Kaldune Voltar à Kaldune

Adendo de Processamento de Dados

Esta tradução é fornecida por conveniência. A versão em inglês prevalece.

Minuta preparada para revisão da Studio58, Inc. Texto vinculante modelo redigido por advogado interno. Não foi protocolado, celebrado, nem substitui o próprio advogado habilitado de registro da Studio58, Inc., que deve revisá-lo antes da publicação. Premissa de jurisdição: redigido para um controlador sediado nos EUA (lei de regência de Delaware para os Termos subjacentes, confirmada pelo cliente em 2026-07-17), com titulares de dados do EEE/Reino Unido/Suíça alcançados via Cláusulas Contratuais-Padrão. Os números e nomes neste DPA são extraídos do livro-razão de compromissos de dados (artifacts/spine/privacy/data-commitment-ledger.md) e devem permanecer idênticos a ele e à Política de Privacidade. Onde o livro-razão marca um valor como padrão-presumido (janelas de retenção, suboperadores não-IA, região de hospedagem), este DPA carrega o mesmo padrão protetivo e a mesma marcação de "a confirmar"; esses itens estão listados no Anexo 4.

Este Adendo de Processamento de Dados ("DPA") integra os Termos e Condições (o "Contrato") entre a Studio58, Inc. ("Kaldune", "nós", "nos" ou "nosso") e o cliente empresarial ("Cliente") que submete dados pessoais através do serviço Kaldune. Ele se aplica apenas onde, e na medida em que, o Cliente submete dados pessoais de terceiros (por exemplo, os próprios clientes, usuários ou funcionários do Cliente) através do Serviço e a Studio58, Inc. processa esses dados em nome do Cliente. Se o Contrato e este DPA conflitarem quanto ao processamento de dados pessoais, este DPA prevalece.

1. Definições

Termos não definidos aqui têm o significado dado no Contrato ou na lei de proteção de dados aplicável. "Lei de Proteção de Dados Aplicável" significa todas as leis que regem o processamento de dados pessoais aplicáveis a uma parte, incluindo o Regulamento Geral de Proteção de Dados da UE (2016/679) ("GDPR"), o UK GDPR e o Data Protection Act 2018, a Lei Federal Suíça de Proteção de Dados e as leis estaduais de privacidade dos EUA, incluindo a California Consumer Privacy Act conforme alterada pela CPRA ("CCPA/CPRA"). "Dados Pessoais do Cliente" significa dados pessoais contidos no Conteúdo do Cliente que a Studio58, Inc. processa em nome do Cliente. "Suboperador" significa um terceiro contratado pela Studio58, Inc. para processar Dados Pessoais do Cliente. "Controlador" ("Controller"), "Operador" ("Processor"), "Titular dos Dados", "Processamento" e "Violação de Dados Pessoais" têm os significados do GDPR (e seus equivalentes sob outra Lei de Proteção de Dados Aplicável).

2. Papéis das partes

2.1. Controlador e operador. Quanto aos Dados Pessoais do Cliente, o Cliente é o Controlador (ou é ele próprio um operador agindo para um controlador terceiro) e a Studio58, Inc. é o Operador. A Studio58, Inc. processa Dados Pessoais do Cliente apenas para fornecer e operar o Serviço e apenas sob instruções documentadas do Cliente, inclusive conforme estabelecido no Contrato e neste DPA.

2.2. Studio58, Inc. como controladora de outros dados. Para dados de conta, cobrança e uso do Serviço cujos propósitos e meios de processamento a Studio58, Inc. determina, a Studio58, Inc. é um Controlador independente; esse processamento é regido pela Política de Privacidade, não por este DPA.

2.3. CCPA/CPRA. Quanto a dados pessoais sujeitos à CCPA/CPRA, a Studio58, Inc. atua como prestadora de serviços ("service provider"). A Studio58, Inc. não venderá nem compartilhará Dados Pessoais do Cliente, não os reterá, usará ou divulgará para qualquer finalidade além da execução do Serviço (ou conforme permitido pela CCPA/CPRA), e não os combinará com dados de outras fontes exceto conforme a CCPA/CPRA permita. A Studio58, Inc. certifica que compreende essas restrições e as cumprirá.

3. Processamento dos Dados Pessoais do Cliente

3.1. Instruções. A Studio58, Inc. processa Dados Pessoais do Cliente apenas sob instruções documentadas do Cliente (inclusive para fornecer o Serviço, e conforme de outra forma acordado por escrito), a menos que exigido por lei — caso em que a Studio58, Inc. informará o Cliente antes, onde legalmente permitido.

3.2. Objeto, duração, natureza e finalidade; categorias; titulares dos dados. Estão estabelecidos no Anexo 1 (Detalhes do Processamento).

3.3. Confidencialidade. A Studio58, Inc. garante que o pessoal autorizado a processar Dados Pessoais do Cliente está vinculado a obrigações de confidencialidade.

3.4. Nenhuma leitura no curso normal. Em consonância com o Contrato e a Política de Privacidade, a Studio58, Inc. não acessa o conteúdo do Conteúdo do Cliente no curso normal. O pessoal de suporte acessa Dados Pessoais do Cliente apenas a pedido do Cliente (ou de um usuário autorizado), para a finalidade declarada, e cada acesso é registrado em log.

4. Suboperadores

4.1. Autorização. O Cliente concede à Studio58, Inc. autorização geral para contratar os Suboperadores listados no Anexo 3, incluindo o provedor de IA que alimenta o Serviço. A Studio58, Inc. impõe a cada Suboperador obrigações de proteção de dados no mínimo tão protetivas quanto as deste DPA e permanece responsável pelo desempenho de cada Suboperador.

4.2. Aviso de mudança e objeção. A Studio58, Inc. dará ao Cliente aviso prévio de pelo menos 30 dias antes que um novo Suboperador comece a processar Dados Pessoais do Cliente, período durante o qual o Cliente pode objetar por motivos razoáveis de proteção de dados. Se as partes não conseguirem resolver a objeção, o Cliente pode rescindir o Serviço afetado e receber um reembolso pro-rata das quantias pré-pagas e não utilizadas. (Nota para advogado/cliente: o próprio DPA do provedor de IA dá à Studio58 uma janela de objeção de 15 dias quanto aos suboperadores a jusante do provedor; o aviso de 30 dias da Studio58 aos seus clientes é deliberadamente mais longo e mais protetivo. Veja o livro-razão R-3.)

4.3. O provedor de IA. O provedor de IA (atualmente Anthropic, PBC; Anthropic Ireland, Limited para dados do EEE/Reino Unido/Suíça) é um Suboperador. Sob os termos comerciais e o DPA do provedor, verificados em 2026-07-17, o provedor processa dados como operador, não treina seus modelos com conteúdo submetido através de sua oferta comercial e se apoia em Cláusulas Contratuais-Padrão para transferências subsequentes aos seus próprios suboperadores de infraestrutura (Google Cloud, Amazon Web Services, Microsoft Azure, Cloudflare — em todo o mundo). O Cliente reconhece essa cadeia a jusante.

5. Transferências internacionais

5.1. Mecanismo. Onde a Studio58, Inc. transferir Dados Pessoais do Cliente de titulares do EEE, Reino Unido ou Suíça para um país sem decisão de adequação, a transferência é feita sob as Cláusulas Contratuais-Padrão da UE (Módulo Dois, controlador-para-operador; e Módulo Três, operador-para-operador, para transferências subsequentes), o UK International Data Transfer Addendum e o Adendo Suíço, cada um incorporado a este DPA por referência e completado pelo Anexo 3 e pelos dados das partes no Anexo 1. (A Studio58, Inc. deve celebrar SCCs equivalentes com cada um de seus próprios Suboperadores não-IA antes de invocar isto como celebrado — veja o Anexo 4; até lá, isto declara a postura-padrão pretendida.)

5.2. Impacto de transferência. As partes cooperarão para completar qualquer avaliação de impacto de transferência razoavelmente exigida pela Lei de Proteção de Dados Aplicável.

6. Segurança

6.1. Medidas. A Studio58, Inc. mantém medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais do Cliente, descritas no Anexo 2, incluindo criptografia em trânsito e em repouso, controles de acesso em base de menor privilégio e registro em log do acesso de suporte ao Conteúdo do Cliente.

6.2. Segurança do suboperador. O provedor de IA mantém, conforme verificado em 2026-07-17, criptografia AES-256 em repouso, TLS 1.2+ em trânsito, MFA e controle de acesso baseado em papéis, auditoria/testes de penetração anuais por terceiros e certificações SOC 2, ISO 27001 e ISO 42001. A Studio58, Inc. exigirá medidas comparáveis de seus demais Suboperadores.

7. Violação de Dados Pessoais

7.1. Aviso. A Studio58, Inc. notificará o Cliente sem demora indevida e, em qualquer caso, em até 72 horas após tomar conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente, com as informações de que o Cliente razoavelmente precise para cumprir suas próprias obrigações de notificação. (O provedor de IA se compromete a notificar a Studio58 em até 48 horas; a janela de 72 horas da Studio58 ao seu Cliente cabe dentro do padrão do Art. 33 do GDPR e a jusante do aviso do provedor. Veja o livro-razão / verificação.)

7.2. Cooperação. A Studio58, Inc. auxiliará razoavelmente o Cliente na investigação e na mitigação da violação.

8. Assistência ao Cliente

8.1. Solicitações de titulares de dados. Levando em conta a natureza do processamento, a Studio58, Inc. auxiliará o Cliente por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, a responder a solicitações de titulares de dados para exercer direitos sob a Lei de Proteção de Dados Aplicável (acesso, retificação, eliminação, restrição, portabilidade, objeção). Quando um titular de dados contatar a Studio58, Inc. diretamente, a Studio58, Inc. o encaminhará ao Cliente.

8.2. DPIAs e consulta. A Studio58, Inc. fornecerá ao Cliente assistência razoável com avaliações de impacto à proteção de dados e consultas prévias a autoridades de supervisão, levando em conta as informações disponíveis à Studio58, Inc.

9. Devolução e exclusão

Na rescisão ou expiração do Contrato, a Studio58, Inc., à escolha do Cliente, devolverá e/ou excluirá os Dados Pessoais do Cliente de seus sistemas ativos em até 30 dias, exceto cópias em backups criptografados, que são excluídas no ciclo de rotação de backup em no máximo 90 dias após a exclusão dos sistemas ativos, e exceto onde a retenção for exigida por lei. Cópias de backup permanecem sujeitas às proteções deste DPA até serem excluídas. (Janelas de retenção extraídas do livro-razão R-C e R-D; a cifra de 90 dias de backup é um padrão protetivo pendente da confirmação, pela engenharia, do verdadeiro período de rotação — Anexo 4.)

10. Auditoria

A Studio58, Inc. disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar conformidade com este DPA e permitirá e contribuirá para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor por ele designado, mediante aviso prévio razoável, sujeito a confidencialidade e não mais de uma vez por ano na ausência de motivo. A Studio58, Inc. pode satisfazer essa obrigação fornecendo relatórios de auditoria de terceiros relevantes (próprios ou de seus Suboperadores, como o relatório SOC 2 do provedor de IA).

11. Disposições gerais

Este DPA é regido pela lei de regência do Contrato (Estado de Delaware), exceto que as SCCs são regidas pela lei que elas especificam (Irlanda, para transferências do EEE). Se qualquer disposição deste DPA conflitar com as SCCs, as SCCs prevalecem quanto à transferência que regem. Este DPA entra em vigor quando o Contrato entrar e termina com ele, exceto as disposições que por sua natureza sobrevivem.

Anexo 1 — Detalhes do processamento

Item Detalhe
Objeto Fornecimento do serviço de estúdio de IA Kaldune ao Cliente.
Duração O prazo do Contrato, mais o período de devolução/exclusão da Seção 9.
Natureza e finalidade Armazenar o Conteúdo do Cliente e gerar trabalho assistido por IA em resposta aos briefings do Cliente; operações de conta, segurança e suporte.
Categorias de dados pessoais Quaisquer dados pessoais que o Cliente escolha incluir em seus Insumos ou que apareçam nos Resultados; dados de conta e de contato do Cliente. O Cliente controla quais dados pessoais submete.
Categorias especiais Não pretendidas. O Cliente não deve submeter dados de categoria especial a menos que tenha base legal e tenha configurado seu uso em conformidade; a Studio58, Inc. não os exige para operar o Serviço.
Titulares dos dados Conforme determinado pelo Cliente — p. ex., os próprios clientes, usuários, funcionários ou contatos do Cliente representados no Conteúdo do Cliente.
Controlador O Cliente (dados das partes do Anexo 1 a serem preenchidos pelo Cliente).
Operador Studio58, Inc. (operando a Kaldune), c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808.

Anexo 2 — Medidas de segurança (Studio58, Inc.)

Extraídas do livro-razão de compromissos de dados; itens marcados como padrão-presumido no Anexo 4, pendentes de confirmação da engenharia.

Anexo 3 — Suboperadores

Corresponde exatamente ao §3 do livro-razão de compromissos de dados. Linhas marcadas como padrão-presumido estão pendentes de confirmação pelo cliente/engenharia do fornecedor efetivo (Anexo 4).

Suboperador Finalidade Localização Status
Anthropic, PBC (Anthropic Ireland, Limited para clientes do EEE/Reino Unido/Suíça) Modelos de IA que alimentam a sala, via API comercial EUA (entidade da Irlanda para contratação EEE/Reino Unido/CH); infraestrutura subsequente em todo o mundo (GCP, AWS, Azure, Cloudflare) verificado
Provedor de hospedagem em nuvem (a nomear) Hospedagem do app, banco de dados, armazenamento criptografado e backups EUA ou UE conforme o cliente (região a confirmar) padrão-presumido
Stripe, Inc. Processamento de pagamentos para recargas pré-pagas (dados de cartão coletados e processados pela Stripe; não recebidos nem armazenados pela Studio58, Inc.) EUA confirmado (confirmado pelo cliente em 2026-07-17)
Provedor de e-mail transacional (a nomear) E-mails de conta, notificações, redefinições de senha EUA padrão-presumido
Provedor de analytics de produto (a nomear) Analytics de uso agregado e respeitoso da privacidade UE ou EUA (protetivo: hospedado na UE, sem cookies) padrão-presumido
Provedor de monitoramento de erros (a nomear) Diagnóstico de falhas e erros EUA padrão-presumido
Ferramenta de suporte ao cliente (a nomear) Tratamento de solicitações de Obter ajuda EUA padrão-presumido

Anexo 4 — Itens em aberto (devem ser confirmados antes da celebração deste DPA)

Estes são os valores marcados como padrão no livro-razão, carregados para este DPA. Cada um deve ser confirmado pelo dono nomeado e travado de forma idêntica na Política de Privacidade, neste DPA e nos Termos §6 antes da publicação.

Item Padrão deste DPA Dono da resposta
Verdadeiro período de rotação de backup (Seção 9; atualmente "em no máximo 90 dias") 90 dias Engenharia
Provedor e região de hospedagem (Anexo 3) Não nomeado; EUA/UE protetivo Cliente + engenharia
Fornecedores de e-mail, analytics, monitoramento de erros, suporte (Anexo 3) Padrões não nomeados Cliente + engenharia
Fornecedor de pagamentos — RESOLVIDO: Stripe, Inc. (confirmado pelo cliente em 2026-07-17); deve aparecer de forma idêntica no livro-razão (S-3), na Política de Privacidade e neste DPA Stripe nomeada Cliente (feito) → Privacidade a cascatear o livro-razão S-3 para confirmado
SCCs da Studio58, Inc. celebradas com cada Suboperador não-IA (Seção 5.1) Declarado como postura pretendida, não celebrado Counsel
Janela de aviso de mudança de suboperador (Seção 4.2) 30 dias Counsel (alinhado ao livro-razão R-3)
Endereço postal do operador (Anexo 1) c/o Corporation Service Company, 251 Little Falls Drive, Wilmington, New Castle County, DE 19808 Confirmado em 2026-07-17

Changelog

Data Versão Mudança Por
2026-07-17 1.1 (draft) Processador de pagamentos confirmado como Stripe, Inc. (confirmado pelo cliente em 2026-07-17, ao assentar o modelo de cobrança pré-paga pay-as-you-go). Linha de pagamentos do Anexo 3 atualizada de "a nomear / padrão-presumido" para Stripe, Inc. / confirmado, finalidade reescrita para "processamento de pagamentos para recargas pré-pagas" (sem assinaturas), com a nota de dados-de-cartão-nunca-recebidos-pela-Studio58 correspondendo aos Termos §7.5. Linha de pagamentos do Anexo 4 movida para RESOLVIDO. Sinalização de coordenação: a Stripe deve aparecer de forma idêntica no livro-razão (S-3, atualmente padrão-presumido) e na tabela de suboperadores da Política de Privacidade — Privacidade (Priya) a cascatear S-3 para confirmado; DPA e Termos já nomeiam a Stripe. Counsel
2026-07-17 1.0 (draft) Minuta inicial do advogado. Papéis (controlador/operador/prestador de serviços) definidos com precisão. Anexo de suboperadores corresponde ao §3 do livro-razão de compromissos de dados à risca (Anexo 3). Mecanismo de transferência = SCCs da UE Módulo 2/3 + UK IDTA + Adendo Suíço (livro-razão X-2, verificado na camada do provedor de IA em 2026-07-17). Segurança (Anexo 2) e segurança do provedor de IA (§6.2) fundamentadas em constatações verificadas. Aviso de violação de 72h ao cliente (o provedor se compromete com 48h para nós). Devolução/exclusão em 30 dias nos sistemas ativos + ≤90 dias em backup (livro-razão R-C/R-D). Aviso de mudança de suboperador de 30 dias (livro-razão R-3), anotado contra a janela de 15 dias a jusante do provedor. Itens em aberto no Anexo 4 espelham os padrões-presumidos do livro-razão. Counsel

← Kaldune