Acordo de Processamento de Dados

Este Acordo de Processamento de Dados (o "DPA") integra os Termos de Serviço (os "Termos") entre a Melaya Labs LLC ("Melaya") e o cliente empresarial que aceita os Termos ("Cliente"). Ele estabelece as condições aplicáveis quando a Melaya trata dados pessoais em nome do Cliente na prestação da plataforma Melaya, incluindo o Agentic Framework, o Assistant, os conectores, o Device Control, o Browser Control, o Computer Control e demais serviços relacionados (os "Serviços"). Este DPA é incorporado aos Termos por referência e vincula o Cliente e a Melaya sem necessidade de assinatura. O Cliente pode solicitar uma cópia contra-assinada pela Melaya, escrevendo para info@melaya.org.

1. Definições e Interpretação

Neste DPA, os termos a seguir têm os significados indicados abaixo. Os demais termos em maiúscula inicial têm os significados atribuídos nos Termos.

• "Leis de Proteção de Dados" significa todas as leis sobre a proteção de dados pessoais aplicáveis ao tratamento dos Dados Pessoais do Cliente nos termos dos Termos, incluindo o Regulamento (UE) 2016/679 (o "GDPR"), o GDPR na medida em que integra o direito do Reino Unido (o "UK GDPR") e o UK Data Protection Act 2018, e a Lei Federal Suíça de Proteção de Dados de 25 de setembro de 2020 (a "FADP"), cada qual conforme alterada ou substituída.
• "Dados Pessoais do Cliente" significa os dados pessoais que a Melaya trata em nome do Cliente na prestação dos Serviços, conforme descrito no Anexo I, incluindo os dados pessoais contidos no Conteúdo do Usuário e os dados pessoais que os agentes, pipelines e conversas do Assistant do Cliente leem de Serviços Conectados ou a eles enviam.
• "Usuário Autorizado" significa a pessoa a quem o Cliente permite usar os Serviços em sua conta ou em seus projetos.
• "Serviço Conectado" significa um aplicativo, conta, serviço, dispositivo ou provedor de modelo de terceiros que o Cliente ou seus Usuários Autorizados conectam ou selecionam para uso com os Serviços, tais como Odoo, HubSpot, Google Workspace, Microsoft Teams, Slack, uma conta de exchange ou um provedor de modelo de linguagem.
• "Subprocessador" significa um terceiro contratado pela Melaya para tratar os Dados Pessoais do Cliente em nome da Melaya. Um Serviço Conectado não é um Subprocessador, exceto conforme disposto na Seção 3.5.
• "Violação de Dados Pessoais" significa uma violação de segurança que resulte na destruição, perda, alteração acidental ou ilícita, ou na divulgação ou acesso não autorizados, dos Dados Pessoais do Cliente transmitidos, armazenados ou de outra forma tratados pela Melaya ou por seus Subprocessadores. Não inclui tentativas malsucedidas ou atividades que não comprometam a segurança dos Dados Pessoais do Cliente, tais como pings, varreduras de portas (port scans) ou tentativas de login malsucedidas.
• "SCCs" significa as cláusulas contratuais-padrão para a transferência de dados pessoais para países terceiros, estabelecidas no Anexo à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021.
• "UK Addendum" significa o International Data Transfer Addendum às cláusulas contratuais-padrão da Comissão Europeia, emitido pelo UK Information Commissioner nos termos da seção 119A do Data Protection Act 2018, versão B1.0, em vigor a partir de 21 de março de 2022.
• "Controlador", "operador", "titular dos dados", "dados pessoais", "tratamento" e "autoridade de controle" têm os significados atribuídos no GDPR e incluem os termos equivalentes previstos em outras Leis de Proteção de Dados.

2. Escopo e Funções das Partes

2.1 Este DPA aplica-se quando o Cliente usa os Serviços para fins empresariais ou profissionais e a Melaya trata os Dados Pessoais do Cliente em nome do Cliente. Não se aplica a um indivíduo que use os Serviços para fins exclusivamente pessoais ou domésticos; nesse caso, a Política de Privacidade rege tal uso.

2.2 Em relação aos Dados Pessoais do Cliente, o Cliente é o controlador, ou um operador atuando em nome de seu próprio controlador, e a Melaya é o operador, ou um subprocessador quando o Cliente atuar como operador. Quando o Cliente atuar como operador, o Cliente declara e garante que seu controlador autorizou as instruções do Cliente e a contratação da Melaya, e o Cliente permanece como o único ponto de contato da Melaya.

2.3 A Melaya atua como controladora independente, e não nos termos deste DPA, em relação aos dados pessoais que trata para seus próprios fins: criação e administração de contas, autenticação de Usuários Autorizados, faturamento e pagamentos, prevenção de fraude e abuso, segurança e integridade dos Serviços, suporte e comunicações de serviço, análises agregadas de uso, conformidade legal, e constituição ou defesa de reivindicações judiciais. A Política de Privacidade descreve esse tratamento.

2.4 Este DPA aplica-se enquanto a Melaya tratar os Dados Pessoais do Cliente, inclusive após o término dos Termos, até que a Melaya tenha excluído os Dados Pessoais do Cliente nos termos da Seção 11.

3. Tratamento Conforme as Instruções do Cliente

3.1 A Melaya tratará os Dados Pessoais do Cliente somente de acordo com as instruções documentadas do Cliente, inclusive no que se refere a transferências para um país terceiro, salvo se a lei à qual a Melaya estiver sujeita exigir de outra forma. Nesse caso, a Melaya informará o Cliente sobre tal exigência legal antes do tratamento, salvo se essa lei proibir tal informação por motivos importantes de interesse público.

3.2 As instruções documentadas do Cliente consistem nos Termos e neste DPA; na configuração e no uso dos Serviços pelo Cliente e por seus Usuários Autorizados, incluindo pipelines, agentes, prompts, conversas do Assistant, agendamentos, gatilhos, documentos enviados, índices de recuperação, conectores, o modelo e o provedor selecionados, e o modo de aprovação ou autonomia selecionado; e em quaisquer instruções adicionais por escrito acordadas pelas partes. O Cliente é responsável pelas instruções dadas por seus Usuários Autorizados e pelas automações que configurar.

3.3 A Melaya informará o Cliente sem demora indevida caso, em sua opinião, uma instrução infrinja as Leis de Proteção de Dados, podendo suspender o tratamento correspondente até que o Cliente confirme ou altere a instrução. A Melaya não está obrigada a realizar uma análise jurídica das instruções do Cliente.

3.4 Quando o Cliente conecta um Serviço Conectado, por exemplo um banco de dados Odoo por meio do módulo Melaya para Odoo, uma conta HubSpot, uma conta Google, o Microsoft Teams ou um workspace do Slack, a Melaya trata os dados que os agentes, pipelines e conversas do Assistant do Cliente leem ou gravam nesse serviço somente para executar as tarefas determinadas pelo Cliente, e somente dentro do acesso que o Cliente conceder a essa conexão, tais como os escopos OAuth aprovados pelo Cliente ou, no caso do Odoo, os direitos de acesso do usuário Melaya Agent. O Cliente decide quais serviços, contas, escopos e registros são conectados, podendo desconectá-los a qualquer momento.

3.5 Os dados que o Cliente instrui os Serviços a enviar a um Serviço Conectado, incluindo os prompts e o contexto enviados a um provedor de modelo selecionado pelo Cliente, são divulgados por instrução do Cliente, e o Serviço Conectado os trata segundo seus próprios termos com o Cliente. A Melaya não é responsável pelo tratamento que um Serviço Conectado realizar nos termos desses acordos. Quando um provedor tratar os Dados Pessoais do Cliente nos termos de um contrato com a Melaya, em vez de com o Cliente, a Melaya trata esse provedor como um Subprocessador nos termos da Seção 6.

3.6 A Melaya não venderá os Dados Pessoais do Cliente nem os usará para fins publicitários. Exceto conforme disposto nesta Seção 3.6, a Melaya não usará os Dados Pessoais do Cliente para treinar ou aprimorar modelos de inteligência artificial. A Melaya pode usar dados de interação do Computer Control e de aplicativos desktop, conforme descrito na Política de Privacidade, para treinar, avaliar e aprimorar seus próprios modelos e funcionalidades, salvo se o Cliente se opuser por escrito para info@melaya.org. Após a oposição, a Melaya cessa esse uso dos dados do Cliente dali em diante.

3.7 O Cliente é responsável por possuir base legal para o tratamento que instruir, por fornecer os avisos e obter os consentimentos exigidos pelas Leis de Proteção de Dados, por deter autoridade sobre os Serviços Conectados, dispositivos, computadores e contas que conectar, e pela exatidão dos Dados Pessoais do Cliente. O Cliente não instruirá tratamento que as Leis de Proteção de Dados proíbam.

4. Confidencialidade

A Melaya assegurará que as pessoas por ela autorizadas a tratar os Dados Pessoais do Cliente tenham assumido compromisso de confidencialidade ou estejam sujeitas a obrigação legal de confidencialidade apropriada, e que seu acesso seja limitado ao necessário para fornecer, apoiar e proteger os Serviços. A Melaya não divulgará os Dados Pessoais do Cliente a terceiros, exceto conforme permitido por este DPA, por instrução do Cliente, ou conforme exigido por lei. Caso uma autoridade pública solicite acesso aos Dados Pessoais do Cliente, a Melaya, quando legalmente permitido, notificará o Cliente e encaminhará a autoridade ao Cliente, divulgando apenas os dados mínimos exigidos legalmente pela solicitação.

5. Segurança

5.1 A Melaya implementará e manterá medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais do Cliente contra uma Violação de Dados Pessoais, conforme exigido pelo artigo 32 do GDPR. Essas medidas estão descritas no Anexo II e na Visão Geral de Segurança em melaya.org/legal/security.

5.2 O Cliente revisou o Anexo II e a Visão Geral de Segurança, incluindo os controles ali descritos como em andamento ou ainda não implementados, e concorda que, considerando o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, tais medidas proporcionam um nível de segurança adequado ao risco para os Dados Pessoais do Cliente que o Cliente optar por tratar com os Serviços.

5.3 A Melaya pode atualizar suas medidas ao longo do tempo, desde que a atualização não reduza materialmente a segurança geral dos Serviços.

5.4 A segurança é compartilhada. O Cliente é responsável pela segurança de suas próprias contas, credenciais, dispositivos, computadores e Serviços Conectados, pela configuração adequada dos Serviços, incluindo permissões, escopos conectados, listas de permissão de aplicativos e modos de aprovação, e pelo conteúdo que optar por enviar.

6. Subprocessadores

6.1 O Cliente concede à Melaya autorização geral por escrito para contratar Subprocessadores. Os Subprocessadores utilizados pela Melaya em determinado momento estão listados em melaya.org/legal/subprocessors, que constitui o Anexo III.

6.2 Antes que um Subprocessador trate os Dados Pessoais do Cliente, a Melaya celebrará com ele um contrato por escrito que imponha obrigações de proteção de dados não menos protetivas do que as previstas neste DPA, na medida aplicável ao serviço prestado pelo Subprocessador. A Melaya permanece responsável perante o Cliente pelo cumprimento das obrigações de cada Subprocessador.

6.3 A Melaya dará um aviso prévio de pelo menos quinze (15) dias antes que um novo Subprocessador comece a tratar os Dados Pessoais do Cliente, atualizando a página de Subprocessadores e notificando o Cliente por e-mail ou por meio dos Serviços. Quando a Melaya precisar substituir um Subprocessador com urgência para cumprir a lei ou para tratar de um risco de segurança ou de continuidade do serviço, poderá dar um aviso mais curto, fornecendo a notificação assim que razoavelmente possível.

6.4 O Cliente pode se opor a um novo Subprocessador por motivos razoáveis de proteção de dados, escrevendo para info@melaya.org dentro do prazo de aviso. As partes discutirão a objeção de boa-fé. Caso não consigam resolvê-la em prazo razoável, o Cliente poderá rescindir os Serviços afetados pelo novo Subprocessador mediante aviso por escrito, e a Melaya reembolsará quaisquer taxas pré-pagas referentes ao período posterior à rescisão. A rescisão e esse reembolso constituem o remédio exclusivo do Cliente para uma objeção não resolvida.

7. Transferências Internacionais

A Melaya Labs LLC está estabelecida nos Estados Unidos, e a infraestrutura de produção primária da Melaya, incluindo o banco de dados e o cache primários, está hospedada em Singapura. Os Dados Pessoais do Cliente também podem ser tratados nos locais dos Subprocessadores listados na página de Subprocessadores. A Melaya transferirá os Dados Pessoais do Cliente entre países somente de acordo com esta Seção 7 e com as Leis de Proteção de Dados.

Na medida em que a transferência dos Dados Pessoais do Cliente para a Melaya constitua uma transferência para um país terceiro sujeita ao GDPR e não abrangida por uma decisão de adequação ou por outro mecanismo de transferência válido, as SCCs são incorporadas a este DPA e aplicam-se da seguinte forma:

• O Módulo 2 (controlador-para-operador) aplica-se quando o Cliente for controlador, e o Módulo 3 (operador-para-operador) aplica-se quando o Cliente for operador. O Cliente é o exportador de dados, e a Melaya é o importador de dados.
• A Cláusula 7 (cláusula de adesão) aplica-se.
• Nos termos da Cláusula 9(a), aplica-se a Opção 2 (autorização geral por escrito), com o prazo de aviso estabelecido na Seção 6.3.
• A redação opcional da Cláusula 11(a) não se aplica.
• Nos termos da Cláusula 13, a autoridade de controle competente é determinada de acordo com a Cláusula 13(a).
• Nos termos da Cláusula 17, aplica-se a Opção 1, e as SCCs são regidas pela lei da Irlanda. Nos termos da Cláusula 18(b), os litígios são resolvidos pelos tribunais da Irlanda.
• Os Anexos I, II e III das SCCs são preenchidos com as informações constantes dos Anexos I, II e III deste DPA.
• As auditorias previstas na Cláusula 8.9 são realizadas de acordo com a Seção 10, e a certificação de exclusão mencionada na Cláusula 8.5 é fornecida mediante solicitação por escrito do Cliente.

7.3 Na medida em que a transferência esteja sujeita ao UK GDPR, as SCCs aplicam-se conforme alteradas pelo UK Addendum, que é incorporado a este DPA. A Tabela 1 do UK Addendum é preenchida com os dados das partes constantes do Anexo I, a Tabela 2 com os módulos e opções selecionados na Seção 7.2, e a Tabela 3 com os Anexos I a III deste DPA. Quanto à Tabela 4, nenhuma das partes poderá encerrar o UK Addendum nos termos de sua Seção 19.

7.4 Na medida em que a transferência esteja sujeita à FADP, as SCCs aplicam-se com as seguintes alterações: as referências ao GDPR são lidas como referências à FADP; o Swiss Federal Data Protection and Information Commissioner é a autoridade de controle competente para as transferências regidas pela FADP; o termo "Estado-Membro" não impede que titulares de dados na Suíça apresentem reivindicações em seu local de residência habitual, de acordo com a Cláusula 18(c); e, quando a transferência estiver sujeita tanto à FADP quanto ao GDPR, aplicam-se a lei aplicável e o foro selecionados na Seção 7.2.

7.5 Quando a Melaya transferir os Dados Pessoais do Cliente para um Subprocessador em um país terceiro, a Melaya assegurará que a transferência esteja abrangida por um mecanismo de transferência válido, como as SCCs, e pelas medidas suplementares descritas no Anexo II, quando exigido.

7.6 Caso um mecanismo de transferência utilizado nesta Seção 7 seja invalidado ou substituído, as partes cooperarão de boa-fé para implementar uma alternativa válida.

8. Assistência ao Cliente

8.1 Considerando a natureza do tratamento, a Melaya auxiliará o Cliente, por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, a responder a solicitações de titulares de dados para o exercício de seus direitos. Os Serviços permitem que os Usuários Autorizados exportem, corrijam e excluam os dados de sua própria conta, bem como excluam conversas, documentos, índices de recuperação e conexões. Caso a Melaya receba uma solicitação de um titular de dados relacionada aos Dados Pessoais do Cliente, encaminhará a solicitação ao Cliente sem demora indevida, quando puder identificar o Cliente, e não responderá à solicitação ela própria, exceto para direcionar o titular dos dados ao Cliente ou conforme instruído pelo Cliente.

8.2 Considerando a natureza do tratamento e as informações disponíveis à Melaya, a Melaya prestará assistência razoável ao Cliente em relatórios de impacto à proteção de dados e em consultas prévias às autoridades de controle exigidas do Cliente pelas Leis de Proteção de Dados em relação aos Serviços, principalmente disponibilizando este DPA, a Visão Geral de Segurança e as informações descritas na Seção 10.

8.3 Quando as Leis de Proteção de Dados permitirem, a Melaya poderá cobrar uma taxa razoável pela assistência prestada nos termos desta Seção 8 que exceda os recursos de autoatendimento dos Serviços e a documentação disponibilizada pela Melaya ao público em geral.

9. Violação de Dados Pessoais

9.1 A Melaya notificará o Cliente sobre uma Violação de Dados Pessoais sem demora indevida e, em qualquer caso, no prazo de setenta e duas (72) horas após tomar conhecimento dela. A Melaya enviará a notificação para o endereço de e-mail associado à conta do Cliente e para qualquer contato de segurança que o Cliente tenha fornecido à Melaya por escrito.

9.2 A notificação descreverá, na medida do então conhecido, a natureza da Violação de Dados Pessoais, incluindo as categorias e o número aproximado de titulares de dados e de registros afetados; suas prováveis consequências; as medidas adotadas ou propostas para tratá-la e para mitigar seus possíveis efeitos adversos; e um ponto de contato para mais informações. Quando essas informações não estiverem disponíveis simultaneamente, a Melaya as fornecerá em etapas, sem demora indevida adicional.

9.3 A Melaya tomará medidas razoáveis para conter, investigar e remediar a Violação de Dados Pessoais, e prestará ao Cliente a assistência razoável de que este necessitar para cumprir suas próprias obrigações de notificar autoridades de controle e titulares de dados. A Melaya não notificará os titulares de dados ou as autoridades de controle do Cliente sobre uma Violação de Dados Pessoais em nome do Cliente, salvo se o Cliente assim instruir ou se a lei assim exigir.

9.4 A notificação ou resposta da Melaya a uma Violação de Dados Pessoais não constitui reconhecimento de culpa ou responsabilidade.

10. Auditorias e Demonstração de Conformidade

10.1 A Melaya disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar conformidade com o artigo 28 do GDPR e com este DPA: este DPA e a Visão Geral de Segurança; mediante solicitação por escrito para info@melaya.org, a matriz de controles vigente da Melaya e a lista de correções em andamento; e as respostas por escrito da Melaya a um questionário razoável de segurança e privacidade, no máximo uma vez a cada período de doze (12) meses. A Melaya atualmente não possui relatório SOC 2, certificado ISO/IEC 27001, ou qualquer atestado equivalente de terceiros, e informará o Cliente caso isso mude. As informações não públicas são fornecidas sujeitas a obrigações de confidencialidade.

10.2 Caso tais informações não sejam suficientes para demonstrar conformidade, quando uma autoridade de controle assim exigir, ou após uma Violação de Dados Pessoais, o Cliente poderá auditar a conformidade da Melaya com este DPA, diretamente ou por meio de um auditor independente que esteja sujeito a obrigações de confidencialidade e que não seja concorrente da Melaya. O Cliente deverá dar um aviso prévio por escrito de pelo menos trinta (30) dias, com um escopo proposto, e as partes acordarão previamente o escopo, o momento e a duração. As auditorias ocorrerão no máximo uma vez a cada período de doze (12) meses, exceto quando uma autoridade de controle exigir de outra forma ou após uma Violação de Dados Pessoais, durante o horário comercial normal, e de modo a não perturbar indevidamente as operações da Melaya.

10.3 A Melaya oferecerá, em primeiro lugar, a realização da auditoria remotamente, por meio de revisão de documentos e entrevistas. Uma auditoria presencial ocorrerá somente quando uma auditoria remota não puder razoavelmente atingir sua finalidade. Uma auditoria não se estende aos dados de outros clientes da Melaya, a informações protegidas por privilégio legal, ou às instalações dos Subprocessadores, em relação às quais a Melaya disponibilizará as informações pertinentes que receber desses Subprocessadores.

10.4 O Cliente arcará com seus próprios custos de auditoria e reembolsará os custos razoáveis da Melaya para apoiar uma auditoria presencial, exceto quando a auditoria revelar uma violação material deste DPA pela Melaya. O Cliente fornecerá à Melaya uma cópia do relatório de auditoria, que constitui informação confidencial da Melaya.

11. Devolução e Exclusão dos Dados Pessoais do Cliente

11.1 Durante a vigência dos Termos, o Cliente pode exportar e excluir os Dados Pessoais do Cliente por meio dos Serviços, incluindo os recursos de exportação de dados e exclusão de conta nas configurações da conta, e a exclusão de conversas, documentos, índices de recuperação e conexões.

11.2 Quando a conta do Cliente for encerrada ou os Termos terminarem, a Melaya excluirá os Dados Pessoais do Cliente de seus sistemas ativos sem demora indevida e, em qualquer caso, no prazo de trinta (30) dias, salvo se a lei à qual a Melaya estiver sujeita exigir a retenção dos dados. O Cliente deve exportar quaisquer Dados Pessoais do Cliente que deseje manter antes de encerrar sua conta. Mediante solicitação por escrito do Cliente, feita antes do encerramento, a Melaya prestará assistência razoável na devolução dos Dados Pessoais do Cliente em formato comumente utilizado e legível por máquina.

11.3 As cópias dos Dados Pessoais do Cliente nos backups criptografados da Melaya são excluídas à medida que os backups expiram, conforme o cronograma de retenção de backups descrito na Visão Geral de Segurança. Até lá, permanecem protegidas nos termos deste DPA e não são utilizadas para qualquer outra finalidade.

11.4 Durante a vigência, os logs de execução, traces e telemetria são excluídos de acordo com os períodos de retenção dependentes do plano descritos na Política de Privacidade. A Melaya não pode recuperar dados que o Cliente tenha instruído os Serviços a enviar a um Serviço Conectado. Mediante solicitação por escrito do Cliente, a Melaya confirmará a exclusão por escrito.

12. Responsabilidade

A responsabilidade de cada parte decorrente ou relacionada a este DPA, inclusive nos termos das SCCs e do UK Addendum, na medida em que estes o permitam, está sujeita às exclusões e limitações de responsabilidade previstas nos Termos, e qualquer referência nos Termos à responsabilidade nos termos dos Termos inclui a responsabilidade nos termos deste DPA. Nada neste DPA limita os direitos dos titulares de dados nos termos das SCCs ou qualquer responsabilidade que não possa ser limitada nos termos das Leis de Proteção de Dados.

13. Ordem de Precedência

Caso os documentos que compõem o acordo entre o Cliente e a Melaya sejam conflitantes, aplica-se a seguinte ordem, na medida do conflito: primeiro, as SCCs, o UK Addendum e as disposições suíças da Seção 7, quando aplicáveis; segundo, este DPA; terceiro, os Termos. Um contrato de tratamento de dados ou um contrato empresarial assinado por ambas as partes que substitua expressamente este DPA prevalecerá sobre ele.

14. Alterações a Este DPA

A Melaya pode atualizar este DPA para refletir alterações nas Leis de Proteção de Dados, orientações de autoridades de controle, novos mecanismos de transferência ou mecanismos substituídos, ou alterações nos Serviços. A Melaya notificará alterações materiais da mesma forma que para alterações materiais nos Termos. Uma atualização não reduzirá materialmente a proteção dos Dados Pessoais do Cliente nos termos deste DPA, exceto quando a lei assim exigir. A data de "Última atualização" no topo desta página indica a versão vigente. Uma cópia assinada deste DPA somente pode ser alterada mediante acordo por escrito de ambas as partes.

15. Lei Aplicável e Jurisdição

Este DPA é regido pela lei que rege os Termos, atualmente as leis do Estado de Delaware, Estados Unidos, e as disputas decorrentes ou relacionadas a ele são resolvidas conforme estabelecido nos Termos, exceto quando as SCCs, o UK Addendum ou as Leis de Proteção de Dados exigirem outra lei aplicável ou foro.

16. Data de Vigência, Assinatura e Cópias Contra-Assinadas

Este DPA entra em vigor na data mais recente entre a data em que o Cliente aceitar os Termos e a data em que este DPA foi publicado pela primeira vez. Não é necessária assinatura: a aceitação dos Termos pelo Cliente constitui aceitação deste DPA e das SCCs e do UK Addendum nele incorporados. O Cliente pode solicitar uma cópia deste DPA contra-assinada pela Melaya, escrevendo para info@melaya.org com o nome da entidade legal do Cliente, endereço e dados de contato.

Anexo I. Detalhes do Tratamento

• Exportador de dados: o Cliente, conforme identificado em sua conta Melaya ou formulário de pedido. Contato: o endereço de e-mail associado à conta do Cliente. Atividades: uso dos Serviços. Função: controlador, ou operador em nome de seu próprio controlador. Assinatura e data: aceitação dos Termos.
• Importador de dados: Melaya Labs LLC, Estados Unidos. Contato: Equipe de Privacidade, info@melaya.org. Atividades: prestação dos Serviços. Função: operador, ou subprocessador. Assinatura e data: publicação deste DPA, e contra-assinatura mediante solicitação.
• Categorias de titulares de dados: os Usuários Autorizados do Cliente, incluindo funcionários e contratados; os clientes, potenciais clientes, contatos, fornecedores e demais indivíduos do Cliente cujos dados pessoais estejam contidos no Conteúdo do Usuário ou nos registros, mensagens, arquivos e páginas que os agentes do Cliente leem a partir de Serviços Conectados; indivíduos exibidos nas telas, páginas ou janelas de aplicativos observadas pelos agentes do Cliente; e indivíduos que interagem com agentes implantados pelo Cliente.
• Categorias de dados pessoais: dados de identificação e contato, tais como nomes, endereços de e-mail, números de telefone, nomes de usuário, cargos e nomes de empresas; o conteúdo de prompts, conversas, saídas de agentes, documentos enviados, índices de recuperação, e-mails, mensagens de chat, entradas de calendário, registros de CRM e ERP, e arquivos; dados lidos de ou gravados em Serviços Conectados; quadros de tela, capturas de tela, árvores de acessibilidade, conteúdo de páginas, títulos de janelas, texto reconhecido e registros de ações produzidos pelo Device Control, pelo Browser Control e pelo Computer Control; e dados técnicos, tais como endereços IP, identificadores de dispositivo e de sessão, logs e traces de execução. Os dados exatos dependem da configuração e do uso dos Serviços pelo Cliente.
• Categorias especiais de dados pessoais: nenhuma pretendida. O Cliente não submeterá categorias especiais de dados pessoais, nem dados pessoais relativos a condenações criminais e infrações, salvo se isso for necessário, lícito e adequadamente protegido. Caso o Cliente o faça, aplicam-se as medidas previstas no Anexo II.
• Frequência da transferência: contínua, enquanto o Cliente utilizar os Serviços.
• Natureza do tratamento: hospedagem, armazenamento, organização, recuperação, indexação e embedding, análise e transformação por modelos de linguagem, transmissão de e para Serviços Conectados, execução de ações de agentes, exibição, exportação e exclusão, conforme determinado pelo Cliente por meio dos Serviços.
• Finalidade do tratamento: fornecer, apoiar e proteger os Serviços nos termos dos Termos, incluindo a execução dos agentes, pipelines, conversas do Assistant, conectores, gatilhos, e sessões de Device Control, Browser Control e Computer Control configuradas pelo Cliente.
• Duração e retenção: durante a vigência dos Termos e até a exclusão nos termos da Seção 11. As conversas, documentos e índices de recuperação são mantidos até que o Cliente os exclua ou encerre sua conta. Os logs de execução, traces e telemetria seguem os períodos de retenção dependentes do plano, e os dados de integração seguem os períodos específicos de cada integração, descritos na Política de Privacidade. Os backups expiram de acordo com o cronograma descrito na Visão Geral de Segurança.
• Transferências para Subprocessadores: conforme descrito no Anexo III, para o objeto, a natureza e a duração estabelecidos neste Anexo I.
• Autoridade de controle competente: determinada de acordo com a Cláusula 13 das SCCs ou, conforme aplicável, o UK Information Commissioner ou o Swiss Federal Data Protection and Information Commissioner.

Anexo II. Medidas Técnicas e Organizacionais

A Melaya aplica as seguintes medidas aos Serviços. A Visão Geral de Segurança em melaya.org/legal/security as descreve em mais detalhes, incluindo os controles que estão em andamento ou ainda não implementados.

• Criptografia em trânsito: TLS 1.2 ou superior para o tráfego entre clientes e os Serviços, encerrado no Cloudflare, com HSTS e uma Política de Segurança de Conteúdo (Content Security Policy) rigorosa. As chamadas internas entre serviços ocorrem por meio de links de loopback ou de rede privada.
• Criptografia em repouso: valores sensíveis, incluindo credenciais de API de exchange, credenciais de conectores e tokens OAuth, e segredos e códigos de recuperação de MFA, são criptografados com criptografia de envelope AES-256-GCM no processo do servidor antes de serem armazenados, com chaves mantidas separadamente das credenciais do banco de dados e do vault, e rotacionadas sem indisponibilidade. Os backups são criptografados. A criptografia de disco completo dos volumes de produção ainda não está habilitada e consta no roteiro de segurança.
• Isolamento de locatários (tenants): cada solicitação é restrita ao usuário autenticado na camada da aplicação, a segurança em nível de linha (row-level security) do PostgreSQL é aplicada como uma segunda camada sob uma função de banco de dados que não pode contorná-la, e os índices de recuperação são retornados somente ao pipeline que os possui.
• Controle de acesso: senhas com hash por bcrypt; autenticação multifator por TOTP disponível para todos os usuários e exigida para adicionar credenciais de exchange ou criar chaves de API da plataforma; tokens de sessão assinados com chaves de assinatura rotativas; autorização baseada em função e em plano aplicada no servidor; limitação de taxa (rate limiting) nos endpoints de autenticação e de API; tokens de runner e de telefone armazenados apenas como hashes e revogáveis.
• Acesso de pessoal: o acesso aos sistemas de produção é concedido por engenheiro mediante um processo de aprovação por duas pessoas, limitado ao que a função exige, revisado em cadência trimestral documentada, e removido no desligamento, incluindo a revogação de chaves e sessões.
• Registro e monitoramento: logs estruturados de aplicação, host e edge enviados em tempo real para fora do host de produção, para um repositório de logs na mesma região, e um log de auditoria de segurança somente para inclusão, encadeado por hash, que armazena endereços IP apenas como digests HMAC com chave e é verificado diariamente.
• Desenvolvimento seguro e gestão de vulnerabilidades: revisão por pares antes do merge, verificação estática de tipos, varredura de segredos em hooks de pre-commit e no CI, varredura de vulnerabilidades de dependências e contêineres em cada build, ações de CI fixadas (pinned), um caminho de implantação restrito, e atualizações automáticas de segurança do sistema operacional. A Melaya ainda não passou por um teste de penetração externo.
• Resposta a incidentes: um procedimento de resposta a incidentes por escrito, com níveis de severidade, funções definidas, etapas de contenção que incluem rotação de chaves, uma matriz de notificação de 72 horas, e revisões pós-incidente.
• Backup e continuidade: backups criptografados noturnos dos bancos de dados de produção e dos documentos enviados, retidos em um cronograma de 7 snapshots diários, 4 semanais e 6 mensais, com verificação semanal de integridade e restauração de teste, e um plano de continuidade de negócios por escrito. Os backups são atualmente armazenados na mesma região da produção, e os Serviços operam a partir de uma única região primária, sem failover automatizado.
• Minimização e exclusão de dados: varreduras automatizadas de retenção de dados de execução por plano; exportação e exclusão por autoatendimento; apagamento por meio de tombstones que preservam a integridade do log de auditoria; o Computer Control não lê nem digita em campos seguros e cobre as janelas de aplicativos não permitidos; a extensão de navegador omite os valores de campos de senha das capturas de página.
• Salvaguardas de agentes: listas de permissão de aplicativos e níveis de permissão, solicitações de aprovação para ações consequenciais detectadas no modo Safe, controles de parada e encerramento (stop e kill), e verificações de política no servidor para comandos de dispositivo e de computador.
• Gestão de Subprocessadores: contratos por escrito com obrigações de proteção de dados, uma lista pública de Subprocessadores, e aviso prévio de alterações.
• Certificações: a Melaya desenvolve seus controles tendo em vista os SOC 2 Trust Services Criteria e a ISO/IEC 27001, mas atualmente não possui nenhuma certificação ou atestado de terceiros.

Anexo III. Subprocessadores

Os Subprocessadores contratados pela Melaya, com sua localização, finalidade e salvaguarda de transferência, estão listados em melaya.org/legal/subprocessors. Essa lista, conforme atualizada nos termos da Seção 6, constitui este Anexo III. Na data deste DPA, a hospedagem primária de computação, banco de dados e cache da Melaya é fornecida pela Alibaba Cloud em Singapura.

Os Serviços Conectados escolhidos pelo Cliente, incluindo os provedores de modelo selecionados pelo Cliente para seus agentes, são contratados por instrução do Cliente nos termos da Seção 3 e não são Subprocessadores, exceto conforme disposto na Seção 3.5.

Contato

Dúvidas sobre este DPA, solicitações de cópia contra-assinada e notificações nos termos deste DPA devem ser enviadas para: