Esta tradução é disponibilizada por conveniência. A versão inglesa é o texto vinculativo.
Vocito.ai · Plataforma de Rececionista de Voz com IA
O presente Acordo de Tratamento de Dados ("ATD") é celebrado entre o cliente identificado na conta Vocito.ai ("Responsável pelo Tratamento", "Cliente", "você") e Vocito.ai B.V. ("Subcontratante", "Vocito", "nós"), e constitui parte integrante dos Termos de Serviço e do acordo entre as partes para a prestação do Serviço Vocito.
O presente ATD reflete o acordo das partes relativamente ao tratamento de dados pessoais pelo Subcontratante em nome do Responsável pelo Tratamento, em conformidade com os requisitos do Artigo 28.º do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 ("RGPD").
Adenda do período Beta (maio de 2026, GA): Enquanto a Vocito estiver em fase Beta, o período de conservação do Anexo A aplica-se como 90 dias para gravações de chamadas, transcrições e metadados de conversação de IA (os valores por defeito do período GA aplicam-se quando a fase Beta terminar). Os subcontratantes ulteriores e as medidas técnicas e organizativas dos Anexos B/C aplicam-se sem alterações durante a fase Beta. O Responsável pelo Tratamento (Cliente) reconhece que o tratamento durante o período Beta pode incluir breves interrupções, regressões de funcionalidades ou reposições de dados, conforme descrito nos nossos Termos de Serviço, §2 (Programa Beta). A Vocito continuará a respeitar, sem alterações, os direitos dos titulares dos dados, a notificação de violações e as obrigações de auditoria ao abrigo do presente ATD durante a fase Beta.
Salvo definição em contrário no presente documento, os termos com inicial maiúscula têm o significado que lhes é atribuído no RGPD ou nos Termos de Serviço. Aplicam-se as seguintes definições adicionais:
O Cliente é o Responsável pelo Tratamento e a Vocito é o Subcontratante relativamente aos Dados Pessoais tratados através do Serviço. O Subcontratante tratará Dados Pessoais apenas em nome e de acordo com as instruções documentadas do Responsável pelo Tratamento.
O presente ATD aplica-se a todos os Dados Pessoais que o Subcontratante trata em nome do Responsável pelo Tratamento no âmbito da prestação do Serviço, conforme descrito mais detalhadamente no Anexo A.
O presente ATD complementa e faz parte dos Termos de Serviço. Em caso de conflito entre o presente ATD e os Termos de Serviço em matéria de proteção de dados, prevalece o presente ATD.
Os detalhes das atividades de tratamento constam do Anexo A e incluem:
O Subcontratante deve:
O Subcontratante assegura que todas as pessoas autorizadas a tratar Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.
O Subcontratante implementa medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, conforme descrito no Anexo B e em conformidade com o artigo 32.º do RGPD.
O Subcontratante cumpre as condições estabelecidas na Secção 6 para a contratação de subcontratantes ulteriores.
O Subcontratante presta assistência ao Responsável pelo Tratamento no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados, conforme estabelecido na Secção 9.
Tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante, este presta assistência ao Responsável pelo Tratamento no sentido de assegurar o cumprimento dos artigos 32.º a 36.º do RGPD, incluindo as obrigações relativas à segurança do tratamento, à notificação de violações de dados pessoais, às avaliações de impacto sobre a proteção de dados e à consulta prévia às autoridades de controlo.
O Subcontratante, consoante a escolha do Responsável pelo Tratamento, elimina ou devolve todos os Dados Pessoais depois de concluída a prestação de serviços, conforme estabelecido na Secção 13.
O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e facilita e contribui para auditorias, conforme estabelecido na Secção 12.
O Responsável pelo Tratamento deve:
O Responsável pelo Tratamento concede uma autorização geral por escrito para que o Subcontratante contrate subcontratantes ulteriores para apoiar a prestação do Serviço, sujeita às condições estabelecidas nesta secção. A lista atual de subcontratantes ulteriores autorizados consta do Anexo C.
Quando o Subcontratante contrata um subcontratante ulterior:
O Subcontratante notifica o Responsável pelo Tratamento com pelo menos 30 dias de antecedência de quaisquer alterações pretendidas relativas à adição ou substituição de subcontratantes ulteriores, dando ao Responsável pelo Tratamento a oportunidade de se opor a essas alterações.
Se o Responsável pelo Tratamento tiver motivos razoáveis para se opor à contratação de um novo subcontratante ulterior, deve notificar o Subcontratante no prazo de 14 dias a contar da receção da notificação. As partes discutem de boa-fé as preocupações do Responsável pelo Tratamento. Se as partes não chegarem a uma solução, o Responsável pelo Tratamento pode cessar os serviços afetados sem penalização, mediante notificação escrita.
O Subcontratante implementa e mantém as medidas de segurança técnicas e organizativas descritas no Anexo B, que incluem, no mínimo:
O Subcontratante avalia e atualiza regularmente as medidas de segurança para garantir que permanecem adequadas aos riscos associados ao tratamento. O Subcontratante não reduz materialmente o nível global de segurança durante a vigência do presente ATD.
O Subcontratante notifica o Responsável pelo Tratamento de uma Violação de Dados Pessoais sem demora injustificada e, em qualquer caso, no prazo de 72 horas após dela ter conhecimento. A notificação é enviada para o endereço de email associado à conta do Responsável pelo Tratamento e inclui, na medida do disponível:
Ao tomar conhecimento de uma Violação de Dados Pessoais, o Subcontratante deve:
O Responsável pelo Tratamento é responsável por determinar se a Violação de Dados Pessoais deve ser comunicada a uma autoridade de controlo e/ou aos Titulares dos Dados ao abrigo dos artigos 33.º e 34.º do RGPD. O Subcontratante presta toda a cooperação e assistência razoáveis ao Responsável pelo Tratamento nessa determinação e no cumprimento dessas obrigações.
O Subcontratante, tendo em conta a natureza do tratamento, presta assistência ao Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Responsável pelo Tratamento de responder aos pedidos dos Titulares dos Dados no exercício dos seus direitos ao abrigo do Capítulo III do RGPD, incluindo:
Se o Subcontratante receber um pedido diretamente de um Titular dos Dados, deve prontamente (e, em qualquer caso, no prazo de 5 dias úteis) encaminhar o Titular dos Dados para o Responsável pelo Tratamento e notificar este do pedido. O Subcontratante não responde diretamente a esse pedido, salvo autorização do Responsável pelo Tratamento ou exigência legal.
O Subcontratante disponibiliza, através do painel do Serviço, funcionalidades para que o Responsável pelo Tratamento exporte os Dados do Cliente em formatos de leitura automática de uso corrente (JSON, CSV). O Responsável pelo Tratamento pode utilizar estas ferramentas para dar cumprimento a pedidos de portabilidade de dados.
O Subcontratante presta assistência razoável ao Responsável pelo Tratamento na realização de avaliações de impacto sobre a proteção de dados ("AIPD") e de consultas prévias às autoridades de controlo ao abrigo dos artigos 35.º e 36.º do RGPD, quando exigido em relação ao tratamento de Dados Pessoais através do Serviço. Essa assistência inclui o fornecimento de informações sobre as atividades de tratamento do Subcontratante, as medidas técnicas e organizativas e os acordos com subcontratantes ulteriores.
O Subcontratante armazena os Dados do Cliente, incluindo Dados Pessoais, principalmente no Espaço Económico Europeu (EEE), especificamente na infraestrutura da Supabase localizada na região da Irlanda (eu-west-1).
Alguns subcontratantes ulteriores contratados pelo Subcontratante estão localizados nos Estados Unidos. Quando Dados Pessoais são transferidos para um país fora do EEE que não tenha recebido uma decisão de adequação da Comissão Europeia, aplicam-se as seguintes garantias:
O Subcontratante realiza e mantém avaliações de impacto das transferências para cada transferência internacional, avaliando o quadro jurídico do país de destino e a eficácia das garantias em vigor. Estas avaliações são disponibilizadas ao Responsável pelo Tratamento mediante pedido.
O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e no presente ATD.
O Subcontratante facilita e contribui para auditorias, incluindo inspeções, realizadas pelo Responsável pelo Tratamento ou por um auditor por este mandatado, sujeitas às seguintes condições:
Quando disponíveis, o Subcontratante pode fornecer certificações relevantes, relatórios de auditoria (por exemplo, relatórios SOC 2 Tipo II) ou resumos de auditorias independentes de terceiros para satisfazer os requisitos de auditoria do Responsável pelo Tratamento. O Responsável pelo Tratamento concorda em considerar essa documentação em vez de uma auditoria presencial, quando esta responda razoavelmente às suas preocupações.
Após a cessação ou o termo do acordo entre o Responsável pelo Tratamento e o Subcontratante:
O Subcontratante só pode conservar Dados Pessoais após a cessação quando:
Em cada caso, o Subcontratante continua a proteger esses dados conservados em conformidade com o presente ATD e limita o tratamento às finalidades exigidas por lei.
Durante a vigência do acordo, o Responsável pelo Tratamento pode solicitar a eliminação de Dados do Cliente específicos através do painel do Serviço ou por pedido escrito ao Subcontratante. O Subcontratante dá cumprimento a esses pedidos no prazo de 30 dias, sujeito à viabilidade técnica e às obrigações legais de conservação.
Cada parte é responsável pelos danos causados por um tratamento que viole o RGPD, em conformidade com o artigo 82.º do RGPD:
A responsabilidade total agregada de cada parte ao abrigo do presente ATD está sujeita às limitações de responsabilidade estabelecidas nos Termos de Serviço, exceto que tais limitações não se aplicam a:
Cada parte indemniza a outra parte por quaisquer custos, reclamações, danos ou despesas incorridos em resultado da violação do presente ATD ou das suas obrigações ao abrigo do RGPD pela parte indemnizante, desde que a parte que procura indemnização notifique prontamente a outra parte e preste cooperação razoável.
O presente ATD entra em vigor na data em que o Responsável pelo Tratamento utiliza o Serviço pela primeira vez e permanece em vigor enquanto o Subcontratante tratar Dados Pessoais em nome do Responsável pelo Tratamento.
As obrigações do Subcontratante ao abrigo do presente ATD subsistem à cessação do acordo na medida necessária ao cumprimento das suas obrigações relativas à devolução ou eliminação de Dados Pessoais e de quaisquer obrigações de confidencialidade em curso.
O presente ATD rege-se e é interpretado de acordo com as leis dos Países Baixos, sem consideração dos seus princípios de conflito de leis. Quaisquer litígios emergentes do presente ATD estão sujeitos à jurisdição exclusiva dos tribunais competentes de Amesterdão, Países Baixos.
Se qualquer disposição do presente ATD for considerada inválida ou inexequível, as restantes disposições permanecerão em pleno vigor e efeito. A disposição inválida será substituída por uma disposição válida que reflita o mais fielmente possível a intenção original.
O presente ATD pode ser alterado pelo Subcontratante para refletir alterações na lei aplicável ou nas práticas de tratamento de dados do Subcontratante. As alterações materiais são notificadas ao Responsável pelo Tratamento com pelo menos 30 dias de antecedência. A utilização continuada do Serviço após essa notificação constitui aceitação do ATD alterado.
O presente ATD, juntamente com os Termos de Serviço, a Política de Privacidade e quaisquer Formulários de Encomenda aplicáveis, constitui o acordo integral entre as partes relativamente ao seu objeto.
As questões relativas ao presente ATD devem ser dirigidas a: privacy@vocito.ai
| Objeto | Tratamento de Dados Pessoais através da plataforma de rececionista de voz com IA da Vocito |
|---|---|
| Duração | Durante a vigência do acordo entre o Responsável pelo Tratamento e o Subcontratante, acrescida dos períodos de conservação aplicáveis |
| Atividade de Tratamento | Finalidade |
|---|---|
| Receção de chamadas telefónicas entrantes | Atendimento de chamadas em nome do negócio do Responsável pelo Tratamento através de agente de voz com IA |
| Gravação de chamadas | Gravação de conversas para revisão, garantia de qualidade e manutenção de registos pelo Responsável pelo Tratamento |
| Transcrição de chamadas | Conversão de gravações de voz em texto para revisão, pesquisa e extração de leads |
| Processamento de conversas por IA | Utilização de LLM para compreender a intenção do chamador, gerar respostas e extrair informações estruturadas |
| Mensagens SMS | Envio de mensagens de texto de seguimento aos chamadores em nome do Responsável pelo Tratamento |
| Gestão de leads | Captação, armazenamento e organização de informações de leads provenientes de chamadas |
| Marcações e agendamento | Criação de compromissos e entradas de calendário em nome do Responsável pelo Tratamento |
| Integração de email | Envio de notificações e gestão de comunicações por email através de Gmail/Microsoft 365 |
| Gestão de dados CRM | Armazenamento e organização de dados de relacionamento com clientes |
| Análises e relatórios | Geração de estatísticas de utilização, análises de chamadas e relatórios de desempenho |
| Armazenamento de dados | Armazenamento dos Dados do Cliente em infraestrutura sediada na UE |
O Subcontratante implementa as seguintes medidas técnicas e organizativas nos termos do artigo 32.º do RGPD:
| Medida | Implementação |
|---|---|
| Encriptação em trânsito | TLS 1.2+ para todas as transmissões de dados, incluindo chamadas à API, acesso ao painel e comunicações com subcontratantes ulteriores |
| Encriptação em repouso | Encriptação AES-256 para todos os Dados Pessoais armazenados, incluindo gravações de chamadas, registos de base de dados e armazenamento de ficheiros |
| Gestão de chaves | Chaves de encriptação geridas através de serviços seguros de gestão de chaves com separação de funções |
| Medida | Implementação |
|---|---|
| Autenticação | Políticas de palavras-passe fortes; MFA para todos os acessos administrativos e de produção |
| Autorização | Controlo de acesso baseado em funções (RBAC) com o princípio do menor privilégio; isolamento dos dados dos clientes |
| Revisões de acessos | Revisão trimestral de todas as permissões de acesso; revogação imediata em caso de mudança de função ou saída |
| Isolamento dos dados dos clientes | Separação lógica dos Dados do Cliente através de segurança ao nível das linhas (RLS) no PostgreSQL da Supabase |
| Medida | Implementação |
|---|---|
| Alojamento | Alojamento na região UE na Railway e na Supabase com infraestrutura sediada na UE, encriptada em repouso |
| Segurança de rede | Proteção por firewall, segmentação de rede, mitigação de DDoS |
| Gestão de vulnerabilidades | Análise regular de vulnerabilidades; correção rápida de vulnerabilidades críticas |
| Testes de intrusão | Testes de intrusão anuais realizados por terceiros |
| Medida | Implementação |
|---|---|
| Monitorização de segurança | Monitorização contínua de eventos de segurança, anomalias e tentativas de acesso não autorizado |
| Registo de auditoria | Registo dos acessos a Dados Pessoais, ações administrativas e eventos de segurança; registos conservados durante um mínimo de 12 meses |
| Resposta a incidentes | Plano documentado de resposta a incidentes com funções, vias de escalonamento e procedimentos de comunicação definidos; notificação de violações em 72 horas |
| Medida | Implementação |
|---|---|
| Minimização de dados | Tratamento limitado aos Dados Pessoais necessários para as finalidades especificadas; transmissão em tempo real aos fornecedores de IA em vez de transferências de dados em massa |
| Gestão da conservação | Políticas automatizadas de conservação de dados com períodos de conservação configuráveis; eliminação automática de dados expirados |
| Procedimentos de eliminação | Eliminação segura de Dados Pessoais mediante pedido ou no termo do período de conservação, incluindo das cópias de segurança no prazo de 90 dias |
| Medida | Implementação |
|---|---|
| Cópias de segurança | Cópias de segurança automáticas e regulares dos Dados do Cliente; armazenamento encriptado das cópias; procedimentos de restauro testados |
| Redundância | Infraestrutura redundante para serviços críticos; capacidades de failover |
| Objetivos de recuperação | Objetivo de Tempo de Recuperação (RTO) e Objetivo de Ponto de Recuperação (RPO) definidos para sistemas críticos |
| Medida | Implementação |
|---|---|
| Confidencialidade | Todo o pessoal assina acordos de confidencialidade que abrangem Dados Pessoais |
| Formação | Formação de sensibilização para a segurança e a proteção de dados para todo o pessoal na integração e anualmente a partir daí |
| Verificação de antecedentes | Verificação de antecedentes do pessoal com acesso aos sistemas de produção (quando permitido por lei) |
A partir de maio de 2026, o Subcontratante recorre aos seguintes subcontratantes ulteriores:
| Subcontratante Ulterior | Entidade Jurídica | Finalidade | Dados Tratados | Localização | Mecanismo de Transferência |
|---|---|---|---|---|---|
| Twilio | Twilio Inc. | Infraestrutura de telefonia, encaminhamento de chamadas de voz, entrega de SMS | Números de telefone, áudio das chamadas (em tempo real), metadados das chamadas, conteúdo de SMS | EUA | CCT + DPF |
| ElevenLabs | ElevenLabs Inc. | Síntese de voz com IA, geração de voz em tempo real | Áudio das chamadas (transmissão em tempo real) | EUA | CCT |
| Anthropic | Anthropic PBC | Grande modelo de linguagem (Claude) para compreensão da conversa e geração de respostas | Transcrições das chamadas (em tempo real), contexto da conversa | EUA | CCT |
| Google LLC | Grande modelo de linguagem (Gemini) para processamento de conversas | Transcrições das chamadas (em tempo real), contexto da conversa | EUA / UE | CCT + DPF | |
| OpenAI | OpenAI Inc. | Grande modelo de linguagem (GPT) para processamento de conversas | Transcrições das chamadas (em tempo real), contexto da conversa | EUA | CCT + DPF |
| Supabase | Supabase Inc. | Alojamento de base de dados PostgreSQL, armazenamento de ficheiros (gravações de chamadas), autenticação | Todos os Dados do Cliente (dados de conta, gravações de chamadas, transcrições, leads, dados CRM) | UE (Irlanda) | Dados armazenados no EEE; CCT com a entidade-mãe |
| Railway | Railway Corp. | Alojamento e execução da aplicação de backend | Dados da aplicação em trânsito e durante o processamento | Região UE | Dados tratados no EEE; CCT com a entidade-mãe |
Esta lista é mantida e atualizada pelo Subcontratante. O Responsável pelo Tratamento será notificado com pelo menos 30 dias de antecedência de quaisquer adições ou alterações a esta lista.