Adendo de Residência de Dados

ADENDO DE RESIDÊNCIA DE DADOS
Versão 1.0
Data de Vigência: 23 de Fevereiro de 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116

PROPÓSITO E ÂMBITO
Este Adendo de Residência de Dados (este "Adendo") complementa e é incorporado ao Acordo de Processamento de Dados (o "DPA") entre Syntari International, Inc. ("Empresa") e Cliente, e regula a(s) localização(ões) geográfica(s) onde os Dados do Cliente serão armazenados, processados e copiados. Este Adendo estabelece requisitos específicos de residência de dados, opções regionais disponíveis, e mecanismos para conformidade com as regulamentações aplicáveis de proteção e localização de dados.
Este Adendo se aplica a todos os Dados do Cliente processados pela Empresa em conexão com a provisão da plataforma Syntari e suas características impulsionadas por IA, incluindo, mas não se limitando a, análises, recomendações e insights gerados por meio de provedores de IA de terceiros.
DEFINIÇÕES
Além dos termos definidos no DPA, as seguintes definições se aplicam a este Adendo:
"Residência de Dados": A(s) região(ções) geográfica(s) específica(s) onde os Dados do Cliente são armazenados, copiados e replicados, conforme especificado em uma Especificação de Residência de Dados.
"Localização de Dados": Requisitos legais ou regulamentares que exigem a localização onde categorias específicas de dados devem ser armazenadas ou processadas.
"Localização de Processamento": Qualquer localização geográfica onde os Dados do Cliente são acessados, lidos, analisados, transformados ou de outra forma processados, incluindo por provedores de IA de terceiros.
"Localização de Armazenamento": O(s) centro(s) de dados físicos ou virtuais onde os Dados do Cliente em repouso são mantidos e armazenados.
"Localização de Trânsito": O(s) caminho(s) geográfico(s) pelos quais os Dados do Cliente viajam durante a transmissão entre sistemas, serviços ou regiões.
RESIDÊNCIA DE DADOS PADRÃO
A menos que o Cliente tenha selecionado uma opção regional alternativa de acordo com a Seção 5, os Dados do Cliente serão armazenados e copiados nos Estados Unidos da seguinte forma:
3.1 Armazenamento Primário
● AWS US-EAST-1 (N. Virginia, EUA)
● AWS US-WEST-2 (Oregon, EUA)
3.2 Backup e Recuperação de Desastres
● AWS US-EAST-2 (Ohio, EUA) para redundância e failover
3.3 Processamento de IA
O processamento de IA por provedores de terceiros ocorre nos Estados Unidos, independentemente da região de armazenamento primário selecionada pelo Cliente (veja a Seção 4 para detalhes).
LOCALIZAÇÕES DE PROCESSAMENTO DE DADOS DE PROVEDORES DE IA
A Syntari utiliza provedores de IA de terceiros para potencializar suas análises e recursos de IA. O seguinte divulga as principais localizações de processamento para cada provedor:
Provedor de IA Localização Principal de Processamento Localização Secundária
Anthropic (Claude) Estados Unidos (centros de dados baseados nos EUA) N/A – apenas nos EUA
OpenAI (GPT) Estados Unidos (infraestrutura baseada nos EUA) N/A – apenas nos EUA
Google Cloud AI (Gemini) Estados Unidos (configurável via regiões do Google Cloud) Disponível apenas nas regiões dos EUA para Syntari

4.1 Termos de Processamento de Dados do Fornecedor de IA
Os Dados do Cliente processados por fornecedores de IA podem ser retidos temporariamente por esses fornecedores para fins de melhoria de serviço. Os seguintes termos de retenção se aplicam:
● Anthropic: Os dados podem ser retidos por até 30 dias para melhoria do modelo e detecção de abuso
● OpenAI: Os dados podem ser retidos conforme a política de retenção de dados da API da OpenAI (normalmente 30 dias)
● Google Cloud AI: A retenção de dados depende das políticas e acordos do Google Cloud configurados
4.2 Divulgação de Processamento
O Cliente reconhece que o uso de recursos de IA constitui uma operação de processamento de dados por fornecedores de IA de terceiros. Todo o processamento de IA ocorre nos Estados Unidos. Os Dados do Cliente não serão direcionados a fornecedores de IA fora dos EUA, a menos que o Cliente solicite explicitamente esse direcionamento e cumpra com as regulamentações de transferência de dados aplicáveis.
5. OPÇÕES REGIONAIS DISPONÍVEIS
Para atender a diferentes requisitos regulatórios e comerciais, a Syntari oferece as seguintes opções de armazenamento regional. O processamento de IA permanece baseado nos EUA, independentemente da seleção da região de armazenamento. O Cliente deve especificar sua região selecionada durante a integração.
5.1 Região dos Estados Unidos (Padrão)
● Armazenamento: AWS US-EAST-1, US-WEST-2
● Backup: AWS US-EAST-2
● Processamento de IA: fornecedores dos Estados Unidos
● Disponibilidade: Todos os clientes
5.2 Região da União Europeia (UE)
● Armazenamento: AWS EU-WEST-1 (Irlanda), AWS EU-CENTRAL-1 (Frankfurt)
● Backup: regiões da AWS baseadas na UE
● Processamento de IA: Estados Unidos (dados transferidos para processamento de IA conforme a Seção 4)
● Disponibilidade: clientes da UE/EEE sujeitos ao GDPR
● Nota: A seleção de armazenamento na UE não impede o processamento de IA nos Estados Unidos
5.3 Região do Reino Unido (RU)
● Armazenamento: AWS EU-WEST-2 (Londres)
● Backup: regiões da AWS baseadas na UE
● Processamento de IA: Estados Unidos (dados transferidos para processamento de IA)
● Disponibilidade: clientes do RU sujeitos ao GDPR do RU e à Lei de Proteção de Dados de 2018
5.4 Região do Canadá
● Armazenamento: AWS CA-CENTRAL-1 (Canadá Central)
● Backup: regiões da AWS baseadas no Canadá
● Processamento de IA: Estados Unidos (dados transferidos para processamento de IA)
● Disponibilidade: clientes canadenses sujeitos ao PIPEDA e requisitos regulatórios
5.5 Limitação Importante
O Cliente reconhece que, independentemente da região de armazenamento selecionada, o uso de recursos de IA resultará em transferência de dados para e processamento por fornecedores de IA baseados nos EUA. Se o Cliente exigir que os dados nunca transitem para os Estados Unidos, o Cliente deve desabilitar todos os recursos e funcionalidades de processamento de IA.
6. MECHANISMOS DE TRANSFERÊNCIA
Quando os Dados do Cliente devem ser transferidos entre fronteiras, incluindo da UE/EEE para os Estados Unidos para processamento de IA, a Empresa se baseia nos seguintes mecanismos de transferência legal:
6.1 Quadro de Privacidade de Dados UE-EUA
Para transferências de dados pessoais da UE/EEE para os Estados Unidos, a Empresa e seus subprocessadores de IA confiam no Quadro de Privacidade de Dados UE-EUA (DPF), que substituiu o quadro do Privacy Shield invalidado. Este quadro estabelece a adequação da proteção de dados nos Estados Unidos para fins de restrições de transferência de dados da UE.
6.2 Cláusulas Contratuais Padrão
Como mecanismo suplementar, a Empresa incorpora as Cláusulas Contratuais Padrão (Módulo Dois: Controlador para Processador e Módulo Três: Processador para Sub-processador) conforme a Decisão da Comissão 2021/914 de 4 de junho de 2021, com todas as medidas técnicas e organizacionais suplementares necessárias, conforme exigido pela decisão do CJEU Schrems II.
6.3 Acordo de Transferência de Dados Internacional do RU
Para transferências de dados pessoais do Reino Unido para os Estados Unidos, a Company cumpre o Acordo Internacional de Transferência de Dados do Reino Unido (UK IDTA) e incorpora Cláusulas Contratuais Padrão conforme aprovado pela legislação de proteção de dados do Reino Unido.
6.4 Avaliações de Impacto de Transferência
A Company realizou Avaliações de Impacto de Transferência de Dados (DTIAs) e Avaliações de Impacto de Transferência (TIAs) avaliando o quadro legal para a transferência de dados para os Estados Unidos, incluindo a avaliação das leis de vigilância dos EUA e a adequação das salvaguardas. As avaliações estão disponíveis mediante solicitação para auditorias regulatórias ou Solicitações de Acesso de Titulares de Dados.
7. REQUISITOS REGULATÓRIOS
Este Aditivo reflete o compromisso da Company com a conformidade com as regulamentações aplicáveis de proteção de dados e localizações:
7.1 Artigos 44-49 do GDPR
A Company garante que as transferências de dados pessoais da UE/EEE são executadas apenas com base em mecanismos de transferência legais (DPF, SCCs) conforme exigido pelo Capítulo V do GDPR. A Company realiza Avaliações de Impacto de Transferência para cada mecanismo de transferência.
7.2 Medidas Suplementares Schrems II
Após o julgamento Schrems II do CJEU, a Company implementa medidas organizacionais e técnicas suplementares, incluindo:
● Criptografia de dados em trânsito e em repouso onde tecnicamente viável
● Princípios de minimização de dados para processamento de IA
● Pseudonimização de dados quando aplicável
● Controle de acesso restrito para solicitações de aplicação da lei estrangeira
7.3 DORA (Lei de Resiliência Operacional Digital)
Para clientes de serviços financeiros, a Company cumpre os requisitos do DORA em relação à resiliência operacional, gestão de risco de terceiros e relatórios de incidentes de TIC, incluindo a resiliência baseada em localização de centros de dados críticos.
7.4 Regulamentação de Localização de Dados de Seguro
A Company reconhece que os reguladores de seguros em várias jurisdições (incluindo certos estados dos EUA) podem impor requisitos de localização de dados. O cliente é responsável por identificar e comunicar os mandatos de localização aplicáveis à Company. A Company trabalhará com o Cliente para implementar configurações de armazenamento em conformidade.
7.5 APRA CPS 234 (Austrália)
Para clientes de serviços financeiros australianos, a Company reconhece a Norma Prudencial CPS 234 da Autoridade de Regulação Prudencial da Austrália (APRA) em relação à residência crítica de dados na Austrália. Clientes sujeitos à APRA CPS 234 não devem selecionar regiões de armazenamento nos EUA ou na UE sem aprovação regulatória explícita e devem entrar em contato com a Company para a disponibilidade de regiões australianas (se disponível).
8. CONTROLES DO CLIENTE
8.1 Seleção da Região de Dados
O cliente pode selecionar sua região de armazenamento de dados preferida durante o processo de integração. A seleção da região deve ser feita considerando os requisitos regulatórios aplicáveis e necessidades comerciais. A seleção da região está documentada na Especificação de Residência de Dados.
8.2 Migração de Região
O cliente pode solicitar a migração de dados para uma região alternativa. Os pedidos de migração de região devem ser enviados para privacy@syntari.ai. A Company fornecerá um cronograma e uma avaliação de impacto para a migração solicitada. Os cronogramas de migração variam conforme o volume de dados e podem exigir uma janela de serviço.
8.3 Verificação e Certificação de Residência de Dados
Mediante solicitação, a Company fornecerá certificação de residência de dados, incluindo:
● Confirmação das localizações de armazenamento primárias e de backup
● Declaração das certificações dos centros de dados (SOC 2 em progresso, ISO 27001 em progresso, etc.)
● Mapa das rotas de rede usadas para a transmissão de dados
8.4 Direitos de Auditoria para Localização de Dados
O cliente mantém o direito de auditar as práticas de residência de dados e as localizações de armazenamento da Company, seja por meio dos relatórios de auditoria de terceiros da Company (SOC 2 em progresso, etc.) ou por meio de auditoria direta. Os pedidos de auditoria devem ser enviados para dpo@syntari.ai e estarão sujeitos aos procedimentos de auditoria habituais e proteções de confidencialidade.
9. TRANSPARÊNCIA NO PROCESSAMENTO DE IA
9.1 Divulgação das Localizações de Processamento de IA
A Company divulga que todos os recursos de IA envolvem a transmissão de Dados do Cliente para provedores de IA de terceiros localizados nos Estados Unidos, incluindo:
● Anthropic (Claude) – processamento com sede nos EUA
● OpenAI (GPT) – processamento com sede nos EUA
● Google Cloud AI (Gemini) – processamento baseado nos EUA
9.2 Retenção e Exclusão de Fornecedores de IA
Os Dados do Cliente transmitidos para fornecedores de IA podem ser retidos temporariamente (até 30 dias para Anthropic e OpenAI) para melhoria de serviço e detecção de abusos. Após o período de retenção, os fornecedores de IA deletarão ou anonimizarão esses dados. A Empresa não controla a retenção dos fornecedores de IA além dos termos de nossos acordos com esses fornecedores.
9.3 Notificação ao Cliente sobre Mudanças na Localização dos Fornecedores de IA
Caso algum fornecedor de IA altere sua principal localização de processamento para fora dos Estados Unidos, ou expanda o processamento para locais fora dos EUA, a Empresa fornecerá ao Cliente uma notificação escrita imediata (dentro de 10 dias úteis após tomar conhecimento da mudança) para privacy@syntari.ai e dpo@syntari.ai (se aplicável). O Cliente poderá então solicitar fornecedores de IA alternativos ou optar por não utilizar recursos de IA.
9.4 Opção de Não Utilizar Fornecedores de IA Específicos
O Cliente pode optar por não utilizar fornecedores de IA específicos com base em preocupações sobre a localização dos dados. Para optar por não utilizar, o Cliente deve enviar uma solicitação para privacy@syntari.ai especificando qual(is) fornecedor(es) excluir. A Empresa configurará a plataforma Syntari para desativar recursos fornecidos pelo(s) fornecedor(es) excluído(s). Solicitações para optar por não utilizar podem impactar a disponibilidade ou funcionalidade do recurso.
10. GESTÃO DA LOCALIZAÇÃO DOS SUBPROCESSADORES
10.1 Requisitos de Localização dos Subprocessadores
A Empresa pode contratar subprocessadores para auxiliar no processamento de dados. Todos os subprocessadores devem manter os Dados do Cliente em locais consistentes com este Adendo (ou na(s) localização(ões) especificada(s) pelo Cliente). Os subprocessadores devem ter salvaguardas técnicas e organizacionais adequadas para proteção de dados.
10.2 Notificação de Mudanças nos Subprocessadores
A Empresa fornecerá ao Cliente uma notificação escrita sobre quaisquer alterações nas localizações dos subprocessadores, incluindo a adição de novos subprocessadores ou realocação de subprocessadores existentes, com pelo menos 30 dias de antecedência. A notificação será enviada para o endereço de e-mail do Cliente registrado.
10.3 Direitos de Objeção do Cliente
Ao receber notificação sobre uma mudança na localização de um subprocessador, o Cliente pode objetar à nova localização dentro de 15 dias, entrando em contato com privacy@syntari.ai. Os motivos para objeção incluem preocupações sobre a adequação da proteção de dados na nova localização. A Empresa trabalhará com o Cliente para abordar objeções, o que poderá incluir a oferta de subprocessadores ou locais de armazenamento alternativos.
11. ACESSO E VIGILÂNCIA GOVERNAMENTAL
11.1 Relatórios de Transparência
A Empresa reconhece que os dados armazenados nos Estados Unidos podem estar sujeitos ao acesso por agências governamentais dos EUA sob a lei dos EUA, incluindo FISA, o Patriot Act e autoridades relacionadas. A Empresa publica relatórios de transparência sobre solicitações de dados do governo. Relatórios de transparência atuais e passados estão disponíveis em /legal/ai-transparency-statement (ou local equivalente).
11.2 Notificação ao Cliente
Quando legalmente permitido, a Empresa notificará o Cliente sobre solicitações de dados do governo dentro de um prazo razoável. As notificações incluirão a natureza da solicitação, a agência solicitante e o escopo dos dados solicitados. O Cliente terá a oportunidade de buscar reparações legais, quando permitido por lei.
11.3 Compromissos de Desafio Legal
A Empresa se compromete a contestar solicitações de dados do governo excessivas ou irracionais na medida permitida por lei. A Empresa não divulgará voluntariamente os Dados do Cliente a agências governamentais sem processo legal, a menos que exigido por lei.
11.4 Medidas Técnicas Suplementares
Para mitigar riscos decorrentes do acesso governamental, a Empresa implementa medidas suplementares, incluindo:
● Criptografia de dados em trânsito e armazenados (onde tecnicamente e comercialmente viável)
● Pseudonimização e tokenização de dados pessoais sensíveis
● Controles de acesso limitando a visibilidade dos dados brutos do cliente apenas ao pessoal essencial
● Minimizando dados no processamento de IA (limitando dados transmitidos para fornecedores de IA)
12. RELATÓRIO DE LOCALIZAÇÃO DE VIOLAÇÃO E INCIDENTES
12.1 Notificação de Violação Específica de Localização
No caso de uma violação de dados ou incidente de segurança que afete os Dados do Cliente, a Empresa fornecerá notificação ao Cliente que incluirá:
● Identificação do(s) local(is) de armazenamento ou processamento onde o incidente ocorreu
● Data e hora da descoberta do incidente
● Escopo e natureza da violação, incluindo tipos de dados afetados
● Medidas tomadas para proteger e recuperar os dados
● Cronograma esperado para remediação
12.2 Notificação Regulatória por Jurisdição
A Empresa apoiará as obrigações de notificação regulatória do Cliente fornecendo as informações necessárias para notificações de violação às autoridades na jurisdição do Cliente, incluindo:
● Autoridades de proteção de dados da UE/EEE (notificações do Artigo 33 e 34 do GDPR)
● Escritório do Comissário de Informação do Reino Unido (notificações do UK GDPR e DPA 2018)
● Comissários de privacidade canadenses (notificações do PIPEDA)
● Procuradores gerais dos estados dos EUA (notificações da lei de notificação de violação do estado)
● Órgãos reguladores de seguros
● Autoridades reguladoras de serviços financeiros
12.3 Cronograma de Notificação ao Cliente
A Empresa fornecerá a notificação inicial de violação ao Cliente dentro de 48 horas após a descoberta do incidente, ou conforme exigido pela lei aplicável, o que ocorrer primeiro. Relatórios detalhados de incidentes serão fornecidos dentro de 10 dias úteis após a notificação inicial.
13. PRAZO E RESCISÃO
Este Adendo é eficaz a partir da Data Efetiva e continua durante a duração do DPA. Após a rescisão do DPA, as obrigações da Empresa sob este Adendo cessam, exceto que a Empresa continuará a cumprir as obrigações de exclusão de dados em relação aos Dados do Cliente, conforme previsto no DPA.
14. EMENDA E MODIFICAÇÃO
A Empresa pode emendar este Adendo mediante aviso prévio por escrito de 30 dias ao Cliente. Modificações materiais à residência de dados, mecanismos de transferência ou conformidade regulatória estarão sujeitas ao direito do Cliente de objeção conforme os procedimentos de subprocessadores do DPA (Seção 10.3). O uso contínuo da plataforma Syntari após o período de emenda constitui aceitação dos termos emendados.
15. INFORMAÇÕES DE CONTATO
Para perguntas sobre residência de dados, opções regionais ou conformidade com este Adendo, o Cliente deve entrar em contato:

Privacidade & Proteção de Dados:
Email: privacy@syntari.ai
Encarregado de Proteção de Dados:
Email: dpo@syntari.ai
Segurança & Resposta a Incidentes:
Email: security@syntari.ai
16. ACORDO COMPLETO
Este Adendo constitui o acordo completo entre a Empresa e o Cliente em relação à residência de dados e localização do processamento. No caso de qualquer conflito entre este Adendo e o DPA, as disposições deste Adendo prevalecerão em relação a questões de residência de dados.