Anexo D — Contrato de Tratamento de Dados

Versão: v1.3
Data de vigência: 11 de agosto de 2026
Incorporado a: Contrato de Publicador da Capafy

Este Anexo D faz parte do Publisher Agreement entre CAPAFY PTE. LTD. (UEN: 202619379G) (“nós”, “nos”, “Capafy” ou a “Plataforma”) e o Publicador (“você” ou o “Publicador”). Ele rege os acordos de proteção de dados das partes para Dados Pessoais tratados em conexão com Agentes hospedados na nuvem.

A Seção D.1 define como as funções de proteção de dados das partes são alocadas para cada categoria de dados e atividade de tratamento abrangida por este Anexo. Quando a Capafy atua como subcontratante ou subcontratante posterior, as disposições de subcontratação destinam-se a atender aos requisitos aplicáveis do Artigo 28(3) do GDPR e de leis semelhantes.

---

Sumário

• D.1 Escopo e aplicabilidade
• D.2 Definições
• D.3 Instruções e obrigações de Parceiro Subcontratante
• D.4 Finalidades e limitações do tratamento
• D.5 Confidencialidade e controles de acesso
• D.6 Retenção e exclusão de dados
• D.7 Medidas técnicas e organizacionais de segurança
• D.8 Avaliações de impacto sobre proteção de dados
• D.9 Assistência a direitos dos titulares de dados
• D.10 Subcontratantes posteriores
• D.11 Transferências internacionais de dados
• D.12 Vigência, rescisão e exclusão de dados
• D.13 Responsabilidade
• D.14 Conformidade com o Artigo 28(3) do GDPR
• D.15 Disposições gerais
• Apêndice D-1 — Objeto e detalhes do tratamento de dados
• Apêndice D-2 — Termos adicionais para a legislação europeia de proteção de dados

---

D.1 Escopo e aplicabilidade

Este Anexo aplica-se ao acesso hospedado na nuvem por Assinatura e por Hora, e a uma revisão de segurança somente na medida em que a revisão trate Dados Pessoais. Ele não se aplica ao uso pós-entrega de um Download Skill Package, exceto aos dados de conta, pagamento, segurança, conformidade e Dados Operacionais da Plataforma próprios da Capafy.

Os mesmos Dados Pessoais podem ser tratados para mais de uma finalidade distinta. As funções das partes são determinadas separadamente para cada atividade de tratamento descrita abaixo.

---

D.2 Definições

Arquivos do Agente — o conjunto completo de arquivos, prompts, scripts e configurações fornecidos por você para execução hospedada na nuvem.

Dados de Execução do Agente em Tempo Real — conteúdo de interações Usuário–Agente tratado transitoriamente pela Capafy exclusivamente para encaminhar uma solicitação, executar o Agente do Publicador e devolver a saída resultante. Exclui cópias ou registros retidos pela Capafy como Logs de Execução ou Dados Operacionais da Plataforma para suas finalidades próprias como controlador independente nos termos da Seção D.1.

Proxy de Credenciais — nosso mecanismo para injetar suas credenciais de API hospedadas nas solicitações do Agente durante a execução. As credenciais são armazenadas criptografadas; ninguém, inclusive nossos engenheiros, tem acesso ao valor em texto simples. O Proxy de Credenciais aplica-se apenas às credenciais que você registra pelo Publisher Console como credenciais hospedadas. Credenciais incluídas diretamente nos Arquivos do Agente — inclusive em declarações de variáveis de ambiente, arquivos de configuração, modelos de prompt ou qualquer outro componente do Skill Package — não são gerenciadas, armazenadas nem protegidas por nós e ficam totalmente fora do escopo deste mecanismo.

Logs de Execução — registros estruturados da atividade de execução do Agente e do conteúdo de conversas Usuário–Agente retidos pela Capafy para as finalidades de controlador independente indicadas na Seção D.1, incluindo resolução de disputas e auditoria. Os Logs de Execução são indexados por sessão, retidos por 90 dias após a limpeza da instância salvo se a lei ou um legal hold exigir período maior, e não são disponibilizados aos Publicadores pelo Publisher Console ou por qualquer canal rotineiro de dados.

Instruções — suas diretrizes para nós sobre o tratamento de Dados Pessoais nos termos deste Anexo, incluindo seu Agente configurado, o Publisher Agreement e Instruções escritas adicionais compatíveis com esses documentos.

Parceiro Subcontratante — um Publicador que é ele próprio um subcontratante que atua em nome de um controlador superior.

Serviço Externo Selecionado pelo Publicador — um provedor de LLM externo, API, banco de dados, provedor de busca ou outro serviço externo selecionado ou configurado pelo Publicador.

Sandbox de Revisão — um ambiente de teste isolado usado por nossa equipe de revisão para avaliar o comportamento do Agente durante o processo de revisão de segurança. A Sandbox de Revisão é projetada para que os revisores observem o comportamento do Agente sem poder acessar seus Arquivos do Agente originais.

Incidente de Segurança — qualquer evento envolvendo acesso não autorizado, divulgação, alteração ou destruição de Dados Pessoais.

---

D.3 Instruções e obrigações de Parceiro Subcontratante

Esta Seção aplica-se somente a Arquivos do Agente e Dados de Execução do Agente em Tempo Real descritos na Seção D.1, quando a Capafy atua como subcontratante ou subcontratante posterior. A Capafy tratará esses Dados Pessoais somente com base nas Instruções documentadas do Publicador, salvo se a legislação aplicável exigir o contrário. As Instruções estão estabelecidas neste Anexo, no Publisher Agreement, no Agente configurado pelo Publicador e em quaisquer Instruções escritas adicionais compatíveis com esses documentos.

Se a Capafy acreditar razoavelmente que uma Instrução violaria as Leis de Proteção de Dados aplicáveis, ou se a lei impedir a Capafy de segui-la, a Capafy notificará prontamente o Publicador e suspenderá o tratamento afetado até que a questão seja resolvida. A Capafy não estará em violação deste Anexo por recusar uma Instrução que razoavelmente considere ilegal.

Se o Publicador for um Parceiro Subcontratante, garante que o controlador superior relevante autorizou o tratamento descrito neste Anexo e a nomeação da Capafy como subcontratante posterior para a categoria de tratamento aplicável. O Publicador encaminhará ao controlador qualquer aviso que a lei aplicável exija que ele receba.

Para Logs de Execução, Dados Operacionais da Plataforma, dados de conta, checkout, pagamento, liquidação, segurança e outros tratamentos como controlador independente descritos na Seção D.1, a Capafy atua sob sua Política de Privacidade e a legislação aplicável, e não sob as Instruções do Publicador.

---

D.4 Finalidades e limitações do tratamento

Tratamento como subcontratante. Somente para Arquivos do Agente e Dados de Execução do Agente em Tempo Real, a Capafy trata Dados Pessoais exclusivamente para:

• hospedar e executar o Agente do Publicador e entregar sua saída ao Usuário relevante;
• criar, manter e encerrar a sessão necessária para executar esse Agente;
• encaminhar solicitações e respostas pela infraestrutura de proxy ou relay da Capafy;
• injetar credenciais de API hospedadas pelo Publicador por meio do Proxy de Credenciais; e
• fornecer as medidas de segurança necessárias para proteger esse tratamento como subcontratante.

Tratamento como controlador independente. A Capafy trata Logs de Execução, Dados Operacionais da Plataforma e as demais categorias de controlador independente da Seção D.1 para segurança e integridade da Plataforma, prevenção de fraude e abuso, revisão de segurança, resolução de disputas, auditoria, suporte à cobrança e liquidação, conformidade legal e os períodos de retenção estabelecidos neste Anexo, no Publisher Agreement e na Política de Privacidade.

Segurança de mensagens. A Capafy pode examinar mensagens recebidas em busca de ameaças à segurança e filtrar a saída do Agente em busca de vazamento de credenciais. Quando uma credencial for detectada, a Capafy poderá substituí-la por um marcador de redação e notificará o Publicador.

A Capafy não irá:

• usar Arquivos do Agente, incluindo prompts, lógica e configurações, para treinar um modelo de IA ou sistema de aprendizado de máquina;
• copiar ou adaptar a lógica funcional do Agente para criar produto ou serviço concorrente;
• fornecer Arquivos do Agente a terceiro não autorizado;
• contatar Usuários para contornar o Publicador e estabelecer relação comercial independente; ou
• permitir acesso a dados brutos de conversas de Usuários fora dos processos autorizados de disputa, auditoria, segurança ou conformidade legal da Capafy.

---

D.5 Confidencialidade e controles de acesso

Garantimos que todo pessoal com acesso aos seus Arquivos do Agente ou dados de interação do Usuário esteja vinculado por obrigações adequadas de confidencialidade.

• O acesso ao código e conteúdo do Agente está sujeito a controles estritos de menor privilégio
• Nossa equipe de revisão avalia o comportamento do Agente por meio do Sandbox de Revisão, que é projetado para impedir acesso aos seus Arquivos do Agente originais
• O acesso a dados brutos de conversas do Usuário por nosso pessoal técnico exige dupla aprovação e é limitado aos processos autorizados de disputa, auditoria, segurança e conformidade legal da Capafy
• Suas credenciais de API são armazenadas de forma criptografada, isoladas de nossos sistemas comerciais gerais, e são inacessíveis em texto claro a qualquer pessoa

---

D.6 Retenção e exclusão de dados

Períodos de retenção:

Exclusão iniciada pelo Publicador:

• Você pode remover ou substituir credenciais de API hospedadas a qualquer momento pelo Publisher Console; substituições entram em vigor na próxima inicialização do contêiner e exclusões entram em vigor imediatamente.
• Deslistar um Agente remove-o do marketplace e impede novas sessões; não exclui Arquivos do Agente mantidos para sessões ativas ou pendentes.
• Para solicitar a exclusão permanente de seus Arquivos do Agente após o cancelamento do registro, contate [email protected].

Solicitações de exclusão de titulares de dados:

Solicitações relativas a Logs de Execução, Dados Operacionais da Plataforma, dados de conta, dados de pagamento ou outro tratamento da Capafy como controlador independente são tratadas pela Capafy sob sua Política de Privacidade e a legislação aplicável. A Capafy não é obrigada a divulgar ao Publicador o endereço de e-mail da conta Capafy do Usuário, seu perfil pessoal ou registros brutos de conversas, exceto quando a lei aplicável exigir a divulgação.

Quando uma solicitação disser respeito a Arquivos do Agente ou Dados de Execução do Agente em Tempo Real para os quais a Capafy atua como subcontratante ou subcontratante posterior, a Capafy prestará assistência razoável nos termos da Seção D.9. A Capafy poderá solicitar informações factuais limitadas ao Publicador quando razoavelmente necessário, mas fornecerá apenas o mínimo de informação necessário e não disponibilizará Logs de Execução brutos pelo Publisher Console ou outro canal rotineiro.

---

D.7 Medidas técnicas e organizacionais de segurança

Nossas medidas de segurança:

Segurança de armazenamento:

• Arquivos do Agente, Logs de Execução e credenciais de API são criptografados em repouso
• Credenciais de API são armazenadas em um cofre de segredos dedicado e isolado; nenhum acesso em texto claro está disponível a qualquer pessoa, incluindo nossos engenheiros
• O acesso entre Arquivos do Agente de diferentes Publicadores é estritamente segregado; o acesso entre dados de sessão de diferentes Usuários é estritamente segregado
• O acesso de pessoal a dados de produção exige dupla aprovação

Segurança do ambiente de execução:

• Cada sessão de Usuário é executada em ambiente isolado; dados da sessão de um Usuário não são acessíveis a outro Usuário
• Sessões usadas para revisão de segurança e testes internos são totalmente isoladas de sessões comerciais de Usuários; elas não geram pedidos ou registros de receita
• O acesso de rede de saída a partir de ambientes do Agente é controlado; o Proxy de Credenciais injeta credenciais de API somente para solicitações aos URLs de API declarados em seu Agente

Pipeline de segurança de mensagens:

• Todas as mensagens do Usuário passam por uma camada de triagem de segurança antes de chegar ao seu Agente
• Toda saída do Agente passa por um filtro de segurança antes de ser entregue ao Usuário; saída contendo formatos de credenciais detectados é redigida
• Essas camadas de segurança operam fora do ambiente de execução do Agente e não podem ser contornadas pelo código do Agente

Segurança de transmissão:

• Todos os dados em trânsito são criptografados usando protocolos atuais de segurança de transporte padrão do setor

Segurança contínua:

• Realizamos testes internos contínuos de segurança de nossa infraestrutura e código, e contrataremos testes de penetração independentes de terceiros conforme nosso porte e perfil de risco justificarem
• Executamos varredura automatizada contínua de vulnerabilidades em nossa infraestrutura e código, e conduzimos análise estática e comportamental em nível de Skill dos Arquivos do Agente antes e durante a listagem
• Mantemos, ou trabalhamos para manter, uma certificação de segurança reconhecida pelo setor (como ISO 27001 ou padrão equivalente); detalhes estão disponíveis mediante solicitação por escrito
• Quando detectamos código malicioso em um Agente, removemos imediatamente o Agente da listagem, notificamos os Usuários afetados e publicamos um aviso de segurança

Suas responsabilidades de segurança:

Você é responsável por:

• Usar a Plataforma de maneira segura e de acordo com o Contrato de Publicador
• Manter a segurança e confidencialidade de suas credenciais do Console do Publicador
• Configurar adequadamente as definições de segurança do Agente para seu caso de uso
• Quaisquer dados pessoais armazenados ou tratados em sistemas fora da Plataforma, incluindo seus próprios servidores ou serviços de terceiros chamados por seu Agente
• Garantir que quaisquer credenciais exigidas por seu Agente sejam registradas pelo Console do Publicador como credenciais hospedadas. Se você incorporar credenciais — incluindo chaves de API, tokens ou segredos — diretamente em seus Arquivos do Agente (por exemplo, em declarações de variáveis de ambiente, arquivos de configuração ou modelos de prompt), essas credenciais não estarão sob nosso controle ou proteção. Não assumimos responsabilidade por qualquer exposição, vazamento ou uso indevido de credenciais incorporadas dessa forma

Você reconhece que nossas medidas de segurança, considerando a natureza dos serviços e o estado da técnica, fornecem nível adequado de proteção para os dados pessoais tratados nos termos deste Anexo.

---

D.8 Avaliações de impacto sobre proteção de dados

Quando você for obrigado pela legislação aplicável de proteção de dados (incluindo o Artigo 35 do GDPR) a conduzir uma Avaliação de Impacto sobre Proteção de Dados em conexão com seu uso da Plataforma, nós o auxiliaremos fornecendo, mediante solicitação por escrito:

• uma descrição de nossas atividades de tratamento de dados e medidas de segurança relevantes para a avaliação
• informações sobre nossos subcontratantes posteriores e mecanismos de transferência de dados
• trechos relevantes de nossa documentação de segurança

Responderemos a tais solicitações dentro de prazo razoável.

---

D.9 Assistência a direitos dos titulares de dados

Esta Seção aplica-se somente quando a Capafy atua como subcontratante ou subcontratante posterior para Arquivos do Agente ou Dados de Execução do Agente em Tempo Real nos termos da Seção D.1. Considerando a natureza desse tratamento, a Capafy prestará assistência razoável ao Publicador para responder a uma solicitação válida de titular de dados na medida exigida pelas Leis de Proteção de Dados aplicáveis.

Para solicitações relativas a Logs de Execução, Dados Operacionais da Plataforma, dados de conta, dados de pagamento ou outro tratamento da Capafy como controlador independente, a Capafy responde em sua própria função sob sua Política de Privacidade e a legislação aplicável. O Publicador não tem direito a receber Logs de Execução brutos, conteúdo de conversas de Usuários, o e-mail da conta Capafy do Usuário ou seu perfil pessoal, exceto quando a lei aplicável exigir a divulgação.

Para o tratamento como subcontratante, a Capafy poderá fornecer informações de status apropriadas, executar instrução documentada de retificação, restrição ou exclusão quando legalmente exigido e auxiliar uma resposta por processo seguro e específico do caso. Isso não exige que a Capafy disponibilize Logs de Execução brutos ao Publicador.

---

D.10 Provedores de serviços e subcontratantes posteriores

Para Arquivos do Agente e Dados de Execução do Agente em Tempo Real tratados pela Capafy como subcontratante ou subcontratante posterior, a Capafy poderá usar os seguintes subcontratantes posteriores, sujeitos ao processo de notificação e objeção desta Seção:

A Capafy poderá nomear novo subcontratante posterior para esse tratamento mediante aviso prévio por escrito de pelo menos 30 dias sobre uma alteração material. O Publicador poderá apresentar objeção fundamentada por escrito dentro de 14 dias após o aviso. Se a Capafy não puder resolver razoavelmente a objeção, o Publicador poderá rescindir o tratamento afetado mediante aviso escrito de 30 dias, sem penalidade.

Para Logs de Execução, Dados Operacionais da Plataforma e outros dados tratados pela Capafy como controlador independente, a Capafy poderá usar provedores de serviços que atuem em seu nome. Esses provedores são subcontratantes da Capafy, não subcontratantes posteriores do Publicador, e são regidos pela Política de Privacidade da Capafy e pela legislação aplicável.

Serviços Externos Selecionados pelo Publicador. Um Serviço Externo Selecionado pelo Publicador não se torna subcontratante posterior da Capafy apenas porque a Capafy encaminha conteúdo de interação por sua infraestrutura de proxy ou relay. O Publicador é responsável por selecionar, configurar e contratar esse serviço, determinar a função de proteção de dados aplicável e fazer as divulgações de fluxo de dados exigidas pelo Publisher Agreement. Isso não limita a responsabilidade da Capafy por subcontratante ou subcontratante posterior que a Capafy contrate independentemente para suas próprias atividades de tratamento.

---

D.11 Transferências internacionais de dados

Quaisquer SCCs, UK IDTA ou UK Addendum, ou modificações suíças incorporadas por este Anexo aplicam-se somente às transferências e às funções descritas expressamente na Seção D-2.4.

Quando transferimos dados pessoais para fora da jurisdição em que foram coletados, contamos com os seguintes mecanismos:

Se você concluir que um mecanismo de transferência no qual nos baseamos não fornece mais proteção adequada, poderá nos notificar por escrito. Trabalharemos com você de boa-fé para identificar um mecanismo alternativo. Se nenhum mecanismo adequado puder ser acordado dentro de 30 dias, você poderá rescindir este Anexo por conveniência sem penalidade.

---

D.12 Vigência, rescisão e exclusão de dados

Vigência. Este Anexo entra em vigor e aplica-se conforme descrito na Seção D.15. Permanece em vigor até que o Publicador cancele seu registro como Publicador ou a conta do Publicador seja encerrada.

Exclusão de dados na rescisão:

Ao final do tratamento aplicável como subcontratante ou subcontratante posterior, os Arquivos do Agente serão excluídos dentro de 30 dias após o término de qualquer período de transição permitido pelas Seções 5.5 e 15.4 do Publisher Agreement, ou dentro de 30 dias da rescisão quando não houver período de transição, em cada caso sujeitos à lei aplicável, legal holds e rotação normal de backups.

Mediante solicitação escrita do Publicador feita antes da exclusão, a Capafy devolverá os Dados Pessoais remanescentes tratados exclusivamente como subcontratante ou subcontratante posterior em formato comumente usado e então excluirá suas cópias remanescentes, salvo se a lei aplicável exigir retenção.

Dados retidos após a rescisão:

Obrigações contínuas:

Nossas obrigações de confidencialidade com relação aos seus Arquivos do Agente sobrevivem à rescisão deste Anexo indefinidamente. Nossa proibição de usar seus Arquivos do Agente ou informações derivadas para fins competitivos é permanente.

---

D.13 Responsabilidade

As limitações de responsabilidade da Seção 11 do Publisher Agreement aplicam-se a reivindicações decorrentes de ou relacionadas a este Anexo, exceto na medida em que a responsabilidade não possa ser excluída ou limitada pela legislação aplicável.

---

D.14 Conformidade com o Artigo 28(3) do GDPR

Somente para Arquivos do Agente e Dados de Execução do Agente em Tempo Real, quando a Capafy atua como subcontratante ou subcontratante posterior nos termos da Seção D.1, este Anexo destina-se a atender aos requisitos aplicáveis do Artigo 28(3) do GDPR. Ele não caracteriza o tratamento da Capafy como controlador independente como tratamento de subcontratante:

---

D.15 Disposições gerais

Alterações a este Anexo. Podemos alterar este Anexo:

• para cumprir uma alteração na legislação aplicável de proteção de dados ou uma decisão vinculante de uma autoridade supervisora competente;
• para refletir alterações em subcontratantes posteriores notificadas nos termos de §D.10; ou
• para alterações administrativas não materiais que não reduzam seus direitos nem ampliem nossas atividades de tratamento.

Para alterações materiais, daremos aviso de acordo com PA §14. As Cláusulas Contratuais Padrão incorporadas a este Anexo somente podem ser modificadas conforme expressamente permitido pelo quadro SCC aplicável; nada neste Anexo substitui ou modifica qualquer disposição SCC.

Ordem de precedência. Se houver conflito entre este Anexo e o corpo do Contrato de Publicador sobre matéria de tratamento de dados, este Anexo prevalecerá. Se as Cláusulas Contratuais Padrão se aplicarem, elas prevalecerão sobre o restante deste Anexo na medida de qualquer conflito.

Lei aplicável e disputas. Este Anexo é regido pela lei de Singapura. Disputas decorrentes deste Anexo são resolvidas de acordo com as disposições de resolução de disputas do Contrato de Publicador.

Idioma. O inglês é o único idioma autorizado deste Anexo. Qualquer tradução é fornecida apenas para referência.

Aceitação. Este Anexo entra em vigor quando o Publisher Agreement é aceito nos termos das Seções 2.2 ou 2.3 desse acordo. As disposições de subcontratação nas Seções D.3 a D.10 aplicam-se somente a partir do momento em que a Capafy começa a tratar Arquivos do Agente ou Dados de Execução do Agente em Tempo Real como subcontratante ou subcontratante posterior nos termos da Seção D.1.

---

Apêndice D-1 — Objeto e detalhes do tratamento de dados

Este Apêndice satisfaz os requisitos de descrição do Artigo 28(3)(a) do GDPR.

---

Apêndice D-2 — Termos adicionais para a legislação europeia de proteção de dados

D-2.1 Aplicação

Este Apêndice aplica-se quando a Legislação Europeia de Proteção de Dados rege o tratamento de Dados Pessoais, incluindo o tratamento como subcontratante ou subcontratante posterior de Arquivos do Agente e Dados de Execução do Agente em Tempo Real nos termos da Seção D.1. “Legislação Europeia de Proteção de Dados” significa, conforme aplicável: o Regulamento Geral de Proteção de Dados da UE (GDPR 2016/679); o UK GDPR e Data Protection Act 2018; e a Lei Federal Suíça de Proteção de Dados (FADP).

Quando este Apêndice entrar em conflito com o restante deste Anexo sobre matéria regida pela Legislação Europeia de Proteção de Dados, este Apêndice prevalecerá. Quando as Cláusulas Contratuais Padrão se aplicarem nos termos de §D-2.4, as SCCs prevalecerão sobre o restante deste Apêndice e deste Anexo na medida de qualquer conflito.

D-2.2 Definições adicionais

País Adequado — um país, território ou setor reconhecido pela Legislação Europeia de Proteção de Dados aplicável como fornecendo nível adequado de proteção para dados pessoais (incluindo, para fins do GDPR da UE, países listados em decisão de adequação da Comissão Europeia).

EEE — o Espaço Econômico Europeu.

SCCs — as Cláusulas Contratuais Padrão para a transferência de dados pessoais a terceiros países nos termos do GDPR da UE, adotadas pela Comissão Europeia pela Decisão 2021/914 de 4 de junho de 2021, no módulo aplicável à transferência conforme estabelecido em §D-2.4.

UK IDTA — o Acordo Internacional de Transferência de Dados emitido pelo Information Commissioner's Office do Reino Unido, conforme alterado de tempos em tempos.

Autoridade Supervisora — a autoridade supervisora competente de proteção de dados nos termos da Legislação Europeia de Proteção de Dados aplicável.

D-2.3 Parceiro Subcontratante (contexto europeu)

Quando você for um Parceiro Subcontratante nos termos de §D.3 e a Legislação Europeia de Proteção de Dados se aplicar, você também deverá:

• garantir que o controlador de dados ascendente tenha sido informado e tenha autorizado o subtratamento descrito neste Anexo, conforme exigido pelo Artigo 28(2) do GDPR; e
• encaminhar ao controlador de dados relevante, prontamente e sem demora indevida, qualquer notificação que forneçamos a você nos termos deste Apêndice e que o controlador tenha direito de receber nos termos da legislação aplicável.

D-2.4 Transferências de Dados Pessoais para fora do EEE, Reino Unido ou Suíça

Esta Seção aplica-se somente quando Dados Pessoais na categoria de Arquivos do Agente ou Dados de Execução do Agente em Tempo Real são transferidos do EEE, Reino Unido ou Suíça para a Capafy em Singapura e a Capafy atua como subcontratante ou subcontratante posterior nos termos da Seção D.1.

As Cláusulas Contratuais Padrão da UE adotadas pela Decisão de Execução (UE) 2021/914 são incorporadas a este Anexo para essas transferências da seguinte forma:

Quando a Capafy coleta ou retém Logs de Execução, Dados Operacionais da Plataforma, dados de conta, checkout, pagamento ou liquidação como controlador independente, esta Seção não pretende aplicar o Módulo Dois ou o Módulo Três a esse tratamento. Qualquer transferência separada de controlador para controlador, se ocorrer, deve ser avaliada e documentada segundo o mecanismo de transferência aplicável a essa transferência específica.

Para transferências do Reino Unido dentro do escopo desta Seção, aplica-se a UK IDTA ou um UK Addendum válido às SCCs da UE, preenchido com as informações do Apêndice D-1 e das Seções D.7 e D.10. Para transferências suíças dentro do escopo desta Seção, aplicam-se as SCCs com as modificações exigidas pela lei suíça e pelas orientações aplicáveis.

D-2.5 Notificações de instruções (contexto europeu)

Notificaremos você sem demora indevida se, em nossa avaliação, uma Instrução que você nos deu violaria a Legislação Europeia de Proteção de Dados. Suspenderemos o tratamento afetado enquanto aguardamos seu esclarecimento ou uma Instrução revisada. Esta obrigação não prejudica nossas obrigações gerais de notificação de instruções nos termos de §D.3.

D-2.6 Direitos dos titulares de dados (contexto europeu)

Considerando a natureza do tratamento, nós o auxiliaremos a responder a solicitações de titulares de dados sob a Legislação Europeia de Proteção de Dados pelos meios descritos em §D.9. Quando um titular de dados enviar uma solicitação diretamente a nós, a Capafy confirmará o recebimento e verificará a identidade quando praticável. A Capafy determinará e tratará as solicitações relativas ao tratamento que realiza como controlador independente nos termos de sua Política de Privacidade e da legislação aplicável. Para o tratamento como subcontratante ou subcontratante posterior no âmbito deste Apêndice, a Capafy prestará a assistência descrita na Seção D.9 e, quando apropriado, poderá encaminhar o titular dos dados ao Publicador ou solicitar ao Publicador informações limitadas. A Capafy não é obrigada a divulgar ao Publicador o endereço de e-mail da conta Capafy do titular dos dados, seu perfil pessoal ou os registros brutos de conversas dos Usuários, exceto quando exigido pela legislação aplicável.

D-2.7 Notificação de Incidente de Segurança (contexto europeu)

Quando um Incidente de Segurança envolver dados pessoais protegidos pela Legislação Europeia de Proteção de Dados:

• notificaremos você sem demora indevida e, em qualquer caso, em tempo suficiente para permitir que você cumpra suas obrigações de notificação sob o Artigo 33 do GDPR (72 horas a partir de sua ciência de uma violação de dados pessoais);
• nossa notificação incluirá, na medida disponível no momento: a natureza do incidente; as categorias e número aproximado de titulares de dados e registros afetados; consequências prováveis; e medidas tomadas ou propostas para tratar o incidente;
• cooperaremos com você e forneceremos todas as informações adicionais razoavelmente solicitadas para ajudá-lo a notificar a Autoridade Supervisora relevante e, quando exigido, os titulares de dados afetados.

D-2.8 Informações de conformidade (contexto europeu)

Quando a Legislação Europeia de Proteção de Dados se aplicar, disponibilizaremos a você, mediante solicitação por escrito, documentação razoavelmente necessária para demonstrar conformidade com nossas obrigações sob o Artigo 28 do GDPR. Cumprimos esta obrigação principalmente por meio de documentação escrita — incluindo descrições de nossas atividades de tratamento de dados, as medidas de segurança descritas em §D.7, e qualquer avaliação ou certificação de segurança independente existente que possuamos. Você concorda em tratar qualquer documentação fornecida como confidencial.

D-2.9 Subcontratantes posteriores (contexto europeu)

Quando a Legislação Europeia de Proteção de Dados se aplicar, garantimos que cada subcontratante posterior esteja vinculado por contrato escrito que imponha obrigações de proteção de dados equivalentes às deste Anexo, conforme exigido pelo Artigo 28(4) do GDPR. Permanecemos responsáveis perante você pelo desempenho dos subcontratantes posteriores na medida estabelecida em §D.10.

D-2.10 Registros de tratamento (contexto europeu)

Mantemos registros das atividades de tratamento realizadas em seu nome conforme exigido pelo Artigo 30(2) do GDPR e os disponibilizamos à Autoridade Supervisora competente mediante solicitação. Podemos pedir que você confirme ou atualize as informações de tratamento que forneceu a nós quando isso for necessário para manter nossos registros precisos.

D-2.11 Sem modificação das SCCs

Nada neste Anexo (incluindo este Apêndice) modifica as SCCs ou o UK IDTA, ou prejudica os direitos dos titulares de dados sob a Legislação Europeia de Proteção de Dados. Em caso de conflito entre as SCCs ou o UK IDTA e qualquer outro termo deste Anexo, as SCCs ou o UK IDTA (conforme aplicável) prevalecem.

D-2.12 Atualizações das SCCs

Podemos atualizar o módulo ou versão das SCC incorporado sob §D-2.4 quando uma nova versão ou versão substituta for adotada pela autoridade relevante, desde que a versão atualizada não reduza materialmente o nível de proteção concedido aos titulares de dados. Daremos a você aviso razoável de qualquer atualização desse tipo.

---

Este Anexo é emitido por CAPAFY PTE. LTD. (UEN: 202619379G)
Endereço registrado: 60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051