Adendo de Tratamento de Dados

Versão 2026-10-09

Este Adendo de Tratamento de Dados ("DPA") integra o contrato entre Craftkite ("Craftkite", "operador") e o cliente que o aceita ("Cliente", "controlador") para o uso do Craftkite (o "Serviço"). Ele se aplica quando o Craftkite trata dados pessoais em nome do Cliente, nos termos do Regulamento Geral sobre a Proteção de Dados da UE (GDPR), do UK GDPR, da Lei n.º 6698 da Turquia sobre a Proteção de Dados Pessoais (KVKK) e de outras leis de proteção de dados aplicáveis ("Legislação de Proteção de Dados").

1. Funções e escopo

1. O Cliente é o controlador dos dados pessoais que ele, seus membros ou os usuários finais dos seus aplicativos publicados inserem no Serviço ("Dados Pessoais do Cliente"). O Craftkite é o seu operador.
2. O Craftkite é controlador dos dados de conta, cobrança e segurança de que precisa para conduzir o próprio negócio, conforme descrito na Política de Privacidade. Este DPA não abrange esses dados.
3. O Anexo 1 descreve o tratamento.

2. Instruções

O Craftkite trata os Dados Pessoais do Cliente somente de acordo com as instruções documentadas do Cliente: o contrato, este DPA e o uso e a configuração do Serviço pelo Cliente. O Craftkite informará o Cliente se entender que uma instrução viola a Legislação de Proteção de Dados, salvo se a lei o proibir.

3. Confidencialidade e acesso da equipe

1. O Craftkite garante que todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estejam sujeitas a dever de confidencialidade.
2. A equipe do Craftkite acessa os Dados Pessoais do Cliente e o conteúdo do Cliente (prompts, arquivos do projeto, pré-visualizações, dados dos aplicativos) somente quando necessário para resolver uma solicitação de suporte do Cliente, uma denúncia de abuso, uma obrigação legal ou um incidente de segurança. Cada acesso exige um motivo documentado, é limitado no tempo e no escopo (uma conta ou um projeto), é registrado em uma trilha de auditoria que só admite inclusões, com cada item lido, e é exibido ao Cliente em Conta → Privacidade. Os dados pessoais ficam mascarados por padrão nas ferramentas internas.
3. O Craftkite não usa os Dados Pessoais do Cliente nem o conteúdo do Cliente para treinar modelos de IA, para criar exemplos, modelos ou avaliações, nem para análises, e só compartilha conteúdo na sua galeria da comunidade quando o Cliente o envia com consentimento explícito, que pode ser revogado.

4. Segurança

O Craftkite implementa as medidas técnicas e organizacionais do Anexo 2 e as mantém adequadas ao risco. O Craftkite pode atualizá-las desde que o nível geral de proteção não diminua.

5. Suboperadores

1. O Cliente concede autorização geral para os suboperadores listados na página Suboperadores.
2. O Craftkite anuncia novos suboperadores nessa página pelo menos 30 dias antes que comecem a tratar Dados Pessoais do Cliente. O Cliente pode se opor, por motivos razoáveis de proteção de dados, dentro desse prazo; se as partes não conseguirem resolver a objeção, o Cliente pode encerrar a parte afetada do Serviço e receber o reembolso proporcional das taxas pagas antecipadamente por ela.
3. O Craftkite impõe a cada suboperador obrigações de proteção de dados não menos protetivas do que este DPA e continua responsável pelo cumprimento delas.

6. Transferências internacionais

Quando os Dados Pessoais do Cliente forem transferidos para fora do EEE, do Reino Unido, da Suíça ou da Turquia, para um país sem decisão de adequação, as partes se baseiam nas Cláusulas Contratuais Padrão da UE (Módulo 2 ou 3, conforme o caso), no Adendo de Transferência Internacional de Dados do Reino Unido e, para a Turquia, nos contratos padrão publicados pela Autoridade de Proteção de Dados Pessoais, que são incorporados por referência. Quando a Legislação de Proteção de Dados exigir o consentimento explícito do titular para uma transferência, cabe ao Cliente obtê-lo dos seus próprios usuários.

7. Assistência e solicitações dos titulares

O Craftkite auxilia o Cliente, considerando a natureza do tratamento, a responder às solicitações dos titulares de dados e a cumprir suas obrigações relativas a segurança, notificação de incidentes, relatórios de impacto à proteção de dados e consulta prévia. O Serviço permite que o próprio Cliente exporte e exclua os seus dados.

8. Incidentes com dados pessoais

O Craftkite notifica o Cliente sem demora injustificada e, em qualquer caso, em até 48 horas após tomar conhecimento de um incidente com dados pessoais que afete os Dados Pessoais do Cliente, com as informações de que o Cliente precisa para cumprir as próprias obrigações.

9. Exclusão e devolução

Ao término do contrato, o Cliente pode exportar os seus dados por 30 dias. Em seguida, o Craftkite exclui os Dados Pessoais do Cliente, inclusive os backups no seu ciclo normal de rotação, salvo se a lei exigir a sua conservação.

10. Auditorias

O Craftkite disponibiliza as informações necessárias para demonstrar o cumprimento deste DPA, incluindo as suas políticas de segurança e, quando disponíveis, relatórios de auditoria independentes (como SOC 2). Se isso não for suficiente, o Cliente pode realizar uma auditoria uma vez por ano, com 30 dias de antecedência, em horário comercial, às suas próprias custas e sob confidencialidade.

11. Responsabilidade e prevalência

A responsabilidade de cada parte nos termos deste DPA está sujeita aos limites do contrato. Se este DPA conflitar com o contrato, este DPA prevalece no que se refere ao tratamento dos Dados Pessoais do Cliente. Se uma tradução deste DPA divergir da versão em inglês, prevalece a versão em inglês.

Anexo 1 — Descrição do tratamento

Anexo 2 — Medidas técnicas e organizacionais

• Criptografia em trânsito (TLS) e dos segredos em repouso; segredos dos aplicativos em um cofre criptografado.
• Cada projeto é executado em um sandbox isolado com rede restrita; cada banco de dados de aplicativo é separado.
• Acesso baseado em funções para a equipe do Craftkite, autenticação em dois fatores obrigatória para administradores, lista de IPs permitidos para o console de administração e um registro de auditoria de segurança que só admite inclusões.
• Funções no espaço de trabalho (proprietário, administrador, editor, leitor) e login único (SAML ou OpenID Connect) para espaços de trabalho Enterprise.
• Backups, monitoramento e resposta a incidentes, conforme descrito nas políticas de segurança do Craftkite.
• Os provedores de modelos de IA são contratualmente obrigados a não treinar com dados do Cliente; as solicitações usam as opções de não armazenamento dos provedores, quando oferecidas (OpenAI store: false), e não contêm identificadores de membros.
• Acesso emergencial (break-glass) para a equipe: motivo, limite de tempo, escopo, auditoria por leitura e transparência para o Cliente; dados pessoais mascarados nas ferramentas internas, com revelação auditada; exportações completas de dados pessoais somente para superadministradores.
• Pré-visualizações privadas: exibidas aos membros do projeto ou por meio de links assinados que expiram.
• Limites de retenção para registros, anexos, capturas de tela, tickets de suporte e registros de e-mail, aplicados por uma limpeza programada; relatórios de erros e análises sem dados pessoais e sem conteúdo.