Data de vigência: Conforme definido no Contrato

Este Acordo Global de Tratamento de Dados (“DPA”) é incorporado e faz parte do Contrato entre a entidade Taktile aplicável e o Cliente (“você”,“seu” ou“Cliente”), conforme definido nos Termos de Serviço.

“Taktile”,“nós”,“nos” ou“nosso”significa:

Taktile LLC, uma sociedade de responsabilidade limitada constituída em Delaware, com sede em 200 Vesey Street, Brookfield Place, Nova York, NY 10281, EUA, para clientes localizados nos Estados Unidos, no Canadá ou na América do Sul.

Taktile GmbH, uma sociedade de responsabilidade limitada alemã registrada sob o número HRB 216607 B no Tribunal de Primeira Instância de Charlottenburg, com sede em Schönhauser Allee 9, 10119 Berlim, Alemanha, para clientes localizados na União Europeia e na Suíça.

Taktile Limited, uma empresa constituída nos termos da legislação da Inglaterra e do País de Gales, com o número de registro 16992965, com sede social em 30 Old Bailey, Londres, Reino Unido, EC4M 7AU, para clientes localizados no Reino Unido ou nas regiões da Ásia-Pacífico.

A entidade da Taktile aplicável é determinada pelos Termos de Serviço celebrados entre as partes.

Este Acordo de Tratamento de Dados (DPA) rege o tratamento de Dados Pessoais Abrangidos no âmbito dos Serviços Taktile e aborda os requisitos previstos nas leis de privacidade aplicáveis. Este DPA foi elaborado para atender aos requisitos das leis globais de privacidade, incluindo o GDPR, o CCPA/CPRA, a LGPD e outras regulamentações aplicáveis.

Para obter mais informações sobre segurança e conformidade, acesse nossa Central de Confiança em https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6.

1. DEFINIÇÕES

1.1 Definições gerais. Os termos em maiúsculas não definidos neste DPA têm os significados atribuídos no Contrato.“Contrato”significa os Termos de Serviço ou outro acordo por escrito entre o Cliente e a entidade Taktile aplicável que rege o uso dos Serviços Taktile pelo Cliente.“Taktile”significa a entidade Taktile (Taktile LLC, Taktile GmbH ou Taktile Limited) com a qual o Cliente celebrou contrato, conforme especificado no Contrato. Este DPA complementa e está incorporado à Seção 11 (Privacidade e Segurança) dos Termos de Serviço. Em caso de conflito entre este DPA e a Seção 11, este DPA prevalece no que diz respeito às Informações Pessoais Abrangidas.

1.2 “Informações Pessoais Abrangidas”significa dados pessoais ou informações pessoais que constituem Dados do Cliente e que foram ou serão carregados pelo Cliente (ou em seu nome) na Plataforma Taktile para processamento por meio dos fluxos de decisão do Cliente. Para evitar dúvidas, as Informações Pessoais Abrangidas não incluem: (a) Dados de Uso; (b) informações de contato comercial de Usuários Autorizados utilizadas para acesso à conta e administração da plataforma (por exemplo, nomes, endereços de e-mail comerciais, credenciais de login); ou (c) qualquer informação que não constitua “dados pessoais” ou “informações pessoais” nos termos das Leis de Privacidade aplicáveis.

1.3“Titular dos dados”significa uma pessoa física identificada ou identificável à qual se referem as Informações Pessoais Abrangidas.

1.4“Leis de Privacidade”significa as leis, regulamentos ou outras normas aplicáveis relativas à privacidade ou proteção de dados, ao tratamento de informações pessoais e/ou à segurança da informação, incluindo, entre outras: o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (“RGPD”); o Regulamento Geral sobre a Proteção de Dados do Reino Unido (“RGPD do Reino Unido”); Lei de Dados (Uso e Acesso) do Reino Unido de 2025 (em vigor em fases até junho de 2026); a Lei Federal Suíça de Proteção de Dados revisada (“revFADP”); a Lei nº 13.709/2018 do Brasil (“LGPD”); a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (“PIPEDA”); Lei de Privacidade do Consumidor da Califórnia (“CCPA”), conforme alterada pela Lei de Direitos de Privacidade da Califórnia (“CPRA”); a Lei de Proteção de Dados do Consumidor da Virgínia (“VCDPA”); a Lei de Privacidade do Colorado (“CPA”); a Lei de Privacidade do Consumidor de Utah (“UCPA”); a Lei de Connecticut sobre Proteção de Dados Pessoais e Monitoramento Online (“PDPOM”); Lei de Privacidade de Dados do Consumidor de Montana (Mont. Code Ann. § 30-14-1901 e seguintes); Lei de Privacidade de Dados Pessoais de Delaware (Del. Code Ann. tit. 6, § 12D-101 e seguintes); Lei de Proteção de Dados do Consumidor de Iowa (Iowa Code Ch. 715D); Lei de Proteção de Dados do Consumidor de Indiana (Ind. Code § 24-15); Lei de Privacidade de Dados de Nebraska (Neb. Rev. Stat. § 87-401 e seguintes); Lei de Privacidade de New Hampshire (N.H. Rev. Stat. Ann. § 507-H); Lei de Proteção de Dados de Nova Jersey (N.J. Stat. Ann. § 56:8-166 e seguintes); Lei de Privacidade de Dados do Consumidor de Minnesota (Minn. Stat. § 325O); Lei de Privacidade e Segurança de Dados do Texas (Tex. Bus. & Com. Code § 541 e seguintes); Lei de Privacidade do Consumidor de Oregon (Or. Rev. Stat. § 646A.600 e seguintes); Lei de Proteção de Informações do Tennessee (Tenn. Code Ann. § 47-18-3201 e seguintes); Lei de Proteção de Dados do Consumidor de Kentucky (Ky. Rev. Stat. Ann. § 365.851 e seguintes); Lei de Transparência e Privacidade de Dados de Rhode Island (R.I. Gen. Laws § 6-48.1 e seguintes); Lei Federal Alemã de Proteção de Dados (“BDSG”); Lei Alemã de Telecomunicações (Telekommunikationsgesetz -“TKG”); Lei Alemã de Telemídia (Telemediengesetz -“TMG”); e quaisquer outras leis ou regulamentos federais, estaduais, provinciais ou locais aplicáveis relativos à privacidade de informações que estejam em vigor ou venham a entrar em vigor durante a vigência do Contrato.

1.5“Tratamento”significa qualquer operação ou conjunto de operações realizadas sobre Informações Pessoais Abrangidas, por meios automatizados ou não, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por meio de transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, restrição, apagamento ou destruição.

1.6“Informações Pessoais Sensíveis”significa, na medida em que sejam tratadas distintamente como uma categoria especial de informações pessoais nos termos das Leis de Privacidade: (a) informações pessoais que constituam dados genéticos, dados biométricos, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa física; (b) dados sobre origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, ou filiação sindical; ou (c) dados de geolocalização precisos.

1.7«Cláusulas Contratuais Padrão»significa as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, nos termos da Decisão de Execução (UE) 2021/914 da Comissão Europeia (e quaisquer cláusulas que a substituam).

1.8“Subcontratado”significa qualquer terceiro designado pela Taktile ou em nome desta para tratar Informações Pessoais Abrangidas.

1.9 Aplicabilidade jurisdicional. As disposições específicas a cada jurisdição previstas na Seção 13 aplicam-se apenas na medida em que a utilização dos Serviços pelo Cliente envolva atividades de tratamento sujeitas às leis dessa jurisdição. Caso o Cliente não trate dados pessoais de residentes de um determinado estado, região ou país, as disposições correspondentes da Seção 13 não se aplicam e podem ser desconsideradas. O Cliente é responsável por determinar quais leis jurisdicionais se aplicam às suas atividades de tratamento.

2. RELAÇÃO DE TRATAMENTO DE DADOS

2.1 Funções e responsabilidades. O Cliente é o controlador (ou empresa, ou “controlador” nos termos da LGPD) e a entidade aplicável da Taktile é o processador (ou prestador de serviços, ou “operador” nos termos da LGPD, ou “Auftragsverarbeiter” nos termos do GDPR/BDSG) das Informações Pessoais Abrangidas, nos termos das Leis de Privacidade aplicáveis. O Cliente mantém o controle das Informações Pessoais Abrangidas e continua responsável por suas obrigações de conformidade nos termos das Leis de Privacidade aplicáveis, incluindo o fornecimento de quaisquer avisos exigidos e a obtenção de quaisquer consentimentos necessários.

2.2 Instruções de processamento. A Taktile processa as Informações Pessoais Abrangidas exclusivamente de acordo com as instruções documentadas do Cliente, conforme estabelecido neste DPA e no Contrato, a menos que seja obrigada a processar tais informações por força da legislação aplicável. Caso a Taktile considere que qualquer instrução viole as Leis de Privacidade aplicáveis, a Taktile notificará imediatamente o Cliente e poderá suspender a execução da instrução até que o Cliente a confirme ou modifique. Para evitar dúvidas, a ativação de recursos ou serviços pelo Cliente por meio dos controles administrativos da Plataforma (incluindo a ativação da funcionalidade de Agentes de IA e a seleção de Subprocessadores Opcionais) constitui uma instrução documentada para os fins desta Seção.

2.3 Âmbito do tratamento. Os detalhes do tratamento, incluindo o objeto, a duração, a natureza, a finalidade, as categorias de Informações Pessoais Abrangidas e as categorias de Titulares dos Dados, estão estabelecidos no Anexo A, que acompanha o presente documento.

2.4 Controles de processamento do cliente. O cliente pode configurar determinados parâmetros de processamento por meio da interface dos Serviços Taktile ou por e-mail (conforme indicado abaixo), incluindo:

- Períodos de retenção de dados (dentro dos limites aplicáveis)
- Parâmetros de tomada de decisão automatizada
- Controles de acesso e permissões de usuário
- Solicitações de exportação e exclusão (as solicitações devem ser enviadas por e-mail para privacy@taktile.com) 

2.5 Conformidade com as leis de privacidade. A Taktile cumprirá todas as leis de privacidade aplicáveis ao tratamento de Informações Pessoais Abrangidas pela Taktile na sua qualidade de subcontratante, prestador de serviços ou operador. O Cliente cumprirá todas as leis de privacidade aplicáveis ao tratamento de Informações Pessoais Abrangidas pelo Cliente na sua qualidade de responsável pelo tratamento, empresa ou controlador. Cada Parte é responsável pelas suas próprias obrigações de conformidade nos termos das leis de privacidade aplicáveis.

3. RESTRIÇÕES AO TRATAMENTO DE DADOS

3.1 Limitações do processamento. A Taktile não irá:

(a) vender ou compartilhar Informações Pessoais Protegidas;

(b) reter, utilizar ou divulgar Informações Pessoais Abrangidas para qualquer finalidade que não seja uma das finalidades limitadas especificadas no Contrato e no presente DPA; ou

(c) a menos que permitido pelas leis de privacidade aplicáveis, (i) reter, utilizar ou divulgar Informações Pessoais Abrangidas fora do âmbito da relação comercial direta com o Cliente, ou (ii) reter, utilizar ou divulgar Informações Pessoais Abrangidas para qualquer finalidade comercial não especificada no Contrato ou no presente DPA.

3.2 Confidencialidade. A Taktile manterá a confidencialidade de todas as Informações Pessoais Abrangidas e não as divulgará a terceiros, a menos que o Cliente ou este DPA autorizem especificamente a divulgação, ou conforme exigido por lei. Caso seja obrigada por lei a divulgar Informações Pessoais Abrangidas, a Taktile informará previamente o Cliente sobre a exigência legal e dará ao Cliente a oportunidade de se opor ou contestar a exigência, a menos que tal seja proibido por lei.

3.3 Obrigações dos funcionários. A Taktile assegura que os funcionários que processam Informações Pessoais Abrangidas sejam informados sobre as leis de privacidade aplicáveis e estejam sujeitos às obrigações de confidencialidade adequadas, tanto durante quanto após o término do vínculo empregatício.

4. SUBCONTRATADOS

4.1 Subcontratados padrão. O Cliente concede, por meio deste, autorização geral para que a Taktile contrate Subcontratados para o tratamento de Informações Pessoais Abrangidas. Os seguintes Subcontratados são contratados pela Taktile LLC, Taktile GmbH e Taktile Limited a partir da Data de Entrada em Vigor e são considerados aprovados pelo Cliente mediante a assinatura do Contrato:

Amazon Web Services – Infraestrutura em nuvem

Uma lista atualizada dos subcontratados está disponível no Centro de Confiança da Taktile em https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6/subprocessors. 

4.2 Alterações relativas aos subprocessadores. A Taktile fornecerá um aviso prévio por escrito com antecedência mínima de trinta (30) dias sobre quaisquer alterações pretendidas relativas à adição ou substituição de subprocessadores, atualizando o Centro de Confiança e enviando uma notificação por e-mail ao contato designado pelo Cliente. Tal aviso constitui o cumprimento, por parte da Taktile, de sua obrigação de notificação, não sendo necessário qualquer consentimento ou aprovação adicional do Cliente, a menos que este exerça seus direitos de objeção nos termos da Seção 4.3. Os seguintes subprocessadores estarão isentos da exigência de notificação: (a) prestadores de serviços de segurança e monitoramento; (b) subprocessadores contratados para fins de segurança de emergência ou operacionais (com notificação fornecida no prazo de 48 horas); e (c) subprocessadores listados nesta Seção 4.

4.3 Direitos de objeção. O Cliente poderá apresentar objeção por escrito a qualquer subcontratado novo ou substituto, com base em motivos razoáveis de proteção de dados, no prazo de trinta (30) dias a partir do recebimento da notificação. A objeção deve especificar as preocupações com a proteção de dados que constituem a base da objeção. Se o Cliente se opuser em tempo hábil e com base em motivos razoáveis, a Taktile envidará esforços comercialmente razoáveis para: (a) disponibilizar ao Cliente uma alteração nos Serviços ou recomendar uma alteração comercialmente razoável na configuração ou no uso dos Serviços pelo Cliente, a fim de evitar o processamento de Informações Pessoais Abrangidas pelo Subprocessador contestado; ou (b) fornecer uma solução alternativa. Caso a Taktile não consiga fornecer uma alternativa no prazo de sessenta (60) dias a partir da objeção do Cliente, este poderá rescindir os Serviços afetados mediante notificação por escrito à Taktile, e receberá um reembolso proporcional de quaisquer taxas pré-pagas pelos Serviços rescindidos, cobrindo o restante do prazo então vigente.

4.4 Obrigações dos subcontratados. A Taktile assegura que todos os subcontratados estejam vinculados por contratos escritos que os obriguem a fornecer, no mínimo, o mesmo nível de proteção de dados exigido pelo presente DPA e pelas leis de privacidade aplicáveis. A Taktile continua a ser inteiramente responsável perante o Cliente pelo cumprimento das obrigações de qualquer subcontratado nos termos do presente DPA.

4.5 Subcontratados opcionais.

(a) Definição. “Subprocessadores opcionais” são prestadores de serviços terceirizados que tratam Informações Pessoais Abrangidas apenas quando o Cliente opta expressamente por utilizar um serviço ou recurso integrado que exija tal tratamento. Os Subprocessadores Opcionais não são contratados por padrão e não processam Informações Pessoais Abrangidas, a menos que o Cliente ative o serviço aplicável por meio dos controles administrativos da Plataforma ou de um Formulário de Pedido aplicável. Para evitar dúvidas, o Cliente reconhece que, para determinados recursos (por exemplo, Copilotos de IA), a Plataforma pode pré-selecionar um Subprocessador Opcional específico.

(b) Categorias. As seguintes categorias de subprocessadores opcionais podem ser contratadas, a critério do Cliente:

(i) Fornecedores de modelos de IA. Fornecedores terceirizados de grandes modelos de linguagem ou outras tecnologias de IA generativa que processam Informações Pessoais Abrangidas em conexão com a funcionalidade dos Agentes de IA na Plataforma. Os fornecedores de modelos de IA são contratados apenas quando o Cliente habilita os Agentes de IA e seleciona um fornecedor terceirizado de modelos de IA por meio dos controles administrativos da Plataforma.

(ii) Fornecedores de dados terceirizados. Fornecedores terceirizados de serviços de enriquecimento de dados, crédito, verificação de identidade, detecção de fraudes ou serviços de dados semelhantes que a Taktile disponibiliza ao Cliente como revendedora por meio da Plataforma, nos termos da Seção 3.4(b) dos Termos de Serviço. Esses Subprocessadores Opcionais específicos são identificados no Formulário de Pedido aplicável no momento em que o Cliente solicita o serviço integrado.

(c) Ativação como instrução documentada. A ativação, pelo Cliente, de um recurso ou serviço que envolva um Subprocessador Opcional, seja por meio dos controles administrativos da Plataforma ou mediante a assinatura de um Formulário de Pedido que inclua tal serviço, constitui uma instrução documentada do Cliente à Taktile para que esta contrate esse Subprocessador Opcional para o tratamento de Informações Pessoais Abrangidas. O administrador designado pelo Cliente é responsável por determinar quais Subprocessadores Opcionais são ativados para a Conta do Cliente.

(e) Local de tratamento de dados. As Informações Pessoais Abrangidas tratadas por Subcontratados Opcionais podem ser transferidas para, e tratadas em, jurisdições fora do local principal de tratamento de dados do Cliente, conforme especificado na Seção 8.1. Os locais de tratamento para cada Subcontratado Opcional estão identificados no Formulário de Pedido aplicável e no Centro de Confiança.

(f) Obrigações. A Taktile assegura que todos os subcontratantes opcionais estejam vinculados por contratos escritos que os obriguem a fornecer, no mínimo, o mesmo nível de proteção de dados exigido pelo presente DPA. A Taktile continua sendo responsável perante o Cliente pelo cumprimento das obrigações dos subcontratantes opcionais na mesma medida que pelos subcontratantes, nos termos da Seção 4.4.

(g) Alterações e direitos de objeção. Alterações em Subprocessadores Opcionais para serviços que o Cliente tenha optado por utilizar estão sujeitas aos direitos de notificação e oposição estabelecidos nas Seções 4.2 e 4.3. O Cliente também pode desativar qualquer Subprocessador Opcional a qualquer momento por meio dos controles administrativos da Plataforma ou mediante notificação por escrito à Taktile, o que constituirá uma instrução para interromper o processamento por meio desse provedor. A desativação pode resultar na indisponibilidade de recursos que dependam do Subprocessador Opcional desativado.

5. MEDIDAS DE SEGURANÇA

5.1 Medidas técnicas e organizacionais. A Taktile implementa e mantém medidas técnicas e organizacionais adequadas para garantir que o tratamento de dados esteja em conformidade com as leis de privacidade e proteja os direitos dos titulares dos dados. Essas medidas garantem a segurança adequada do tratamento, incluindo a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas que processam Informações Pessoais Abrangidas. Tais medidas atendem ou excedem os padrões aplicáveis do setor para o tratamento de dados em serviços financeiros.

5.2 Padrões de segurança. A Taktile mantém práticas e controles de segurança da informação conforme detalhado no Anexo B e no Centro de Confiança em https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6/controls, incluindo, entre outros:

- Criptografia de dados em repouso usando AES-256 ou equivalente
- Criptografia de dados em trânsito usando TLS 1.2 ou superior
- Controle de acesso baseado em funções com o princípio do privilégio mínimo
- Autenticação multifatorial para todos os acessos ao sistema
- Testes de penetração regulares realizados por terceiros qualificados
- Gestão centralizada de vulnerabilidades e procedimentos de aplicação de patches
- Backups automatizados diários
- Monitoramento de segurança e recursos de resposta a incidentes

5.3 Certificações e atestados de segurança. A Taktile mantém as certificações SOC 2 Tipo II e ISO 27001:2022 aplicáveis às operações da Taktile LLC, da Taktile GmbH e da Taktile Limited. A documentação atualizada das certificações está disponível no Trust Center.

5.4 Atualizações de segurança. As medidas técnicas e organizacionais poderão ser atualizadas para refletir os avanços tecnológicos e a evolução das ameaças à segurança, desde que as medidas atualizadas mantenham, no mínimo, o mesmo nível de segurança. Alterações significativas serão documentadas e comunicadas ao Cliente.

6. DIREITOS DO TITULAR DOS DADOS

6.1 Solicitações de titulares de dados. A Taktile notificará imediatamente o Cliente, no prazo de cinco (5) dias úteis, caso receba qualquer solicitação de um titular de dados para exercer os direitos previstos nas Leis de Privacidade relativos às suas Informações Pessoais Abrangidas. A Taktile fornecerá ao Cliente toda a documentação e correspondência relevantes relacionadas a tais solicitações e não responderá diretamente ao titular de dados sem a autorização prévia por escrito do Cliente.

6.2 Assistência em relação aos direitos. Tendo em conta a natureza do tratamento, a Taktile prestará assistência ao Cliente através da implementação de medidas técnicas e organizacionais adequadas, na medida do razoavelmente possível, para ajudar o Cliente a cumprir suas obrigações de responder aos pedidos dos titulares de dados nos termos das leis de privacidade, incluindo pedidos relativos a:

- Acesso às informações pessoais
- Correção ou retificação de dados incorretos
- Exclusão ou apagamento de informações pessoais
- Restrição do tratamento
- Portabilidade dos dados
- Oposição ao tratamento

6.3 Avaliações de impacto sobre a proteção de dados. Mediante solicitação razoável do Cliente, a Taktile prestará assistência e fornecerá as informações razoavelmente necessárias para permitir que o Cliente realize avaliações de impacto sobre a proteção de dados e consultas às autoridades de supervisão, conforme exigido pelas leis de privacidade aplicáveis.

6.4 Retenção de dados. A Taktile retém as Informações Pessoais Abrangidas apenas pelo tempo necessário para cumprir as finalidades descritas neste DPA e no Contrato, ou conforme exigido pela legislação aplicável. 

7. INCIDENTES DE SEGURANÇA E NOTIFICAÇÃO DE VIOLAÇÕES

7.1 Notificação de incidentes. A Taktile notificará o Cliente sem demora injustificada e, em qualquer caso, no prazo de quarenta e oito (48) horas, assim que tomar conhecimento de qualquer acesso não autorizado, destruição, uso, modificação ou divulgação confirmados de Informações Pessoais Abrangidas (um “Incidente de Segurança”).

7.2 Cronograma de resposta a incidentes. Após a detecção de um incidente de segurança, a Taktile irá:

- Notificação inicial: no prazo de 48 horas após a constatação
- Avaliação preliminar: no prazo de 72 horas, incluindo as categorias de dados afetadas e o número estimado de titulares de dados
- Análise da causa raiz e plano de correção: no prazo de 15 dias úteis

7.3 Informações sobre incidentes. A Taktile fornecerá ao Cliente as informações e a cooperação razoavelmente solicitadas em relação a incidentes de segurança, incluindo:

- Descrição da natureza do incidente de segurança
- Categorias e número aproximado de titulares de dados afetados
- Categorias e número aproximado de registros de informações pessoais abrangidas afetados
- Consequências prováveis do incidente de segurança
- Medidas tomadas ou propostas para lidar com o incidente de segurança e mitigar possíveis efeitos adversos

7.4 Notificação a terceiros. A Taktile não informará terceiros sobre Incidentes de Segurança envolvendo Informações Pessoais Abrangidas sem o consentimento prévio por escrito do Cliente, salvo nos casos exigidos por lei. O Cliente tem o direito exclusivo de decidir se notificará os Titulares dos Dados, as autoridades de supervisão ou outras partes, conforme exigido por lei.

8. TRANSFERÊNCIAS DE DADOS ENTRE PAÍSES

8.1 Local de tratamento de dados.

(a) Para clientes que celebram contratos com a Taktile LLC (clientes nos Estados Unidos, Canadá e América do Sul): as Informações Pessoais abrangidas são processadas e armazenadas principalmente nos Estados Unidos, utilizando a infraestrutura da Amazon Web Services localizada nos Estados Unidos.

(b) Para clientes que celebram contratos com a Taktile GmbH (clientes na União Europeia e na Suíça): as Informações Pessoais abrangidas são processadas e armazenadas principalmente na Alemanha, utilizando a infraestrutura da Amazon Web Services localizada na Alemanha. 

(c) Para clientes que celebram contratos com a Taktile Limited (clientes nas regiões do Reino Unido e da Ásia-Pacífico): as Informações Pessoais Abrangidas são processadas e armazenadas principalmente no Reino Unido, utilizando a infraestrutura da Amazon Web Services localizada no Reino Unido, salvo acordo em contrário por escrito.

Ao utilizar os Serviços da Taktile e celebrar este Acordo de Tratamento de Dados (DPA), o Cliente autoriza o tratamento e o armazenamento no local aplicável, de acordo com a entidade contratante.

Não obstante o disposto nos itens 8.1(a) a (c) acima, a Taktile poderá implantar a infraestrutura do Cliente em uma região diferente, mediante solicitação prévia por escrito do Cliente (um e-mail é suficiente).

8.2 Transferências transfronteiriças limitadas. Não obstante o disposto na Seção 8.1, as Informações Pessoais Abrangidas podem ser acessadas ou processadas fora do local de armazenamento principal em circunstâncias limitadas, incluindo:

(a) Suporte técnico e resposta a incidentes por parte do pessoal da Taktile localizado nos Estados Unidos, na União Europeia ou no Reino Unido;

(b) Recurso a subcontratados, conforme indicado na Seção 4.1 e no Centro de Confiança;

(c) Operações de backup e recuperação de desastres; ou

(d) Na medida do necessário para prestar os Serviços Taktile ou cumprir obrigações legais.

8.3 Medidas de proteção para transferências internacionais.

(a) Transferências entre jurisdições consideradas adequadas: Quando as transferências ocorrerem entre jurisdições reconhecidas como oferecendo proteção de dados adequada (por exemplo, dentro do EEE ou nos termos de decisões de adequação), não serão necessárias salvaguardas adicionais além das estabelecidas neste Acordo de Proteção de Dados.

(b) Transferências da UE/Reino Unido/Suíça para os Estados Unidos: Quando a Taktile GmbH transferir Informações Pessoais Abrangidas para a Taktile LLC ou para funcionários sediados nos Estados Unidos para os fins limitados descritos na Seção 8.2, tais transferências serão regidas pelas Cláusulas Contratuais Padrão estabelecidas no Anexo D.

(c) Transferências do Brasil para os Estados Unidos: As transferências do Brasil cumprem os requisitos do Capítulo V da LGPD, incluindo as medidas de segurança contratuais, técnicas e organizacionais adequadas.

(d) Outras transferências internacionais: Para quaisquer outras transferências transfronteiriças, a Taktile implementa medidas de proteção adequadas, conforme exigido pelas leis de privacidade aplicáveis.

8.4 Cláusulas Contratuais Padrão. Nos casos em que as Cláusulas Contratuais Padrão se apliquem nos termos da Seção 8.3(b), elas são incorporadas ao presente DPA como Anexo D, com as seguintes especificações:

- O Módulo Dois (controlador para processador) aplica-se
- O cliente é o exportador de dados; A Taktile LLC é a importadora de dados
- A cláusula opcional de acoplamento (Cláusula 7) não se aplica
- A cláusula opcional para notificação prévia de alterações no subprocessador (Cláusula 9(a), Opção 2) se aplica com um prazo de notificação de 30 dias
- As disposições relativas à mediação (Cláusula 18) e à lei aplicável/jurisdição são as especificadas no Anexo A

Para transferências do Reino Unido, aplica-se o Adendo sobre Transferência Internacional de Dados do Reino Unido às Cláusulas Contratuais Padrão. Para transferências da Suíça, aplicam-se as Cláusulas Contratuais Padrão, sendo que as referências ao “RGPD” devem ser interpretadas como referências à revFADP e à autoridade de supervisão competente, que é o Comissário Federal Suíço para a Proteção de Dados e Informação.

8.5 Transferências intragrupo. As transferências de Informações Pessoais Abrangidas entre a Taktile LLC, a Taktile GmbH e a Taktile Limited para fins administrativos internos (por exemplo, relatórios consolidados, monitoramento de segurança em todo o grupo) são regidas por acordos de transferência de dados intragrupo que incorporam as mesmas proteções previstas neste DPA.

9. AUDITORIA E CONFORMIDADE

9.1 Direitos de auditoria. O Cliente tem o direito de realizar auditorias ou nomear um auditor independente para verificar a conformidade da Taktile com este DPA, desde que tais auditorias:

(a) não interferir indevidamente nas operações comerciais da Taktile;

(b) sejam realizadas durante o horário comercial normal, mediante notificação prévia por escrito com antecedência mínima de trinta (30) dias;

(c) estão limitadas a uma vez a cada período de doze (12) meses, a menos que (i) exigido pela legislação aplicável, (ii) solicitado pela autoridade reguladora do Cliente, ou (iii) na sequência de um Incidente de Segurança que afete as Informações Pessoais Protegidas do Cliente; e

(d) estão sujeitos a obrigações razoáveis de confidencialidade.

O cliente poderá exercer seus direitos de auditoria consultando os relatórios SOC 2 Tipo II e ISO 27001 da Taktile, disponíveis no Trust Center, os quais a Taktile atualizará e disponibilizará pelo menos uma vez por ano.

9.2 Documentação de conformidade. Mediante solicitação razoável, a Taktile disponibilizará as informações necessárias para comprovar a conformidade com este DPA e com as leis de privacidade aplicáveis. A Taktile possui o atestado SOC 2 Tipo II e a certificação ISO 27001:2022, disponíveis no Centro de Confiança da Taktile em https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6. O Cliente poderá consultar essas certificações e relatórios de conformidade em vez de realizar auditorias no local, a menos que exigido pela legislação aplicável ou na sequência de um Incidente de Segurança.

9.3 Encarregado da Proteção de Dados. Para solicitações de acesso e exclusão de dados por parte dos titulares, entre em contato com privacy@taktile.com. Para incidentes de segurança e notificações de violação, entre em contato com security@taktile.com.  

10. CONSULTAS REGULATÓRIAS

10.1 Cooperação regulatória. Caso a Taktile receba qualquer consulta, investigação ou solicitação de natureza regulatória por parte de uma autoridade supervisora relativa a Informações Pessoais Abrangidas, a Taktile, na medida em que tal não seja proibido por lei:

- Notificar imediatamente o Cliente sobre a consulta no prazo de quarenta e oito (48) horas
- Fornecer ao Cliente cópias dos documentos e correspondências relevantes
- Não divulgar informações confidenciais do Cliente sem consentimento prévio por escrito
- Tomar as medidas necessárias para responder de forma adequada e oportuna
- Cooperar com o assessor jurídico do Cliente na elaboração das respostas

10.2 Obrigações regulatórias do Cliente. O Cliente reconhece que continua sendo responsável pelo cumprimento de todas as leis de privacidade e requisitos regulatórios aplicáveis. A cooperação da Taktile nos termos desta Seção não implica a transferência de quaisquer obrigações regulatórias do Cliente para a Taktile.

11. PRAZO E DEVOLUÇÃO DOS DADOS

11.1 Vigência. O presente DPA permanecerá em vigor durante toda a vigência do Contrato e será automaticamente rescindido com a rescisão do Contrato, exceto no que se refere às disposições que expressamente sobrevivam à rescisão.

11.2 Devolução e exclusão de dados. Após a rescisão do Contrato, a Taktile, conforme a escolha do Cliente, devolverá ou excluirá todas as Informações Pessoais Abrangidas, incluindo cópias, a menos que a legislação aplicável exija o armazenamento contínuo. O Cliente deverá fazer essa escolha por escrito no prazo de trinta (30) dias a partir da rescisão. Caso não seja feita nenhuma escolha, a Taktile excluirá todas as Informações Pessoais Abrangidas no prazo de noventa (90) dias a partir da rescisão.

11.3 Certificação de exclusão. Mediante solicitação por escrito do Cliente, a Taktile fornecerá uma certificação por escrito de que todas as Informações Pessoais Abrangidas foram devolvidas ou excluídas de acordo com esta Seção, exceto nos casos em que a retenção seja exigida pela legislação aplicável. Tal certificação identificará quaisquer dados retidos e a base jurídica para a retenção.

11.4 Tratamento de dados por subcontratados. A Taktile garantirá que todos os subcontratados devolvam ou eliminem as Informações Pessoais Abrangidas de acordo com os mesmos requisitos aplicáveis à Taktile nos termos desta Seção.

11.5 Assistência pós-rescisão. Por um período de trinta (30) dias após a rescisão, a Taktile prestará assistência razoável ao Cliente na recuperação das Informações Pessoais Abrangidas, sem custo adicional. A assistência que se estenda além de trinta (30) dias ou que exija desenvolvimento personalizado significativo poderá estar sujeita às tarifas de serviços profissionais da Taktile vigentes na época.

12. RESPONSABILIDADE E INDENIZAÇÃO

12.1 Inclusão das Cláusulas do Contrato.Todas as disposições relativas à responsabilidade, indenização, limitação de responsabilidade, isenção de responsabilidade e outras disposições relacionadas contidas no Contrato aplicam-se integralmente ao presente DPA e a quaisquer reclamações decorrentes ou relacionadas a este DPA, incluindo reclamações por violação das Leis de Privacidade.

12.2 Atribuição de responsabilidades.

(a) Responsabilidade da Taktile:A Taktile é responsável pelo cumprimento de suas obrigações como subcontratada/prestadora de serviços nos termos deste Acordo de Tratamento de Dados, incluindo a implementação de medidas de segurança adequadas e o tratamento de dados exclusivamente de acordo com as instruções recebidas.

(b) Responsabilidade do cliente:O cliente é o único responsável por:

- Garantir que haja base legal para fornecer Informações Pessoais Abrangidas à Taktile
- Fornecer os avisos exigidos e obter os consentimentos necessários dos Titulares dos Dados
- Garantir que a lógica de decisão configurada pelo Cliente esteja em conformidade com as leis aplicáveis em matéria de crédito justo, antidiscriminação e proteção ao consumidor
- A própria conformidade do Cliente com as Leis de Privacidade na qualidade de controlador/empresa
- Quaisquer multas ou penalidades regulatórias impostas ao Cliente

(c) Isenção de responsabilidade por ações do Cliente:A Taktile não se responsabiliza por violações decorrentes de instruções do Cliente, configurações do Cliente, falha do Cliente em obter as autorizações necessárias ou falha do Cliente em cumprir suas obrigações nos termos deste DPA ou das Leis de Privacidade.

12.3 Multas regulatórias.Cada parte é responsável pelas multas e penalidades regulatórias impostas diretamente a ela por uma autoridade supervisora. As limitações de responsabilidade previstas no Contrato aplicam-se a todas as demais reivindicações, incluindo pedidos de indenização por danos, reivindicações de terceiros e danos indiretos.

12.4 Responsabilidade solidária (LGPD).Nos casos em que a legislação aplicável preveja a responsabilidade solidária entre o controlador e o processador (por exemplo, Artigo 42 da LGPD), cada parte é responsável apenas pelos danos que causar diretamente por meio de seus próprios atos ou omissões. Esta Seção não amplia a responsabilidade além do disposto no Contrato.

13. REQUISITOS ESPECÍFICOS DE JURISDIÇÃO

13.1 Aplicabilidade geral. As disposições das Seções 1 a 12 deste DPA estabelecem um quadro global abrangente para a proteção de dados, aplicável a todos os Clientes, independentemente da jurisdição. A presente Seção 13 estabelece requisitos, esclarecimentos e modificações adicionais específicos para cada jurisdição. Caso haja conflito entre esta Seção e disposições anteriores, esta Seção prevalecerá para a jurisdição especificada. Os Clientes devem consultar a(s) subseção(ões) aplicável(is) à sua jurisdição e podem desconsiderar as disposições não aplicáveis.

13.2 ESPAÇO ECONÔMICO EUROPEU, REINO UNIDO E SUÍÇA

13.2.1 Âmbito de aplicação. Esta Seção aplica-se aos Clientes que celebram contratos com a Taktile GmbH ou a Taktile Limited e que estejam estabelecidos no Espaço Econômico Europeu, no Reino Unido ou na Suíça, ou que tratem dados pessoais de titulares de dados nessas jurisdições.

13.2.2 Legislação aplicável. Além das disposições gerais do presente DPA, aplicam-se as seguintes leis:

- UE/EEE: Regulamento Geral sobre a Proteção de Dados (RGPD) 2016/679
- Alemanha: RGPD e Lei Federal Alemã de Proteção de Dados (Bundesdatenschutzgesetz - BDSG)
- Reino Unido: RGPD do Reino Unido e Lei de Proteção de Dados de 2018
- Suíça: Lei Federal Suíça de Proteção de Dados (revFADP), em vigor a partir de 1º de setembro de 2023

13.2.3 Terminologia. Nos termos dessas leis:

- O Cliente é o “titular do tratamento” (Verantwortlicher / responsable du traitement)
- A Taktile GmbH é o “subcontratado” (Auftragsverarbeiter / sous-traitant)
- O tratamento é realizado conforme especificado na Seção 2 deste Acordo de Tratamento de Dados

13.2.4 Autoridades de supervisão. As autoridades de supervisão competentes são:

- UE/EEE: Autoridade de proteção de dados do local de estabelecimento do Cliente ou da residência habitual do Titular dos Dados, nos termos do Artigo 56.º do RGPD
- Alemanha: Comissária Federal para a Proteção de Dados e a Liberdade de Informação (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit - BfDI) ou autoridade estadual de proteção de dados competente
- Reino Unido: Gabinete do Comissário de Informação (ICO)
- Suíça: Comissário Federal Suíço para a Proteção de Dados e a Transparência (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter / Préposé fédéral à la protection des données et à la transparence - FDPIC)

13.2.5 Transferências transfronteiriças de dados. As transferências internacionais de dados são regidas pela Seção 8 deste DPA, com os seguintes mecanismos específicos para cada jurisdição:

- UE/EEE para países não adequados: Cláusulas Contratuais Padrão conforme a Seção 8.4
- Reino Unido para países não adequados: Acordo de Transferência Internacional de Dados do Reino Unido (IDTA) ou Adendo do Reino Unido às Cláusulas Contratuais Padrão da UE
- Suíça para países não adequados: Cláusulas Contratuais Padrão da UE modificadas para a legislação suíça (referências ao “RGPD” interpretadas como revFADP; FDPIC como autoridade competente)

13.2.6 Requisitos específicos para a Alemanha. Para as atividades de tratamento realizadas pela Taktile GmbH na Alemanha:

(a) Proteção de dados de funcionários: O tratamento de dados de funcionários residentes na Alemanha está sujeito ao § 26 da BDSG, que exige:

- Avaliação dos interesses legítimos para o tratamento de dados de funcionários
- Reforço dos direitos dos funcionários e da transparência
- Consulta ao comitê de empresa, quando aplicável (é de responsabilidade do cliente confirmar a conformidade antes de fornecer os dados dos funcionários)

(b) Documentação: Os requisitos adicionais de documentação previstos na BDSG aplicam-se aos registros das atividades de tratamento mantidos pela Taktile GmbH.

(c) Idioma: Mediante solicitação, a Taktile fornecerá traduções para o alemão deste Acordo de Tratamento de Dados (DPA) e da documentação relacionada para as autoridades de supervisão alemãs ou para os titulares dos dados.

13.2.7 Requisitos específicos do Reino Unido. Para atividades de tratamento que envolvam dados pessoais do Reino Unido:

(a) Contexto pós-Brexit: A Taktile reconhece que a legislação britânica em matéria de proteção de dados divergiu do RGPD da UE após o Brexit e acompanha os desenvolvimentos regulatórios no Reino Unido.

(b) Orientações da ICO: A Taktile leva em consideração os códigos de conduta e as orientações legais da ICO, quando aplicáveis aos Serviços, incluindo orientações sobre IA e proteção de dados.

(c) Mecanismos de transferência do Reino Unido: As transferências a partir do Reino Unido são regidas por mecanismos reconhecidos pelo Reino Unido, incluindo a IDTA do Reino Unido, o Adendo do Reino Unido às Cláusulas Contratuais Padrão (SCCs) ou a Ponte de Dados Reino Unido-EUA (se e quando estiver em funcionamento).

13.2.8 Requisitos específicos para a Suíça. Para atividades de tratamento que envolvam dados pessoais suíços:

(a) Padrões de consentimento mais rigorosos: Quando o consentimento constitui a base jurídica para o tratamento, a Taktile trata os dados apenas em conformidade com um consentimento válido que cumpra os padrões da revFADP (explícito, informado, livremente prestado e específico).

(b) Divulgação de informações sobre a criação de perfis: Quando o tratamento envolver a criação de perfis ou a tomada de decisões automatizadas, a Taktile auxilia o Cliente no cumprimento dos requisitos do Artigo 21 da revFADP relativos à divulgação da lógica, do significado e das consequências.

(c) Notificação de violação de alto risco: No caso de incidentes de segurança que representem um alto risco para a personalidade ou os direitos fundamentais dos titulares de dados suíços, a Taktile fornece as informações necessárias para que o Cliente notifique a FDPIC o mais rápido possível.

(d) Idioma: Mediante solicitação, a Taktile fornecerá traduções deste Acordo de Tratamento de Dados (DPA) para o francês, alemão ou italiano, destinadas às autoridades de supervisão suíças ou aos titulares dos dados.

13.2.9 Lei de 2025 sobre Dados do Reino Unido (Utilização e Acesso). Para os clientes do Reino Unido, aplicam-se as seguintes disposições, além dos requisitos do RGPD do Reino Unido: 

(a) Tomada de decisão automatizada: Nos casos em que os Serviços da Taktile envolvam a tomada de decisão automatizada com efeitos jurídicos ou de importância semelhante, a Taktile implementará medidas de proteção que permitam ao Cliente:

- Fornecer às pessoas informações sobre decisões importantes
- Permitir que as pessoas apresentem alegações e contestem decisões
- Obter intervenção humana nos processos de tomada de decisão

(b) Tratamento de reclamações: A Taktile estabelecerá procedimentos para tratar reclamações relativas à proteção de dados apresentadas diretamente por pessoas físicas, conforme exigido pela Lei, incluindo a disponibilização de um formulário eletrônico de reclamação e a comunicação aos interessados do desfecho das reclamações

(c) Pedidos de acesso aos dados: A Taktile realizará pesquisas razoáveis e proporcionadas ao responder a pedidos de acesso aos dados, em conformidade com os esclarecimentos da Lei

(d) Cronograma de implementação: Estas disposições serão implementadas de acordo com os regulamentos de entrada em vigor do Reino Unido (2 a 12 meses após a aprovação real em 19 de junho de 2025)

13.3 ESTADOS UNIDOS

13.3.1 Âmbito de aplicação. Esta seção aplica-se aos Clientes que celebram contratos com a Taktile LLC e que estão sujeitos às leis federais ou estaduais de privacidade dos Estados Unidos.

13.3.2 Legislação aplicável. Além das disposições gerais do presente DPA, aplicam-se as seguintes leis estaduais de privacidade:

- Lei de Privacidade do Consumidor da Califórnia (CCPA), conforme alterada pela Lei de Direitos de Privacidade da Califórnia (CPRA)
- Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)
- Lei de Privacidade do Colorado (CPA)
- Lei de Privacidade de Dados de Connecticut (CTDPA)
- Lei de Privacidade do Consumidor de Utah (UCPA)
- Leis estaduais de privacidade de Montana, Delaware, Iowa, Indiana, Nebraska, New Hampshire, Nova Jersey e Minnesota, Texas, Oregon, Tennessee, Kentucky e Rhode Island
- Outras leis estaduais de privacidade aplicáveis, conforme definido na Seção 1.4

13.3.3 Status do prestador de serviços e do subcontratado.

(a) De acordo com a legislação da Califórnia: A Taktile LLC é um “prestador de serviços”, conforme definido pela CCPA/CPRA. A Taktile declara que compreende e cumprirá as restrições previstas no Código Civil da Califórnia, nos artigos § 1798.140(w)(2)(A) e § 1798.140(ag)(2)(A).

(b) De acordo com outras leis estaduais: A Taktile LLC é considerada um “subcontratado” nos termos das leis de privacidade da Virgínia, Colorado, Connecticut, Utah, Montana, Delaware, Iowa, Indiana, Nebraska, New Hampshire, Nova Jersey e Minnesota.

(c) Restrições ao tratamento: Conforme especificado na Seção 3.1, a Taktile não irá:

- Vender ou compartilhar Informações Pessoais Abrangidas
- Manter, utilizar ou divulgar Informações Pessoais Abrangidas fora do âmbito da relação comercial direta com o Cliente
- Combinar Informações Pessoais Abrangidas com informações pessoais provenientes de outras fontes, exceto nos casos permitidos por lei

13.3.4 Autoridades de supervisão e fiscalização. As autoridades de fiscalização incluem:

- Comissão Federal de Comércio (FTC)
- Agência de Proteção à Privacidade da Califórnia (CPPA)
- Procuradores-Gerais Estaduais
- Outras agências de fiscalização estaduais, conforme aplicável

13.3.5 Informações Pessoais Sensíveis. Quando o Cliente fornecer Informações Pessoais Sensíveis, conforme definido na CPRA e em outras leis estaduais, a Taktile:

(a) Trata essas informações exclusivamente para a prestação dos Serviços ou conforme permitido de outra forma, sem a necessidade do consentimento do consumidor, nos termos das leis estaduais aplicáveis

(b) Não utiliza nem divulga Informações Pessoais Sensíveis para inferir características dos consumidores além do necessário para prestar os Serviços

13.3.6 Assistência em matéria de direitos do consumidor. Além da assistência relativa aos direitos do titular dos dados prevista na Seção 6, a Taktile prestará assistência ao Cliente no que diz respeito aos direitos do consumidor específicos dos Estados Unidos, incluindo:

(a) Representantes autorizados: Caso a Taktile receba uma solicitação de um representante autorizado, a Taktile notificará imediatamente o Cliente e não responderá sem a autorização deste.

(b) Verificação: O cliente é responsável por verificar a identidade do consumidor; a Taktile presta assistência razoável, incluindo informações sobre as interações do consumidor com os Serviços.

(c) Direitos de recusa: Atendimento a pedidos de recusa relativos à venda/compartilhamento (embora a Taktile não venda nem compartilhe dados).

(d) Direito de limitar o uso de informações pessoais sensíveis: restringir o uso de informações pessoais sensíveis aos fins permitidos pela CPRA.

13.3.7 Leis estaduais de notificação de violação. Além dos requisitos da Seção 7, a Taktile reconhece que o Cliente pode estar sujeito a leis estaduais específicas de notificação de violação com prazos variáveis. A Taktile se compromete a:

(a) Fornecer ao Cliente as informações necessárias para o cumprimento das leis estaduais de notificação de violações, incluindo a natureza e a extensão da violação, os tipos de informações envolvidas e o número de consumidores afetados por estado

(b) Cooperar com as notificações do Cliente às procuradorias-gerais estaduais, às agências de informação de crédito e aos consumidores afetados

(c) Não notificar consumidores, órgãos reguladores ou terceiros sem o consentimento prévio por escrito do Cliente, salvo quando exigido por lei

13.3.8 Disposições específicas para a Califórnia.

(a) Direitos de auditoria: Os direitos de auditoria do Cliente previstos na Seção 9.1 satisfazem o direito do Cliente de tomar medidas razoáveis para garantir o cumprimento, por parte da Taktile, das obrigações decorrentes da CCPA/CPRA.

(b) Notificação sobre subcontratados: A notificação prévia de 30 dias prevista na Seção 4.2 cumpre a obrigação da Taktile de informar o Cliente sobre os subcontratados nos termos da CPRA.

(c) Indicadores de solicitações dos consumidores: Mediante solicitação justificada, a Taktile fornecerá informações sobre as solicitações relacionadas aos direitos dos consumidores recebidas diretamente pela Taktile, a fim de auxiliar o Cliente no cumprimento de suas obrigações de prestação de contas previstas na CCPA/CPRA.

13.4 CANADÁ

13.4.1 Âmbito de aplicação. Esta seção aplica-se aos Clientes que celebram contratos com a Taktile LLC e que estão sujeitos às leis de privacidade federais ou provinciais do Canadá.

13.4.2 Legislação aplicável. Além das disposições gerais do presente DPA, aplicam-se as seguintes leis:

- Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA)
- Legislação provincial substancialmente semelhante (PIPA de Alberta, PIPA da Colúmbia Britânica)
- Lei de Quebec relativa à proteção de informações pessoais no setor privado (conforme modernizada pela Lei 25)
- Lei de Serviços Bancários Orientados ao Consumidor (CDBA) — em vigor no início de 2026

13.4.3 Funções e responsabilidades. Nos termos da PIPEDA:

- O Cliente é a “organização” responsável pelas informações pessoais
- A Taktile LLC é uma prestadora de serviços terceirizada que trata informações pessoais em nome do Cliente
- O Cliente continua sendo responsável pelas informações pessoais na posse ou sob o controle da Taktile, nos termos do Princípio 4.1.3 da PIPEDA
- A Taktile oferece proteção equivalente por meio deste Acordo de Tratamento de Dados (DPA) e das medidas previstas no Anexo B

13.4.4 Autoridades de supervisão. As autoridades competentes são:

- Federal: Gabinete do Comissário de Privacidade do Canadá (OPC)
- Provincial: Comissários provinciais de privacidade (por exemplo, a Commission d’accès à l’information du Québec, no caso de Quebec)

13.4.5 Consentimento e revogação. A Taktile reconhece que a PIPEDA exige consentimento válido para a coleta, o uso e a divulgação de informações pessoais:

(a) O cliente é responsável por obter o consentimento adequado das pessoas

(b) A Taktile trata os dados pessoais exclusivamente para os fins para os quais o Cliente tenha dado o seu consentimento ou conforme permitido por lei

(c) A Taktile auxilia o Cliente a responder aos pedidos de revogação de consentimento, conforme especificado na Seção 6

13.4.6 Transferências transfronteiriças e transparência.

(a) O cliente reconhece que as informações pessoais serão transferidas para os Estados Unidos e lá processadas, onde poderão ser acessadas por autoridades policiais e órgãos governamentais dos EUA, nos termos da legislação norte-americana, conforme especificado na Seção 8.1(a).

(b) Mediante solicitação, a Taktile fornecerá ao Cliente informações sobre o tratamento de dados nos Estados Unidos, a fim de permitir que o Cliente cumpra os requisitos de transparência da PIPEDA relativos às transferências transfronteiriças.

13.4.7 Notificação de violação à OPC. No caso de incidentes de segurança envolvendo dados pessoais canadenses que representem um “risco real de dano significativo” para as pessoas:

(a) A Taktile fornecerá ao Cliente as informações necessárias para comunicar a violação ao Comissário de Privacidade do Canadá assim que possível, em conformidade com o Regulamento sobre Violações das Medidas de Segurança

(b) As informações fornecidas incluirão as circunstâncias da violação, a data e o período, os dados pessoais envolvidos, o número de pessoas afetadas, as medidas tomadas para reduzir o risco de danos e a notificação às pessoas afetadas

(c) A Taktile reconhece que o Cliente deve notificar a OPC assim que possível após constatar que uma violação representa um risco real de dano significativo

13.4.8 Requisitos específicos de Quebec. Para Clientes sujeitos à lei modernizada de proteção de dados de Quebec (Lei 25):

(a) A Taktile reconhece os requisitos mais rigorosos de Quebec em matéria de consentimento, minimização de dados e privacidade desde a concepção

(b) A Taktile auxiliará o Cliente no cumprimento dos requisitos de avaliação de impacto sobre a privacidade do Quebec

(c) A Taktile cooperará com a Comissão de Acesso à Informação de Quebec (CAI)

(d) Mediante solicitação, a Taktile fornecerá versões em francês deste Acordo de Tratamento de Dados (DPA) e da documentação relacionada

13.4.9 Retenção e descarte. A Taktile retém informações pessoais canadenses apenas pelo tempo necessário para cumprir os objetivos da coleta ou conforme exigido por lei, de acordo com o Princípio 4.5 da PIPEDA e a Seção 6.4 deste DPA.

3.4.10 Estrutura do sistema bancário orientado para o consumidor. Para clientes sujeitos à Lei do Sistema Bancário Orientado para o Consumidor do Canadá (em vigor no início de 2026):

(a) A Taktile reconhece que a CDBA regulamenta o acesso de terceiros aos dados financeiros dos consumidores por meio de APIs

(b) Caso o Cliente utilize os Serviços da Taktile para facilitar serviços bancários orientados ao consumidor, a Taktile deverá:

- Implementar as normas técnicas adequadas, conforme designado pelo Ministro das Finanças
- Manter a confidencialidade, a integridade e a disponibilidade dos dados financeiros acessados por meio de APIs
- Apoiar a conformidade do Cliente com os requisitos de supervisão da FCAC
- Cooperar com quaisquer inspeções regulatórias relacionadas à CDBA

(c) A Taktile atualizará esta seção à medida que forem publicados novos regulamentos da CDBA antes do lançamento do quadro regulatório no início de 2026

13.4.11 Conformidade com a Diretriz B-10 do OSFI. Para clientes sujeitos à Diretriz B-10 do OSFI sobre Gestão de Riscos de Terceiros (em vigor a partir de 1º de maio de 2024): 

(a) A Taktile reconhece as obrigações do Cliente previstas na cláusula B-10 no que se refere à gestão de riscos de terceiros

(b) A Taktile irá:

- Manter medidas adequadas para proteger a confidencialidade, a integridade e a disponibilidade dos registros e dados do Cliente
- Fornecer ao Cliente acesso oportuno a informações precisas e abrangentes para a supervisão do desempenho e dos riscos da Taktile
- Permitir que o Cliente realize ou encomende auditorias independentes, conforme especificado na Seção 9.1
- Cooperar com os requisitos do Programa de Gestão de Riscos de Terceiros do Cliente

13.4.12 Tratamento de dados dos serviços de IA. Quando o Cliente ativar a funcionalidade dos Agentes de IA, as Informações Pessoais Abrangidas tratadas por meio de alguns provedores de modelos de IA (conforme identificado no Formulário de Pedido aplicável) serão tratadas nos Estados Unidos. É possível que, no momento, não haja local alternativo disponível para o tratamento realizado por alguns provedores de modelos de IA. A ativação da funcionalidade Agentes de IA pelo Cliente constitui o consentimento informado do Cliente para tal processamento nos EUA, conforme aplicável aos provedores de modelos de IA selecionados. O Cliente é responsável por fornecer notificação adequada aos indivíduos e garantir a conformidade com a PIPEDA e a legislação provincial de privacidade aplicável no que diz respeito a transferências transfronteiriças. O Cliente pode optar por não ativar a funcionalidade Agentes de IA; nesse caso, nenhuma Informação Pessoal Abrangida será encaminhada aos provedores de modelos de IA.

13.5 BRASIL

13.5.1 Âmbito de aplicação. Esta Seção aplica-se aos Clientes que celebram contratos com a Taktile LLC e que tratam dados pessoais de titulares de dados brasileiros.

13.5.2 Legislação aplicável. A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e os regulamentos emitidos pela Autoridade Nacional de Proteção de Dados (ANPD) aplicam-se em complemento às disposições gerais do presente Acordo de Tratamento de Dados.

13.5.3 Funções nos termos da LGPD. Para os fins da LGPD:

- O Cliente é o “controlador” (responsável pelo tratamento) das Informações Pessoais Abrangidas
- A Taktile LLC é o “operador” (subcontratado) das Informações Pessoais Abrangidas
- A Taktile trata os dados pessoais exclusivamente de acordo com as instruções do Cliente e para os fins estabelecidos no presente DPA

13.5.4 Autoridade de Supervisão. A autoridade de supervisão competente é a Autoridade Nacional de Proteção de Dados (ANPD). A Taktile cooperará com as consultas e investigações da ANPD, conforme exigido por lei.

13.5.5 Transferências internacionais de dados. As transferências de dados pessoais do Brasil para os Estados Unidos são realizadas em conformidade com o Capítulo V da LGPD (artigos 33 a 36), conforme especificado na Seção 8.3(c). A Taktile implementa medidas de segurança contratuais, técnicas e organizacionais adequadas para garantir a proteção adequada dos dados pessoais transferidos internacionalmente.

13.5.6 Direitos dos titulares de dados nos termos da LGPD. Além do disposto na Seção 6, a Taktile auxiliará o Cliente no cumprimento dos direitos dos titulares de dados previstos nos artigos 17 a 22 da LGPD, incluindo:

- Confirmação do tratamento e acesso aos dados
- Retificação de dados incompletos, imprecisos ou desatualizados
- Anonimização, bloqueio ou exclusão de dados
- Portabilidade dos dados para outro prestador de serviços
- Informações sobre as entidades públicas e privadas com as quais os dados foram compartilhados
- Informações sobre a possibilidade de recusar o consentimento e suas consequências
- Revogação do consentimento

13.5.7 Responsabilidade solidária. As partes reconhecem que, nos termos do artigo 42 da LGPD, tanto o controlador quanto o processador podem ser responsabilizados solidariamente por danos causados por atividades de tratamento de dados. Cada parte é responsável pelos danos que causar em decorrência da violação da LGPD. A responsabilidade da Taktile está limitada conforme estabelecido na Seção 12 deste DPA e no Contrato.

13.5.8 Notificação de violação. No caso de incidentes de segurança envolvendo dados pessoais de cidadãos brasileiros, a Taktile fornecerá as informações necessárias para que o Cliente notifique a ANPD e os titulares dos dados afetados, em conformidade com os requisitos da LGPD e dentro dos prazos especificados na Seção 7.

13.5.9 Tratamento de dados dos serviços de IA. Caso o Cliente habilite a funcionalidade de Agentes de IA, as Informações Pessoais Abrangidas tratadas por meio de provedores de modelos de IA (conforme identificados no Formulário de Pedido aplicável) serão transferidas para os Estados Unidos e tratadas nesse país. Tais transferências são realizadas em conformidade com o Capítulo V da LGPD e com as salvaguardas especificadas na Seção 8.3(c). A ativação da funcionalidade de Agentes de IA pelo Cliente constitui uma instrução documentada do Cliente autorizando tal transferência. O Cliente pode optar por não habilitar a funcionalidade de Agentes de IA; nesse caso, nenhuma Informação Pessoal Abrangida será encaminhada aos provedores de modelos de IA.

13.6 CONFORMIDADE EM SERVIÇOS FINANCEIROS (TODAS AS JURISDIÇÕES)

13.6.1 Âmbito de aplicação. Esta Seção aplica-se a todos os Clientes cuja utilização dos Serviços da Taktile esteja sujeita à regulamentação dos serviços financeiros, independentemente da jurisdição.

13.6.2 Considerações regulatórias. A Taktile reconhece que o Cliente pode estar sujeito a regulamentações do setor de serviços financeiros, incluindo, entre outras:

(a) Estados Unidos: Lei de Relatórios de Crédito Justos (FCRA), Lei Gramm-Leach-Bliley (GLBA), Lei Sarbanes-Oxley (SOX), Lei de Sigilo Bancário (BSA), regulamentações contra a lavagem de dinheiro (AML), Norma de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS)

(b) União Europeia: Lei sobre a Resiliência Operacional Digital (DORA), Diretiva relativa aos serviços de pagamento (PSD2), Diretiva relativa aos mercados de instrumentos financeiros (MiFID II)

(c) Reino Unido: Lei de Serviços e Mercados Financeiros, regulamentos da FCA

(d) Outras jurisdições: regulamentações equivalentes em matéria de serviços financeiros aplicáveis às operações do Cliente

A Taktile colaborará com os esforços de conformidade do Cliente no âmbito dessas regulamentações e manterá controles adequados para apoiar o cumprimento das obrigações regulatórias do Cliente.

13.6.3 Tomada de decisão automatizada. Quando as Informações Pessoais Abrangidas forem utilizadas em sistemas de tomada de decisão automatizada, incluindo análise de crédito, detecção de fraudes ou avaliação de riscos, a Taktile:

(a) Manter a documentação e as trilhas de auditoria adequadas para atender aos requisitos regulatórios

(b) Cumprir as obrigações de explicabilidade e transparência do Cliente previstas na legislação aplicável

(c) Fornecer ao Cliente acesso à lógica de decisão e aos parâmetros de processamento

(d) Apoiar o Cliente na realização de avaliações de equidade e parcialidade

(e) Manter o controle de versões de todos os modelos de decisão e algoritmos

13.6.4 Governança de modelos. A Taktile fornece ferramentas e recursos que permitem ao Cliente implementar a governança de modelos para a lógica de decisão configurada pelo Cliente, incluindo:

(a) Controle de versão e gerenciamento de alterações para modelos configurados pelo cliente

(b) Recursos de documentação para entradas, lógica e saídas do modelo configurados pelo Cliente

(c) Registros de auditoria para as atividades de processamento

(d) O Cliente reconhece e concorda que é o único responsável por:

- Garantir a imparcialidade e a ausência de preconceitos nos modelos de decisão. O Cliente configura
- Realizar os testes de preconceito e as avaliações de imparcialidade necessários
- Verificar se a lógica de decisão do Cliente está em conformidade com as leis aplicáveis em matéria de crédito justo, antidiscriminação e proteção ao consumidor
- Implementar processos adequados de supervisão e revisão por parte de seres humanos
- Documentar os procedimentos de governança e validação dos modelos do Cliente

13.6.5 Inspeções regulatórias. A Taktile cooperará com as inspeções regulatórias do Cliente realizadas por órgãos reguladores do setor de serviços financeiros, incluindo:

(a) Fornecimento de documentação relativa às atividades de tratamento e às medidas de segurança

(b) Concessão de acesso a sistemas e controles (sujeita a medidas de segurança razoáveis e proteções de confidencialidade)

(c) Responder a solicitações de informações dentro dos prazos exigidos pelas autoridades reguladoras

13.6.6 Retenção de registros para serviços financeiros. Não obstante os períodos de retenção previstos na Seção 6.4, caso o Cliente esteja sujeito a regulamentações de serviços financeiros que exijam períodos de retenção mais longos (por exemplo, 7 anos de acordo com determinadas regulamentações), a Taktile manterá as Informações Pessoais Abrangidas por esses períodos mais longos, mediante instrução por escrito do Cliente e sujeita às Leis de Privacidade aplicáveis.

13.6.7 Direitos de auditoria para entidades reguladas. No caso de Clientes sujeitos a regulamentações de serviços financeiros que exijam auditorias periódicas de fornecedores, a Taktile atenderá a tais auditorias exigidas pela regulamentação mediante aviso prévio razoável e coordenação. Tais auditorias permanecem sujeitas às limitações gerais previstas na Seção 9.1(a), (b) e (d) no que diz respeito à interferência nas operações, ao horário de funcionamento e à confidencialidade.

13.7 REGIÕES DA ÁSIA-PACÍFICO

13.7.1 Âmbito de aplicação. Esta Seção aplica-se aos Clientes que celebram contratos com a Taktile GmbH e que estão estabelecidos em jurisdições da Ásia-Pacífico ou que tratam dados pessoais de titulares de dados nessas regiões. À medida que as operações da Taktile na Ásia-Pacífico evoluírem, esta Seção será atualizada para atender aos requisitos específicos de cada jurisdição.

13.7.2 Enquadramento geral. Para os clientes da região Ásia-Pacífico, aplicam-se as disposições gerais das Seções 1 a 12. A Taktile trata os dados em conformidade com as leis locais de proteção de dados aplicáveis e implementará os requisitos específicos de cada jurisdição, conforme necessário.

13.7.3 Localização de dados. Nos casos em que as jurisdições da Ásia-Pacífico exijam a localização de dados ou imponham restrições às transferências transfronteiriças de dados, a Taktile colaborará com o Cliente para implementar medidas técnicas e contratuais adequadas, que poderão incluir:

(a) Tratamento de dados na jurisdição em que tal seja tecnicamente viável

(b) Implementar mecanismos de transferência adequados, reconhecidos pela legislação local

(c) Obtenção das aprovações ou registros necessários para transferências transfronteiriças

13.7.4 Melhorias futuras. À medida que a Taktile expande sua base de clientes na Ásia-Pacífico, esta Seção será aprimorada para atender a requisitos específicos previstos em leis, incluindo, entre outras:

- Lei de Proteção de Dados Pessoais de Cingapura (PDPA)
- Lei de Privacidade da Austrália de 1988
- Lei de Proteção de Informações Pessoais do Japão (APPI)
- Outras leis de proteção de dados aplicáveis na região Ásia-Pacífico

Os clientes nessas jurisdições devem entrar em contato com a Taktile para obter informações atualizadas sobre conformidade e eventuais adendos específicos para cada jurisdição.

14. DISPOSIÇÕES DIVERSAS

14.1 Conflito. Em caso de conflito entre este ADP e o Contrato, este ADP prevalecerá no que diz respeito ao tratamento de Dados Pessoais Abrangidos. Em caso de conflito entre este ADP e as Cláusulas Contratuais Padrão, estas últimas prevalecerão na medida exigida pela legislação aplicável.

14.2 Alterações. O presente DPA só poderá ser alterado mediante acordo por escrito assinado por ambas as partes, salvo se a Taktile atualizar o presente DPA para cumprir as Leis de Privacidade aplicáveis, mediante notificação prévia de trinta (30) dias ao Cliente. Alterações materiais requerem a aceitação expressa do Cliente; alterações não materiais (por exemplo, lista atualizada de subprocessadores, correção de erros ortográficos, esclarecimentos) podem ser implementadas mediante simples notificação. Um registro de alterações de todas as versões do DPA é mantido em www.taktile.com/dpa-changelog.

14.3 Divisibilidade. Caso qualquer disposição deste DPA seja considerada inválida ou inexequível, o restante deste DPA permanecerá em pleno vigor e efeito, e a disposição inválida será substituída por uma disposição válida que melhor reflita a intenção original das partes.

14.4 Lei aplicável. O presente DPA é regido pela mesma lei especificada no Contrato. 

(a) Para clientes que celebram contratos com a Taktile LLC: as leis do Estado de Nova York, Estados Unidos, sem levar em conta os princípios de conflitos de leis.

(b) Para os clientes que celebram contrato com a Taktile GmbH: a legislação alemã, sem consideração dos princípios de conflitos de leis.

(c) Para os clientes que celebram contratos com a Taktile Limited: as leis da Inglaterra e do País de Gales, sem levar em conta os princípios de conflitos de leis.

No que diz respeito às Cláusulas Contratuais Padrão (quando aplicável), a lei aplicável e a jurisdição competente são as especificadas no Anexo A.

14.5 Vigor após a rescisão. As seguintes seções permanecerão em vigor após a rescisão deste DPA: Seção 7 (Incidentes de segurança), Seção 11 (Devolução de dados), Seção 12 (Responsabilidade e indenização) e Seção 15 (Disposições finais).

14.6 Acordo Integral. O presente DPA, juntamente com o Contrato e os documentos nele incorporados, constitui o acordo integral entre as partes no que diz respeito ao tratamento de Dados Pessoais Abrangidos e substitui todos os acordos, entendimentos e comunicações anteriores relativos a tal assunto.

14.7 Notificações. Todas as notificações previstas neste DPA devem ser feitas por escrito e entregues de acordo com as disposições relativas a notificações constantes do Contrato. As notificações relativas a Incidentes de Segurança ou consultas regulatórias poderão ser enviadas por e-mail ao contato designado pelo Cliente e serão consideradas válidas no momento da transmissão.

14.8 Ausência de terceiros beneficiários. O presente DPA visa exclusivamente o benefício das partes e não confere quaisquer direitos a terceiros beneficiários, salvo no caso em que os titulares dos dados possam fazer valer determinadas disposições na qualidade de terceiros beneficiários, na medida exigida pelas leis de privacidade aplicáveis.

ANEXO A

DETALHES DO PROCESSAMENTO

1. ENTIDADE CONTRATANTE E LOCAL DE TRATAMENTO DE DADOS

Para clientes com contrato com a Taktile LLC:

- Regiões:Estados Unidos, Canadá, América do Sul

- Local de processamento principal:O Cliente pode escolher entre as seguintes regiões da AWS para armazenamento de dados:
Estados Unidos (regiões da AWS nos EUA) — padrão
Canadá (regiões da AWS no Canadá) — disponível mediante solicitação do Cliente
Brasil (regiões da AWS na América do Sul) — disponível mediante solicitação do Cliente
O local de armazenamento selecionado é especificado no Formulário de Pedido ou na solicitação por escrito do Cliente.

- Acesso transfronteiriço: Independentemente do local de armazenamento de dados selecionado pelo Cliente, as Informações Pessoais Abrangidas podem ser acessadas pelo pessoal da Taktile localizado nos Estados Unidos, na União Europeia e no Reino Unido para os fins limitados especificados na Seção 8.2, incluindo suporte técnico, resposta a incidentes e prestação de serviços.

- Função:Processador/Prestador de Serviços

- Lei Aplicável:Nova York, Estados Unidos

- Autoridade Supervisora:Determinada pela jurisdição do Cliente (FTC, CPPA, procuradores-gerais estaduais, OPC, ANPD, etc.)

Para clientes com contrato com a Taktile GmbH:

- Regiões:União Europeia, Suíça

- Local de processamento principal:Alemanha (regiões da AWS na Alemanha/UE)

- Acesso transfronteiriço: As Informações Pessoais abrangidas podem ser acessadas por funcionários da Taktile localizados na União Europeia e no Reino Unido para os fins limitados especificados na Seção 8.2, incluindo suporte técnico, resposta a incidentes e prestação de serviços

- Função:Subcontratante (Auftragsverarbeiter)

- Lei Aplicável:Alemanha

- Autoridade Supervisora:Determinada pela jurisdição do Cliente (BfDI, ICO, FDPIC, etc.)

Para clientes que tenham contrato com a Taktile Limited:

- Região: Reino Unido, Ásia-Pacífico

- Local de processamento principal:Reino Unido (regiões da AWS no Reino Unido), salvo acordo em contrário por escrito

- Acesso transfronteiriço: As Informações Pessoais abrangidas podem ser acessadas por funcionários da Taktile localizados no Reino Unido e na União Europeia para os fins limitados especificados na Seção 8.2, incluindo suporte técnico, resposta a incidentes e prestação de serviços.

- Função: Processador

- Legislação aplicável: Inglaterra e País de Gales

- Autoridade de Supervisão: Gabinete do Comissário de Informação (ICO)

- Acesso transfronteiriço:O pessoal nos EUA, na Alemanha e na Romênia pode acessar os dados para fins de suporte técnico, resposta a incidentes e prestação de serviços, conforme especificado na Seção 8.2.

2. ÂMBITO DO TRATAMENTO

Assunto:Fornecimento da plataforma de gestão de decisões da Taktile para a tomada de decisões no setor de serviços financeiros.

Duração:Prazo do contrato, acrescido das obrigações pós-rescisão.

Natureza e Objetivo:

- Análise de crédito e tomada de decisões sobre empréstimos
- Detecção e prevenção de fraudes
- Verificação KYC/KYB e análise de conformidade
- Monitoramento de transações
- Outros casos de uso relacionados à tomada de decisões sobre clientes
- Suporte técnico e prestação de serviços
- Monitoramento de segurança e resposta a incidentes
- Backup e recuperação de desastres
- Desempenho e benchmarking específicos do cliente (quando habilitado pelo Cliente nos termos do Contrato)
- Processamento pelo provedor de modelos de IA (quando o Cliente optou por usar a funcionalidade de Agentes de IA e selecionou um Subprocessador Opcional por meio da Plataforma ou de um Formulário de Pedido aplicável)

Categorias de titulares de dados:

- Usuários finais do cliente (mutuários, requerentes, titulares de contas)
- Representantes comerciais e beneficiários efetivos
- Usuários autorizados do cliente

Categorias de dados pessoais (incluindo, entre outros):

- Dados de identidade:nome, data de nascimento, documentos de identidade oficiais, endereços, informações de contato
- Dados financeiros:pontuação de crédito, informações bancárias, renda, ativos, histórico de transações
- Dados demográficos:idade, situação profissional, localização
- Dados técnicos:endereços IP, identificadores de dispositivos, dados de registro, informações de sessão

3. CLÁUSULAS CONTRATUAIS PADRÃO(quando aplicável)

Aplicabilidade:As Cláusulas Contratuais Padrão (SCCs) aplicam-se a transferências da UE/EEE/Reino Unido/Suíça para os EUA.
Módulo:Módulo Dois (Responsável pelo tratamento para Subcontratante)
Exportador de dados:Cliente
Importador de dados:Taktile LLC (para transferências para os EUA) ou Taktile GmbH (para transferências para a Alemanha/Romênia) 
Aviso sobre subprocessadores:aviso prévio de 30 dias (Cláusula 9(a) Opção 2)
Lei aplicável/jurisdição:jurisdição do cliente, conforme especificado na Seção 14.4
Transferências do Reino Unido:IDTA do Reino Unido ou Adendo do Reino Unido às SCCs
Transferências da Suíça:SCCs modificadas para revFADP (FDPIC como autoridade competente)

4. INFORMAÇÕES DE CONTATO

Dúvidas sobre proteção de dados:

Solicitações de privacidade/DSR: privacy@taktile.com

Incidentes de segurança: security@taktile.com

Centro de Confiança: https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6

Taktile LLC:Rua Vesey, 200, Brookfield Place, Nova York, NY 10281, EUA

Taktile GmbH:Schönhauser Allee 9, 10119 Berlim, Alemanha (HRB 216607 B, Tribunal de Primeira Instância de Charlottenburg)

Taktile Limited: 30 Old Bailey, Londres, Reino Unido, EC4M 7AU, Reino Unido (N.º de registro da empresa: 16992965)

ANEXO B

MEDIDAS DE SEGURANÇA TÉCNICAS E ORGANIZACIONAIS

A Taktile mantém medidas técnicas e organizacionais adequadas para proteger as Informações Pessoais Abrangidas, conforme exigido pelas Leis de Privacidade aplicáveis. Os controles de segurança e certificações atuais estão detalhados no Centro de Confiança em https://app.vanta.com/taktile.com/trust/5fofvswspy35fupntb4i6/controls.

1. CONTROLE DE ACESSO

Segurança física:

- Infraestrutura em nuvem hospedada em data centers certificados (em conformidade com SOC 2 Tipo II e ISO 27001:2022)
- Controles de acesso físico e proteções ambientais mantidos pelos provedores de infraestrutura

Controle de acesso lógico:

- Controle de acesso baseado em funções, seguindo o princípio do privilégio mínimo
- Autenticação multifatorial para acesso ao sistema
- Revisões periódicas dos direitos de acesso e revogação automatizada
- Requisitos de autenticação robusta

Segurança de rede:

- Segmentação de rede e proteção por firewall
- Sistemas de detecção e prevenção de intrusões
- Controles de acesso remoto seguro

2. PROTEÇÃO DE DADOS

Criptografia:

- Dados em repouso criptografados utilizando criptografia padrão do setor
- Dados em trânsito criptografados utilizando protocolos seguros atuais
- Procedimentos seguros de gerenciamento de chaves

Ciclo de vida dos dados:

- Retenção de dados em conformidade com os requisitos legais e as instruções do cliente
- Procedimentos de exclusão segura
- Recursos de backup e recuperação

3. OPERAÇÕES DE SEGURANÇA

Gerenciamento de vulnerabilidades:

- Avaliações regulares de segurança e testes de penetração
- Procedimentos de gerenciamento de patches
- Análise de segurança e correção

Monitoramento e resposta:

- Monitoramento e registro de segurança
- Procedimentos de detecção e resposta a incidentes
- Plano documentado de resposta a incidentes

4. MEDIDAS ORGANIZACIONAIS

Pessoal:

- Verificação de antecedentes do pessoal com acesso aos dados
- Treinamento em segurança e privacidade
- Obrigações de confidencialidade

Governança:

- Políticas e procedimentos de segurança da informação
- Processos de gestão de mudanças
- Requisitos de segurança para fornecedores e subcontratados

Conformidade:

- Auditorias SOC 2 Tipo II anuais
- Certificação ISO 27001:2022
- Avaliações regulares de conformidade

5. CONTROLES DE SERVIÇOS FINANCEIROS

Para clientes sujeitos à regulamentação de serviços financeiros:

- Registros de auditoria em conformidade com os requisitos regulatórios
- Retenção de dados em conformidade com as normas regulatórias aplicáveis
- Recursos de governança e documentação de modelos
- Suporte para avaliações de explicabilidade, viés e imparcialidade conduzidas pelo cliente

6. DIREITOS DO TITULAR DOS DADOS

Suporte técnico:

- Recursos de descoberta e recuperação de dados
- Exportação de dados em formatos legíveis por máquina
- Exclusão segura com verificação
- Registro de acesso e trilhas de auditoria

Suporte ao processo:

- Procedimentos documentados para o tratamento de solicitações dos titulares de dados
- Pessoal designado para o processamento de solicitações
- Portal do cliente para gestão de solicitações

7. ASSISTÊNCIA AOS DIREITOS DOS TITULARES DE DADOS

Capacidades técnicas:

- Ferramentas de descoberta e mapeamento de dados
- Recursos de processamento de solicitações de titulares de dados (DSR) com supervisão manual
- Funcionalidade de exportação de dados em formatos legíveis por máquina
- Exclusão segura de dados com verificação
- Registro de acessos para todos os acessos a dados pessoais
- Trilhas de auditoria para o atendimento de solicitações de titulares de dados (DSR)

Medidas organizacionais:

- Procedimentos documentados para o tratamento de DSR
- Pessoal designado para o processamento de DSR
- Compromisso de resposta em cinco (5) dias úteis para notificações de DSR
- Portal do cliente para envio e acompanhamento de DSR
- Testes e melhorias regulares do processo de DSR

8. CONTROLES ESPECÍFICOS PARA SERVIÇOS FINANCEIROS

Conformidade regulatória:

- Registros de auditoria em conformidade com os requisitos regulatórios típicos do setor de serviços financeiros
- Retenção de dados em conformidade com os requisitos da FCRA, GLBA e SOX
- Suporte para monitoramento de transações e detecção de atividades suspeitas

Segurança do modelo:

- Controle de versão para modelos de decisão configurados pelo cliente
- Controles de acesso aos modelos e gerenciamento de alterações
- Recursos de monitoramento do desempenho dos modelos
- Documentação dos modelos e rastreamento da linhagem
- Recursos de testes A/B com parâmetros controlados pelo cliente

ANEXO C

APOIO À AVALIAÇÃO DE IMPACTO DO TRATAMENTO DE DADOS

IMPORTANTE: O Cliente configura toda a lógica de decisão, regras e modelos na plataforma Taktile. A Taktile fornece a infraestrutura tecnológica e as ferramentas, mas não determina, valida nem certifica a imparcialidade, a precisão ou a conformidade dos critérios de tomada de decisão do Cliente. O Cliente é o único responsável por garantir que a lógica de decisão por ele configurada esteja em conformidade com todas as leis aplicáveis, incluindo os requisitos relativos à concessão justa de crédito, à luta contra a discriminação e à proteção do consumidor.

A Taktile fornece as seguintes informações para apoiar as avaliações de impacto sobre a proteção de dados (DPIA) do Cliente, conforme exigido pelas leis de privacidade aplicáveis:

1. VISÃO GERAL DO PROCESSAMENTO

Atividades de alto risco:Tomada de decisão automatizada em matéria de crédito, detecção de fraudes e avaliação de riscos que possa ter efeitos jurídicos ou de importância semelhante sobre as pessoas.

Escala:Plataforma capaz de processar grandes volumes de decisões.

Tipos de dados:dados financeiros, dados de identidade e outras categorias, conforme especificado no Anexo A.

2. RESPONSABILIDADE DO CLIENTE PELA LÓGICA DE DECISÃO

O Cliente configura toda a lógica de decisão, regras, modelos e limites dentro da plataforma Taktile. A Taktile fornece a infraestrutura tecnológica e as ferramentas, mas não determina, valida nem certifica a imparcialidade, a precisão ou a conformidade dos critérios de tomada de decisão do Cliente.

O cliente é o único responsável por:

- Garantir que a lógica de decisão esteja em conformidade com as leis aplicáveis em matéria de crédito justo, antidiscriminação e proteção ao consumidor
- Realizar os testes de viés e as avaliações de equidade exigidos
- Implementar processos adequados de supervisão e revisão por pessoas
- Determinar se o tratamento de dados é necessário e proporcionado para os fins do Cliente
- Fornecer avisos adequados e obter os consentimentos exigidos dos titulares dos dados
- Consultar as autoridades de supervisão, se necessário

3. MEDIDAS DE SEGURANÇA DA TAKTILE

Medidas técnicas:

- Criptografia, controles de acesso e monitoramento de segurança (detalhados no Anexo B)
- Registros de auditoria para todas as atividades de processamento
- Segregação de dados entre clientes
- Ferramentas que permitem ao Cliente realizar testes de viés e avaliações de imparcialidade
- Controle de versão para modelos configurados pelo Cliente

Medidas organizacionais:

- Obrigações contratuais em matéria de proteção de dados (este Acordo de Tratamento de Dados)
- Treinamento de pessoal sobre privacidade e segurança
- Supervisão de subcontratados
- Procedimentos de resposta a incidentes
- Certificações SOC 2 Tipo II e ISO 27001:2022

4. SUPORTE À AAVP

Mediante solicitação, a Taktile fornecerá ao Cliente as informações adicionais razoavelmente necessárias para a conclusão da AIA do Cliente, incluindo documentação técnica sobre os recursos e controles de segurança da Plataforma.