Acordo de Tratamento de Dados

1. Partes

Este DPA é celebrado entre:

• Kiff Agents OÜ, uma sociedade de responsabilidade limitada estónia, com o número de registo 17372313, o número de IVA EE102924327 e sede em Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estónia (o «Subcontratante»); e
• [DENOMINAÇÃO SOCIAL DO CLIENTE], com sede em [MORADA], com o número de registo [NÚMERO DE REGISTO] (o «Responsável pelo Tratamento»).

Cada uma, uma «parte» e, em conjunto, as «partes». Este DPA complementa os Termos de Serviço em /pt/terms e qualquer nota de encomenda comercial entre as partes; em caso de conflito em matéria de proteção de dados, prevalece este DPA.

2. Definições

Os termos em maiúsculas que não estejam aqui definidos têm o significado que lhes é dado no RGPD (Regulamento (UE) 2016/679).

• «RGPD»: o Regulamento Geral sobre a Proteção de Dados da UE.
• «Dados Pessoais», «Titular dos Dados», «Tratamento», «Responsável pelo Tratamento», «Subcontratante», «Subcontratante Ulterior», «Violação de Dados Pessoais»: tal como definidos no artigo 4.º do RGPD.
• «Dados de Auditoria»: os Dados Pessoais que o Responsável pelo Tratamento submete ao Serviço ou gera dentro dele através do runtime, incluindo eventos, decisões, ações, aprovações e recibos.
• «Dados do tafs»: os Dados Pessoais contidos naquilo que o tafs guarda por conta do Responsável pelo Tratamento: as execuções e os chats de cada taf (incluindo o que as apps ligadas do Responsável pelo Tratamento lhe devolvem) e os chats do Setup, os seus relatórios, as suas notas de memória, os dispositivos registados para os seus alertas e as ligações do Responsável pelo Tratamento às suas apps no planque (o token de cada ligação e o registo das suas aprovações). O Anexo 4 descreve-os.
• «Serviço»: o produto KIFF Cloud, incluindo o tafs, tal como definido nos Termos de Serviço.
• «Cláusulas Contratuais-Tipo» ou «CCT»: as cláusulas contratuais-tipo de 2021 da Comissão Europeia para a transferência de Dados Pessoais para países terceiros.
• «DPF»: a decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA.
• «MTO»: as medidas técnicas e organizativas descritas no Anexo 2.

3. Âmbito e papéis

Este DPA aplica-se quando a Kiff Agents OÜ Trata Dados Pessoais por conta do Responsável pelo Tratamento no âmbito do Serviço. No que respeita aos Dados de Auditoria e aos Dados do tafs, o Responsável pelo Tratamento é o Responsável pelo Tratamento e a Kiff Agents OÜ é o Subcontratante.

Os Dados Pessoais que tratamos sobre os titulares de contas do Responsável pelo Tratamento (metadados de início de sessão, contactos de faturação, correspondência com o suporte) são regidos pela nossa política de privacidade; quanto a esses dados, somos um Responsável pelo Tratamento independente, e não um Subcontratante ao abrigo deste DPA.

4. Objeto e duração

Objeto: o Tratamento de Dados de Auditoria e de Dados do tafs para prestar o Serviço.

Duração: desde a data de entrada em vigor deste DPA até ao que ocorrer mais tarde: (a) a cessação dos Termos de Serviço subjacentes, ou (b) a eliminação de todos os Dados de Auditoria nos termos do §16. As disposições que, pela sua natureza, subsistem após a cessação (auditoria, indemnização, lei aplicável) subsistem.

5. Natureza e finalidade do tratamento

A Kiff Agents OÜ Trata os Dados de Auditoria apenas na medida do necessário para prestar o Serviço: receber propostas e chamadas a ferramentas, avaliá-las face à configuração e aos Cards do Responsável pelo Tratamento, retê-las para aprovação humana quando a configuração o exija, encaminhar uma chamada autorizada para a app ligada ou emitir uma autorização que a app verifica, registar as decisões e o resultado que a app comunica, emitir Recibos assinados e (quando o Responsável pelo Tratamento o tenha configurado) publicar hashes de resumo que evidenciam adulterações num trilho público verificável. A app ligada executa a ação subjacente; uma decisão de autorização não é, por si só, prova de que a ação foi executada.

Para o tafs, a Kiff Agents OÜ Trata também os Dados do tafs para executar cada taf que o Responsável pelo Tratamento inicia: executá-lo segundo o seu agendamento e em chats com as pessoas do Responsável pelo Tratamento, enviar as suas chamadas a ferramentas através do KIFF, guardar as suas execuções, os seus chats e as suas notas de memória para que possa apresentar relatórios e continuar o seu trabalho, e alertar os dispositivos registados do Responsável pelo Tratamento quando uma chamada é retida. Através do Setup e do planque, liga também as apps do Responsável pelo Tratamento quando as pessoas deste iniciam sessão no fornecedor da app e aprovam a ligação no seu dispositivo: o planque guarda o token desse início de sessão, encriptado, e usa-o apenas para fazer uma chamada que o KIFF decidiu. O Anexo 4 indica os dados, onde são guardados e durante quanto tempo.

6. Categorias de Titulares dos Dados e de Dados Pessoais

Por omissão, a Kiff Agents OÜ Trata estas categorias de Dados Pessoais, tal como descreve o inventário em /pt/security#data-we-process:

• Dados da conta: quem são as pessoas do Responsável pelo Tratamento na sua conta (nomes, endereços de email, funções), e os seus agentes e as respetivas chaves. Os metadados de início de sessão que a Kiff Agents OÜ guarda como responsável pelo tratamento continuam sujeitos ao §3.
• Ligações a apps: cada ligação às apps do Responsável pelo Tratamento, o seu token (encriptado), as ferramentas aprovadas e o registo de quem as aprovou.
• Registos das ações dos agentes: por cada chamada, quem pediu (agente e chave), a ação, aquilo sobre que atuou, o resultado e os seus motivos, o Card em vigor, os parâmetros numéricos, as chamadas retidas e as respetivas respostas, e os recibos.
• Chats com tafs: as execuções e os chats de cada taf, os seus relatórios e notas de memória, e o que as apps do Responsável pelo Tratamento lhe devolvem, tal como descreve o Anexo 4.

Os Titulares dos Dados são as pessoas do Responsável pelo Tratamento que usam o Serviço e as pessoas cujos dados aparecem nas ações dos seus agentes e nos chats com tafs, como os clientes, os fornecedores ou o pessoal do Responsável pelo Tratamento.

O que mais chega ao Serviço depende da configuração do Responsável pelo Tratamento e dos dados que este envia; a Kiff Agents OÜ não controla que campos o Responsável pelo Tratamento envia. O Responsável pelo Tratamento acrescenta quaisquer outras categorias no Anexo 1, que é atualizado quando a configuração se altera de forma substancial.

7. Instruções do Responsável pelo Tratamento

A Kiff Agents OÜ Tratará os Dados Pessoais de acordo com as instruções documentadas do Responsável pelo Tratamento. Essas instruções compreendem este DPA, os Termos de Serviço, a documentação técnica do Serviço e as medidas de segurança na revisão datada em kiff.dev/docs/archive/2026-10-10, e as configurações e instruções submetidas através do Serviço pelos utilizadores autorizados do Responsável pelo Tratamento.

O whitepaper estratégico e a documentação da framework de código aberto, licenciada em separado, são referências explicativas e não fazem parte dessas instruções de tratamento. A publicação de um documento revisto não altera, por si só, as instruções aplicáveis a um acordo existente.

As instruções fora desse âmbito exigem acordo escrito. Se a Kiff Agents OÜ considerar que uma instrução é contrária ao RGPD ou a outra legislação de proteção de dados aplicável, notificará o Responsável pelo Tratamento.

8. Obrigações do Subcontratante (artigo 28.º, n.º 3)

A Kiff Agents OÜ:

1. Tratará os Dados Pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita às transferências internacionais, salvo se for obrigada a proceder de outro modo pelo direito da UE ou de um Estado-Membro (caso em que a Kiff Agents OÜ informará o Responsável pelo Tratamento desse requisito jurídico antes do Tratamento, salvo se esse direito proibir tal informação por motivos importantes de interesse público);
2. assegurará que as pessoas autorizadas a Tratar os Dados Pessoais estão vinculadas por obrigações de confidencialidade adequadas;
3. aplicará as medidas técnicas e organizativas descritas no Anexo 2;
4. respeitará as condições para a contratação de Subcontratantes Ulteriores estabelecidas no §10;
5. tendo em conta a natureza do Tratamento, prestará assistência ao Responsável pelo Tratamento, através de medidas adequadas, para cumprir as obrigações de dar resposta aos pedidos dos Titulares dos Dados ao abrigo do capítulo III do RGPD;
6. prestará assistência ao Responsável pelo Tratamento para assegurar o cumprimento dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, AIPD, consulta prévia), tendo em conta a natureza do Tratamento e a informação ao dispor da Kiff Agents OÜ;
7. consoante a escolha do Responsável pelo Tratamento, eliminará ou devolverá todos os Dados Pessoais depois de terminada a prestação dos serviços, nos termos do §16, e eliminará as cópias existentes, a menos que o direito da UE ou de um Estado-Membro exija a sua conservação;
8. disponibilizará ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e permitirá e contribuirá para as auditorias nos termos do §15.

9. Confidencialidade

A Kiff Agents OÜ assegura que as pessoas com acesso aos Dados Pessoais estão vinculadas por obrigações de confidencialidade escritas ou sujeitas a uma obrigação legal de confidencialidade adequada. O acesso é concedido segundo o princípio do privilégio mínimo e é registado.

10. Subcontratantes Ulteriores

O Responsável pelo Tratamento autoriza a Kiff Agents OÜ a contratar os Subcontratantes Ulteriores enumerados no Anexo 3 e em /pt/subprocessors, que é a lista oficial. A Kiff Agents OÜ impõe a cada Subcontratante Ulterior obrigações de proteção de dados que não são menos protetoras do que este DPA.

O trilho público verificável não é um Subcontratante Ulterior. Recebe apenas hashes de resumo e nenhuns Dados Pessoais.

A revisão datada para a qual a secção 7 remete regista a lista à data dessa revisão. Uma alteração posterior produz efeitos ao abrigo desta secção, e não pela publicação de uma revisão.

Quando a Kiff Agents OÜ pretender contratar um novo Subcontratante Ulterior ou substituir um existente para o Tratamento dos Dados Pessoais do Responsável pelo Tratamento, a Kiff Agents OÜ notifica o Responsável pelo Tratamento com pelo menos trinta dias de antecedência. O Responsável pelo Tratamento pode opor-se à alteração, por motivos razoáveis de proteção de dados, no prazo de quinze dias após a notificação; se uma oposição razoável não puder ser resolvida, qualquer das partes pode pôr termo à parte afetada do Serviço mediante notificação escrita.

11. Transferências internacionais

Quando o Tratamento de Dados Pessoais implicar uma transferência para um país fora do Espaço Económico Europeu sem uma decisão de adequação nos termos do artigo 45.º do RGPD, as partes acordam que:

• nas transferências para Subcontratantes Ulteriores certificados ao abrigo do Quadro de Privacidade de Dados UE-EUA, o DPF é o mecanismo de transferência enquanto se mantiver em vigor;
• nos restantes casos, as partes incorporam por remissão as Cláusulas Contratuais-Tipo de 2021 da Comissão Europeia, aplicando-se o Módulo 2 (de responsável pelo tratamento para subcontratante) às transferências do Responsável pelo Tratamento para a Kiff Agents OÜ e o Módulo 3 (de subcontratante para subcontratante ulterior) às transferências da Kiff Agents OÜ para um Subcontratante Ulterior;
• a cláusula de adesão (Cláusula 7) não é usada; as partes nas CCT são o Responsável pelo Tratamento e a Kiff Agents OÜ;
• os Anexos I.A e I.B das CCT são preenchidos por remissão para o Anexo 1 deste DPA; o Anexo II das CCT, por remissão para o Anexo 2 deste DPA; o Anexo III, por remissão para o Anexo 3 deste DPA;
• aplica-se a opção 2 da Cláusula 9, alínea a) (autorização geral por escrito), com o prazo de notificação de trinta dias do §10 acima.

Quando, na sequência de uma avaliação de impacto da transferência, forem adequadas medidas suplementares, a Kiff Agents OÜ aplica-as (encriptação em trânsito e em repouso, registo de acessos, minimização de dados, tal como documentado no Anexo 2).

12. Medidas de segurança

A Kiff Agents OÜ aplica medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, nos termos do artigo 32.º do RGPD. As medidas do Anexo 2 e da revisão datada em kiff.dev/docs/archive/2026-10-10 são a base acordada. /pt/security descreve as medidas atuais. A Kiff Agents OÜ pode atualizar as medidas, desde que o nível global de segurança não desça abaixo dessa base, e notifica previamente o Responsável pelo Tratamento de uma alteração substancial dessas medidas.

13. Notificação de Violações de Dados Pessoais

A Kiff Agents OÜ notifica o Responsável pelo Tratamento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo de setenta e duas (72) horas após ter tomado conhecimento dela. A notificação inclui, na medida do que for conhecido nesse momento, e é atualizada à medida que houver mais informação disponível:

• a natureza da Violação, incluindo as categorias e os números aproximados de Titulares dos Dados e de registos em causa;
• as consequências prováveis da Violação;
• as medidas tomadas ou propostas para dar resposta à Violação e para atenuar os seus eventuais efeitos negativos;
• o nome e os contactos de um ponto de contacto único na Kiff Agents OÜ para mais informações.

O prazo do próprio Responsável pelo Tratamento perante a sua autoridade de controlo, nos termos do artigo 33.º do RGPD, conta a partir do momento em que o próprio Responsável pelo Tratamento toma conhecimento da Violação; esta notificação apoia essa obrigação.

14. Pedidos dos Titulares dos Dados

A Kiff Agents OÜ presta assistência ao Responsável pelo Tratamento, através de medidas técnicas e organizativas adequadas e tendo em conta a natureza do Tratamento, no cumprimento das obrigações do Responsável pelo Tratamento de dar resposta aos pedidos dos Titulares dos Dados que exerçam os seus direitos ao abrigo dos artigos 15.º a 22.º do RGPD.

A Kiff Agents OÜ acusa a receção dos pedidos de assistência do Responsável pelo Tratamento no prazo de cinco (5) dias úteis. Os pedidos diretos recebidos dos Titulares dos Dados são reencaminhados para o Responsável pelo Tratamento sem demora injustificada; a Kiff Agents OÜ não responde a esses pedidos em seu próprio nome, exceto para confirmar a receção e encaminhar o Titular dos Dados para o Responsável pelo Tratamento.

15. Direitos de auditoria

A Kiff Agents OÜ disponibiliza ao Responsável pelo Tratamento todas as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28.º do RGPD. Mediante pré-aviso escrito razoável (pelo menos trinta dias, exceto no caso de uma auditoria desencadeada por uma violação grave confirmada), o Responsável pelo Tratamento pode auditar a Kiff Agents OÜ uma vez em cada período de doze meses.

A Kiff Agents OÜ ainda não tem um relatório SOC 2 nem ISO 27001. A pedido, partilha a sua visão geral de segurança em /pt/security e responde aos questionários de segurança do Responsável pelo Tratamento.

As auditorias são realizadas durante o horário normal de expediente, não interferem de forma não razoável com o Serviço e respeitam a confidencialidade dos outros clientes da Kiff Agents OÜ. O Responsável pelo Tratamento suporta os seus próprios custos de auditoria; quando uma auditoria revelar um incumprimento grave por parte da Kiff Agents OÜ, a Kiff Agents OÜ reembolsa os custos de auditoria razoáveis do Responsável pelo Tratamento.

16. Devolução ou eliminação dos Dados Pessoais

Consoante a escolha do Responsável pelo Tratamento e no prazo de trinta dias após a cessação do Serviço para o Responsável pelo Tratamento, a Kiff Agents OÜ devolve os Dados de Auditoria num formato estruturado, de uso corrente e de leitura automática, ou elimina-os. A mesma escolha aplica-se aos Dados do tafs. Na falta de uma escolha dentro desse prazo, a Kiff Agents OÜ elimina ambos. Os Dados do tafs são eliminados removendo cada taf, tal como descreve o Anexo 4: depois de os dados do Responsável pelo Tratamento serem devolvidos, ou de imediato quando este tiver escolhido a eliminação, a Kiff Agents OÜ remove qualquer taf que o Responsável pelo Tratamento não tenha removido, e desliga e elimina as ligações do Responsável pelo Tratamento e os respetivos registos no planque.

Os hashes já publicados no trilho público verificável permanecem, porque o trilho é imutável. Como o trilho público usa «salting» criptográfico por tenant (conforme /pt/security#public-trail), a destruição do «salt» do tenant torna permanentemente impossível associar esses hashes publicados aos registos que os produziram.

É feita diariamente uma cópia de segurança, encriptada, da base de dados do KIFF, e cada cópia é guardada sete dias, pelo que um registo eliminado desaparece delas no prazo de sete dias após a sua eliminação. O planque não guarda cópias de segurança do seu armazenamento. A Kiff Agents OÜ pode conservar Dados Pessoais quando a sua conservação for exigida pelo direito da UE ou de um Estado-Membro (por exemplo, a Lei da Contabilidade da Estónia, §12).

17. Responsabilidade

A responsabilidade de cada parte ao abrigo deste DPA está sujeita às limitações e exclusões estabelecidas nos Termos de Serviço, exceto quando a legislação aplicável proíba essa limitação. Cada parte é responsável pelos danos causados pela sua própria violação do RGPD, nos termos do artigo 82.º do RGPD.

18. Duração e cessação

Este DPA produz efeitos com a assinatura por ambas as partes e mantém-se durante o período descrito no §4. A cessação dos Termos de Serviço faz cessar automaticamente este DPA, sem prejuízo das obrigações que subsistem.

19. Lei aplicável

Este DPA é regido pelas leis da República da Estónia, sem prejuízo das disposições imperativas do RGPD ou das regras de proteção do consumidor, quando aplicáveis. Os litígios decorrentes deste DPA estão sujeitos às regras de foro e de escolha de lei do §18 dos Termos de Serviço.

Anexo 1, Descrição do Tratamento

Preenchido em cada exemplar assinado.

A. Lista das partes

O Responsável pelo Tratamento e o Subcontratante, tal como identificados no §1.

B. Descrição da transferência

Categorias de Titulares dos Dados: as enumeradas no §6, mais [quaisquer outras categorias que o Responsável pelo Tratamento declare].
Categorias de Dados Pessoais: as enumeradas no §6 (dados da conta, ligações a apps, registos das ações dos agentes, chats com tafs), mais [quaisquer outras categorias que o Responsável pelo Tratamento declare].
Dados sensíveis: [declaração do Responsável pelo Tratamento; por omissão: nenhuns].
Frequência da transferência: contínua (cada pedido ao Serviço).
Natureza do Tratamento: a descrita no §5.
Finalidades do Tratamento: as descritas no §5.
Período de conservação: de acordo com /pt/privacy#retention e com o §16.

C. Autoridade de controlo competente

A Inspeção de Proteção de Dados da Estónia (Andmekaitse Inspektsioon).

Anexo 2, Medidas técnicas e organizativas

Um resumo adequado a um DPA nos termos do artigo 28.º. Este Anexo e a revisão datada em kiff.dev/docs/archive/2026-10-10 são a base acordada ao abrigo da secção 12. /pt/security mostra as medidas atuais e é atualizada no prazo de 30 dias após uma alteração substancial.

Anexo 3, Subcontratantes Ulteriores

A lista oficial está em /pt/subprocessors; essa lista faz fé quanto aos Subcontratantes Ulteriores atuais, só se altera segundo o procedimento da secção 10 e é atualizada no prazo de 30 dias após qualquer alteração. À data desta versão do modelo:

O trilho público verificável não é um Subcontratante Ulterior: recebe apenas hashes de resumo e nenhuns Dados Pessoais.

Anexo 4, tafs

O que o tafs guarda por conta do Responsável pelo Tratamento, onde e durante quanto tempo. O Responsável pelo Tratamento remove um taf na app tafs; removê-lo elimina tudo o que abaixo é guardado «até o taf ser removido».

Os Cards de um taf, as chamadas retidas, as respostas e os recibos são Dados de Auditoria, guardados pelo KIFF ao abrigo do resto deste DPA.

Versão do documento: modelo v0.1.
Última atualização: 9 de novembro de 2026.