Adenda de Processamento de Dados

Data da última atualização: 1 de maio de 2026

Este DPA é incorporado e faz parte dos Termos Comerciais de Serviço ou de outro acordo entre as partes que rege o uso dos Serviços pelo Cliente (o “Acordo”). Em caso de qualquer conflito entre os termos deste DPA e os do Acordo, prevalecerão os termos deste DPA no que respeita ao seu objeto. Os termos grafados com letra maiúscula utilizados, mas não definidos neste DPA, têm os significados atribuídos no Acordo.

1. Definições

“Leis de Proteção de Dados Aplicáveis” significa todas as leis aplicáveis de proteção de dados e privacidade, incluindo: (a) o Regulamento Geral de Proteção de Dados da UE (Regulamento (UE) 2016/679) (“RGPD”); (b) o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018; (c) a nFADP suíça; e (d) as leis de privacidade estaduais aplicáveis dos EUA, incluindo a CCPA e estatutos estaduais semelhantes, em cada caso, conforme alteradas de tempos em tempos.
“Dados Pessoais do Cliente” significa quaisquer dados pessoais contidos nos Dados do Cliente que sejam submetidos através dos Serviços pelo Cliente ou em seu nome, ou por uma Afiliada do Cliente.
“Afiliada do Cliente” significa uma entidade que (a) tem permissão para usar os Serviços nos termos do Acordo entre a Plaud e o Cliente, e (b) controla, é controlada por, ou está sob controlo comum com o Cliente, direta ou indiretamente, sendo “controlo” a titularidade de mais de 50% dos direitos de voto da entidade em questão.
“Pedido do Titular dos Dados” significa um pedido de um indivíduo que exerce os direitos disponíveis nos termos das Leis de Proteção de Dados Aplicáveis relativamente aos Dados Pessoais do Cliente (por exemplo, acesso, retificação, eliminação, portabilidade ou restrição).
“SCCs” significa as Cláusulas Contratuais-Tipo anexadas à Decisão de Execução (UE) 2021/914 da Comissão Europeia de 4 de junho de 2021 sobre cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros nos termos do RGPD.
“Incidente de Segurança” significa uma violação confirmada das medidas de segurança da Plaud que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado aos Dados Pessoais do Cliente, seja de forma acidental ou ilícita.
“Subprocessador” significa qualquer terceiro contratado pela Plaud (ou pelas Afiliadas da Plaud) para processar Dados Pessoais do Cliente no âmbito da prestação dos Serviços.
“Adendo do Reino Unido” significa o Adendo Internacional de Transferência de Dados às Cláusulas Contratuais-Tipo da Comissão da UE, emitido pelo Information Commissioner’s Office do Reino Unido nos termos da Secção 119A(1) da Lei de Proteção de Dados de 2018.
Os termos “dados pessoais,” “titular dos dados,” “processamento,” “operador” e “subcontratante” têm os significados atribuídos-lhes pelas Leis de Proteção de Dados Aplicáveis ou, na ausência de tais definições, pelo RGPD. Os termos “operador” e “subcontratante” incluem, respetivamente, “empresa” e “prestador de serviços”, conforme exigido pelas Leis de Proteção de Dados Aplicáveis.

2. Papéis e Âmbito

2.1 Papéis. No que respeita aos Dados Pessoais do Cliente, o Cliente atua como operador (ou empresa) e a Plaud atua como subcontratante (ou prestador de serviços) em nome do Cliente. Cada parte cumprirá as suas respetivas obrigações nos termos das Leis de Proteção de Dados Aplicáveis.
2.2 Finalidade e Instruções. A Plaud processará Dados Pessoais do Cliente apenas para: (a) prestar, manter e dar suporte aos Serviços; (b) cumprir a legislação aplicável; (c) proteger a segurança e a integridade dos Serviços; e (d) de acordo com as demais instruções documentadas do Cliente, conforme mutuamente acordado por escrito. O Acordo e este DPA constituem as instruções documentadas do Cliente à data de Entrada em Vigor. A Plaud informará prontamente o Cliente se uma instrução de processamento, a seu justo critério, violar as Leis de Proteção de Dados Aplicáveis.
2.3 Sem Treino. Em conformidade com a Secção 4.4 do Acordo, a Plaud não utilizará Dados Pessoais do Cliente para treinar ou melhorar os modelos de IA de uso geral da Plaud ou dos seus Subprocessadores, a menos que o Cliente opte expressamente por escrito.

3. Obrigações da Plaud

3.1 Confidencialidade do Processamento. A Plaud garantirá que todo o pessoal autorizado a processar Dados Pessoais do Cliente esteja vinculado a obrigações de confidencialidade adequadas e receba formação sobre os requisitos de proteção de dados aplicáveis à sua função.
3.2 Notificação. A Plaud notificará prontamente o Cliente se determinar que já não pode cumprir as suas obrigações nos termos deste DPA, e o Cliente poderá tomar medidas razoáveis para impedir ou remediar o processamento não autorizado.
3.3 Subprocessadores. O Cliente concede à Plaud autorização geral para contratar os Subprocessadores listados em https://eu.plaud.ai/pages/trust-center (a “Lista de Subprocessadores”), conforme atualizada nos termos desta Secção. A Plaud fornecerá aviso prévio por escrito de pelo menos trinta (30) dias antes de contratar um novo Subprocessador que processe Dados Pessoais do Cliente. O Cliente poderá opor-se no prazo de quinze (15) dias por motivos razoáveis de proteção de dados. Se não houver alternativa comercialmente viável e a oposição não for resolvida, o Cliente poderá rescindir o Serviço afetado por justa causa e receber um reembolso proporcional das taxas pré-pagas não utilizadas. Tal direito de rescisão é o único recurso do Cliente para uma oposição a um novo Subprocessador.
A Plaud imporá a cada Subprocessador obrigações de proteção de dados não menos protetivas do que as previstas neste DPA e permanecerá responsável pelo cumprimento de cada Subprocessador na mesma medida em que a Plaud prestasse os serviços diretamente.
3.4 Direitos do Titular dos Dados. A Plaud prestará assistência técnica e organizacional razoável para ajudar o Cliente a responder aos Pedidos dos Titulares dos Dados e, quando exigido pelas Leis de Proteção de Dados Aplicáveis, a realizar avaliações de impacto sobre a proteção de dados e consultas relacionadas com a autoridade de supervisão.
3.5 Segurança. A Plaud implementará e manterá as medidas de segurança técnicas e organizacionais descritas no Anexo 2, concebidas para proteger Dados Pessoais do Cliente contra acesso, destruição, perda, alteração ou divulgação não autorizada. A Plaud poderá atualizar estas medidas, desde que tais atualizações não reduzam substancialmente o nível global de proteção.

4. Obrigações do Cliente

4.1 Base Legal e Consentimentos. O Cliente declara e garante que possui todos os direitos, consentimentos, avisos e autorizações necessários nos termos das Leis de Proteção de Dados Aplicáveis para submeter Dados Pessoais do Cliente aos Serviços e autorizar a Plaud a processá-los conforme descrito neste DPA. Sem prejuízo do acima exposto, o Cliente é o único responsável por obter todos os consentimentos de gravação exigidos e fornecer os avisos necessários aos indivíduos cuja voz ou dados pessoais sejam capturados através dos Serviços ou dos dispositivos Plaud.
4.2 Configuração. O Cliente é responsável por configurar os Serviços de forma consistente com as suas obrigações legais. O Cliente não submeterá Dados Pessoais do Cliente através de canais inseguros ou em pedidos de suporte técnico.
4.3 Cooperação. O Cliente cooperará razoavelmente com a Plaud para ajudar esta a cumprir as suas obrigações nos termos das Leis de Proteção de Dados Aplicáveis relativamente aos Dados Pessoais do Cliente.

5. Incidentes de Segurança

5.1 Notificação. A Plaud notificará o Cliente por escrito sem demora indevida, e em qualquer caso no prazo de setenta e dois (72) horas, após tomar conhecimento de um Incidente de Segurança. A notificação não constitui reconhecimento de culpa ou responsabilidade.
5.2 Conteúdo. Na medida em que a informação esteja disponível, a notificação incluirá: (a) a natureza do Incidente de Segurança e, sempre que possível, as categorias e o número aproximado de titulares dos dados e registos afetados; (b) as consequências prováveis; e (c) as medidas tomadas ou propostas para resolver o incidente. A Plaud fornecerá detalhes adicionais à medida que se tornem disponíveis.
5.3 Cooperação. A Plaud cooperará com a investigação do Cliente e tomará medidas razoáveis indicadas pelo Cliente para mitigar o Incidente de Segurança e apoiar o cumprimento pelo Cliente das Leis de Proteção de Dados Aplicáveis.

6. Auditorias e Conformidade

6.1 Certificações. A Plaud é auditada pelo menos anualmente em relação a padrões de segurança reconhecidos (por exemplo, SOC 2 Tipo II) por auditores terceiros independentes. Mediante pedido por escrito do Cliente (no máximo uma vez por período de 12 meses, a menos que exigido pelas Leis de Proteção de Dados Aplicáveis ou em resposta a um Incidente de Segurança), a Plaud fornecerá o seu relatório de auditoria ou certificação aplicável mais recente. As certificações atuais estão disponíveis em https://eu.plaud.ai/pages/trust-center.
6.2 Auditorias do Cliente. O Cliente poderá, mediante pedido por escrito e aviso prévio razoável (não inferior a trinta (30) dias), realizar ou encomendar uma auditoria à conformidade da Plaud com este DPA, sujeito a: (a) acordo mútuo sobre o âmbito, o cronograma e os controlos de confidencialidade aplicáveis; (b) a auditoria ser realizada durante o horário comercial com o mínimo de interrupção operacional; e (c) o Cliente arcar com todos os custos associados. As conclusões da auditoria são Informações Confidenciais de ambas as partes e só poderão ser utilizadas para confirmar a conformidade com este DPA.

7. Devolução e Eliminação de Dados

7.1 Devolução e Eliminação. Após a rescisão ou expiração do Acordo, a Plaud, por instrução do Cliente, devolverá ou eliminará todos os Dados Pessoais do Cliente, incluindo todas as cópias existentes dos mesmos.
7.2 Exceções. A Plaud poderá reter Dados Pessoais do Cliente além do período da Secção 7.1 apenas na medida exigida pelas Leis de Proteção de Dados Aplicáveis ou outras obrigações legais, para resolver uma disputa entre as partes ou para impedir o uso prejudicial ou fraudulento dos Serviços. Os dados retidos permanecem sujeitos a este DPA.

8. Transferências Internacionais de Dados

8.1 Geral. O Cliente reconhece que a Plaud e os seus Subprocessadores poderão processar Dados Pessoais do Cliente nos Estados Unidos e noutros países onde a Plaud ou os seus Subprocessadores operam. A Plaud garantirá que todas essas transferências cumpram as Leis de Proteção de Dados Aplicáveis, incluindo a implementação de mecanismos de transferência adequados.
8.2 Transferências para a UE/EEE. Na medida em que as transferências de Dados Pessoais do Cliente do EEE para a Plaud exijam um mecanismo de transferência nos termos do RGPD, o Módulo Dois (Operador para Subcontratante) das SCCs é incorporado por referência neste DPA e considerado executado pelas partes, sendo o Cliente o exportador de dados e a Plaud o importador de dados. As SCCs são preenchidas conforme especificado no Anexo 3(A).
8.3 Transferências para o Reino Unido. Na medida em que as transferências estiverem sujeitas à legislação de proteção de dados do Reino Unido, o Adendo do Reino Unido estabelecido no Anexo 3(B) é incorporado por referência e considerado executado pelas partes.
8.4 Transferências para a Suíça. Na medida em que as transferências estiverem sujeitas à legislação de proteção de dados suíça (nFADP), o Adendo Suíço estabelecido no Anexo 3(C) é incorporado por referência e considerado executado pelas partes.
8.5 Prevalência. Em caso de conflito entre os mecanismos de transferência aplicáveis (SCCs, Adendo do Reino Unido ou Adendo Suíço), este DPA e o Acordo, prevalece o mecanismo de transferência aplicável, seguido deste DPA.

9. Leis de Privacidade dos Estados Unidos

Na medida em que as leis de privacidade dos estados dos EUA (incluindo a CCPA) se apliquem, a Plaud atua como “prestador de serviços” ou “subcontratante” e certifica que:
  • processará Dados Pessoais do Cliente apenas para os fins comerciais descritos neste DPA e no Acordo;
  • não “venderá” nem “compartilhará” (conforme definido pela CCPA) Dados Pessoais do Cliente;
  • não reterá, utilizará nem divulgará Dados Pessoais do Cliente fora da relação comercial direta entre as partes, exceto conforme exigido por lei;
  • não combinará Dados Pessoais do Cliente com dados pessoais de outras fontes, exceto conforme permitido por lei aplicável ou conforme instruído pelo Cliente;
  • fornecerá ao Cliente o direito de tomar medidas razoáveis para garantir que o processamento da Plaud seja consistente com as obrigações do Cliente nos termos da legislação aplicável; e
  • notificará prontamente o Cliente se a Plaud determinar que já não pode cumprir esta Secção 9.

10. Prazo e Alteração

10.1 Prazo. Este DPA permanecerá em vigor durante toda a vigência do Acordo e sobreviverá à sua rescisão até que a Plaud complete as suas obrigações de eliminação nos termos da Secção 7.
10.2 Alteração. A Plaud poderá alterar este DPA mediante aviso prévio razoável por escrito quando exigido por alterações nas Leis de Proteção de Dados Aplicáveis ou por orientações regulamentares vinculativas. Alterações substantivas que reduzam materialmente os direitos do Cliente poderão ser contestadas no prazo de quinze (15) dias após o aviso; se não forem resolvidas no prazo de trinta (30) dias, qualquer uma das partes poderá rescindir o Acordo mediante aviso prévio por escrito de trinta (30) dias.
Anexo 1 Detalhes do Processamento
A. Partes
Exportador de Dados: Cliente e/ou Afiliadas do Cliente. Dados de contacto conforme especificados no Formulário de Pedido.
Importador de Dados: Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Contacto de proteção de dados: privacy@plaud.ai.
B. Descrição do Processamento
Categorias de Titulares dos Dados. (a) Utilizadores Autorizados; (b) indivíduos terceiros cujos dados pessoais sejam capturados em gravações de áudio ou outros Dados do Cliente submetidos aos Serviços (por exemplo, participantes de reuniões, clientes, colegas).
Categorias de Dados Pessoais. Determinadas pelo Cliente; podem incluir:
  • Dados de contacto (nomes, endereços de e-mail)
  • Gravações de áudio e dados de voz capturados através dos dispositivos Plaud (por exemplo, NotePin, Note) ou carregados pelo Cliente
  • Dados derivados: transcrições geradas por IA, resumos de reuniões e itens de ação
  • Metadados da reunião (data, duração, participantes)
  • Dados de utilização do dispositivo e da conta
  • Quaisquer outros dados pessoais contidos nos Dados do Cliente submetidos aos Serviços
Categorias especiais. As gravações de áudio e as transcrições podem conter incidentalmente dados de categorias especiais (por exemplo, informações de saúde ou opiniões políticas). O Cliente é o único responsável por garantir uma base legal para o tratamento desses dados.
Duração. Tratamento contínuo durante a vigência do Contrato, conforme determinado pela configuração e utilização dos Serviços pelo Cliente.
Natureza e finalidade. Fornecimento de transcrição, sumarização e outros Serviços baseados em IA. As atividades de tratamento incluem a recolha, o armazenamento, a transcrição, a sumarização e a eliminação dos Dados Pessoais do Cliente, conforme necessário para prestar os Serviços.
C. Autoridade de Controlo competente
Quando o exportador de dados estiver estabelecido num Estado-Membro da UE: a autoridade de controlo desse Estado-Membro. Quando o exportador de dados não estiver estabelecido na UE, mas estiver abrangido pelo âmbito territorial do RGPD: a Comissão Irlandesa de Proteção de Dados.
Anexo 2 Medidas técnicas e organizativas de segurança
A Plaud mantém um programa escrito de segurança da informação concebido para proteger os Dados Pessoais do Cliente contra acesso não autorizado, destruição, perda, alteração ou divulgação. A Plaud poderá atualizar estas medidas, desde que tais atualizações não reduzam substancialmente a proteção global. As certificações atuais e informações adicionais estão disponíveis em https://eu.plaud.ai/pages/trust-center.
Anexo 3 Mecanismos de transferência internacional de dados
A. Cláusulas Contratuais-Tipo da UE (Módulo Dois: Responsável pelo Tratamento para Subcontratante)
As CCT da UE são incorporadas por referência e consideradas celebradas pelas partes, com as seguintes escolhas:
• Cláusula 7 (Cláusula de Descontinuação): Não se aplica.
• Cláusula 9 (Subcontratantes): Opção 2 (Autorização Geral por Escrito); prazo de pré-aviso conforme a Secção 3.3.
• Cláusula 11 (Reparação): A redação opcional de reparação independente não se aplica.
• Cláusula 17 (Lei aplicável): Opção 1 (lei da República da Irlanda).
• Cláusula 18 (Foro): Tribunais da República da Irlanda.
• Anexo I.A (Partes): Anexo 1, Secção A.
• Anexo I.B (Descrição da transferência): Anexo 1, Secção B.
• Anexo I.C (Autoridade de Controlo): Anexo 1, Secção C.
• Anexo II (TOMs): Anexo 2.
• Anexo III (Subcontratantes): https://eu.plaud.ai/pages/trust-center
B. Aditamento do Reino Unido
O Aditamento do Reino Unido (versão B.1.0) é incorporado por referência e considerado celebrado pelas partes. As CCT selecionadas são as do Anexo 3(A). Para a Tabela 4, a Plaud (na qualidade de importadora de dados) poderá pôr fim ao Aditamento do Reino Unido quando as CCT da UE Aprovadas forem alteradas.
C. Aditamento Suíço
Para transferências sujeitas exclusivamente à lei suíça de proteção de dados (nFADP), as CCT do Anexo 3(A) são alteradas da seguinte forma: as referências ao RGPD e à UE/EEE são substituídas por referências à lei suíça de proteção de dados e à Suíça; a autoridade de controlo competente é a FDPIC; a lei aplicável é a lei suíça; e os litígios são resolvidos pelos tribunais suíços. Quando as transferências estão sujeitas tanto à lei suíça como ao RGPD, aplicam-se ambos os conjuntos de regras.
Anexo 4 Subcontratantes Autorizados
A lista atual da Plaud de subcontratantes autorizados (incluindo nome, país e finalidade do tratamento) está disponível em https://eu.plaud.ai/pages/trust-center.