Acordo de tratamento de dados (DPA)

Este acordo aplica-se automaticamente, sem necessidade de o assinar, quando utiliza o SwiftBOL para fins profissionais ou empresariais (por exemplo, para gravar reuniões com colegas ou clientes, entrevistas ou aulas que dá) e, quanto aos dados pessoais de outras pessoas contidos nas suas gravações, atua como responsável pelo tratamento. Faz parte dos Termos e condições e, em matéria de proteção de dados, prevalece sobre eles.

Responsável pelo tratamento: o utilizador, ou a empresa ou organização por conta da qual utiliza o SwiftBOL (o «Cliente»). Subcontratante: SwiftBOL, NIF a publicar, com morada em Espanha (morada postal disponível mediante pedido para support@swiftbol.com) (o «SwiftBOL»).

Se precisar de uma cópia assinada para o seu registo de atividades de tratamento ou para uma auditoria, peça-a em support@swiftbol.com: enviá-la-emos com este mesmo conteúdo.

Objeto: o tratamento dos dados pessoais que o Cliente carrega, grava ou manda gravar no SwiftBOL (incluindo o assistente de reuniões) e dos dados que o SwiftBOL gera a partir deles, com a única finalidade de prestar o serviço: transcrever, identificar quem fala quando pedido, resumir, traduzir, criar testes, cartões e documentos, responder a perguntas sobre as gravações, guardar, partilhar e enviar para onde o Cliente decidir.

Duração: enquanto o Cliente mantiver a sua conta. Operações: recolha, registo, conservação, transcrição e análise automatizada, consulta, comunicação a quem o Cliente decidir (equipa, links públicos, integrações) e apagamento.

Tipos de dados: a voz e o que dizem as pessoas presentes nas gravações; transcrições, resumos e outros conteúdos gerados; nomes mencionados ou atribuídos pelo Cliente a quem fala; no assistente de reuniões, o link, o título e a hora da reunião e os nomes com que os participantes aparecem; e, se o Cliente enviar uma sessão para o seu CRM, o email do contacto que introduzir.

Titulares: trabalhadores, colaboradores, clientes, alunos, entrevistados e qualquer outra pessoa que participe nas conversas que o Cliente grava, bem como os membros da sua equipa no SwiftBOL.

O SwiftBOL não precisa de categorias especiais de dados (saúde, convicções, etc.) para prestar o serviço. Se as gravações do Cliente os contiverem, o Cliente garante que tem fundamento jurídico para os tratar e para os mandar tratar por sua conta.

Informar as pessoas que grava e ter fundamento jurídico para o fazer (incluindo o consentimento, quando exigido), como exigem a secção 2 dos Termos e condições e a lei aplicável; o aviso que o assistente de reuniões publica no chat não o substitui.

Dar ao SwiftBOL instruções lícitas: a configuração e a utilização do serviço pelo Cliente são as suas instruções documentadas.

Tratar os dados apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências internacionais, salvo obrigação legal; se considerarmos que uma instrução viola a legislação de proteção de dados, informaremos disso. Não usar os dados para fins próprios nem para treinar modelos de IA, não os vender e não os comunicar a terceiros, exceto aos subcontratantes ulteriores da secção 7 ou quando o Cliente o decidir.

Garantir que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade.

Aplicar as medidas de segurança da secção 6 e ajudar o Cliente, tendo em conta a natureza do tratamento, a cumprir as suas obrigações em matéria de segurança, notificação de violações de dados pessoais, avaliações de impacto e consulta prévia (artigos 32.º a 36.º do RGPD).

Ajudar o Cliente a responder aos pedidos dos titulares (acesso, retificação, apagamento, oposição, limitação e portabilidade). O Cliente pode tratar a maioria deles diretamente no painel (editar, exportar ou apagar sessões); se alguém se dirigir diretamente ao SwiftBOL, transmitiremos o pedido sem demora.

Notificar o Cliente sem demora injustificada e, se possível, no prazo de 48 horas após tomarmos conhecimento, de qualquer violação de segurança que afete os seus dados, com a informação disponível para que a possa documentar e, se for caso disso, notificá-la à autoridade de controlo e às pessoas afetadas.

Disponibilizar a informação necessária para demonstrar o cumprimento deste acordo e permitir auditorias razoáveis, incluindo inspeções, pelo Cliente ou por um auditor por ele designado, com um pré-aviso de 30 dias, no máximo uma vez por ano, salvo indício fundado de incumprimento, a expensas suas e sem comprometer a segurança ou a confidencialidade de outros clientes.

Dados alojados na União Europeia (Frankfurt, Alemanha); encriptação em trânsito (HTTPS com HSTS) e em repouso; chaves de acesso aos serviços ligados (calendário, CRM) encriptadas com uma chave própria; acesso aos dados de cada conta limitado ao seu titular através de políticas de segurança da base de dados; segredos e credenciais apenas no servidor; limites anti-abuso; cabeçalhos de segurança e política de segurança de conteúdos; registos de erros sem email nem nome; cópias de segurança encriptadas que se renovam no prazo máximo de 30 dias; e acesso interno limitado ao estritamente necessário para o apoio.

O SwiftBOL revê periodicamente estas medidas e pode melhorá-las, sem nunca baixar o nível de proteção.

O Cliente dá ao SwiftBOL uma autorização geral para recorrer aos seguintes subcontratantes ulteriores, vinculados por contratos que lhes impõem obrigações de proteção de dados equivalentes às deste acordo: Supabase (base de dados, autenticação e armazenamento; Frankfurt, Alemanha); Vercel (alojamento da aplicação; Frankfurt, Alemanha); Groq (transcrição; EUA); Deepgram (transcrição quando se pede a identificação de quem fala, ficheiros grandes ou alternativa; EUA); OpenAI (resumos, chat, traduções, testes, cartões e documentos; EUA); Recall.ai (assistente de reuniões; região de Frankfurt, Alemanha, que apaga a sua cópia da gravação assim que a processamos e no máximo em 48 horas); Resend (envio de emails, como o aviso de que um resumo está pronto; EUA); e Upstash (contadores anti-abuso com identificadores pseudonimizados).

Os serviços que o próprio Cliente liga (Slack, Zapier, Make, HubSpot, Salesforce, Google Calendar) não são subcontratantes ulteriores do SwiftBOL: é o Cliente que decide enviar-lhes dados, e eles tratam-nos no âmbito da sua relação com o Cliente.

O SwiftBOL avisará o Cliente com pelo menos 15 dias de antecedência, por email ou no painel, de qualquer subcontratante ulterior novo ou substituto. O Cliente pode opor-se por motivos razoáveis de proteção de dados; se não se encontrar uma solução, pode encerrar a sua conta e, se tiver pago antecipadamente, reembolsaremos a parte proporcional do período não utilizado.

Quando um subcontratante ulterior trata dados fora do Espaço Económico Europeu, a transferência baseia-se no Quadro de Privacidade de Dados UE-EUA quando o fornecedor está certificado ou, caso contrário, nas cláusulas contratuais-tipo da Comissão Europeia, com as medidas adicionais que forem necessárias. Os fornecedores de IA não usam os dados para treinar os seus modelos e só os guardam temporariamente (normalmente até 30 dias) para monitorizar abusos.

O Cliente pode exportar as suas sessões a qualquer momento (PDF, Word, TXT, legendas) e apagá-las. Quando a conta é apagada, o SwiftBOL apaga de imediato as sessões, áudios, transcrições e outros conteúdos, que desaparecem das cópias de segurança no prazo máximo de 30 dias, salvo se uma lei obrigar a conservar alguns dados, caso em que ficarão bloqueados.

A responsabilidade de cada parte rege-se pelo artigo 82.º do RGPD e pelos Termos e condições. Este acordo rege-se pela lei espanhola e pelo RGPD; a autoridade de controlo é a Agência Espanhola de Proteção de Dados (aepd.es).

Se alterarmos este acordo, avisaremos conforme previsto na secção 12 dos Termos e condições; as alterações nunca reduzirão a proteção dos dados do Cliente.