Contrato de tratamento de dados pessoais por encomenda

【Razão social da Controladora】 (“Controladora”) e AlienPeoples (“Operadora”) celebram este contrato nos termos do artigo 26 da Lei de Proteção de Informações Pessoais da Coreia para encomendar à Operadora o tratamento de dados da Controladora.

Artigo 1Finalidade

Este contrato define direitos e deveres das partes quando a Controladora encomenda à Operadora o tratamento necessário ao atendimento ao cliente com IA SiCusto, e a Operadora o executa diligentemente conforme o contrato e a legislação aplicável.

Artigo 2Definições

• Cliente final — Titular dos dados que usa a página de atendimento da Controladora (https://sicusto.com/chat/{identificador-da-controladora}).
• Suboperadora — Terceiro ao qual a Operadora encomenda parte das atividades. Consta do anexo 1.
• Página de gestão — Interface fornecida pela Operadora para a equipe da Controladora consultar conversas, uso e configurações (/portal/).
• Os demais termos seguem a Lei de Proteção de Informações Pessoais da Coreia e os termos de uso do serviço.

Artigo 3Escopo das atividades e dados tratados

① A Operadora realiza somente as seguintes atividades.

② A Operadora não amplia os dados tratados sem instruções da Controladora. A Controladora coopera na manutenção dos avisos na página de atendimento para que clientes finais não insiram números coreanos de registro de residentes, números de cartão, conta bancária ou senhas (a Operadora os mascara no servidor, mas o método por expressões regulares pode deixar passar alguns dados).

Artigo 4Prazo da encomenda

O prazo coincide com a vigência do contrato de serviço (【Data inicial】 até seu término). As cláusulas de confidencialidade, destruição e indenização continuam válidas após o término até cumprirem sua finalidade.

Artigo 5Restrições à subcontratação 【Análise jurídica】 Forma de consentimento

1. A Operadora não repassa atividades a terceiros sem consentimento prévio da Controladora. Ao assinar, a Controladora concorda com as suboperadoras listadas no anexo 1.
2. Na fase 1, os fornecedores de IA são os mesmos 3 para todas as empresas clientes (anexo 1); não se fixa um fornecedor separado por Controladora.
3. Para adicionar ou alterar uma suboperadora, a Operadora informa por escrito (inclusive e-mail) com 【N】 dias de antecedência. Havendo oposição no prazo, a alteração não é aplicada àquela Controladora, ou ela pode encerrar o contrato de serviço sem multa.
4. A Operadora impõe às suboperadoras obrigações equivalentes de proteção e responde perante a Controladora pelo tratamento delas.

Artigo 6Medidas de segurança

A Operadora adota as medidas abaixo conforme o artigo 29 da Lei de Proteção de Informações Pessoais da Coreia e os atos normativos relacionados.

• Localização e separação — Armazenamento na região de Seul, República da Coreia (Google Cloud asia-northeast3), em caminhos separados por Controladora. O armazenamento é exclusivo do servidor; navegadores não podem ler ou gravar diretamente.
• Controle de acesso — Na Operadora, o acesso se limita à pessoa responsável pelas operações. Na Controladora, apenas membros da página (funções proprietário/membro) acessam; ações do proprietário, como aplicar conhecimentos, alterar membros e exportar, exigem nova verificação de login recente (nas últimas 12 horas).
• Armazenamento mínimo — Apenas cópias com dados sensíveis (números coreanos de registro de residentes e estrangeiros, cartão, conta e senhas), telefones e e-mails mascarados são armazenadas e enviadas aos fornecedores de IA. Contatos de transferências ficam em formato original para permitir respostas (prazos do anexo 2).
• Registros de acesso — Consulta de conversas completas, exportações, mudanças de configurações, exclusões e alterações de membros são registradas em auditoria (prazos do anexo 2).
• Transmissão — Página de atendimento, página de gestão e chamadas às APIs de IA usam HTTPS (TLS).
• Backup e recuperação — São operados recuperação para um momento específico e backups diários (retenção de 7 dias); a recuperação segue procedimento separado (documento operacional D-5).

Artigo 7Proibição de uso para outras finalidades

1. A Operadora não usa nem fornece a terceiros dados pessoais para finalidades diferentes das atividades encomendadas.
2. A Operadora não usa os dados para treinar modelos de IA ou melhorar seus serviços e utiliza fornecedores de IA suboperadores somente sob condições de não uso para treinamento (anexo 3).
3. A Operadora não divulga dados conhecidos nas atividades, durante ou após o contrato.

Artigo 8Gestão e supervisão

1. A Controladora pode solicitar documentos sobre o tratamento, a execução de salvaguardas e a subcontratação; a Operadora os fornece sem demora. Os materiais básicos são anexo 1 (suboperadoras), anexo 2 (retenção/exclusão), documento operacional D-5 e registros de atividade da página de gestão.
2. A Controladora pode realizar 【1】 inspeção documental por ano. Se houver pedido de correção resultante, a Operadora corrige em prazo razoável e informa o resultado.

Artigo 9Treinamento

A Operadora capacita em proteção de dados, ao menos anualmente, o pessoal que os trata (inclusive o responsável operacional) e fornece registros quando solicitado. A Controladora pode indicar o conteúdo, se necessário.

Artigo 10Garantia dos direitos dos titulares

1. A Controladora recebe e atende pedidos de acesso, correção, exclusão e suspensão do tratamento dos clientes finais; a Operadora auxilia mediante solicitação. Pedidos recebidos diretamente são encaminhados sem demora à Controladora.
2. A Controladora pode excluir uma conversa com a ferramenta de exclusão de sessões e pedir ajuda à Operadora se não localizar registros de determinado cliente final. Escopo e prazos seguem o anexo 2.

Artigo 11Notificação de incidentes de dados 【Análise jurídica】 Prazos e divisão das comunicações

1. Ao tomar conhecimento de perda, furto ou vazamento de dados nas atividades (“Incidente”), a Operadora avisa a Controladora sem demora. A meta inicial é em até 24 horas da ciência; informações não confirmadas são primeiro enviadas como “em verificação”.
2. O aviso inclui circunstâncias, dados e quantidades afetadas (inclusive estimativas), medidas adotadas, ações necessárias da Controladora e contato. Atualizações são enviadas conforme a confirmação dos fatos.
3. Notificar os titulares e comunicar à Comissão de Proteção de Informações Pessoais da Coreia e órgãos especializados (artigo 34) é obrigação da Controladora; a Operadora fornece documentos e colaboração necessários. O compromisso contratual de notificação é separado das obrigações legais.
4. Detalhes (canais · preservação de provas · alternativa na ausência do representante) seguem “Resposta e notificação de incidentes” no documento operacional D-5.

Artigo 12Devolução e destruição no término

1. No término, a Operadora entrega conversas, pedidos de transferência e registros de uso como arquivos de exportação (JSON · CSV), no prazo solicitado. A Controladora também pode baixar conversas completas na página de gestão durante o contrato.
2. Após a devolução (ou, se não desejada, em até 【30】 dias do término), a Operadora exclui os originais de produção e informa o resultado. Backups expiram após 7 dias; cópias de suboperadoras e e-mails já enviados são tratados conforme o anexo 2.
3. Registros de transações obrigatórios por lei (notas fiscais, etc.) são guardados separadamente pelo prazo exigido e depois destruídos. Agregados sem dados pessoais podem permanecer para fins contábeis pelos prazos do anexo 2.

Artigo 13Tratamento no exterior 【Análise jurídica】 Fundamento da transferência internacional (artigo 28-8 da Lei)

1. Para gerar respostas, mensagens mascaradas e materiais de conhecimento são enviados aos fornecedores IA do anexo 1 (Estados Unidos e outros países); e-mails podem passar por infraestrutura estrangeira. O armazenamento fica na região de Seul, República da Coreia.
2. O contrato só fixa condições entre as partes e não constitui por si só fundamento lícito para transferir dados de clientes finais ao exterior. A Controladora divulga em sua política os dados, países, momentos, métodos, destinatários/contatos, finalidades, prazos, formas de recusa e efeitos, ou obtém o consentimento necessário. A Operadora fornece os textos (conjunto de avisos IA D-3).
3. A Controladora define o fundamento após análise jurídica (consentimento · divulgação da encomenda de tratamento/armazenamento necessários à execução contratual, etc.).

Artigo 14Indenização 【Análise jurídica】 Limites e isenções

1. Se uma violação da Operadora ou suboperadora causar danos à Controladora ou a um titular, a Operadora indeniza esses danos.
2. O limite é 【Escolher: tarifas dos 12 meses anteriores ao mês do dano / valor fixo de ○○ KRW】; não se aplica a dolo ou culpa grave da Operadora nem à responsabilidade que a lei não permite limitar.
3. Se a Controladora indenizar um titular por causa atribuível à Operadora, pode exercer direito de regresso contra ela.

Artigo 15Prevalência e outras disposições

• Sobre tratamento de dados pessoais, este contrato prevalece sobre termos de uso e propostas comerciais.
• Questões não previstas seguem as leis aplicáveis, inclusive a Lei de Proteção de Informações Pessoais da Coreia; o foro é o dos termos de uso.

Data de assinatura 【YYYY-MM-DD】

Anexo 1Lista de suboperadoras (operadoras)

Anexa-se a versão do cadastro de operadoras e suboperadoras (D-2) vigente na assinatura.

Anexo 2Tabela de retenção e exclusão

Os prazos são confirmados na assinatura com esta tabela e a política de privacidade.

Exclusão por cliente final (pedido da Controladora)

Anexo 3Compromissos de não uso para treinamento e não retenção