Acordo de Processamento de Dados

Versão: 1.4 · Em vigor a partir de: 3 de novembro de 2026

Este Acordo de Processamento de Dados, também designado acordo de tratamento de dados (“DPA”), é celebrado entre o Cliente Empresarial que aceitou os Termos de Serviço do Mailistix (os “Termos”) (“Cliente”, “você”, “seu”) e a Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Germany, registrada no registro comercial do Amtsgericht Charlottenburg (Berlin) sob o número HRB 291268 B (“Mailistix”, “nós”, “nos”, “nosso”). Ele estabelece como tratamos dados pessoais em seu nome quando você usa o Serviço Mailistix, conforme exigido pelo art. 28 do GDPR, pelo UK GDPR e pela FADP suíça. A versão atual é publicada em https://mailistix.com/legal/dpa.

Em resumo (apenas para orientação; prevalecem as cláusulas a seguir):

• Os seus emails permanecem com os seus provedores de caixa de correio (por exemplo, o Google ou a Microsoft) e, como cópia local, nos seus dispositivos. Não temos acesso a essa cópia. Este DPA abrange apenas o que passa ou é mantido nos nossos Serviços em Nuvem.
• O conteúdo dos emails chega aos nossos Serviços em Nuvem somente quando um dos seus usuários usa um Recurso de IA, incluindo o aprendizado com as edições depois do envio de um rascunho de IA alterado. Nós o repassamos aos nossos provedores de IA, devolvemos o resultado e não armazenamos o conteúdo.
• Em seu nome, nossos servidores mantêm apenas alguns registros técnicos: registros de notificações push (7 dias), cadastros de monitoramento de caixas de correio (enquanto a caixa de correio estiver conectada) e envios ao suporte (30 dias). Os emails de suporte e as mensagens do formulário de contato permanecem na nossa caixa de correio por 2 anos após a última mensagem.
• Você é o controlador e nós somos o seu operador. Quanto às Contas dos seus usuários, à cobrança, à segurança e à telemetria opcional, somos um controlador independente nos termos da nossa Política de Privacidade.
• Nossos suboperadores estão listados no Anexo 3. Avisamos com 14 dias de antecedência a inclusão de qualquer um deles, e você pode se opor.

1. Celebração, escopo e precedência

1.1 Celebração. Este DPA integra os Termos. Ele se aplica automaticamente, sem assinatura, a todo Cliente Empresarial que aceita os Termos, a partir do momento da aceitação ou da data de vigência acima, o que ocorrer depois. Ele é celebrado em forma eletrônica, o que atende à exigência de forma escrita do art. 28, nº 9, do GDPR. Quando um Usuário Autorizado aceita os Termos no Software, registramos a versão dos Termos e deste DPA que foi aceita, a data e a hora da aceitação no nosso servidor, se ela foi dada no cadastro ou em uma caixa de diálogo posterior, e a versão do Software (cláusula 1.8 dos Termos); Configurações › Informações legais mostra desde quando a versão atual deste DPA se aplica. Você pode consultar e salvar este DPA a qualquer momento no endereço acima e em Configurações › Informações legais, e mantemos as versões anteriores disponíveis. Se você precisar de uma cópia assinada por nós para os seus registros, escreva para legal@mailistix.com e enviaremos a você este DPA assinado por nós. Uma cópia assinada não altera o seu conteúdo.

1.2 Usuários Autorizados. Você usa o Serviço por meio das pessoas físicas que possuem Contas e as utilizam para os seus fins empresariais, como os seus empregados e contratados (“Usuários Autorizados”). Cada Conta é destinada a uma única pessoa física (veja o EULA). A pessoa que aceita os Termos em seu nome confirma que tem poderes para vinculá-lo. Você é responsável pelo cumprimento deste DPA por seus Usuários Autorizados. O Serviço não tem contas de organização: informe-nos por email para legal@mailistix.com quais Contas lhe pertencem e quem devemos notificar nos termos deste DPA (cláusula 17.6).

1.3 Escopo. Este DPA aplica-se ao tratamento de Dados Pessoais do Cliente por nós em seu nome nos Serviços em Nuvem. Ele não se aplica:

(a) ao tratamento realizado pelo Software nos seus dispositivos (cláusula 3); nem

(b) ao tratamento em que somos um controlador independente (cláusula 2.4).

1.4 Precedência. Se este DPA conflitar com a Parte I dos Termos, com o EULA ou com a Política de Uso Aceitável, este DPA prevalece no que se refere ao tratamento de Dados Pessoais do Cliente. Os Termos Regionais mantêm a prioridade que os Termos lhes dão. Quando se aplicarem as SCCs (cláusula 12), elas prevalecem sobre este DPA e sobre os Termos. Nada neste DPA ou nos Termos limita os direitos que os titulares dos dados ou as autoridades de controle têm nos termos das SCCs ou das Leis de Proteção de Dados.

1.5 Termos utilizados. Os termos iniciados por letra maiúscula e não definidos neste DPA têm o significado que lhes é atribuído nos Termos.

2. Definições e papéis

2.1 Definições. Neste DPA:

• “Leis de Proteção de Dados” significa todas as leis sobre a proteção de dados pessoais que se aplicam ao tratamento nos termos deste DPA, em particular o GDPR, a Lei Federal Alemã de Proteção de Dados (BDSG), o UK GDPR, a FADP e, quando aplicáveis, as leis estaduais dos EUA mencionadas na cláusula 16.
• “GDPR” significa o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados).
• “UK GDPR” significa o GDPR conforme integra o direito do Reino Unido, lido em conjunto com o Data Protection Act 2018, conforme alterado, inclusive pelo Data (Use and Access) Act 2025.
• “FADP” significa a Lei Federal Suíça de Proteção de Dados de 25 de setembro de 2020 e seus regulamentos.
• “Regulamento de Dados” significa o Regulamento (UE) 2023/2854 (o Regulamento de Dados da UE).
• “Dados Pessoais do Cliente” significa os dados pessoais contidos no Conteúdo do Cliente que tratamos em seu nome nos Serviços em Nuvem para prestar o Serviço, conforme descrito no Anexo 1.
• “Suboperador” significa um operador contratado por nós que trata Dados Pessoais do Cliente.
• “Violação de Dados Pessoais” significa uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a Dados Pessoais do Cliente transmitidos, armazenados ou de outro modo tratados por nós ou por nossos Suboperadores.
• “SCCs” significa as cláusulas contratuais padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021.
• “Adendo do Reino Unido” significa o International Data Transfer Addendum às Cláusulas Contratuais Padrão da Comissão da UE, emitido pelo Information Commissioner do Reino Unido, versão B1.0, em vigor desde 21 de março de 2022, conforme revisado pelo Information Commissioner nos termos da seção 18 de suas Mandatory Clauses.
• “Transferência Restrita” significa uma transferência de Dados Pessoais do Cliente para um país fora do EEE, do Reino Unido ou da Suíça (conforme aplicável) que exija garantias adequadas nos termos das Leis de Proteção de Dados porque nenhuma decisão ou regulamento de adequação a abrange.
• “controlador”, “operador”, “titular dos dados”, “dados pessoais”, “tratamento” e “autoridade de controle” têm o significado que lhes é dado no GDPR. Nos termos de outras Leis de Proteção de Dados, incluem os termos equivalentes (por exemplo, “business” e “service provider”).

2.2 Você como controlador. Quanto aos Dados Pessoais do Cliente, você é o controlador e nós somos o seu operador.

2.3 Você como operador. Se você trata Dados Pessoais do Cliente em nome de outro controlador (por exemplo, um cliente seu), você é um operador e nós somos o seu suboperador. Nesse caso:

(a) você confirma que o outro controlador autorizou o tratamento nos termos deste DPA, incluindo a contratação de nós e de nossos Suboperadores;

(b) você é o único ponto de contato do outro controlador conosco; você repassa as instruções e solicitações dele, e nós aceitamos instruções somente de você;

(c) você repassa ao outro controlador, quando necessário, os nossos avisos e informações nos termos deste DPA;

(d) o outro controlador exerce os seus direitos de informação e de auditoria por meio de você, nos termos da cláusula 11; e

(e) você assegura que este DPA nos imponha as obrigações de proteção de dados que o seu contrato com o outro controlador exige de um suboperador (art. 28, nº 4, do GDPR).

2.4 Nosso próprio tratamento como controlador. Tratamos alguns dados pessoais dos seus Usuários Autorizados como controlador independente, nos termos da nossa Política de Privacidade e não nos termos deste DPA, a saber, para:

(a) a Conta, o login e a autenticação;

(b) Planos, Créditos e cobrança; os pagamentos são tratados pela Polar Software, Inc. como merchant of record (vendedor oficial), que atua como controladora independente e recebe o endereço de email do Usuário Autorizado e o ID de usuário do Mailistix (e, no checkout, o endereço IP);

(c) metadados de uso das solicitações de IA (recurso, modelo, contagem de tokens, Créditos, data e hora, sucesso ou erro, sem qualquer conteúdo) para cobrança, controle de custos e segurança;

(d) segurança, limitação de requisições (rate limiting) e prevenção e investigação de abusos;

(e) análises de uso e relatórios de falhas opcionais, somente com a adesão (opt-in) do Usuário Autorizado;

(f) registros de consentimento, o registro da aceitação dos Termos e deste DPA (cláusula 1.1), a Configuração de Região, atualizações do aplicativo e nossa comunicação com os Usuários Autorizados, incluindo o suporte (exceto os Dados Pessoais do Cliente contidos em envios ao suporte e em mensagens de suporte, que tratamos nos termos deste DPA); e

(g) o cumprimento das nossas obrigações legais.

Quando as Leis de Proteção de Dados exigirem que você informe seus Usuários Autorizados sobre esse tratamento, você pode remetê-los à Política de Privacidade.

3. Dados nos seus dispositivos

3.1 Tratamento local sob o seu controle. O Software armazena os Dados da Caixa de Correio e outros Conteúdos do Cliente nos dispositivos em que os seus Usuários Autorizados o instalam, em um banco de dados criptografado cuja chave é protegida pelo repositório de credenciais do sistema operacional. O Software sincroniza os emails diretamente entre o dispositivo e a Caixa de Correio Conectada. Esse tratamento ocorre nos seus dispositivos, sob o controle exclusivo de você e dos seus Usuários Autorizados. Não temos acesso ao banco de dados local, à sua chave, aos tokens da caixa de correio armazenados no dispositivo nem aos emails que ele contém. Não recebemos cópias deles e não os tratamos em seu nome. A disponibilização do Software não nos torna seu operador quanto a esses dados.

3.2 Provedores de caixa de correio. Os seus provedores de caixa de correio (o Google, a Microsoft ou o provedor de uma caixa de correio conectada via IMAP) fornecem as suas Caixas de Correio Conectadas nos termos dos seus próprios contratos com eles. Eles não são nossos Suboperadores. Isso vale também quando o Google ou a Microsoft autorizam o acesso à caixa de correio por OAuth e quando a Microsoft envia notificações de alterações sobre a sua caixa de correio à nossa função de servidor.

3.3 Quando os dados saem do dispositivo. Os Dados Pessoais do Cliente só chegam aos Serviços em Nuvem nas situações listadas no Anexo 1, cada uma iniciada por um Usuário Autorizado ou por uma caixa de correio que um Usuário Autorizado conectou: uso de um Recurso de IA (incluindo o aprendizado com as edições depois que um Usuário Autorizado envia um rascunho de IA alterado), conexão de uma caixa de correio, notificações push sobre novos emails, cancelamento de inscrição em newsletter com um clique e envios ao suporte.

3.4 Suas responsabilidades no lado do dispositivo. Você é responsável por proteger os dispositivos e as contas de sistema operacional em que o Software é executado, pelas cópias de segurança e por excluir os dados locais quando um Usuário Autorizado deixar a sua organização ou um dispositivo for desativado. O Anexo 2, Parte B, e o EULA descrevem as funções do Software para isso.

4. Instruções

4.1 Tratamento somente mediante instruções. Tratamos os Dados Pessoais do Cliente apenas mediante as suas instruções documentadas, inclusive quanto a transferências para países terceiros, salvo se o direito da UE ou de um Estado-Membro (ou, no caso de dados do Reino Unido ou da Suíça, o direito do Reino Unido ou da Suíça) a que estamos sujeitos exigir de outro modo. Nesse caso, informamos você dessa exigência legal antes do tratamento, a menos que essa lei o proíba por motivos importantes de interesse público.

4.2 Suas instruções. No momento da celebração deste DPA, as suas instruções documentadas completas são:

(a) os Termos e este DPA, incluindo seus Anexos;

(b) o uso e a configuração do Serviço por você e por seus Usuários Autorizados, em particular a ativação dos Recursos de IA na caixa de diálogo de consentimento para IA, o início de um Recurso de IA, o envio de um rascunho de IA alterado enquanto os Recursos de IA estiverem ativados (aprendizado com as edições), a Configuração de Região, a conexão ou remoção de uma caixa de correio, o início de um cancelamento de inscrição com um clique e o envio ao suporte; e

(c) qualquer outra instrução escrita acordada entre as partes.

4.3 Configuração de Região. Cada Usuário Autorizado informa ao Software onde está (a Configuração de Região nos termos dos Termos). Essa configuração é a sua instrução sobre onde as solicitações de IA são tratadas:

(a) “Na Europa” (a UE, o EEE, o Reino Unido ou a Suíça), ou sem resposta: todo o tratamento por IA ocorre na UE (Anexo 3);

(b) “Fora da Europa”: alguns modelos Gemini são executados no endpoint global do Google, que pode tratar dados em qualquer país em que o Google opere; todo o restante do tratamento por IA permanece na UE.

Você é responsável por garantir que os seus Usuários Autorizados respondam de acordo com os seus requisitos. Um Usuário Autorizado pode alterar a Configuração de Região em Configurações › Privacidade e IA. Uma alteração se aplica apenas a solicitações posteriores.

4.4 Instruções adicionais. As instruções adicionais devem ser dadas por escrito (o email é suficiente) e devem ser compatíveis com os Termos e com o Serviço conforme oferecido. Se uma instrução exigir que alteremos o Serviço, ou que tratemos Dados Pessoais do Cliente de uma forma que o Serviço não comporte, podemos recusá-la. Você poderá então rescindir os Termos quanto às Contas afetadas.

4.5 Instruções ilícitas. Informamos você sem demora injustificada se, na nossa opinião, uma instrução violar as Leis de Proteção de Dados. Podemos suspender o cumprimento dessa instrução até que você a confirme ou altere.

4.6 Sem uso para os nossos próprios fins. Não tratamos Dados Pessoais do Cliente para os nossos próprios fins. Em particular, não os vendemos, não os usamos para publicidade ou para definição de perfis e não os usamos para treinar, desenvolver ou aprimorar modelos de inteligência artificial ou de aprendizado de máquina, sejam nossos ou de terceiros. Nossos Suboperadores de IA estão contratualmente impedidos de usá-los para treinar seus modelos. A personalização de rascunhos descrita no Anexo 1 funciona acrescentando exemplos à solicitação; nenhum modelo é treinado ou alterado.

5. Confidencialidade

5.1 Concedemos acesso aos Dados Pessoais do Cliente somente a pessoas que precisem deles para prestar o Serviço. Cada uma delas assumiu compromisso de confidencialidade ou está sujeita a uma obrigação legal apropriada de confidencialidade, que continua após o término de sua atuação.

5.2 Não armazenamos o conteúdo das solicitações de IA nem da Saída de IA (Anexo 1). Nossos colaboradores não leem Dados Pessoais do Cliente, exceto:

(a) quando você ou um Usuário Autorizado nos pedirem que examinemos conteúdo específico, por exemplo em um caso de suporte;

(b) quando for necessário para investigar um incidente de segurança ou um abuso; ou

(c) quando a lei o exigir.

Cada um desses acessos limita-se ao que a sua finalidade exige.

5.3 Sigilo profissional. Se você está sujeito a sigilo profissional, em particular nos termos do § 203, nºs 1 a 3, do Código Penal alemão (StGB), do § 43e da Lei Federal dos Advogados (BRAO), do § 62a da Lei dos Consultores Tributários (StBerG) ou de regras comparáveis, atuamos como pessoa que colabora na sua atividade profissional (mitwirkende Person, § 203, nº 3, frase 2, StGB) na medida em que tratemos, nos termos deste DPA, segredos que lhe foram confiados. Para esse caso:

(a) nos comprometemos a manter esses segredos em sigilo, e estamos cientes de que a divulgação não autorizada é punível nos termos do § 203, nº 4, frase 1, StGB;

(b) tomamos conhecimento desses segredos somente na medida em que a prestação do Serviço o exija (cláusula 5.2);

(c) vinculamos ao sigilo, por escrito, as pessoas que trabalham para nós e as informamos das consequências penais de uma violação; e

(d) contratamos Suboperadores somente nos termos da cláusula 7. Eles estão vinculados à confidencialidade por seus termos de tratamento de dados (cláusula 7.2), mas não nos deram um compromisso específico quanto ao § 203 StGB, e alguns deles são estabelecidos, ou têm a sua sociedade controladora, fora da UE (Anexo 3).

Esta cláusula 5.3 é o compromisso de confidencialidade mencionado na cláusula 9.6 dos Termos; mediante solicitação, enviamos a você uma cópia assinada por nós. Cabe a você decidir se as suas regras profissionais permitem que você use os Recursos de IA ou os Serviços em Nuvem com segredos que lhe foram confiados, em particular em vista da alínea (d) (por exemplo, § 43e, nºs 3 e 4, BRAO) (cláusula 14.3(d) deste DPA e cláusula 9.6 dos Termos).

6. Segurança

6.1 Implementamos e mantemos as medidas técnicas e organizacionais descritas no Anexo 2. Elas asseguram um nível de segurança adequado ao risco, levando em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas físicas (art. 32 do GDPR).

6.2 As medidas estão sujeitas ao progresso técnico. Podemos alterá-las, desde que o nível geral de proteção não seja reduzido. Documentamos as alterações relevantes e atualizamos o Anexo 2 de acordo.

6.3 Você é responsável por avaliar se as medidas atendem aos seus requisitos e pelas medidas sob o seu próprio controle (cláusula 3.4 e Anexo 2, Parte B).

7. Suboperadores

7.1 Autorização geral. Você nos concede autorização geral por escrito para contratar Suboperadores. Os Suboperadores listados no Anexo 3 e em https://mailistix.com/legal/subprocessors no momento da celebração deste DPA estão autorizados.

7.2 Requisitos. Antes de um Suboperador tratar Dados Pessoais do Cliente, nós:

(a) verificamos que ele apresenta garantias suficientes de execução de medidas técnicas e organizacionais adequadas;

(b) celebramos com ele um contrato escrito que lhe impõe obrigações de proteção de dados que ofereçam, no mínimo, o mesmo nível de proteção deste DPA, conforme exigido pelo art. 28, nº 4, do GDPR; e

(c) asseguramos um mecanismo lícito de transferência sempre que ocorrer uma Transferência Restrita (cláusula 12).

Permanecemos plenamente responsáveis perante você pelo cumprimento das obrigações de cada Suboperador.

7.3 Aviso de alterações. Informamos você de qualquer inclusão ou substituição pretendida de um Suboperador com pelo menos 14 dias de antecedência do início do tratamento de Dados Pessoais do Cliente por ele. Fazemos isso atualizando a página de Suboperadores e por meio de um aviso aos endereços de email da Conta dos seus Usuários Autorizados ou no Software, e por email ao seu contato de proteção de dados, se você nos tiver informado um (cláusula 17.6). O aviso indica o Suboperador, o seu serviço, o local de tratamento e o mecanismo de transferência.

7.4 Oposição. Você pode se opor a um novo Suboperador escrevendo para legal@mailistix.com dentro de 14 dias após o aviso, por motivos razoáveis relacionados à proteção de dados. Discutiremos a oposição com você de boa-fé e poderemos propor uma solução, por exemplo não utilizar o novo Suboperador para as suas Contas ou desativar para elas o recurso afetado. Se não pudermos resolver a oposição, você poderá rescindir os Termos quanto às Contas afetadas mediante aviso por escrito, com efeitos até, no máximo, a data em que o novo Suboperador começaria a tratar Dados Pessoais do Cliente para você. Reembolsaremos então, proporcionalmente, os valores que você pagou antecipadamente pelo período posterior à rescisão, por meio da Polar como nosso merchant of record (vendedor oficial). Os seus demais direitos nos termos das Leis de Proteção de Dados permanecem inalterados.

7.5 Substituição urgente. Se tivermos de substituir um Suboperador com pouca antecedência por motivos fora do nosso controle razoável (por exemplo, um incidente de segurança no Suboperador ou o término do serviço pelo Suboperador), e a substituição for necessária para manter o Serviço seguro ou disponível, poderemos contratar o substituto antes de terminar o prazo de 14 dias. Informamos você então sem demora injustificada, e a cláusula 7.4 se aplica a partir desse aviso. Quando as SCCs se aplicam, prevalece a sua Cláusula 9.

7.6 Cópias. Mediante solicitação, fornecemos a você uma cópia dos termos de proteção de dados que acordamos com um Suboperador, ou um link para os seus termos padrão. Podemos remover informações comerciais e cláusulas não relacionadas à proteção de dados.

7.7 Não são Suboperadores. Os seguintes não são nossos Suboperadores: os seus provedores de caixa de correio (cláusula 3.2); a Polar como merchant of record (vendedor oficial) (cláusula 2.4); os remetentes de newsletters a que uma solicitação de cancelamento de inscrição é enviada a pedido de um Usuário Autorizado; e os provedores dos seus sistemas operacionais.

8. Assistência

8.1 Solicitações de titulares dos dados. A maior parte dos dados pessoais sobre os seus Usuários Autorizados e seus correspondentes é mantida pelo seu provedor de caixa de correio e nos seus dispositivos, e não por nós (cláusula 3). Levando isso em conta, assistimos você, por meio de medidas técnicas e organizacionais adequadas, a responder às solicitações de titulares dos dados que exerçam os seus direitos nos termos do Capítulo III do GDPR e os direitos equivalentes nos termos de outras Leis de Proteção de Dados:

(a) O Software permite que cada Usuário Autorizado exporte os dados que mantemos para a sua Conta, incluindo registros de notificações push e registros de envios ao suporte (Configurações › Geral › Conta › “Exportar dados”); remova uma Caixa de Correio Conectada; retire o consentimento para IA e altere a Configuração de Região (Configurações › Privacidade e IA); e exclua a Conta.

(b) Se um titular dos dados entrar em contato diretamente conosco sobre Dados Pessoais do Cliente e pudermos identificar você como o controlador, encaminhamos a solicitação a você sem demora injustificada. Não a respondemos nós mesmos, exceto para remeter o titular dos dados a você ou quando a lei exigir de outro modo.

(c) Prestamos outra assistência razoável mediante solicitação.

8.2 Segurança, violações, avaliações de impacto e consulta. Levando em conta a natureza do tratamento e as informações a nosso dispor, assistimos você no cumprimento dos arts. 32 a 36 do GDPR. Em particular, fornecemos este DPA e seus Anexos, o Aviso sobre Recursos de IA e, mediante solicitação, outras informações sobre o tratamento nos Recursos de IA de que você precise para uma avaliação de impacto sobre a proteção de dados ou para uma consulta prévia a uma autoridade de controle.

8.3 Custos. As funções de autoatendimento e a assistência descritas neste DPA estão incluídas no Serviço. Pela assistência que vá além disso e não seja causada por uma violação deste DPA por nós, podemos cobrar custos razoáveis, desde que o informemos previamente.

8.4 Autoridades e registros. Cooperamos com as autoridades de controle no exercício de suas funções, mediante solicitação. Mantemos um registro das atividades de tratamento, conforme exigido pelo art. 30, nº 2, do GDPR.

8.5 Contato de proteção de dados. O nosso contato de proteção de dados é legal@mailistix.com.

9. Violações de Dados Pessoais

9.1 Aviso. Notificamos você sem demora injustificada após tomarmos conhecimento de uma Violação de Dados Pessoais. Procuramos notificá-lo em até 48 horas.

9.2 Conteúdo. O aviso inclui, na medida em que as informações estejam disponíveis:

(a) uma descrição da natureza da violação, incluindo, quando possível, as categorias e o número aproximado de titulares dos dados e de registros de dados pessoais em causa;

(b) o nome e os dados de contato do nosso ponto de contato para obtenção de mais informações;

(c) as prováveis consequências da violação; e

(d) as medidas que adotamos ou propomos adotar para remediar a violação e atenuar os seus possíveis efeitos adversos.

Se não pudermos fornecer todas as informações ao mesmo tempo, nós as fornecemos por fases, sem demora injustificada adicional.

9.3 Nossas medidas. Tomamos medidas razoáveis, sem demora injustificada, para conter e investigar a violação, atenuar seus efeitos e evitar que se repita. Documentamos a violação e mantemos você informado.

9.4 Como notificamos. Enviamos o aviso por email aos endereços de email da Conta dos Usuários Autorizados afetados e ao contato de proteção de dados que você nos informou nos termos da cláusula 17.6.

9.5 Seus deveres. Você decide se a violação deve ser notificada a uma autoridade de controle ou aos titulares dos dados, e você faz essas notificações. Não as notificamos em seu nome, a menos que você nos instrua a fazê-lo ou que a lei o exija.

9.6 Sem reconhecimento de culpa. O nosso aviso não é um reconhecimento de culpa ou de responsabilidade.

9.7 Comunicações a nós. Comunique suspeitas de incidentes de segurança envolvendo o Serviço a legal@mailistix.com, com um assunto que comece por “Security:”, conforme descrito na nossa Política de Divulgação de Vulnerabilidades.

10. Exclusão e devolução

10.1 Durante a vigência. Mantemos os Dados Pessoais do Cliente nos Serviços em Nuvem somente pelo tempo que o Anexo 1, Parte H, indica. Rotinas automáticas diárias excluem os registros cujo prazo de retenção terminou.

10.2 Exclusão da Conta. Um Usuário Autorizado pode excluir a sua Conta no Software a qualquer momento (Configurações › Geral › Conta › “Excluir conta”); a cláusula 15.3 dos Termos descreve quando a exclusão é recusada (por exemplo, enquanto uma assinatura ainda puder gerar cobrança). A exclusão remove dos Serviços em Nuvem os Dados Pessoais do Cliente dessa Conta. No dispositivo usado para a exclusão, o Software também interrompe as notificações push, revoga o seu acesso às caixas de correio Google conectadas e apaga os dados locais dessa Conta. Você também pode nos pedir por escrito que excluamos as Contas dos seus Usuários Autorizados; fazemos isso depois de verificar os seus poderes.

10.3 Fim dos Termos para uma Conta. Ao final da prestação do Serviço para uma Conta, devolvemos ou excluímos os seus Dados Pessoais do Cliente, à sua escolha (art. 28, nº 3, alínea g, do GDPR), da seguinte forma (cláusula 15.10 dos Termos):

(a) Devolução. Você obtém uma cópia por meio da exportação no Software (cláusula 8.1(a)), que um Usuário Autorizado pode executar a qualquer momento enquanto a Conta existir. A exportação e a exclusão são gratuitas.

(b) Período de recuperação de dados. Depois que os Termos terminam para uma Conta, qualquer que seja o motivo, os seus Dados Pessoais do Cliente permanecem disponíveis para recuperação por 30 dias (o período de recuperação de dados nos termos da cláusula 15.10(d) dos Termos e do art. 25, nº 2, alínea g, do Regulamento de Dados). Durante esse período, a Conta permanece ativa e o Usuário Autorizado pode fazer login para exportar; se isso não for possível, enviamos a você a exportação mediante solicitação a legal@mailistix.com. Ao final do período, excluímos dos Serviços em Nuvem os Dados Pessoais do Cliente dessa Conta, a menos que o direito da UE ou de um Estado-Membro exija que os armazenemos. Os prazos de retenção do Anexo 1, Parte H, continuam a se aplicar durante o período.

(c) Exclusão imediata. Se um Usuário Autorizado excluir a Conta no Software (cláusula 10.2), ou você nos pedir que a excluamos, você opta pela exclusão imediata em vez de um período de recuperação de dados: excluímos de imediato os Dados Pessoais do Cliente dessa Conta.

(d) Dados exportáveis. Quanto aos Dados Pessoais do Cliente, o arquivo de exportação contém os registros de notificações do Gmail e do Outlook, os cadastros de monitoramento do Gmail e de assinaturas do Outlook e os registros dos envios ao suporte (por exemplo, data e hora, versão do aplicativo e tamanho); fornecemos o conteúdo dos envios ao suporte mediante solicitação (cláusula 15.10(b) dos Termos). Os seus Dados da Caixa de Correio permanecem disponíveis para você no seu provedor de caixa de correio e no banco de dados local do Software nos seus dispositivos; não mantemos nenhuma cópia que pudéssemos devolver. Como não armazenamos o conteúdo das solicitações de IA nem da Saída de IA, não há nada a devolver ou excluir.

10.4 Backups. O banco de dados dos Serviços em Nuvem é copiado automaticamente uma vez por dia. Cada backup é mantido por 7 dias, e os Dados Pessoais do Cliente em um backup são excluídos quando o backup expira. Os backups permanecem protegidos nos termos deste DPA e são restaurados no sistema em produção somente para a recuperação após um incidente; depois de tal restauração, aplicamos novamente as exclusões feitas desde o backup.

10.5 Suboperadores. Nossos Suboperadores de IA podem manter dados de solicitações por tempo limitado, para fins operacionais ou de monitoramento de abusos, nos termos de suas condições, conforme descrito no Anexo 1, Parte H.

10.6 Confirmação. Mediante solicitação, confirmamos a exclusão por escrito.

11. Informações e auditorias

11.1 Informações. Disponibilizamos a você as informações necessárias para demonstrar o cumprimento do art. 28 do GDPR e deste DPA, em particular:

(a) este DPA, seus Anexos e a página de Suboperadores;

(b) respostas a um questionário de segurança razoável uma vez por ano civil; e

(c) as certificações e os relatórios de auditoria de nossos Suboperadores, na medida em que eles os disponibilizem a nós para essa finalidade.

11.2 Auditorias e inspeções. Se as informações previstas na cláusula 11.1 não forem suficientes para demonstrar o nosso cumprimento, se uma autoridade de controle o exigir, ou após uma Violação de Dados Pessoais, você pode auditar o nosso cumprimento deste DPA, inclusive por meio de inspeções. Você pode realizar a auditoria por conta própria ou por meio de um auditor independente que esteja vinculado à confidencialidade e não seja nosso concorrente. Salvo se uma autoridade de controle exigir de outro modo ou se a auditoria decorrer de uma Violação de Dados Pessoais:

(a) as auditorias ocorrem no máximo uma vez em qualquer período de 12 meses;

(b) você nos dá aviso por escrito com pelo menos 30 dias de antecedência e acorda conosco previamente o escopo e o plano da auditoria; e

(c) as auditorias ocorrem durante o horário comercial normal, sem perturbação indevida das nossas operações.

As auditorias não se estendem aos dados de outros clientes nem aos nossos segredos comerciais além do que a auditoria exigir. Não operamos data centers ou servidores próprios. Quanto às instalações dos nossos Suboperadores, a auditoria se apoia em suas certificações e relatórios de auditoria nos termos da cláusula 11.1(c).

11.3 Custos. Você arca com os seus próprios custos de uma auditoria. Você nos reembolsa os custos razoáveis e documentados de apoio a uma auditoria no local, a menos que a auditoria revele uma violação relevante deste DPA por nós.

11.4 Resultados. Os resultados da auditoria são confidenciais. Você nos fornece uma cópia do relatório de auditoria. Sanamos sem demora injustificada qualquer descumprimento constatado.

11.5 SCCs. Quando as SCCs se aplicam, as auditorias nos termos da sua Cláusula 8.9 são realizadas de acordo com esta cláusula 11, na medida em que isso seja compatível com as SCCs.

12. Transferências internacionais

12.1 Onde tratamos dados. Somos estabelecidos na Alemanha, um Estado-Membro da União Europeia. Nós e nossos Suboperadores tratamos os Dados Pessoais do Cliente na UE, exceto como segue (detalhes no Anexo 3):

(a) para os Usuários Autorizados que responderam “Fora da Europa”, alguns modelos Gemini são executados no endpoint global do Google (cláusula 4.3);

(b) Suboperadores estabelecidos, ou com a sua sociedade controladora, fora da UE podem acessar Dados Pessoais do Cliente de fora da UE para suporte e operações, nos termos de suas condições de tratamento de dados; isso se aplica ao nosso parceiro contratual de hospedagem, a Supabase Pte. Ltd. em Singapura, e seu grupo, e às sociedades controladoras dos EUA de nossos demais Suboperadores;

(c) somente as funções de servidor para solicitações de IA são fixadas em regiões da UE. As demais funções de servidor (por exemplo, conexão de caixa de correio, configuração e retransmissão de notificações push, cancelamento de inscrição com um clique, envio ao suporte e exportação de dados) são executadas na região de borda da Supabase mais próxima de quem faz a chamada. Para os Usuários Autorizados fora da Europa, e para as notificações enviadas pelo Google ou pela Microsoft, elas podem, portanto, ser executadas fora da UE. O banco de dados e o armazenamento de arquivos permanecem em Frankfurt; e

(d) as notificações de alterações do Gmail passam pelo Google Cloud Pub/Sub, que não tem região de tratamento fixa.

12.2 Transferências ulteriores por nós. Só fazemos uma Transferência Restrita mediante as suas instruções documentadas (este DPA, o Anexo 3 e a Configuração de Região) e somente se as condições do Capítulo V do GDPR, e as regras equivalentes do UK GDPR e da FADP, estiverem cumpridas. Quanto aos nossos Suboperadores, nos baseamos em:

(a) uma decisão de adequação, incluindo o EU–U.S. Data Privacy Framework, sua UK Extension e o Swiss–U.S. Data Privacy Framework para destinatários certificados; ou

(b) as SCCs (Módulo 3) ou cláusulas equivalentes nos termos de tratamento de dados do Suboperador, juntamente com quaisquer medidas suplementares que a nossa avaliação de impacto da transferência indique serem necessárias. Para a Supabase, essas são as SCCs constantes do adendo de tratamento de dados da Supabase, com a Supabase Pte. Ltd. (Singapura) como importadora de dados; as transferências ulteriores para os próprios suboperadores da Supabase são regidas por esse adendo.

12.3 Transferências entre você e nós. A aplicação das SCCs entre você e nós depende de onde você está:

(a) Você é estabelecido no EEE: o envio de dados a nós, na UE, e a nossa devolução deles a você não constituem uma Transferência Restrita. As SCCs não se aplicam entre nós.

(b) Você é estabelecido no Reino Unido, na Suíça ou em outro país com decisão de adequação da Comissão Europeia: o direito do Reino Unido e o da Suíça reconhecem o EEE como oferecendo proteção adequada, e a UE reconhece o Reino Unido, a Suíça e os demais países em questão. As SCCs não se aplicam entre nós, a menos que a cláusula 12.3(d) se aplique.

(c) Você é estabelecido em qualquer outro país: o seu envio de dados a nós não é uma Transferência Restrita nos termos do GDPR, mas o nosso envio de Dados Pessoais do Cliente de volta a você (por exemplo, Saída de IA ou uma exportação) é. Para esse caso, aplica-se o Módulo 4 (de operador para controlador) das SCCs, conosco como exportador de dados e você como importador de dados, também quando você atua como operador de outro controlador (cláusula 2.3). Quando o seu tratamento dos dados estiver ele próprio sujeito ao GDPR (art. 3º, nº 2, do GDPR), as SCCs se aplicam na medida em que possam ser usadas para tal transferência, e você permanece diretamente vinculado ao GDPR.

(d) Tratamos dados fora do EEE: se formos, ou nos tornarmos, estabelecidos em um país terceiro sem decisão de adequação, ou se nós mesmos tratarmos ali Dados Pessoais do Cliente, aplica-se o Módulo 2 (quando você é controlador) ou o Módulo 3 (quando você é operador) das SCCs, com você como exportador de dados e nós como importador de dados.

12.4 SCCs: incorporação e opções. Quando as SCCs se aplicam nos termos da cláusula 12.3, elas são incorporadas a este DPA por referência, no módulo adequado ao caso, e você e nós as celebramos ao celebrar este DPA. A aceitação dos Termos equivale à assinatura das SCCs e de seus Anexos. Aplicam-se as seguintes opções e detalhes:

(a) Cláusula 7 (cláusula de acoplamento): aplica-se.

(b) Cláusula 9, alínea a (Módulos 2 e 3): Opção 2, autorização geral por escrito; o prazo é de 14 dias, e o aviso é dado nos termos da cláusula 7.3.

(c) Cláusula 11, alínea a: a redação facultativa não se aplica.

(d) Cláusula 13, alínea a (Módulos 2 e 3): a autoridade de controle competente é determinada conforme estabelecido no Anexo 1, Parte J.

(e) Cláusula 17: para os Módulos 2 e 3, aplica-se a Opção 1, e as SCCs são regidas pela lei da Alemanha. Para o Módulo 4, as SCCs são regidas pela lei da Alemanha.

(f) Cláusula 18: as disputas são resolvidas pelos tribunais da Alemanha, com foro na nossa sede registrada (Berlin, Germany). A Cláusula 18, alínea c, dos Módulos 2 e 3 permanece inalterada.

(g) O Anexo I.A (lista de partes) é o Anexo 1, Parte A; o Anexo I.B (descrição da transferência) é o Anexo 1; o Anexo I.C (autoridade de controle competente) é o Anexo 1, Parte J; o Anexo II (medidas técnicas e organizacionais) é o Anexo 2; o Anexo III (lista de suboperadores) é o Anexo 3.

(h) A certificação de exclusão nos termos da Cláusula 8.5 é dada mediante solicitação nos termos da cláusula 10.6; as auditorias nos termos da Cláusula 8.9 seguem a cláusula 11.

12.5 Transferências do Reino Unido. Quando uma transferência de Dados Pessoais do Cliente entre você e nós for uma Transferência Restrita nos termos do UK GDPR, o Adendo do Reino Unido é incorporado a este DPA e se aplica às SCCs incorporadas nos termos da cláusula 12.4. Suas Tabelas são preenchidas como segue:

(a) Tabela 1 (Partes): as partes, seus dados e seus contatos conforme estabelecidos no Anexo 1, Parte A; a data de início é a data em que este DPA passou a vincular você e nós.

(b) Tabela 2 (SCCs Selecionadas, Módulos e Cláusulas Selecionadas): a versão das Approved EU SCCs incorporada nos termos da cláusula 12.4, incluindo as Informações do Apêndice, com os módulos e as opções ali selecionados.

(c) Tabela 3 (Informações do Apêndice): a lista de partes é o Anexo 1, Parte A; a descrição da transferência é o Anexo 1; as medidas técnicas e organizacionais são o Anexo 2; a lista de suboperadores é o Anexo 3.

(d) Tabela 4 (Término deste Adendo quando o Approved Addendum muda): o Importador pode encerrar o Adendo do Reino Unido.

Aplica-se a Parte 2 do Adendo do Reino Unido, isto é, as Mandatory Clauses do Approved Addendum (o modelo de Adendo B1.0 emitido pelo Information Commissioner e apresentado ao Parlamento nos termos da seção 119A do Data Protection Act 2018, conforme revisado nos termos da seção 18 dessas Mandatory Clauses).

12.6 Transferências da Suíça. Quando uma transferência estiver sujeita à FADP:

(a) as referências ao GDPR nas SCCs são lidas como referências à FADP, na medida em que a transferência esteja sujeita à FADP;

(b) o Federal Data Protection and Information Commissioner (FDPIC) é a autoridade de controle competente nos termos da Cláusula 13 para as transferências sujeitas à FADP; quando uma transferência estiver sujeita tanto à FADP quanto ao GDPR, a autoridade indicada no Anexo 1, Parte J, permanece competente quanto à parte regida pelo GDPR;

(c) a lei aplicável nos termos da Cláusula 17 continua sendo a lei escolhida na cláusula 12.4(e); e

(d) o termo “Estado-Membro” na Cláusula 18, alínea c, não deve ser interpretado de modo a impedir que os titulares dos dados na Suíça façam valer os seus direitos em juízo no seu local de residência habitual, a Suíça.

12.7 Alterações dos mecanismos de transferência. Se um mecanismo de transferência em que nos apoiamos nos termos desta cláusula 12 for invalidado, alterado ou substituído, cooperamos com você para pôr em prática um mecanismo lícito alternativo. Podemos atualizar esta cláusula 12 para uma nova versão das SCCs ou do Adendo do Reino Unido mediante aviso a você; a atualização produz efeitos quando a lei o exigir.

13. Solicitações de autoridades públicas

13.1 Só divulgamos Dados Pessoais do Cliente a uma autoridade pública quando uma ordem vinculante legalmente nos obrigar a fazê-lo. Não os divulgamos voluntariamente, e não criamos nenhum meio que permita às autoridades acessá-los diretamente.

13.2 Se recebermos tal ordem, nós:

(a) tentamos redirecionar a autoridade para que solicite os dados diretamente a você;

(b) notificamos você prontamente, a menos que a lei o proíba; se proibir, empregamos esforços razoáveis para obter a dispensa da proibição, de modo a podermos informar você o mais cedo possível;

(c) analisamos a legalidade da ordem e a contestamos se, após avaliação cuidadosa, concluirmos que há motivos razoáveis para considerá-la ilícita nos termos da lei do país em questão, das obrigações aplicáveis do direito internacional ou dos princípios de cortesia internacional (international comity), inclusive requerendo medidas provisórias quando apropriado, e não divulgamos os dados até que as regras processuais aplicáveis nos exijam;

(d) divulgamos apenas o mínimo de dados que a ordem exige, com base em uma interpretação razoável dela; e

(e) documentamos a ordem, a nossa avaliação e a nossa resposta, e disponibilizamos essa documentação a você mediante solicitação, quando a lei o permitir.

13.3 Só podemos divulgar o que mantemos (Anexo 1, Parte H). Não mantemos os seus Dados da Caixa de Correio nem a cópia local no Software, e não armazenamos o conteúdo das solicitações de IA nem da Saída de IA.

13.4 Na data de publicação deste DPA, não recebemos nenhuma ordem ou solicitação de autoridade pública relativa a Dados Pessoais do Cliente, e não temos motivo para crer que as leis que se aplicam a nós nos impeçam de cumprir as nossas obrigações nos termos deste DPA.

13.5 Dados não pessoais (art. 32 do Regulamento de Dados). As cláusulas 13.1 a 13.3 aplicam-se igualmente aos dados não pessoais contidos no Conteúdo do Cliente que mantemos nos Serviços em Nuvem na UE. Só damos a um tribunal ou autoridade de um país fora da UE acesso a esses dados, ou os transferimos a ele, nas condições do art. 32, nºs 2 e 3 do Regulamento de Dados, e então fornecemos apenas a quantidade mínima de dados admissível, com base em uma interpretação razoável da solicitação. Informamos você de tal solicitação antes de atendê-la, a menos que a solicitação sirva a finalidades de aplicação da lei e enquanto isso for necessário para preservar a eficácia da atividade de aplicação da lei.

13.6 Informações nos termos do art. 28, nº 1, do Regulamento de Dados. A seção 4 da nossa página de Suboperadores (parte do Anexo 3) indica a jurisdição a que está sujeita a infraestrutura de TIC dos Serviços em Nuvem e as medidas que tomamos contra o acesso governamental internacional ilícito; esta cláusula 13 e o Anexo 2 descrevem essas medidas em detalhe.

14. Suas obrigações

14.1 Licitude. Você é responsável pela licitude do tratamento dos Dados Pessoais do Cliente. Isso inclui ter uma base legal para usar os Recursos de IA com os emails dos seus correspondentes e de outros terceiros, e informar os titulares dos dados quando as Leis de Proteção de Dados o exigirem.

14.2 Categorias especiais e dados sobre infrações penais. O Serviço não foi concebido para tratar categorias especiais de dados pessoais (art. 9º do GDPR) nem dados pessoais relativos a condenações penais e infrações (art. 10 do GDPR), e não tratamos intencionalmente tais dados. Eles podem, porém, aparecer em emails que os Recursos de IA tratam. Você decide se os seus Usuários Autorizados podem usar os Recursos de IA com esse conteúdo, e garante que exista uma base legal para isso (veja a Política de Uso Aceitável).

14.3 Seus usuários e a sua configuração. Você garante que:

(a) os seus Usuários Autorizados usem o Serviço de acordo com as suas instruções e com este DPA, incluindo a Configuração de Região (cláusula 4.3) e a decisão de ativar os Recursos de IA;

(b) tenha sido obtido qualquer consentimento ou envolvimento de representantes dos empregados que o seu uso do Serviço exija;

(c) tenha sido dado qualquer consentimento de administrador que o seu provedor de caixa de correio exija; e

(d) você cumpra quaisquer obrigações de sigilo profissional que se apliquem a você.

14.4 Irregularidades. Você deve nos informar sem demora injustificada se notar erros ou irregularidades no tratamento de Dados Pessoais do Cliente.

15. Responsabilidade

15.1 A nossa responsabilidade decorrente deste DPA ou a ele relacionada, incluindo as SCCs na medida em que o permitam, está sujeita às exclusões e limitações de responsabilidade dos Termos (Parte II, cláusula A.1 ou, quando se aplicarem, as cláusulas 16 e 17 da Parte I), na medida permitida pelo art. 82 do GDPR e por outra lei aplicável. A sua responsabilidade é regida pela lei.

15.2 A cláusula 15.1 não limita:

(a) a responsabilidade de qualquer das partes perante os titulares dos dados, incluindo nos termos do art. 82 do GDPR, das disposições equivalentes de outras Leis de Proteção de Dados e dos direitos de terceiros beneficiários nos termos das SCCs; nem

(b) qualquer responsabilidade que não possa ser limitada ou excluída nos termos da lei aplicável.

15.3 Entre as partes, e dentro dos limites da cláusula 15.1, cada parte arca com a parcela de qualquer indenização paga a um titular dos dados que corresponda à sua parte na responsabilidade pelo dano (art. 82, nº 5, do GDPR).

16. Leis estaduais de privacidade dos EUA

16.1 Quando o California Consumer Privacy Act (conforme alterado pelo California Privacy Rights Act) ou uma lei estadual de privacidade dos EUA comparável se aplicar a Dados Pessoais do Cliente, atuamos como o seu “service provider” ou “processor”. Nós:

(a) não vendemos nem compartilhamos Dados Pessoais do Cliente, conforme esses termos são definidos nessas leis;

(b) não retemos, usamos ou divulgamos Dados Pessoais do Cliente para qualquer finalidade, incluindo qualquer finalidade comercial, diversa das finalidades empresariais especificadas nos Termos e neste DPA, ou fora da relação empresarial direta entre você e nós;

(c) não combinamos Dados Pessoais do Cliente com informações pessoais que recebemos de outros ou em nome de outros, ou que coletamos de nossas próprias interações com consumidores, exceto conforme essas leis permitam;

(d) cumprimos as obrigações dessas leis que se aplicam a nós e oferecemos o mesmo nível de proteção da privacidade que elas exigem; e

(e) notificamos você se concluirmos que não podemos mais cumprir as nossas obrigações nos termos dessas leis.

16.2 Você pode tomar medidas razoáveis e adequadas nos termos das cláusulas 9 e 11 para assegurar que usamos os Dados Pessoais do Cliente em conformidade com essas leis, e para fazer cessar e sanar o uso não autorizado. Certificamos que compreendemos as restrições desta cláusula 16 e que as cumpriremos.

17. Vigência e disposições gerais

17.1 Vigência. Este DPA se aplica enquanto os Termos estiverem em vigor para qualquer das suas Contas e, depois disso, enquanto tratarmos Dados Pessoais do Cliente em seu nome. Ele não pode ser rescindido separadamente dos Termos. As cláusulas 5, 10, 13 e 15 subsistem ao seu término.

17.2 Alterações. Podemos alterar este DPA de acordo com as regras de alteração dos Termos (cláusulas 19.3 e 19.6 dos Termos), em particular para refletir mudanças nas Leis de Proteção de Dados, decisões de autoridades ou tribunais, novas versões das SCCs ou do Adendo do Reino Unido, ou alterações no Serviço. Uma nova versão deste DPA recebe um novo número de versão, e o Software pede aos seus Usuários Autorizados que a aceitem (cláusula 1.1 e cláusula 1.8(b) dos Termos). Uma alteração que reduza a proteção dos Dados Pessoais do Cliente só produz efeitos para você se você concordar com ela. As alterações exigidas por lei produzem efeitos quando a lei o exigir. As alterações de Suboperadores seguem, em vez disso, a cláusula 7.

17.3 Divisibilidade. Se uma disposição deste DPA for ou se tornar inválida ou inexequível, as demais disposições permanecem em vigor; aplica-se a cláusula 23.3 dos Termos.

17.4 Lei aplicável e foro. Este DPA é regido pela lei da República Federal da Alemanha, inclusive quando os Termos são regidos por outra lei, porque o art. 28, nº 3, do GDPR exige um contrato nos termos do direito da União ou de um Estado-Membro. As disposições dos Termos sobre foro e resolução de disputas aplicam-se, exceto quando as SCCs ou as Leis de Proteção de Dados exigirem de outro modo.

17.5 Idioma. A versão em inglês deste DPA é o original. As traduções são fornecidas por conveniência. Quando a lei imperativa do seu país exigir que prevaleça a versão no seu idioma, esta prevalecerá.

17.6 Avisos. Enviamos os avisos nos termos deste DPA por email aos endereços de email da Conta dos seus Usuários Autorizados e, se você nos tiver informado um, ao seu contato de proteção de dados. Envie os avisos para legal@mailistix.com. Você pode nos informar ou alterar o seu contato de proteção de dados nesse endereço a qualquer momento.

Assinatura (somente para cópias assinadas mediante solicitação nos termos da cláusula 1.1)

Anexo 1 — Descrição do tratamento

Este Anexo descreve o tratamento nos termos do art. 28, nº 3, do GDPR e serve como Anexo I das SCCs quando elas se aplicam.

Parte A — Partes

Parte B — Categorias de titulares dos dados

• Usuários Autorizados: os seus empregados, contratados e outras pessoas que usam o Serviço com Contas para os seus fins empresariais, incluindo os titulares de Caixas de Correio Conectadas.
• Correspondentes: remetentes e destinatários (Para, Cc) dos emails tratados, e outros participantes das conversas de email em causa.
• Pessoas nomeadas ou de outro modo identificáveis no texto dos emails, nos assuntos, nas assinaturas, nos nomes dos anexos, nos trechos de texto dos anexos e nos links.
• Organizadores e participantes de reuniões para as quais um briefing seja solicitado, e pessoas nomeadas no convite.
• Contatos cujos nomes e endereços de email são enviados com uma pergunta do Ask AI como correspondentes mais frequentes do Usuário Autorizado, ou cujas preferências de idioma e de formalidade são enviadas com uma solicitação de rascunho.

Parte C — Categorias de dados pessoais

As solicitações de rascunho e de reescrita também contêm o nome, o endereço de email e o fuso horário do Usuário Autorizado que as inicia; as solicitações do Ask AI e de briefing de reunião contêm a data atual e o fuso horário do Usuário Autorizado.

Os modelos usados pelos provedores listados no Anexo 3 podem mudar, inclusive para comparações de qualidade. Tais mudanças permanecem sempre dentro dos Suboperadores e das regiões de tratamento indicados no Anexo 3 e da Configuração de Região do Usuário Autorizado.

Parte D — Categorias especiais de dados pessoais e dados sobre infrações penais

O Serviço não trata intencionalmente categorias especiais de dados pessoais nem dados relativos a condenações penais e infrações. Tais dados podem aparecer incidentalmente no conteúdo de emails, anexos ou reuniões que um Usuário Autorizado envia a um Recurso de IA (cláusula 14.2). As seguintes salvaguardas aplicam-se a todos os Dados Pessoais do Cliente, incluindo esses dados: tratamento somente quando um Usuário Autorizado inicia um recurso; nenhum armazenamento do conteúdo das solicitações de IA nem da Saída de IA; nenhum uso para treinamento; nenhuma revisão humana, exceto nos termos da cláusula 5.2; criptografia em trânsito; tratamento na UE para Usuários Autorizados com a Configuração de Região “Na Europa” ou sem resposta; e as medidas do Anexo 2.

Parte E — Natureza do tratamento

Receber a solicitação do Software; montar o prompt no servidor a partir dos dados de que o recurso precisa; transmiti-lo a um modelo de IA de um Suboperador e devolver a Saída ao Software (em fluxo contínuo, quando o recurso o comportar); retransmitir trocas OAuth e solicitações de cancelamento de inscrição com um clique; receber, armazenar por curto prazo e repassar notificações push; armazenar envios ao suporte; excluir tudo isso conforme o cronograma.

Parte F — Finalidades

Prestar o Serviço a você, a saber: gerar a Saída de IA que um Usuário Autorizado solicita; conectar Caixas de Correio Conectadas; informar o Software em tempo real sobre emails novos ou alterados; cancelar a inscrição em newsletters sem revelar ao remetente o endereço IP do Usuário Autorizado; e tratar solicitações de suporte.

Parte G — Duração e frequência

O tratamento dura enquanto este DPA estiver em vigor (cláusula 17.1), acrescido dos prazos de exclusão da Parte H. Ele ocorre de forma contínua, cada vez que um Usuário Autorizado inicia um recurso ou uma Caixa de Correio Conectada muda.

Parte H — Retenção

Para sua informação: os metadados de uso das solicitações de IA (sem conteúdo) são mantidos por 180 dias, e os registros de eventos de segurança por 180 dias. Nós os tratamos como controlador independente (cláusula 2.4).

Parte I — Locais de tratamento

• Banco de dados e armazenamento de arquivos dos Serviços em Nuvem: Frankfurt, Alemanha (Amazon Web Services, operada pela Supabase). A Supabase Pte. Ltd. (Singapura) e seu grupo podem acessá-los para suporte e operações (cláusula 12.1(b)).
• Funções de servidor para solicitações de IA: somente regiões de borda da UE da Supabase; Frankfurt por padrão, e a configuração admite apenas Frankfurt, Irlanda e Paris.
• Modelos de IA: Microsoft Azure OpenAI na EU Data Zone; Google Vertex AI na multirregião da UE; para os Usuários Autorizados que responderam “Fora da Europa”, alguns modelos Gemini no endpoint global do Google.
• Notificações do Gmail: Google Cloud Pub/Sub (infraestrutura global do Google, sem região fixa).
• Emails de suporte e mensagens do formulário de contato: Microsoft 365, EU Data Boundary; as mensagens do formulário de contato passam pela rede da Cloudflare.
• Demais funções de servidor: a região de borda da Supabase mais próxima de quem faz a chamada, que pode ficar fora da UE (cláusula 12.1(c)).

Parte J — Autoridade de controle competente

• Para os Módulos 2 e 3 (Cláusula 13): (i) se você é estabelecido em um Estado-Membro da UE, a autoridade de controle competente para você nesse Estado-Membro; (ii) se você não é estabelecido na UE, mas está sujeito ao GDPR nos termos do art. 3º, nº 2 e designou um representante nos termos do art. 27, nº 1, a autoridade de controle do Estado-Membro em que o seu representante é estabelecido; (iii) se você não é estabelecido na UE, está sujeito ao GDPR nos termos do art. 3º, nº 2 e não precisa designar um representante (art. 27, nº 2), o Comissário de Berlim para a Proteção de Dados e a Liberdade de Informação (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany, como autoridade de um Estado-Membro em que se encontram os titulares dos dados em questão.
• Para as transferências sujeitas ao UK GDPR: o Information Commissioner's Office. Para as transferências sujeitas à FADP: o FDPIC (cláusula 12.6).
• A nossa própria autoridade de controle: o Comissário de Berlim para a Proteção de Dados e a Liberdade de Informação (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany.

Anexo 2 — Medidas técnicas e organizacionais

Este Anexo descreve as medidas nos termos do art. 32 do GDPR, estruturadas segundo os títulos do art. 32 do GDPR e da ISO/IEC 27001. A Parte A abrange os Serviços em Nuvem, que estão sob a nossa responsabilidade. A Parte B descreve as funções de segurança do Software, que é executado sob o seu controle (cláusula 3). Este Anexo descreve apenas medidas que estão em vigor.

Parte A — Serviços em Nuvem

A.1 Governança e pessoal

• Responsabilidade pela segurança da informação e pela proteção de dados: Marvin Muvunyi (administrador). Contato de proteção de dados: legal@mailistix.com.
• Políticas internas sobre retenção e exclusão e sobre resposta a incidentes e notificação de violações, revisadas pelo menos uma vez por ano.
• As pessoas com acesso a Dados Pessoais do Cliente estão vinculadas à confidencialidade (cláusula 5) e são instruídas sobre proteção de dados e segurança. O acesso termina quando deixa de ser necessário.
• Não existe interface de administração do aplicativo. A administração ocorre somente nos consoles dos nossos provedores (Supabase, Google Cloud, Microsoft Azure e Entra, Polar, GitHub, Cloudflare). O acesso a eles é limitado ao nosso administrador.

A.2 Controle de acesso físico

• Não operamos data centers ou servidores próprios. Os Serviços em Nuvem são executados em data centers da Supabase (na Amazon Web Services), do Google e da Microsoft, cuja segurança física é certificada segundo normas reconhecidas, como a ISO/IEC 27001 e o SOC 2.
• Os dispositivos usados para a administração têm criptografia de disco completo, bloqueio automático de tela e um sistema operacional com suporte.

A.3 Controle de acesso ao sistema (autenticação)

Para Usuários Autorizados (Supabase Auth):

• Sem senhas: cadastro e login somente com um código de uso único de 6 dígitos enviado ao endereço de email da Conta, válido por 15 minutos e utilizável uma só vez, gerado a partir de uma fonte aleatória criptograficamente segura; ele também confirma o endereço de email.
• Limites de taxa por endereço IP para login, cadastro e verificação de código, e um limite de emails da conta.
• Sessões: tokens de acesso válidos por 1 hora; tokens de atualização são rotacionados; uma sessão expira após 90 dias sem uso. O encerramento da sessão revoga todos os tokens de atualização do usuário.
• A exclusão de uma Conta exige um código de uso único enviado ao endereço de email da Conta, informado nos últimos 10 minutos, e uma confirmação digitada. Uma alteração de endereço de email deve ser confirmada a partir dos dois endereços.
• Nenhuma conta padrão e nenhuma chave estática de administrador em qualquer interface exposta.
• O acesso à caixa de correio usa o fluxo de código de autorização OAuth 2.0 com PKCE (S256) no navegador do sistema. O valor de state é aleatório, de uso único e válido por 10 minutos. Os segredos de cliente existem apenas no servidor.

Para administradores:

• A administração ocorre somente nos consoles dos provedores indicados em A.1, por meio de contas pessoais do nosso administrador; não há contas de administrador compartilhadas.
• As funções privilegiadas do banco de dados, como excluir uma Conta mediante solicitação ou prorrogar um teste, só podem ser executadas pela função de proprietário do banco de dados no console do provedor, e não pela API dos Serviços em Nuvem.

A.4 Controle de acesso aos dados (autorização)

• A segurança em nível de linha (row-level security) está ativada em todas as tabelas do esquema público do banco de dados; as políticas comparam o usuário de cada registro com o usuário autenticado. A única tabela compartilhada é uma tabela somente leitura de limites de Plano.
• A função anônima não tem privilégios sobre tabelas. A função autenticada tem apenas os privilégios amparados por uma política. Os privilégios do banco de dados são comparados com um instantâneo revisado após cada migração do banco de dados.
• Todas as funções privilegiadas do banco de dados (SECURITY DEFINER) usam um caminho de busca (search path) vazio; as que os usuários podem chamar derivam o usuário do token verificado.
• As funções de servidor verificam o token de acesso e identificam o usuário por meio do Supabase Auth. Elas nunca tomam um ID de usuário da requisição, limitam cada consulta a esse usuário e falham de forma segura (fail closed).
• Os webhooks determinam o proprietário da caixa de correio a partir de registros do lado do servidor, gravados sob o usuário autenticado, nunca a partir do conteúdo da notificação.
• Os envios ao suporte são armazenados em um bucket de armazenamento privado e nunca são servidos de volta.
• Os segredos do lado do servidor são mantidos nos segredos das Edge Functions do Supabase e no Vault, e não no código-fonte. A verificação de segredos abrange o código-fonte e todo o seu histórico. O pacote do Software contém apenas uma configuração pública em lista de permissão (allowlist).

A.5 Controle de separação

• Os registros de cada usuário são separados logicamente por segurança em nível de linha e por consultas limitadas ao usuário.
• Cada solicitação de IA é tratada separadamente; nada dela é mantido no servidor entre solicitações.

A.6 Pseudonimização e minimização de dados

• O conteúdo das solicitações de IA e a Saída de IA não são armazenados; o uso é registrado como metadados sem conteúdo.
• Os prompts são montados no servidor somente com os dados de que o recurso precisa, dentro de limites fixos de tamanho (Anexo 1, Parte C).
• Os logs das funções de servidor contêm apenas códigos e contagens, sem tokens, endereços ou conteúdo; nosso provedor de hospedagem os mantém por até 90 dias.
• As notificações push não trazem conteúdo de emails. Os links de cancelamento de inscrição não são registrados em log nem armazenados.
• Os segredos de webhook por assinatura são armazenados somente como hashes SHA-256.
• Os registros de eventos de segurança perdem o ID de usuário quando a Conta é excluída.
• A telemetria opcional usa um identificador aleatório pseudonimizado e nunca contém conteúdo de emails nem textos de IA.

A.7 Criptografia

• Em trânsito: TLS 1.2 ou 1.3 em todas as conexões entre o Software, os Serviços em Nuvem, os nossos Suboperadores e os provedores de caixa de correio. Nenhuma verificação de certificado é desativada em lugar algum, e as versões de produção do Software recusam opções que enfraqueçam o TLS. Os endpoints de API usam HSTS.
• Em repouso: o banco de dados e o armazenamento de arquivos são criptografados pela Supabase (AES-256); os segredos do lado do servidor são criptografados em repouso pela plataforma.

A.8 Controle de transferência

• As solicitações de IA são executadas somente em regiões de borda da UE da Supabase; as funções de servidor recusam tratar solicitações de IA em qualquer outra região.
• Os provedores de IA são chamados somente em endpoints fixos. O Microsoft Azure OpenAI é chamado com o armazenamento de respostas desativado.
• Os webhooks são autenticados: Polar por HMAC-SHA256 sobre o corpo bruto, com comparação em tempo constante e carimbos de data e hora com no máximo 5 minutos; Google Pub/Sub por um token OIDC assinado pelo Google, verificado quanto ao emissor, ao público (audience), à conta de serviço fixada e a uma validade de no máximo 1 hora; Microsoft Graph por um segredo aleatório de 256 bits por assinatura. Os corpos das requisições têm limite de tamanho.
• As requisições entre origens (cross-origin) são restritas por uma lista de permissão, sem credenciais.
• As solicitações de cancelamento de inscrição com um clique vão apenas para endereços HTTPS que resolvem para endereços IP públicos, sem cookies, credenciais ou referrer, e os redirecionamentos não são seguidos.
• Os Dados Pessoais do Cliente são repassados somente aos Suboperadores listados no Anexo 3.

A.9 Controle de entrada (registro em log)

• Uma trilha de eventos de segurança registra eventos como uma caixa de correio conectada ou uma conexão malsucedida, um teste prorrogado por um administrador, ou uma resposta de IA retida pela proteção contra vazamento (leak guard), com data e hora, resultado e código (180 dias).
• Os registros de uso de IA contêm recurso, modelo, status, tokens, Créditos e data e hora, sem conteúdo (180 dias).
• Os logs do Software e das funções de servidor passam por uma ocultação central de credenciais, tokens e conteúdo de emails.
• As ações administrativas no Google Cloud são registradas pelo Google (logs de auditoria de Admin Activity).

A.10 Disponibilidade e resiliência

• Os Serviços em Nuvem são executados em infraestrutura gerenciada (Supabase na Amazon Web Services, Frankfurt).
• Backups: um backup diário do banco de dados dos Serviços em Nuvem, mantido por 7 dias (cláusula 10.4); após uma restauração, as exclusões feitas desde o backup são aplicadas novamente. Os Dados Pessoais do Cliente nos Serviços em Nuvem são de curta duração (Anexo 1, Parte H), e os Dados da Caixa de Correio não dependem dos Serviços em Nuvem.
• As solicitações de IA usam cadeias de contingência (fallback) entre o Microsoft Azure OpenAI e o Google Vertex AI, e um disjuntor (circuit breaker) para provedores com falha, de modo que a indisponibilidade de um provedor não interrompa os Recursos de IA.
• Limites de taxa e um limite diário de gastos com IA por usuário protegem contra sobrecarga e abuso.
• Os Dados da Caixa de Correio permanecem disponíveis no provedor de caixa de correio, independentemente dos Serviços em Nuvem.
• Os erros das funções de servidor são comunicados ao Sentry (região da UE) como códigos de erro, sem conteúdo; um alarme sobre uma resposta de IA retida também traz um hash do ID de usuário.

A.11 Gestão de incidentes

• Um procedimento documentado de detecção, contenção, avaliação, notificação, recuperação e revisão de incidentes; notificação dos Clientes Empresariais nos termos da cláusula 9.
• Um canal público de comunicação de vulnerabilidades nos termos da Política de Divulgação de Vulnerabilidades.

A.12 Testes, avaliação e apreciação regulares

• Análise estática de código do Software e das funções de servidor antes do lançamento.
• Suítes de testes automatizados, incluindo testes dos limites de segurança do Software e das funções de servidor; execuções de CI programadas.
• Alertas automáticos de dependências e atualizações de segurança; verificações de vulnerabilidades das dependências de produção (npm audit, OSV); verificação de segredos.
• Verificações da configuração TLS dos nossos endpoints.
• Revisão deste Anexo pelo menos uma vez por ano e após alterações relevantes.

A.13 Controle de instruções (Suboperadores)

• Os Suboperadores são selecionados por suas garantias de segurança e de proteção de dados e vinculados por contratos nos termos do art. 28, nº 4, do GDPR.
• Configuração que limita o tratamento: regiões da UE para solicitações de IA e modelos de IA (para a Configuração de Região “Na Europa” ou sem resposta), Azure OpenAI na EU Data Zone, armazenamento de respostas desativado, sem treinamento nos termos dos contratos dos provedores.
• O pessoal atua somente mediante instruções; os Dados Pessoais do Cliente não são usados para os nossos próprios fins (cláusula 4.6).

A.14 Proteção de dados desde a concepção e por padrão

• Os Recursos de IA ficam desativados até que um Usuário Autorizado os ative em uma caixa de diálogo de consentimento, e podem ser desativados a qualquer momento.
• O padrão de região é a UE: sem resposta, o tratamento por IA permanece na UE.
• Telemetria e relatórios de falhas somente com adesão (opt-in).
• O Software nunca envia um email ou uma resposta a reunião por conta própria; os rascunhos são enviados somente pelo Usuário Autorizado.
• As imagens remotas em emails são bloqueadas por padrão.
• Rotinas automáticas de exclusão fazem cumprir os prazos de retenção do Anexo 1, Parte H.

A.15 Medidas de proteção específicas para IA

• O conteúdo dos emails é repassado ao modelo como dados marcados e não confiáveis; as instruções ao modelo são mantidas somente no servidor.
• Uma proteção contra vazamento (leak guard) retém respostas que reproduzam instruções internas e registra o evento sem o texto da resposta.
• Os modelos não podem realizar ações: não podem enviar, excluir ou alterar nada em uma caixa de correio, e toda Saída é exibida ao Usuário Autorizado.

Parte B — Funções de segurança do Software (sob o seu controle)

• O banco de dados local de emails é criptografado com ChaCha20-Poly1305 (SQLite3MultipleCiphers) sob uma chave aleatória de 256 bits, que o repositório de credenciais do sistema operacional protege (macOS Keychain, Windows Data Protection API). O arquivo da chave é legível apenas pelo proprietário. As versões de produção recusam-se a abrir um banco de dados não criptografado.
• Os tokens da caixa de correio e a sessão do Mailistix são criptografados com o repositório de credenciais do sistema operacional e não são mantidos no armazenamento do navegador.
• Os anexos abertos são mantidos em cache criptografados (AES-256-GCM) por no máximo 7 dias e 512 MiB; as cópias temporárias em texto simples são excluídas após 10 minutos. O log local de suporte é criptografado e mantido por no máximo 7 dias.
• Na saída de logs, credenciais, tokens, endereços e conteúdo de emails são ocultados.
• O HTML dos emails é higienizado e exibido em um frame isolado (sandbox) sem scripts, sob uma Content Security Policy. As imagens remotas são bloqueadas por padrão. As pré-visualizações de anexos são executadas em um sandbox sem acesso à rede. O acesso a arquivos é restrito às pastas do próprio Software.
• O login na caixa de correio ocorre no navegador do sistema, e não em um navegador incorporado.
• A versão para macOS usa o hardened runtime. As atualizações são baixadas por HTTPS e instaladas somente depois que o usuário confirma; a assinatura do instalador para Windows é verificada.
• A remoção de uma Caixa de Correio Conectada interrompe suas notificações push, exclui seus emails locais e revoga o acesso a uma caixa de correio Google. A exclusão da Conta apaga os dados locais dessa Conta no dispositivo.
• Sua responsabilidade: segurança dos dispositivos e das contas de sistema operacional, criptografia do dispositivo, bloqueio de tela, cópias de segurança e exclusão de dados locais quando um dispositivo é desativado.

Anexo 3 — Suboperadores

Os Suboperadores autorizados, com os dados que tratam, seus locais de tratamento e as garantias para a transferência, estão listados na nossa página de Suboperadores. Essa página integra este Anexo; as alterações seguem a cláusula 7. A tabela abaixo resume os Suboperadores que tratam Dados Pessoais do Cliente. Os provedores que tratam apenas dados dos quais somos controlador independente (por exemplo, análises de produto opcionais, relatórios de erros do aplicativo e emails da conta) também constam dessa página, mas não são Suboperadores nos termos deste DPA.

Cada Suboperador usa seus próprios suboperadores (por exemplo, a Supabase usa a Amazon Web Services), que ele lista em sua própria documentação.