Data Processing Agreement (DPA).

O presente Acordo de Tratamento de Dados (DPA — Data Processing Agreement) é celebrado entre o cliente que contrata os serviços Context Armor (doravante «Controlador») e a Context Armor, Inc. (doravante «Operador»), e regula o tratamento de dados pessoais realizado por conta do Controlador através do gateway Context Armor.

Para os efeitos do Art. 5º, incisos VI e VII, da LGPD e dos Art. 4º e 28 do GDPR, o Controlador determina as finalidades e os meios do tratamento; o Operador trata os dados exclusivamente nas instruções documentadas do Controlador, salvo obrigação legal em contrário.

• Objeto: prestação do serviço de segurança perimetral de prompts, tool calls e contexto;
• Natureza: inspeção em memória, classificação tipada (Noul, Choice, Score) e decisão de encaminhamento (allow/blocked);
• Finalidade: deteção e mitigação de injeção de prompt e de ameaças agênticas antes de o conteúdo chegar ao modelo generativo do Controlador;
• Duração: pela vigência do contrato de subscrição, sem retenção de conteúdo após cada decisão individual.

Categorias de titulares: utilizadores finais e operadores do Controlador cujo conteúdo transita pelo gateway. O Controlador é responsável por assegurar a licitude do envio desse conteúdo ao Operador.

O Operador aplica Zero Data Retention por definição: o conteúdo transitado é inspecionado, decidido e descartado dentro da memória do isolate edge, sem escrita em armazenamento persistente, sem logs de conteúdo e sem cópias de segurança que incluam payloads. Esta obrigação prevalece sobre qualquer prática em contrário e é auditável nos termos da secção 12.

1. 01Tratar dados pessoais exclusivamente conforme as instruções documentadas do Controlador, salvo obrigação legal;
2. 02Assegurar que as pessoas autorizadas ao tratamento estão sujeitas a deveres de confidencialidade;
3. 03Aplicar as medidas técnicas e administrativas da secção 8;
4. 04Prestar assistência ao Controlador no cumprimento das obrigações de resposta a titulares e de avaliação de impacto (RIPD/DPIA);
5. 05Notificar o Controlador sem atraso indevido em caso de violação de dados pessoais;
6. 06Apagar ou devolver os dados pessoais após o termo do contrato, conforme a secção 11.

O Controlador autoriza a subcontratação dos seguintes subencarregados, todos sujeitos a obrigações contratuais equivalentes às do presente DPA:

O Operador informa o Controlador com antecedência razoável de qualquer adição ou substituição de subencarregado, dando ao Controlador a possibilidade de se opor por motivo legítimo. Na falta de acordo, o Controlador pode rescindir o contrato sem penalidade.

As transferências internacionais de dados pessoais efetuadas ao abrigo do presente DPA são regidas pelas Standard Contractual Clauses aprovadas pela Comissão Europeia — Decisão (UE) 2021/914 —, com o módulo aplicável à relação Controlador–Operador, integradas por referência neste contrato, bem como pelas garantias do Art. 33 da LGPD e suas normas regulamentares.

O Operador implementa medidas técnicas e administrativas adequadas ao risco, nos termos dos Art. 46 a 49 da LGPD e do Art. 32 do GDPR, incluindo:

• Cifra TLS 1.2+ em trânsito; segregação de ambientes e gestão de segredos dedicada;
• Controlos SOC 2 Type II auditados e alinhamento ISO/IEC 27001;
• Gestão de acessos pelo princípio do menor privilégio, com registo de acessos administrativos;
• Gestão de vulnerabilidades, testes periódicos e resposta a incidentes documentada.

Em caso de violação de dados pessoais que possa acarretar risco ou dano relevante aos titulares, o Operador notifica o Controlador sem atraso indevido e, sempre que possível, no prazo máximo de 72 horas após tomar conhecimento, indicando a natureza da violação, as categorias e números aproximados de titulares e dados afetados, as consequências prováveis e as medidas adotadas ou propostas.

O Operador assiste o Controlador, com medidas técnicas e organizativas adequadas, no atendimento dos pedidos de titulares previstos no Art. 18 da LGPD e nos Art. 12 a 23 do GDPR. Dada a natureza ZDR do serviço, pedidos de acesso ou eliminação de conteúdo transitado reportam-se a dados não retidos, o que o Operador documenta e comunica ao titular por intermédio do Controlador.

No termo da prestação de serviços, o Operador elimina os dados pessoais mantidos, exceto os que a lei determinar reter (dados de faturação e obrigações fiscais), que permanecem pelo prazo legal. O conteúdo transitado, por não ser retido, não está sujeito a devolução — o Operador emite declaração de eliminação a pedido do Controlador.

O Operador disponibiliza relatórios SOC 2 Type II e evidências de controlos ISO 27001 mediante pedido, sob acordo de confidencialidade. Auditorias adicionais podem ser realizadas uma vez por ano ou após incidente relevante, com aviso prévio de 30 dias, sem acesso a dados de outros clientes e sem perturbação indevida do serviço. No plano Enterprise, estão disponíveis atestados ZDR dedicados e cláusulas de auditoria personalizadas.

O presente DPA entra em vigor na data de aceitação dos Termos de Serviço ou de assinatura do contrato Enterprise e mantém-se pela vigência do contrato principal. Prevalece, em caso de conflito, sobre outras disposições contratuais relativas a tratamento de dados. Versões personalizadas, incluindo cláusulas adicionais exigidas pelo cliente, são negociáveis no plano Enterprise através da página de contacto.