Jurídico
Acordo de tratamento de dados
Última atualização: 12 de outubro de 2026
Esta tradução é fornecida por conveniência. Em caso de divergência com a versão em inglês, prevalece a versão em inglês. Leia a versão em inglês.
Este é o acordo padrão de tratamento de dados (DPA) da Incbury. Ele faz parte dos nossos termos de uso para clientes que usam a Incbury em nome de uma organização e vale sem precisar de assinatura.
Se precisar de uma via assinada, solicite informando a razão social da sua organização e devolveremos o documento assinado pela Foundry Systems Ltd (número da empresa 16940612, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom).
1. Escopo e papéis
Este DPA se aplica quando a Foundry Systems Ltd ("Incbury") trata dados pessoais em nome de um cliente ("Cliente") por meio do Incbury Chat, Teams, Business ou da plataforma para desenvolvedores (o "Serviço"). O Cliente é o controlador e a Incbury é a operadora. Ele se aplica nos termos do UK GDPR, do Data Protection Act 2018 e, quando cabível, do GDPR da UE.
2. Instruções
A Incbury trata dados pessoais do Cliente apenas conforme suas instruções documentadas, que são o contrato, este DPA e o uso e a configuração do Serviço pelo Cliente. A Incbury avisará o Cliente se entender que uma instrução viola a legislação de proteção de dados.
3. Confidencialidade
A Incbury garante que todas as pessoas autorizadas a tratar dados pessoais do Cliente estão sujeitas a confidencialidade e só têm o acesso que sua função exige.
4. Segurança
A Incbury aplica as medidas técnicas e organizacionais do Anexo 2 e pode atualizá-las desde que o nível geral de proteção não diminua. Os detalhes atuais estão na nossa central de confiança.
5. Suboperadores
O Cliente autoriza a Incbury a usar os suboperadores da nossa lista de suboperadores. A Incbury avisará com pelo menos 30 dias de antecedência sobre novos suboperadores, o Cliente pode se opor por motivos razoáveis de proteção de dados, e a Incbury imporá obrigações equivalentes a cada suboperador e continuará responsável por ele.
6. Transferências internacionais
Quando dados pessoais do Cliente forem transferidos para fora do Reino Unido ou do EEE, a Incbury se baseia em decisões de adequação ou no International Data Transfer Agreement ou Addendum do Reino Unido e nas Cláusulas Contratuais Padrão da UE, incorporados por referência.
7. Assistência
A Incbury ajuda o Cliente a atender solicitações de titulares por meio dos recursos de exportação, exclusão, SCIM e API de conformidade do Serviço, e presta ajuda razoável com segurança, notificação de incidentes, relatórios de impacto e consultas às autoridades.
8. Incidentes com dados pessoais
A Incbury notificará o Cliente sem demora injustificada e, em qualquer caso, em até 48 horas após tomar conhecimento de um incidente que afete dados pessoais do Cliente, com as informações disponíveis e atualizações posteriores.
9. Auditorias
A Incbury disponibilizará as informações necessárias para demonstrar o cumprimento deste DPA, incluindo certificados e relatórios de auditoria quando emitidos. O Cliente pode realizar uma auditoria por ano com 30 dias de aviso prévio, às suas custas, ou sempre que uma autoridade exigir.
10. Exclusão e devolução
O Cliente pode exportar seus dados a qualquer momento. Ao fim do contrato, a Incbury exclui os dados pessoais do Cliente dos sistemas ativos em até 30 dias e dos backups em até 90 dias, salvo obrigação legal de guarda.
11. Sem treinamento nem venda
A Incbury não usa dados pessoais do Cliente para treinar seus modelos e não os vende.
12. Responsabilidade e prevalência
A responsabilidade nos termos deste DPA está sujeita aos limites do contrato. Se este DPA conflitar com o contrato em matéria de proteção de dados, prevalece este DPA; se conflitar com as Cláusulas Contratuais Padrão ou o acordo de transferência, prevalecem estes.
Anexo 1: Detalhes do tratamento
| Objeto | Prestar o Serviço ao Cliente. |
|---|---|
| Duração | A vigência do contrato, mais os prazos de exclusão da cláusula 10. |
| Natureza e finalidade | Armazenar, transmitir e processar conteúdo com modelos de IA para gerar respostas, pesquisar, executar ferramentas e oferecer recursos do workspace. |
| Titulares | Usuários autorizados do Cliente e pessoas cujos dados pessoais aparecem no conteúdo enviado pelo Cliente. |
| Dados pessoais | Dados de conta e perfil, conversas, prompts e respostas, arquivos enviados, conteúdo de conectores que o Cliente escolher compartilhar, informações de uso e de dispositivo. |
| Dados sensíveis | Não previstos. O Cliente decide se os envia e precisa ter uma base legal. |
| Frequência | Contínua, enquanto o Cliente usar o Serviço. |
Anexo 2: Medidas técnicas e organizacionais
- Criptografia em trânsito com TLS 1.2 ou superior e em repouso para bancos de dados, armazenamento de objetos e backups.
- Login único, provisionamento SCIM, autenticação em dois fatores e controle de acesso por função.
- Acesso à produção com privilégio mínimo, gestão de segredos e log de auditoria à prova de adulteração.
- Sandboxes isoladas e temporárias para execução de código e navegação.
- Controles de rede, incluindo listas de IPs permitidos para workspaces Business.
- Revisão de código, testes automatizados e integração contínua antes da implantação.
- Backups diários criptografados dos bancos de dados gerenciados e procedimentos de recuperação documentados.
- Resposta a incidentes com notificação conforme a cláusula 8.
- Retenção e exclusão configuráveis, e exportação de dados a qualquer momento.
Anexo 3: Suboperadores
A lista atual de suboperadores, com finalidade e localização, está publicada na nossa política de privacidade.