Contrato de processamento de dados

Atualizado em: setembro de 2026

entre o cliente (“controlador”) e a Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlim (“operador”).

§ 1 Objeto e duração

(1) O operador presta ao controlador os serviços de atendimento telefônico com IA descritos no contrato de uso. O objeto deste DPA é o consequente processamento de dados pessoais por conta do controlador.

(2) A duração deste DPA corresponde à vigência do contrato de uso. Termina com o encerramento deste, o mais tardar com a exclusão ou devolução completa dos dados nos termos do § 8.

§ 2 Natureza e finalidade do processamento

O processamento abrange o atendimento de chamadas recebidas, a transcrição em tempo real das conversas, o resumo automático e o registro estruturado de pedidos (em especial pedidos de retorno e de agendamento), bem como a notificação do controlador por e-mail e a disponibilização dos dados no painel. A finalidade é a acessibilidade do controlador e o tratamento organizado de suas chamadas.

§ 3 Categorias de dados e grupo de titulares

Categorias de dados:

• Dados básicos dos interlocutores, na medida informada na conversa (p. ex., nome, empresa)
• Números de telefone e dados de conexão (data, duração)
• Conteúdos das conversas em texto (transcrição, resumo, pedidos registrados como número de retorno e preferência de horário)

Grupo de titulares: interlocutores do controlador (em especial clientes, interessados, fornecedores e demais contatos).

§ 4 Deveres do operador

O operador

1. processa os dados exclusivamente sob instrução documentada do controlador (art. 28, n.º 3, alínea a, do GDPR); o contrato de uso e a configuração do assistente pelo controlador valem como instruções. Se considerar uma instrução ilícita, informa imediatamente o controlador;
2. garante que as pessoas autorizadas a processar se comprometeram com a confidencialidade (art. 28, n.º 3, alínea b, do GDPR);
3. adota todas as medidas técnicas e organizacionais exigidas pelo art. 32 do GDPR (Anexo 1);
4. apoia o controlador com meios adequados na resposta a solicitações dos titulares (arts. 12–23 do GDPR) e nas obrigações dos arts. 32–36 do GDPR, em especial na notificação de violações de dados pessoais; tais violações são notificadas imediatamente ao controlador;
5. exclui ou devolve os dados nos termos do § 8;
6. disponibiliza ao controlador todas as informações necessárias para demonstrar o cumprimento do art. 28 do GDPR (§ 7).

§ 5 Suboperadores

(1) O controlador aprova os suboperadores listados no Anexo 2. O operador celebrou com cada suboperador um contrato que lhe impõe as mesmas obrigações de proteção de dados estabelecidas neste DPA.

(2) O operador informa o controlador por escrito sobre a intenção de contratar ou substituir suboperadores. O controlador pode opor-se à alteração em 14 dias por motivo relevante de proteção de dados. Se uma solução consensual não for possível, ambas as partes têm direito especial de rescisão.

§ 6 Transferência para terceiros países

O processamento em terceiros países ocorre apenas nas condições dos arts. 44 e seguintes do GDPR, em especial com base nas cláusulas contratuais-tipo da UE (SCC) com os suboperadores citados no Anexo 2, complementadas por medidas de proteção adicionais (em especial criptografia de transporte, pseudonimização quando possível).

§ 7 Direitos de controle do controlador

(1) O controlador tem o direito de fiscalizar o cumprimento deste DPA. O operador possibilita e apoia verificações — incluindo inspeções — realizadas pelo controlador ou por auditor por ele designado.

(2) As verificações ocorrem após aviso prévio razoável em horário comercial habitual. O operador pode apresentar comprovações inicialmente por documentação adequada, atestados ou certificações.

§ 8 Exclusão e devolução

(1) O operador exclui registros individuais a qualquer momento sob instrução do controlador.

(2) Após o encerramento do contrato de uso, o operador, a critério do controlador, exclui todos os dados pessoais ou os devolve em formato usual e exclui cópias existentes, salvo obrigações legais de retenção em contrário.

§ 9 Disposições finais

(1) Em caso de conflito entre este DPA e o contrato de uso, prevalecem, em questões de proteção de dados, as regras deste DPA.

(2) Aplica-se o direito alemão. Alterações e aditamentos requerem forma escrita.

Anexo 1: Medidas técnicas e organizacionais (TOMs)

• Criptografia: todas as transmissões de dados ocorrem com criptografia de transporte (TLS); os dados armazenados são mantidos em sistemas criptografados dos provedores de infraestrutura.
• Controle de acesso: apenas o respectivo cliente (painel com proteção de acesso, cookies de sessão HttpOnly) e funcionários autorizados do operador segundo o princípio da necessidade têm acesso aos dados de chamadas; acessos administrativos são protegidos separadamente.
• Localização: o processamento e o armazenamento ocorrem em centros de dados da UE, onde os provedores utilizados o permitem.
• Retenção de áudio com conceito de exclusão: as conversas são gravadas em áudio após aviso prévio e transcritas; gravação e transcrição são conservadas e excluídas conforme o conceito de exclusão acordado.
• Registro: eventos do sistema e acessos administrativos são registrados e avaliados regularmente.
• Separação: os dados dos clientes são separados logicamente (atribuição de todos os dados de chamadas por cliente).
• Recuperabilidade: backups regulares do banco de dados e procedimentos documentados de recuperação.

Anexo 2: Suboperadores aprovados