título

Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Serviço entre o RouterShift ("Operador" ou "nós") e o cliente ("Controlador" ou "você"). Este DPA rege o tratamento dos Dados Pessoais que você nos fornece ao utilizar o gateway de API do RouterShift e os serviços relacionados (os "Serviços"). Este DPA se aplica quando e na medida em que o RouterShift trata Dados Pessoais em seu nome como Operador, e quando se aplicam o GDPR, o UK GDPR, a CCPA ou outras leis de proteção de dados pertinentes.

"Dados Pessoais" significa qualquer informação relativa a uma pessoa natural identificada ou identificável, tratada pelo RouterShift em seu nome no âmbito dos Serviços. "Tratamento" significa qualquer operação realizada com Dados Pessoais, por meios automatizados ou não. "Suboperador" significa qualquer terceiro contratado pelo RouterShift para tratar Dados Pessoais em seu nome. "Leis de Proteção de Dados" significa todas as leis de privacidade e proteção de dados aplicáveis, incluindo o GDPR, o UK GDPR, a CCPA e seus regulamentos de execução. Os termos iniciados por maiúscula e não definidos neste DPA têm o significado atribuído nos Termos de Serviço.

O RouterShift trata Dados Pessoais exclusivamente para fornecer, manter e melhorar os serviços de gateway de API. As atividades de tratamento incluem: (a) encaminhar requisições de API a provedores externos de modelos de IA conforme suas instruções; (b) registrar requisições de API para depuração, faturamento e prevenção de abusos; (c) gerar análises de uso e registros de faturamento; (d) autenticar chaves de API e gerenciar contas de usuários. As categorias de Dados Pessoais tratados dependem de como você utiliza os Serviços e podem incluir: conteúdo das requisições de API, que pode conter dados pessoais nos prompts; identificadores de chaves de API; endereços de e-mail, para gerenciamento de contas; endereços IP, para limitação de requisições e segurança; e informações de pagamento, tratadas pelo nosso processador de pagamentos e não armazenadas por nós.

Como Controlador, você é responsável por: (a) determinar as finalidades e os meios de tratamento dos Dados Pessoais por meio dos Serviços; (b) garantir uma base legal para tratar quaisquer Dados Pessoais enviados aos Serviços, incluindo a obtenção dos consentimentos necessários; (c) informar adequadamente os titulares dos dados sobre o uso do RouterShift como operador; (d) não enviar categorias especiais de dados pessoais, conforme definidas no artigo 9 do GDPR, nem dados relativos a condenações penais, salvo acordo expresso por escrito; (e) cumprir suas próprias obrigações previstas nas Leis de Proteção de Dados aplicáveis, incluindo solicitações relacionadas aos direitos dos titulares.

O RouterShift deverá: (a) tratar Dados Pessoais apenas conforme suas instruções documentadas, incluindo as deste DPA e dos Termos de Serviço; (b) garantir que as pessoas autorizadas a tratar Dados Pessoais estejam sujeitas a obrigações de confidencialidade; (c) implementar e manter medidas técnicas e organizacionais adequadas, conforme descrito na seção 6 da nossa Política de Privacidade, sobre medidas de segurança; (d) ajudá-lo, quando possível, a responder a solicitações de direitos dos titulares e encaminhar prontamente a você quaisquer solicitações desse tipo que recebermos diretamente; (e) ajudá-lo a cumprir as obrigações de notificação de violações de dados, avaliações de impacto sobre a proteção de dados e consultas prévias às autoridades de controle, considerando a natureza do tratamento e as informações de que dispomos; (f) excluir ou devolver a você todos os Dados Pessoais ao término dos Serviços, salvo quando a retenção for exigida pela legislação aplicável; (g) disponibilizar a você todas as informações necessárias para demonstrar o cumprimento deste DPA e permitir e contribuir para auditorias, incluindo inspeções, realizadas por você ou por auditor independente por você designado, sujeitas a aviso prévio razoável, limitações de escopo e confidencialidade.

Você autoriza o RouterShift a contratar as seguintes categorias de suboperadores: (a) provedores de infraestrutura em nuvem, para hospedagem e computação; (b) provedores externos de modelos de IA, aos quais as requisições de API são encaminhadas como parte dos Serviços; (c) processadores de pagamentos, para faturamento e pagamentos; (d) provedores de serviços de e-mail, para mensagens transacionais; (e) provedores de monitoramento e análise. A lista atualizada de suboperadores está disponível em routershift.com/subprocessors. O RouterShift informará sobre alterações pretendidas nos suboperadores por meio da atualização dessa lista. Você poderá se opor a um novo suboperador em até 14 dias após a notificação, encerrando os Serviços. O RouterShift firma acordos escritos com todos os suboperadores, contendo obrigações de proteção de dados não menos protetoras que as deste DPA. O RouterShift permanece responsável pelos atos e omissões de seus suboperadores.

Os Dados Pessoais podem ser transferidos e tratados em países fora do Espaço Econômico Europeu (EEE), do Reino Unido ou do seu país de residência. Essas transferências, quando ocorrerem, serão regidas por: (a) Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia, conforme a Decisão de Execução da Comissão 2021/914/UE para transferências a países terceiros; (b) o Adendo do Reino Unido para Transferência Internacional de Dados às SCCs da UE, quando se aplicar o UK GDPR; e/ou (c) outros mecanismos válidos de transferência reconhecidos pelas Leis de Proteção de Dados aplicáveis. As SCCs são incorporadas por referência a este DPA. Para fins das SCCs: aplica-se o Módulo Dois, de Controlador para Operador; inclui-se a cláusula opcional de adesão; a legislação aplicável é a da Irlanda; e os litígios serão resolvidos pelos tribunais da Irlanda.

O RouterShift mantém os Dados Pessoais da seguinte forma: (a) registros de requisições de API, incluindo prompts e respostas, por 90 dias, após os quais são agregados ou excluídos; (b) registros de faturamento e pagamento pelo prazo exigido pelas normas fiscais e contábeis aplicáveis, geralmente 7 anos; (c) informações da conta durante sua existência e por mais 30 dias após sua exclusão, sendo então anonimizadas ou excluídas. Após o encerramento, o RouterShift excluirá todos os Dados Pessoais em até 30 dias, salvo quando a retenção for exigida por lei. Você pode solicitar a exclusão antecipada de Dados Pessoais específicos pelo endereço privacy@routershift.com. A exclusão não se aplica a dados agregados, anonimizados ou necessários para o reconhecimento, exercício ou defesa de direitos em processos judiciais.

O RouterShift mantém um plano de resposta a incidentes de segurança. Em caso de violação de Dados Pessoais, o RouterShift deverá: (a) notificá-lo sem demora injustificada e, em qualquer caso, em até 72 horas após tomar conhecimento da violação; (b) fornecer uma descrição da natureza da violação, das categorias e do número aproximado de titulares e registros afetados, das consequências prováveis e das medidas tomadas ou propostas para tratar a violação; (c) cooperar com você na investigação e mitigação da violação; (d) ajudá-lo a notificar as autoridades de controle e os titulares dos dados quando necessário. A notificação será enviada ao endereço de e-mail associado à sua conta. Você é responsável por manter essas informações de contato atualizadas.

Este DPA entra em vigor na data em que você aceita os Termos de Serviço e permanece vigente até o encerramento da sua conta ou a rescisão do DPA conforme seus termos. Qualquer parte poderá rescindir este DPA com efeito imediato se a outra cometer uma violação material não sanada em até 30 dias após notificação por escrito. Após a rescisão, o RouterShift deverá, à sua escolha, excluir ou devolver a você todos os Dados Pessoais e excluir todas as cópias existentes, salvo quando a retenção for exigida pela legislação aplicável. As obrigações deste DPA que, por sua natureza, devam subsistir à rescisão continuarão em vigor, incluindo as disposições sobre confidencialidade, segurança de dados e limitação de responsabilidade.