 a A1.5. Escopo; decisões de adequação; cláusulas contratuais padrão para transferências a países terceiros, inclusive os Estados Unidos, o EU-U.S. Data Privacy Framework quando aplicável, ou as salvaguardas mais equivalentes oferecidas pelo suboperador, acompanhadas das medidas suplementares identificadas em avaliação de impacto de transferência; transparência quanto a suboperadores; e confirmação do mecanismo aplicável mediante solicitação.

A1.6. Transferências intragrupo sob as Cláusulas Contratuais Padrão da UE, Módulo Três, entre a Harmony Labs como exportadora e a Harmony Global como importadora, regidas pela lei irlandesa, com foro na Irlanda e a Data Protection Commission irlandesa como autoridade competente. O Controlador é beneficiário terceiro e pode solicitar cópia.

A1.7. Transferências intragrupo a partir do Brasil sob as Cláusulas Contratuais Padrão da ANPD, entre a Harmony Brasil como exportadora e a Harmony Global como importadora.

A1.8. Representante na União.

A1.9. Reino Unido: aplica-se o International Data Transfer Addendum do ICO às transferências sujeitas ao UK GDPR.

A1.10. Suíça: aplicam-se as Cláusulas Contratuais Padrão da UE com as alterações indicadas, sendo o FDPIC a autoridade competente.

Anexo II — Medidas Técnicas e Organizacionais

AII.1 a AII.3. A Operadora implementa as medidas exigidas pelo art. 32 do GDPR. A descrição vigente, abrangendo pseudonimização e criptografia, confidencialidade, integridade, disponibilidade e resiliência, restauração após incidente, testes e avaliações periódicas, controles de acesso, registro e monitoramento, e treinamento e confidencialidade de pessoal, é mantida em security.heyharmony.com e integra este Anexo. A Operadora não reduzirá substancialmente tais medidas durante a vigência.

AII.4. Quando o Pedido expressamente permitir Categorias Especiais de Dados Pessoais nos termos do §3.4, a Operadora aplicará: restrição de acesso a pessoal nominalmente designado, com base em necessidade documentada; registro de todo acesso e exportação; e criptografia em repouso com chaves distintas daquelas utilizadas para os demais Dados do Cliente.

Anexo E — Brasil (LGPD)

E.1. Este Anexo aplica-se quando a LGPD reger o tratamento, inclusive quando a Entidade Contratante Harmony for a Harmony Brasil. Ele complementa e não substitui o corpo deste Acordo.

E.2. Papéis. A Harmony atua como operadora e o Controlador como controlador, nos termos do art. 5º da LGPD.

E.3. As transferências internacionais realizam-se com base no art. 33 da LGPD, mediante as Cláusulas Contratuais Padrão da ANPD conforme A1.7 ou outro mecanismo permitido. A Operadora informará ao Controlador, mediante solicitação, qual mecanismo se aplica.

E.4. Direitos dos titulares. A Operadora auxilia no atendimento de solicitações fundadas no art. 18 da LGPD, inclusive confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD, portabilidade, informação sobre as entidades com as quais os dados foram compartilhados, informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revisão de decisões tomadas unicamente com base em tratamento automatizado.

E.5. Prazos de resposta. A Operadora prestará a assistência referida em E.4 em prazo que permita ao Controlador cumprir os prazos da LGPD. Salvo disposição diversa no Pedido, a Operadora responderá a pedido de assistência do Controlador em até cinco (5) dias úteis do recebimento e, em qualquer caso, em prazo que permita ao Controlador prestar a confirmação de tratamento e o acesso referidos no art. 19 da LGPD em até quinze (15) dias da solicitação do titular.

E.6. Incidentes de segurança. Aplica-se o prazo de notificação do §6.1 deste Acordo, inferior ao contemplado pelo art. 48 da LGPD, de modo que o Controlador possa cumprir suas obrigações perante a ANPD e os titulares nos termos do art. 48 e da Resolução CD/ANPD nº 15/2024.

E.7. Os registros mantidos nos termos do §5.11 atendem ao art. 37 da LGPD e são disponibilizados para qualquer relatório à ANPD.

E.8. Quando o Controlador contratar com a Harmony Brasil, aplica-se o Aditivo Local — Brasil e o §11.8 é lido em conformidade.

E.9. Encarregado. A Operadora designou encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da LGPD. A identidade do encarregado e o canal de contato são publicados em security.heyharmony.com e na página de privacidade da Operadora. Comunicações de titulares e da ANPD relativas a dados pessoais tratados sob este Acordo podem ser dirigidas a esse canal. A designação de encarregado pela Operadora não dispensa o Controlador de eventual obrigação de designar o seu próprio encarregado.

E.10. Cooperação com a ANPD. A Operadora cooperará com a ANPD no exercício de suas competências. A Operadora informará o Controlador, sem atraso indevido, sobre qualquer solicitação, ordem ou comunicação recebida da ANPD relativa a dados pessoais tratados em nome do Controlador, salvo se proibida de fazê-lo por lei aplicável, e prestará ao Controlador assistência razoável para respondê-la.

Assinaturas

A Operadora (a Entidade Contratante Harmony identificada no Pedido)

Entidade (conforme identificada no Pedido):

☐ Harmony Global Inc. ☐ Harmony Labs Limited ☐ Harmony Brasil Ltda.

Assinatura: ______________________________

Nome: ____________________________

Cargo: ____________________________

Data: ____________________________

O Controlador (Cliente)

Assinatura: ______________________________

Nome: ____________________________

Cargo: ____________________________

Data: ____________________________