Adendo de Tratamento de Dados do masterweb.ai

Versão 1.0, em vigor desde 2 de outubro de 2026

Este Adendo de Tratamento de Dados ("DPA") faz parte dos Termos de Serviço do masterweb.ai ("Termos") entre a TECNOLOGIA MASTERWEB SAS (NIT 900.947.569-8), que opera a marca Masterweb AI, localizada na Carrera 64 No. 24-47, Bogota 111321, Colômbia ("nós", "nos", "Operador"), e a empresa que contrata os nossos serviços ("Cliente", "você", "Controlador"). Aplica-se automaticamente quando você aceita os Termos.

1. Definições

• Visitantes: pessoas que visitam ou interagem com o site do Cliente, incluindo as que usam o chatbot ou enviam formulários.
• Dados de Visitantes: informações pessoais sobre os Visitantes que tratamos em nome do Cliente por meio do serviço.
• Tratamento: qualquer operação com Dados de Visitantes, como coletar, armazenar, usar, transmitir ou excluir.
• Suboperador: um terceiro que contratamos para tratar Dados de Visitantes por nós.
• Incidente de Segurança: uma violação de segurança confirmada que leve ao acesso não autorizado a Dados de Visitantes, ou à sua perda, destruição, alteração ou divulgação acidental ou ilícita.
• Leis de Proteção de Dados: as leis de privacidade e segurança de dados dos Estados Unidos e de seus estados que se apliquem ao tratamento, incluindo Fla. Stat. 501.171 e, quando aplicáveis, as leis estaduais abrangentes de privacidade, como a California Consumer Privacy Act.

Os demais termos em letra maiúscula têm o significado que lhes é dado nos Termos.

2. Papéis

2.1 O Cliente é o controlador (ou "business") dos Dados de Visitantes. Ele decide por que e como os Dados de Visitantes são tratados.

2.2 Nós somos o operador (ou "service provider") dos Dados de Visitantes. Tratamos esses dados apenas em nome do Cliente, para prestar o serviço.

2.3 Quanto às informações sobre o próprio Cliente e sua equipe (por exemplo, contatos de conta e de cobrança), atuamos como controlador independente nos termos da nossa Política de Privacidade, e este DPA não se aplica a essas informações.

3. Detalhes do tratamento

O objeto, a natureza, a finalidade, a duração, os tipos de dados e as categorias de pessoas envolvidas estão descritos no Anexo 1.

4. Responsabilidades do Cliente

O Cliente:

• 4.1 é responsável por ter uma base legal, e os consentimentos necessários, para os Dados de Visitantes que nos pede para tratar;
• 4.2 publica o seu próprio aviso de privacidade no seu site, descrevendo o chatbot, a gravação das conversas, o uso de provedores de IA, os formulários e a análise de dados;
• 4.3 mantém os avisos de assistente de IA e de gravação que o nosso chatbot exibe, e acrescenta qualquer outro aviso ou consentimento que a lei exija no seu site;
• 4.4 obtém consentimento prévio, expresso e por escrito antes de nos pedir que enviemos mensagens de texto ou de WhatsApp a Visitantes, caso esse recurso passe a estar disponível, e respeita os pedidos de cancelamento;
• 4.5 não usa o serviço para coletar informações sensíveis (como informações de saúde, números de cartão de pagamento, números de documentos de identificação oficiais ou geolocalização precisa) nem informações de crianças menores de 13 anos, a menos que acordemos por escrito salvaguardas específicas;
• 4.6 nos dá instruções que cumprem as Leis de Proteção de Dados.

5. Nossas obrigações

Nós:

• 5.1 Seguimos instruções. Tratamos os Dados de Visitantes apenas para prestar o serviço, nos termos dos Termos, deste DPA e das instruções documentadas do Cliente (incluindo as configurações que o Cliente escolher no serviço). Se acreditarmos que uma instrução viola a lei, informamos o Cliente. Se a lei nos obrigar a tratar os Dados de Visitantes de outra forma, informamos o Cliente antes, a menos que a lei o proíba.
• 5.2 Mantemos a confidencialidade. Garantimos que as pessoas que acessam os Dados de Visitantes estejam sujeitas a obrigações de confidencialidade e os acessem apenas quando necessário.
• 5.3 Protegemos os dados. Mantemos as medidas de segurança do Anexo 2.
• 5.4 Não os vendemos. Não vendemos nem compartilhamos os Dados de Visitantes para publicidade comportamental entre contextos, não os usamos para fins próprios fora da relação comercial com o Cliente e não os combinamos com informações pessoais de outras fontes, salvo o que as Leis de Proteção de Dados permitirem para prestar o serviço.
• 5.5 Não treinamos modelos de IA com eles. Não usamos os Dados de Visitantes para treinar modelos de IA e não permitimos que os nossos Suboperadores o façam.
• 5.6 Cumprimos as leis estaduais quando se aplicam. Quando uma lei estadual abrangente de privacidade se aplicar ao tratamento, cumprimos as obrigações de prestador de serviços ou operador previstas nessa lei e avisamos o Cliente se deixarmos de poder cumpri-las.

6. Suboperadores

6.1 Autorização. O Cliente nos concede autorização geral para usar Suboperadores nestas categorias: provedores de IA (LLM), provedores de hospedagem e infraestrutura, provedores de envio de e-mail, serviços de segurança e antibot e, se o recurso estiver habilitado, provedores de mensagens de texto. A lista atual está disponível mediante solicitação em [email protected].

6.2 Nossa responsabilidade. Vinculamos cada Suboperador por meio de um contrato escrito com obrigações de proteção de dados que sejam pelo menos tão protetoras quanto este DPA para o serviço que ele presta, incluindo a proibição de treinar modelos de IA com Dados de Visitantes. Continuamos responsáveis pelo desempenho dos nossos Suboperadores.

6.3 Alterações. Avisamos o Cliente com pelo menos 30 dias de antecedência antes de adicionar ou substituir um Suboperador, a menos que seja necessária uma alteração urgente por segurança ou continuidade do serviço, caso em que avisamos o mais rápido possível. O Cliente pode se opor por motivos razoáveis de proteção de dados. Se não pudermos atender à objeção, o Cliente pode cancelar o serviço afetado sem taxa de reativação ou outra penalidade e receber o reembolso das tarifas pré-pagas pelo período não utilizado.

7. Incidentes de Segurança

7.1 Notificamos o Cliente sem demora indevida e, em qualquer caso, dentro de 72 horas após confirmarmos um Incidente de Segurança que afete os seus Dados de Visitantes.

7.2 A notificação descreve, na medida do que for conhecido: o que aconteceu, os tipos de dados e o número aproximado de pessoas afetadas, as prováveis consequências e as medidas tomadas ou propostas. Atualizamos as informações à medida que soubermos mais.

7.3 Tomamos medidas razoáveis para conter o incidente e reduzir seus efeitos, e damos ao Cliente ajuda razoável para que ele cumpra as suas próprias obrigações de notificação, incluindo a notificação em 30 dias exigida por Fla. Stat. 501.171.

7.4 Salvo exigência legal em contrário, o Cliente decide se e como notificar os Visitantes e as autoridades, e não notificamos os Visitantes diretamente sem o acordo do Cliente.

8. Assistência

8.1 Solicitações de Visitantes. Se um Visitante nos contatar diretamente com uma solicitação sobre Dados de Visitantes (por exemplo, de acesso ou exclusão), nós a encaminhamos ao Cliente e não a respondemos por conta própria, a menos que o Cliente nos peça. Damos ao Cliente as ferramentas ou a ajuda razoavelmente necessárias para localizar, exportar, corrigir ou excluir Dados de Visitantes, para que ele possa responder à solicitação.

8.2 Outra assistência. Damos ao Cliente informações e ajuda razoáveis para avaliações de risco e para consultas das autoridades sobre o tratamento.

9. Devolução e exclusão

9.1 Durante o serviço, o Cliente pode exportar as conversas do chatbot e os dados de leads por meio do serviço ou mediante solicitação.

9.2 Após o término do serviço, mantemos os Dados de Visitantes por 60 dias para que o Cliente possa solicitar uma exportação ou reativar o serviço. Passados esses 60 dias, excluímos os Dados de Visitantes, e os backups que os contêm são removidos à medida que expiram no seu ciclo normal.

9.3 Só podemos manter os Dados de Visitantes por mais tempo quando a lei o exigir e, nesse caso, continuamos a protegê-los nos termos deste DPA.

10. Informações e auditorias

Mediante solicitação por escrito, no máximo uma vez por ano (ou após um Incidente de Segurança), damos ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA, como uma descrição escrita das nossas medidas de segurança e respostas a um questionário de segurança razoável. Qualquer auditoria presencial exige acordo mútuo sobre escopo, prazos e custos, e deve proteger a confidencialidade dos nossos outros clientes.

11. Local do tratamento

11.1 Os Dados de Visitantes são tratados nos Estados Unidos e na Colômbia. Nós os protegemos conforme este DPA exige, onde quer que sejam tratados.

11.2 Lei colombiana. Por sermos uma empresa colombiana, também atuamos como Encargado del Tratamiento nos termos da Lei 1581 de 2012 e do Decreto 1377 de 2013 quando tratamos Dados de Visitantes. Este DPA serve como o contrato de transmissão exigido por essa lei para o tratamento que realizamos em nome do Cliente, e os nossos Suboperadores nos Estados Unidos recebem Dados de Visitantes somente nos termos dele. A Seção 13 da nossa Política de Privacidade descreve as nossas obrigações e os direitos dos titulares segundo a lei colombiana.

11.3 Possível mudança da entidade contratante. Uma empresa do nosso grupo nos Estados Unidos poderá assumir o serviço no futuro. Se isso ocorrer, este DPA será cedido a ela junto com os Termos, com aviso prévio ao Cliente (Termos, Seção 21.3).

12. Responsabilidade e ordem de precedência

12.1 A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações de responsabilidade dos Termos.

12.2 Se este DPA conflitar com os Termos quanto ao tratamento de Dados de Visitantes, este DPA prevalece.

12.3 Este DPA permanece em vigor enquanto tratarmos Dados de Visitantes para o Cliente, inclusive durante o período de 60 dias após o término do serviço.

13. Contato

TECNOLOGIA MASTERWEB SAS (NIT 900.947.569-8), que opera a marca Masterweb AI Carrera 64 No. 24-47, Bogota 111321, Colômbia E-mail: [email protected]

---

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas de segurança

Mantemos medidas adequadas ao risco, incluindo:

• criptografia dos dados em trânsito (HTTPS/TLS);
• separação dos dados de cada Cliente na plataforma;
• acesso aos sistemas de produção limitado ao pessoal autorizado que precisa dele, com contas individuais;
• códigos de verificação e proteções de sessão para o acesso às contas;
• backups periódicos e procedimentos de restauração documentados, prestados com esforços comercialmente razoáveis;
• atualizações de segurança automatizadas para a plataforma e para os sites hospedados;
• proteção antibot, limites de uso e monitoramento de abusos em formulários e chat;
• registro de eventos administrativos e relevantes para a segurança;
• obrigações de confidencialidade para a equipe e os prestadores de serviço;
• um processo de resposta a incidentes consistente com a Seção 7.