Contrato de tratamento de dados

Versão: 2026-10-13
Aplica-se a: HiText Business (planos mensal e anual e gravação grátis com falantes)

Este texto é uma tradução. Em caso de divergência, prevalece a versão em espanhol: ler a versão em espanhol.

Este contrato regula como tratamos, por conta do cliente, os dados pessoais contidos nas gravações que ele envia ao HiText Business, nos termos do artigo 28 do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados da UE, “RGPD”) e da Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (lei orgânica espanhola de proteção de dados pessoais e garantia dos direitos digitais, “LOPDGDD”).

1. Partes

• Controlador (o “Cliente”): a pessoa física ou jurídica titular da conta do HiText Business, com os dados que informar ao se registrar e ao pagar.
• Operador (o “Operador”): Roberto Díaz Badra, profissional autônomo que opera com o nome comercial Disruptive Normality, com sede na Espanha, contato: disruptivenormality@gmail.com.

2. Aceitação e versão

O Cliente aceita este contrato ao marcar a caixa correspondente antes de enviar a gravação grátis com falantes ou antes de pagar a assinatura, o que ocorrer primeiro. Guardamos a versão aceita, a data e um identificador pseudonimizado da conexão a partir da qual foi aceito. Este contrato faz parte das condições do serviço e prevalece sobre elas no que se refere à proteção de dados.

3. Objeto

O Operador presta ao Cliente um serviço online que, a partir de gravações de áudio ou vídeo enviadas pelo Cliente:

• transcreve a gravação e separa as falas por falante (opção ativada por padrão, que o Cliente pode desativar para usar a transcrição normal sem falantes);
• gera documentos com modelos (entrevista por falante, síntese de várias entrevistas, ata de reunião ou o formato do próprio Cliente);
• guarda as transcrições, os documentos, os projetos, os nomes dos falantes, o glossário e os modelos do Cliente para que ele possa consultá-los, editá-los e exportá-los;
• avisa o Cliente por e-mail quando uma transcrição está pronta.

O Operador só trata os dados para prestar este serviço, seguindo as instruções documentadas do Cliente. Consideram-se instruções documentadas este contrato, o uso que o Cliente faz do serviço (enviar, processar, editar, exportar e excluir) e a sua configuração.

4. Duração

Este contrato tem a mesma duração da relação do Cliente com o HiText Business, incluída a gravação grátis com falantes, e continua a se aplicar enquanto o Operador conservar dados do Cliente conforme a seção 12.

5. Dados e titulares afetados

Tipos de dados pessoais:

• a voz das pessoas que aparecem nas gravações e o conteúdo do que dizem;
• os dados mencionados na conversa: nomes, cargos, dados de contato ou profissionais, opiniões e experiências;
• os nomes que o Cliente atribui aos falantes, os nomes dos arquivos e projetos, o glossário e os modelos;
• as transcrições e os documentos gerados.

Titulares afetados: pessoas entrevistadas e entrevistadoras, presentes e participantes em reuniões, e terceiros mencionados nas gravações.

Dados excluídos. O HiText Business não foi projetado para tratar categorias especiais de dados (artigo 9 do RGPD: dados de saúde, origem étnica ou racial, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos destinados a identificar uma pessoa de forma inequívoca, e dados sobre a vida ou a orientação sexual) nem dados relativos a condenações e infrações penais (artigo 10 do RGPD). O Cliente se compromete a não usar o serviço para gravações cujo objeto seja tratar esses dados, como consultas médicas, sessões de terapia ou assuntos penais. Se, apesar disso, eles aparecerem de forma incidental em uma gravação, o Cliente é o único responsável por contar com uma base jurídica válida para tratá-los.

Separação de falantes, não identificação. O serviço distingue as vozes dentro de cada gravação para atribuir as falas. Não cria modelos de voz nem compara vozes entre gravações para identificar pessoas: os nomes dos falantes são definidos pelo Cliente.

6. Obrigações do Cliente

O Cliente, como controlador:

• decide o que grava e o que envia, e garante que tem uma base jurídica para fazê-lo;
• informa as pessoas gravadas e, quando a lei exigir, obtém o consentimento delas;
• atende aos direitos dos titulares afetados, com a ajuda do Operador prevista na seção 10;
• não envia dados excluídos conforme a seção 5;
• mantém a segurança da sua conta (senha e acesso ao seu e-mail).

7. Obrigações do Operador

O Operador se compromete a:

1. Tratar os dados apenas conforme as instruções documentadas do Cliente, inclusive no que se refere às transferências internacionais, salvo se exigido pelo Direito da União ou de um Estado-Membro. Nesse caso, informará o Cliente antes de tratar os dados, salvo se esse Direito o proibir.
2. Informar imediatamente o Cliente se considerar que uma instrução infringe o RGPD ou outra norma de proteção de dados.
3. Garantir que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade.
4. Aplicar as medidas de segurança da seção 9.
5. Respeitar as condições da seção 8 para recorrer a outros operadores (suboperadores).
6. Ajudar o Cliente, com medidas técnicas e organizacionais apropriadas, a responder às solicitações de exercício de direitos dos titulares afetados.
7. Ajudar o Cliente a cumprir as obrigações dos artigos 32 a 36 do RGPD (segurança, notificação de violações de segurança, avaliações de impacto e consulta prévia), tendo em conta a natureza do tratamento e as informações de que disponha.
8. Excluir ou devolver os dados ao terminar o serviço, conforme a seção 12.
9. Pôr à disposição do Cliente as informações necessárias para demonstrar o cumprimento deste contrato e permitir auditorias, conforme a seção 13.
10. Manter o registro das atividades de tratamento por conta de terceiros do artigo 30.2 do RGPD.
11. Não usar os dados do Cliente para fins próprios, não vendê-los nem cedê-los e não usá-los para treinar modelos de inteligência artificial, nem permitir que seus suboperadores o façam.

O Operador pode tratar dados técnicos e de uso agregados ou associados à conta (por exemplo, a duração dos arquivos, o número de documentos ou os erros do serviço) para faturar, controlar a cota, prevenir abusos e manter a segurança do serviço, sem acessar para isso o conteúdo das gravações.

8. Suboperadores

O Cliente autoriza de forma geral o Operador a recorrer a suboperadores. Os que intervêm na data desta versão são:

• Google Cloud e Firebase (Google Ireland Limited e Google LLC): autenticação, banco de dados e armazenamento de arquivos, hospedados na União Europeia, e funções de servidor que processam os arquivos e as solicitações, executadas nos Estados Unidos.
• Google Vertex AI (Google Ireland Limited e Google LLC): transcrição com separação de falantes por meio de modelos Gemini, na localização multirregional da União Europeia.
• Deepgram (Deepgram, Inc.): transcrição de reserva quando o serviço principal falha e dos arquivos com mais de 60 minutos, por meio do seu ponto de acesso da União Europeia e com a opção de não usar os dados para melhorar seus modelos.
• Replicate (Replicate, Inc.): transcrição normal (sem falantes) com o modelo Whisper, quando o Cliente desativa a separação por falantes ou transcreve um link de vídeo. Estados Unidos.
• Firecrawl: obtenção da faixa de áudio quando o Cliente transcreve um link de vídeo. Estados Unidos.
• OpenAI (serviço de API para empresas): redação dos documentos a partir da transcrição e, na transcrição normal, detecção de idioma, tradução e resumo. Pode tratar os dados nos Estados Unidos.
• Resend (Plus Five Five, Inc.): envio dos avisos por e-mail. Recebe o endereço de e-mail do Cliente e o nome do arquivo, nunca o texto da transcrição. Estados Unidos.
• Stripe (Stripe Payments Europe, Limited): cobrança da assinatura e faturas. Trata os dados de faturamento do Cliente, não o conteúdo das gravações.
• RevenueCat (RevenueCat, Inc.): status da assinatura para desbloquear o plano na web e no app. Recebe um identificador da conta e os dados da assinatura, não o conteúdo das gravações. Estados Unidos.

O Operador impõe a cada suboperador, por contrato, obrigações de proteção de dados equivalentes às deste contrato, e continua responsável perante o Cliente pelo seu cumprimento.

Alterações. O Operador avisará o Cliente com pelo menos 15 dias de antecedência, por e-mail ou com um aviso no serviço, antes de acrescentar ou substituir um suboperador. Se o Cliente se opuser por motivos razoáveis de proteção de dados, pode cancelar a assinatura antes de a mudança ser aplicada e pedir a exclusão dos seus dados.

9. Medidas de segurança

O Operador aplica, no mínimo, estas medidas, tendo em conta o estado da técnica, o custo e os riscos do tratamento:

• criptografia das comunicações (HTTPS/TLS) e criptografia dos dados armazenados oferecida pelo Google Cloud;
• acesso aos dados de cada conta limitado ao seu titular por meio de regras de segurança por usuário, e acesso do servidor com contas de serviço de privilégios mínimos;
• solicitações assinadas entre os serviços do Operador;
• exclusão automática das gravações conforme a seção 11;
• acesso aos sistemas limitado ao pessoal do Operador que precisa dele;
• revisão das medidas quando o serviço muda ou se detecta um incidente.

10. Direitos dos titulares afetados

Se um titular afetado se dirigir ao Operador para exercer seus direitos de acesso, retificação, exclusão, oposição, limitação do tratamento ou portabilidade sobre dados que este trata por conta do Cliente, o Operador comunicará o fato ao Cliente sem demora injustificada e, no máximo, em 5 dias úteis, sem responder ele mesmo à solicitação, salvo instrução do Cliente. O serviço permite ao Cliente consultar, exportar, corrigir e excluir seus arquivos e documentos por conta própria.

11. Conservação e exclusão das gravações

• Arquivo original de áudio ou vídeo: é excluído ao terminar a transcrição. Se o processo falhar, uma regra automática o elimina no máximo 7 dias após o envio.
• Transcrições, documentos, projetos e modelos: são conservados na conta do Cliente enquanto ele não os excluir. O Cliente pode excluir cada arquivo, com seus documentos, ou todos os seus dados nos ajustes da conta.
• Cópias dos suboperadores: os fornecedores de transcrição e de redação tratam o conteúdo apenas durante o processamento e podem conservá-lo temporariamente segundo suas condições para empresas, por exemplo para prevenir abusos, sem usá-lo para treinar modelos.

12. Fim do serviço: devolução e exclusão

Ao terminar a assinatura, ou depois de usar a gravação grátis, o Cliente pode continuar entrando na sua conta para consultar e exportar seus documentos, e excluí-los quando quiser. Se o Cliente pedir por escrito, o Operador excluirá todos os seus dados em no máximo 30 dias. Se não pedir, o Operador excluirá os dados da conta quando passarem 12 meses sem atividade. Excetuam-se os dados que o Operador deva conservar por obrigação legal, como os de faturamento, que são conservados bloqueados durante os prazos legais.

13. Informações e auditorias

O Operador porá à disposição do Cliente, quando ele pedir, as informações necessárias para demonstrar o cumprimento deste contrato, em primeiro lugar por meio de documentação e respostas por escrito. Se isso não for suficiente, o Cliente poderá realizar uma auditoria, no máximo uma vez por ano, com aviso prévio de 30 dias, às suas custas, sem acessar dados de outros clientes e com o compromisso de confidencialidade do auditor.

14. Violações da segurança dos dados

Se o Operador tomar conhecimento de uma violação de segurança que afete dados do Cliente, notificará o Cliente sem demora injustificada e, em todo caso, em no máximo 48 horas, por e-mail para o endereço da conta. A notificação incluirá, na medida em que se saiba: a natureza da violação, as categorias e o número aproximado de pessoas e registros afetados, as possíveis consequências, as medidas adotadas ou propostas e um ponto de contato.

15. Transferências internacionais

Alguns suboperadores tratam dados fora do Espaço Econômico Europeu (em particular, nos Estados Unidos), conforme indicado na seção 8. Essas transferências são feitas com garantias adequadas nos termos do capítulo V do RGPD: a adesão do fornecedor ao Quadro de Privacidade de Dados UE-EUA e/ou as cláusulas contratuais-tipo aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914), com as medidas complementares cabíveis. O Cliente pode pedir mais informações sobre essas garantias.

16. Responsabilidade

Cada parte responde pelas suas obrigações nos termos do artigo 82 do RGPD. Se o Operador tratar os dados para fins próprios ou infringir este contrato, será considerado controlador no que se refere a esse tratamento.

17. Alterações neste contrato

O Operador pode atualizar este contrato para adaptá-lo a mudanças legais ou do serviço. Publicará cada versão com a sua data nesta página e avisará o Cliente por e-mail com pelo menos 15 dias de antecedência se as mudanças forem importantes. Se o Cliente não concordar, pode cancelar a assinatura antes de elas entrarem em vigor.

18. Lei aplicável e foro

Este contrato é regido pela legislação espanhola e pelo RGPD. Para qualquer controvérsia, as partes se submetem aos juízos e tribunais de Las Palmas de Gran Canaria, salvo se a lei estabelecer outro foro imperativo.

19. Contato

Para qualquer questão sobre este contrato ou sobre proteção de dados: disruptivenormality@gmail.com.