Acordo de tratamento de dados

Este Acordo de tratamento de dados (o "Acordo") faz parte dos Termos e Condições do Twinyx e regula o tratamento de dados pessoais que o Twinyx realiza em nome do usuário, de acordo com o artigo 28 do Regulamento (UE) 2016/679 ("RGPD") e com o artigo 33 da lei espanhola de proteção de dados, a Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD"). Ele é celebrado por meios eletrônicos com a aceitação dos Termos (artigo 28.9 do RGPD).

1. Partes e papéis

• Controlador: o usuário titular da conta do Twinyx (doravante, a "Criadora"), em relação aos dados das pessoas com quem conversa nas contas do Telegram que conecta ao serviço.
• Operador: BAIXOSAMA INVERSIONES, SL, NIF B27854181, com sede na Rua Condesa Casa Barcenas, 11, 36204 Vigo, Pontevedra (doravante, "Twinyx"), contato: admin@twinyx.app.
• A Criadora decide usar o Twinyx para gerenciar as suas conversas, e para quê. O Twinyx trata esses dados apenas para lhe prestar o serviço.
• Ficam fora deste Acordo os tratamentos em que o Twinyx é controlador: a conta da Criadora, o faturamento, a segurança do serviço, as comunicações comerciais e a conservação da prova do aviso de inteligência artificial, que é uma obrigação legal própria do Twinyx (artigo 50 do Regulamento (UE) 2024/1689). Esses tratamentos são regidos pela Política de Privacidade.

2. Objeto, natureza e finalidade

O Twinyx trata os dados dos contatos da Criadora para prestar o serviço contratado: receber as mensagens das suas conversas do Telegram, gerar respostas com inteligência artificial em nome da Criadora e com o estilo dela, classificar as conversas, repassá-las à Criadora quando for o caso, gerenciar trocas de promoções (SFS), filtrar spam e mostrar tudo isso no seu painel. O detalhamento dos titulares, dos dados e das operações consta do Anexo I.

3. Duração

Este Acordo dura o mesmo que a conta da Criadora. O previsto para o fim do tratamento (cláusula 13) e a conservação bloqueada continuam a ser aplicados depois.

4. Instruções documentadas

• Este Acordo e a configuração que a Criadora define no seu painel são as instruções documentadas do tratamento.
• O Twinyx não tratará os dados para fins próprios: não os usará para publicidade, nem para treinar ou aprimorar modelos de inteligência artificial, nem para criar perfis, nem os compartilhará com terceiros, exceto com os suboperadores do Anexo II ou quando a lei exigir. Se o fizesse, passaria a ser controlador desse tratamento (artigo 33.2 da LOPDGDD).
• As transferências internacionais só serão feitas para os suboperadores do Anexo II e com as garantias ali indicadas.
• Se o Twinyx considerar que uma instrução viola a legislação de proteção de dados, comunicará isso imediatamente à Criadora.

5. Medidas acordadas em relação aos contatos

A Criadora instrui o Twinyx a aplicar em seu nome, em todas as suas conversas, as seguintes medidas, que fazem parte do serviço e que ela não pode desativar:

• Aviso de inteligência artificial antes da primeira mensagem automática, com um texto que a Criadora pode reformular, mas não eliminar.
• Pedido de consentimento explícito (artigos 6.1.a e 9.2.a do RGPD) antes de qualquer tratamento com inteligência artificial das mensagens de cada contato, que inclui a declaração de maioridade, a indicação de que o contato pode retirá-lo a qualquer momento e o link para as informações para contatos, onde se explica como fazer isso (escrevendo STOP no chat). Sem um SIM, escrito ou dado com o botão "Sim, aceito" do pedido, as mensagens não são processadas com inteligência artificial. O Twinyx guarda a prova de cada etapa em nome da Criadora.
• Parada diante de possíveis menores: se um contato indicar ser menor de idade, a inteligência artificial deixa de responder a ele e a Criadora é avisada.
• Os contatos com os quais a Criadora já tem uma troca de promoções (SFS) acordada ou que estão na sua lista de colaboradoras confiáveis (lista branca), e outras criadoras que usam o Twinyx, não recebem o pedido de consentimento: o tratamento dos seus dados se baseia no interesse legítimo da Criadora em gerenciar esse acordo comercial, e eles recebem o aviso de inteligência artificial com o link para as informações. Quem propõe uma troca pela primeira vez recebe o pedido como qualquer outro contato.

6. Confidencialidade

O Twinyx garante que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a sua confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade (artigo 5 da LOPDGDD), inclusive após o término da sua relação com o Twinyx. O acesso da equipe do Twinyx às conversas é limitado ao necessário para o suporte e a segurança, e fica registrado.

7. Segurança

O Twinyx aplica as medidas técnicas e organizacionais do Anexo III, adequadas ao risco do tratamento (artigo 32 do RGPD), levando em conta que as conversas podem conter dados de categorias especiais. O Twinyx pode atualizá-las, desde que não reduza o nível de proteção.

8. Suboperadores

• A Criadora autoriza de forma geral o Twinyx a recorrer aos suboperadores do Anexo II.
• O Twinyx informará a Criadora, por e-mail ou por meio de um aviso no painel, de qualquer inclusão ou substituição de um suboperador com pelo menos 30 dias de antecedência. A Criadora poderá se opor por motivos razoáveis de proteção de dados; se não for encontrada uma solução, poderá rescindir o contrato sem penalidade antes que a mudança entre em vigor.
• O Twinyx imporá a cada suboperador, por contrato, as mesmas obrigações de proteção de dados deste Acordo (artigo 28.4 do RGPD) e continuará sendo responsável perante a Criadora pelo cumprimento dessas obrigações por cada suboperador.

9. Direitos dos titulares

• O Twinyx disponibiliza à Criadora e aos seus contatos as ferramentas para exercer os direitos: a retirada do consentimento com STOP, a exportação de dados e a exclusão pelo painel, e o atendimento por e-mail.
• Instrução geral: a Criadora instrui o Twinyx a atender diretamente, em seu nome, às solicitações de acesso, retificação, eliminação, oposição, limitação e portabilidade que lhe forem dirigidas pelos seus contatos, verificando a identidade deles de forma proporcional e respondendo no prazo legal de um mês. O Twinyx informará a Criadora de cada solicitação atendida e lhe encaminhará, antes de responder, as que exigirem uma decisão dela.
• Se a Criadora receber diretamente uma solicitação que exija atuar sobre os dados tratados pelo Twinyx, ela a encaminhará para admin@twinyx.app.

10. Assistência ao controlador

O Twinyx ajudará a Criadora, levando em conta a natureza do tratamento e as informações ao seu alcance, a cumprir as suas obrigações de segurança, de notificação de violações, de avaliação de impacto e de consulta prévia (artigos 32 a 36 do RGPD). Em especial, disponibilizará a ela, mediante solicitação, um resumo da avaliação de impacto do serviço realizada pelo Twinyx.

11. Violações de dados pessoais

O Twinyx notificará a Criadora de qualquer violação de segurança que afete os dados dos seus contatos sem demora injustificada e, em todo caso, em um prazo máximo de 48 horas a partir do momento em que tomar conhecimento dela, com as informações do artigo 33.3 do RGPD disponíveis naquele momento, que completará depois. O Twinyx documentará a violação, adotará as medidas para mitigá-la e colaborará com a Criadora na sua notificação à autoridade de controle e, se for o caso, aos titulares.

12. Informações e auditorias

O Twinyx disponibilizará à Criadora as informações necessárias para demonstrar o cumprimento deste Acordo (entre outras, este Acordo, a descrição das medidas de segurança e o resumo da avaliação de impacto) e permitirá e contribuirá para as auditorias, incluindo as inspeções, realizadas pela Criadora ou por outro auditor autorizado por ela. As auditorias serão avisadas com 30 dias de antecedência, limitadas a uma por ano, salvo indícios de descumprimento ou exigência de uma autoridade, realizadas em horário comercial, sem acesso a dados de outros clientes, com compromisso de confidencialidade e às custas da Criadora, salvo se revelarem um descumprimento do Twinyx.

13. Fim do tratamento

• Antes de excluir a sua conta, a Criadora pode exportar os dados pelo painel; essa exportação é a devolução dos dados prevista no artigo 28.3.g do RGPD.
• Ao excluir a conta, a Criadora decide a destruição dos dados (artigo 33.3 da LOPDGDD). Se ela a excluir em Configurações, o Twinyx elimina os dados dos seus sistemas imediatamente; se ela pedir a exclusão por e-mail, o Twinyx a realiza no prazo da seção 10 da Política de Privacidade (um mês, prorrogável por mais dois meses em casos complexos).
• Após a eliminação, as cópias de segurança são sobrescritas em 24 horas, as tarefas técnicas na fila ou com falha são eliminadas em 7 dias e os registros técnicos e de observabilidade, em 30 dias. O Google guarda os dados que já recebeu (Gemini API, Anexo II) por até 55 dias, apenas para detectar abusos, e depois os elimina.
• Com a exclusão da conta, ou quando a Criadora remove uma conta do Telegram conectada, o Twinyx poderá conservar, devidamente bloqueadas, a prova do aviso de inteligência artificial, a prova do consentimento dos contatos e as marcações de possível menoridade (no segundo caso, as dessa conta do Telegram) enquanto puderem surgir responsabilidades da sua relação com a Criadora, e no máximo por 3 anos (artigo 33.4 da LOPDGDD). Os dados bloqueados só serão disponibilizados a juízes e tribunais, ao Ministério Público ou às autoridades competentes, e serão destruídos ao término desse prazo.

14. Obrigações da Criadora

A Criadora, como controladora, se compromete a:

• Usar o serviço apenas com pessoas que escrevem para ela; o Twinyx não inicia conversas.
• Não tentar contornar, ocultar nem desvirtuar o aviso de inteligência artificial nem o pedido de consentimento, nem dar instruções contrárias à legislação.
• Não usar o serviço com menores de idade, e verificar a idade de quem compra conteúdo adulto quando a lei exigir. A parada automática diante de possíveis menores é uma medida de apoio e não substitui essa obrigação.
• Enviar para a análise de estilo apenas capturas de tela das suas próprias conversas e ocultar nelas, quando possível, o nome dos seus contatos.
• Cumprir as suas demais obrigações como controladora (entre outras, o registro das atividades de tratamento do artigo 30 do RGPD, quando lhe for exigível) e colaborar com o Twinyx no atendimento aos direitos dos seus contatos.

15. Responsabilidade

Cada parte responde pelos danos que causar por descumprir este Acordo ou a legislação de proteção de dados, de acordo com o artigo 82 do RGPD. No mais, aplicam-se as limitações de responsabilidade dos Termos, salvo quando a lei não permitir limitá-la.

16. Prevalência e lei aplicável

Em matéria de proteção de dados, este Acordo prevalece sobre qualquer outra disposição dos Termos. Ele é regido pela lei espanhola e pelo RGPD; as controvérsias são submetidas aos juízos e tribunais competentes segundo os Termos.

Anexo I. Descrição do tratamento

Anexo II. Suboperadores autorizados

Não são suboperadores: o Telegram, plataforma de mensagens escolhida pela Criadora, que trata as mensagens como controlador independente, e a ferramenta de observabilidade da inteligência artificial, que o Twinyx hospeda em sua própria infraestrutura da OVHcloud.

Anexo III. Medidas técnicas e organizacionais

• Criptografia das comunicações (TLS/HTTPS) entre os usuários, o Telegram, os provedores e o Twinyx.
• Senhas armazenadas apenas como hash bcrypt, com verificação contra senhas vazadas.
• Autenticação de dois fatores obrigatória para a equipe com acesso de administração; segredos do segundo fator criptografados (AES-256-GCM).
• Isolamento dos dados por conta e por conta do Telegram conectada; consultas parametrizadas.
• Registro dos acessos de administração a dados de conversas e das ações de segurança relevantes.
• Limites de frequência e medidas contra abusos e spam.
• Minimização: imagens processadas na memória sem serem armazenadas; histórico limitado; registros técnicos e de observabilidade por 30 dias; filas de trabalho de 1 a 7 dias; nenhum dado dos contatos nos rastros além do necessário para depurar o serviço.
• Consentimento prévio dos contatos antes de qualquer tratamento com inteligência artificial e parada diante de possíveis menores.
• Cópia de segurança diária do banco de dados, sobrescrita a cada 24 horas.
• Provedores com contrato de tratamento de dados e garantias para as transferências internacionais.
• Procedimentos documentados de gestão de violações de segurança e de atendimento aos direitos; revisões periódicas de segurança; compromisso de confidencialidade da equipe.