AVISO E ADENDO DO GDPR
VERSÃO 3.0
Data de Vigência: 23 de fevereiro de 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116
© 2026 Syntari International, Inc. Todos os direitos reservados.
-
PROPÓSITO E ÂMBITO DO DOCUMENTO
Este Aviso e Adendo do GDPR ("Aviso") complementa e atualiza as políticas de privacidade e acordos de processamento de dados da Syntari International, Inc. ("Empresa", "Controlador de Dados" ou "nós") para abordar a conformidade com:
● Regulamento (UE) 2016/679 (Regulamento Geral de Proteção de Dados - GDPR)
● Regulamento (UE) 2023/1230 (Lei de IA da UE)
● O Quadro de Privacidade de Dados UE-EUA (DPF) e Extensão do Reino Unido
● Lei de Proteção de Dados do Reino Unido de 2018 e GDPR do Reino Unido
● Lei Federal Suíça sobre Proteção de Dados (nFADP)
● Acordo de Transferência Internacional de Dados do Reino Unido (UK IDTA)
Este Aviso é especificamente projetado para sujeitos de dados e controladores que processam dados pessoais por meio da plataforma de consultoria de gestão nativa em IA da Syntari. -
INFORMAÇÕES DO CONTROLADOR DE DADOS
2.1 Contato Principal
Informações do Papel de Contato
Encarregado de Proteção de Dados dpo@syntari.ai
Oficial de Privacidade privacy@syntari.ai
Representante da UE eu-representative@syntari.ai
Representante do Reino Unido uk-representative@syntari.ai
Endereço para Correspondência 855 Boylston Street, Suite 1000, Boston, MA 02116, EUA
2.2 Designação do Controlador de Dados
Para os fins do GDPR e do GDPR do Reino Unido, a Syntari International, Inc. atua como o Controlador de Dados para dados pessoais processados através da plataforma. Onde dados pessoais são processados tanto pela Empresa quanto por nossos clientes, podemos atuar como Controlador Conjunto conforme descrito na Seção 9. -
CATEGORIAS DE DADOS PESSOAIS PROCESSADOS
3.1 Dados Pessoais Padrão
● Informações de identidade (nome, e-mail, cargo, organização)
● Informações de contato (telefone, endereço físico, endereço IP)
● Credenciais profissionais e histórico de trabalho
● Dados de autenticação (senhas, chaves de API, tokens de sessão)
● Registros de atividade e análises de comportamento do usuário
3.2 Dados Pessoais Específicos de IA
● Solicitações e consultas enviadas por usuários para sistemas de IA
● Saídas e recomendações geradas pela IA
● registros de conversa e histórico de interações
● Preferências do usuário para seleção de modelo de IA e parâmetros
● Metadados relacionados ao processamento de IA (timestamps, versões do modelo, registros de inferência)
● Informações sobre a origem dos dados de treinamento
3.3 Categorias Especiais
● Dados de saúde (quando fornecidos em contextos de consulta)
● Métricas de diversidade e inclusão (quando relevantes para engajamentos de consultoria) -
BASES LEGAIS PARA O PROCESSAMENTO (ARTIGO 6 GDPR)
Processamos dados pessoais com base nas seguintes bases legais:
● Necessidade contratual: Processamento necessário para realizar serviços que você solicitou
● Interesse legítimo: Análise, segurança, prevenção de fraudes e melhoria de serviços
● Obrigação legal: Conformidade com requisitos fiscais, trabalhistas e regulatórios
● Consentimento: Para comunicações de marketing e recursos de serviço opcionais (quando aplicável)
● Interesse público: Recomendações de consultoria que promovem as melhores práticas na indústria de serviços profissionais
4.1 Teste de Equilíbrio de Interesse Legítimo para Processamento de IA
Ao processar dados pessoais por meio de sistemas de IA, realizamos o seguinte teste de equilíbrio:
● Avaliação de necessidade: Se o processamento de IA é o meio menos intrusivo para alcançar o propósito
● Revisão de proporcionalidade: Benefício para o sujeito dos dados e a empresa versus impacto na privacidade
● Análise de expectativas razoáveis: Se o sujeito dos dados esperaria razoavelmente tal processamento
● Minimização de dados: Usar apenas os dados necessários para treinar, ajustar ou operar modelos de IA
● Medidas de transparência: Divulgação clara do envolvimento da IA na tomada de decisões -
TRANSFERÊNCIAS INTERNACIONAIS DE DADOS
5.1 Quadro de Privacidade de Dados UE-EUA (DPF)
A Syntari International, Inc. cumpre com o Quadro de Privacidade de Dados UE-EUA (DPF) conforme estabelecido pelo Departamento de Comércio dos EUA, sobre o processamento de dados pessoais transferidos da União Europeia e do Reino Unido para os Estados Unidos.
● Certificação DPF: A Syntari AI está certificada sob o DPF
● Extensão da FADP Suíça: Também cumprimos com a extensão suíça do DPF para dados pessoais suíços
● Responsabilidade: Permanecemos responsáveis se falharmos em cumprir os princípios do DPF
● Aplicação: Sujeito à autoridade investigativa da Comissão Federal de Comércio dos EUA (FTC)
5.2 Cláusulas Contratuais Padrão (SCCs)
Quando o DPF é insuficiente ou para proteção suplementar, confiamos nas Cláusulas Contratuais Padrão (Decisão da Comissão 2021/914) para transferências para:
● Fornecedores de serviços de IA de terceiros
● Fornecedores de infraestrutura técnica
● Subprocessadores e subcontratados
5.3 Mecanismos de Transferência Específicos do Reino Unido
Para dados pessoais do Reino Unido, usamos:
● Decisão de Adequação do Reino Unido (quando aplicável)
● Acordo de Transferência Internacional de Dados do Reino Unido (UK IDTA)
● Cláusulas Contratuais Padrão específicas do Reino Unido
5.4 Avaliação de Impacto de Transferência (TIA) - Pós-Schrems II
Nós realizamos Avaliações de Impacto de Transferência para todas as transferências fora da EEA e implementamos salvaguardas suplementares:
● Avaliação das leis nacionais que afetam os dados da UE nos países destinatários
● Avaliação do acesso por autoridades governamentais
● Implementação de criptografia e controles de acesso
● Documentação e registros de auditoria para todas as transferências transfronteiriças -
PROVEDORES DE IA E SUBPROCESSADORES
6.1 Subprocessadores de IA Autorizados
Os seguintes provedores de serviços de IA processam dados pessoais (incluindo prompts, saídas e registros de conversas) em nosso nome:
Provedor de IA Tipo de Serviço Local de Processamento Mecanismo de Transferência
Anthropic PBC API de Modelo de Linguagem Grande Estados Unidos EU-U.S. DPF, SCCs
OpenAI Inc. API ChatGPT/GPT-4 Estados Unidos EU-U.S. DPF, SCCs
Google LLC Modelos Vertex AI / PaLM Estados Unidos, Multi-região EU-U.S. DPF, SCCs
6.2 Direitos de Auditoria de Subprocessadores
Controladores e titulares de dados (mediante solicitação) têm o direito de auditar a conformidade dos subprocessadores de IA através de:
● Relatórios anuais de SOC 2 em andamento (certificações de Controle de Organização de Serviços)
● Certificações de conformidade em andamento ISO 27001
● Certificações de conformidade com o GDPR e Adendos de Processamento de Dados
● Avaliações de segurança sob demanda (com 30 dias de aviso prévio por escrito)
Relatórios de auditoria podem ser solicitados pelodpo@syntari.ai. -
DECISÕES AUTOMATIZADAS E ARTIGO 22 DA IA
7.1 Artigo 22 do GDPR - Direito de Não Ser Submetido a Decisões Exclusivamente Automatizadas
Os titulares de dados têm o direito de não serem submetidos a uma decisão baseada exclusivamente em processamento automatizado (incluindo IA) que produza efeitos legais ou significativos similares.
7.2 Categorias de Decisões de IA
A Syntari IA processa dados pessoais por meio de IA para:
● Recomendações (insights de consultoria não vinculativos)
● Avaliação e perfilagem de risco
● Análise de desempenho e benchmarking
● Sugestões para otimização de pessoal
7.3 Requisitos de Supervisão Humana
Para qualquer decisão com efeito legal ou significativo, fornecemos:
● Revisão humana por consultores qualificados
● Explicação clara da participação da IA
● Direito de solicitar tomada de decisão humana
● Direito de contestar conclusões derivadas da IA
7.4 Direito à Explicação
Os titulares de dados têm o direito de solicitar explicações sobre:
● Por que um modelo de IA gerou uma saída particular
● A lógica e o raciocínio por trás das recomendações
● Quais entradas de dados influenciaram a decisão
● Como os dados de treinamento afetam os resultados -
ALINHAMENTO DA LEI DE IA DA UE (ARTIGOS 13-14)
8.1 Transparência do Sistema de IA (Artigo 13)
Para sistemas de IA de alto risco, fornecemos documentação transparente:
● Identificação e propósito do sistema de IA
● Uso pretendido e usuários-alvo
● Classificação de risco (baixo, médio, alto)
● Fonte e proveniência dos dados de treinamento
● Visão geral do tipo e arquitetura do modelo
● Lógica de decisão e limitações
8.2 Supervisão Humana (Artigo 14)
Requisitos de supervisão humana:
● Revisores humanos designados para decisões de IA de alto risco
● Capacidades de substituição para recomendações automatizadas
● Treinamento sobre limitações e preconceitos do sistema de IA
● Documentação de decisões de substituição
8.3 Classificação de Risco de IA
Nossas atividades de processamento de IA são classificadas como:
● Baixo risco: Análises gerais, painéis de desempenho
● Médio risco: Motores de recomendação, análises preditivas
● Alto risco: Decisões de contratação, recomendações de compensação (onde têm efeito legal) -
AVALIAÇÃO DE IMPACTO SOBRE PROTEÇÃO DE DADOS (DPIA) PARA IA
9.1 Quando a DPIA é Necessária
Realizamos DPIAs formais quando o processamento de IA envolve:
● Processamento em larga escala de dados pessoais
● Tomada de decisão automatizada com efeitos legais ou significativos
● Monitoramento sistemático de indivíduos
● Processamento de categorias de dados sensíveis ou especiais
● Processamento que pode restringir direitos ou liberdades
9.2 Componentes da DPIA para Sistemas de IA
● Avaliação de finalidade e necessidade
● Revisão de minimização de dados
● Avaliação de riscos (segurança dos dados, preconceito, discriminação)
● Medidas de mitigação e salvaguardas
● Mecanismos de supervisão
● Avaliação de subcontratados
9.3 Disponibilidade da DPIA
DPIAs concluídas estão disponíveis mediante solicitação para titulares de dados e autoridades de supervisão via dpo@syntari.ai. -
REGISTROS DE ATIVIDADES DE PROCESSAMENTO (ROPA) - ARTIGO 30
10.1 Documentação de Processamento de IA
Mantemos registros detalhados de todas as atividades de processamento de IA, incluindo:
● Finalidade e escopo do processamento
● Nome, versão e tipo do modelo de IA
● Categorias de dados processados
● Destinatários e sub-processadores
● Períodos de retenção
● Medidas de segurança técnicas e organizacionais
● Base legal para o processamento
10.2 Documentação do Ciclo de Vida do Modelo
● Fontes de dados de treinamento e pré-processamento
● Atividades de ajuste fino e parâmetros
● Registro de inferências e controles de acesso
● Controle de versão do modelo e atualizações
● Descomissionamento e procedimentos de exclusão de dados -
CENÁRIOS DE CONTROLADOR CONJUNTO
11.1 Avaliação de Controladoria Conjunta
Quando organizações clientes controlam o conteúdo e a matéria dos resultados gerados pela IA, podemos atuar como controladores conjuntos. Em tais casos:
● Um Acordo de Controladoria Conjunta é necessário (Artigo 26 do GDPR)
● As responsabilidades para solicitações de direitos do titular são claramente alocadas
● As responsabilidades de comunicação com o titular de dados são definidas
● As responsabilidades de gerenciamento de sub-processadores são atribuídas
11.2 Cenários de Controlador Separado
Syntari AI atua como controlador único de dados para:
● Análises da plataforma e dados de uso
● Segurança do sistema e prevenção de fraudes
● Métricas de desempenho contratual
● Melhoria das características da nossa plataforma -
DIREITOS E SOLICITAÇÕES DOS TITULARES DE DADOS
12.1 Escopo das Solicitações Incluindo Dados de IA
As solicitações dos titulares de dados (DSRs) incluem os seguintes dados específicos de IA:
● Todos os prompts e consultas enviados para os sistemas de IA
● Resultados e recomendações gerados
● Registros completos de conversas e histórico de interações
● Metadados e registros de processamento
● Proveniência dos dados de treinamento (se os dados do sujeito foram utilizados)
12.2 Direito de Acesso (Artigo 15)
Os titulares de dados têm o direito de:
● Confirmar se processamos seus dados pessoais
● Acesso a todos os dados pessoais, incluindo saídas geradas por IA
● Obter cópias de dados em formato legível por máquina
● Compreender a lógica e o raciocínio por trás das recomendações da IA
12.3 Direito de Retificação (Artigo 16)
Os titulares de dados podem solicitar a correção de dados imprecisos, incluindo:
● Correções aos dados de entrada
● Correção de interpretações do modelo de IA
● Solicitações de re-treinamento para modelos que interpretam dados de forma sistemática de forma errada
12.4 Direito à Exclusão (Artigo 17)
Os titulares de dados podem solicitar a exclusão, sujeita a limitações:
● Cessação do armazenamento de dados pessoais
● Remoção de conjuntos de dados de treinamento e ajuste fino da IA
● Regeneração de saídas se dados pessoais foram usados
● Exceções: Obrigação legal, interesses legítimos, tarefa pública
12.5 Direito de Restringir o Processamento (Artigo 18)
Os titulares de dados podem solicitar restrições ao processamento para:
● Dados de precisão contestada
● Processamento pendente de decisão de exclusão
● Processamento não mais necessário, mas necessário para reivindicações legais
● Processamento baseado em consentimento pendente de revogação
12.6 Direito à Portabilidade de Dados (Artigo 20)
Os titulares de dados têm o direito de obter e reutilizar dados em formato legível por máquina:
● Exportação de todos os dados pessoais em formatos comuns (JSON, CSV, XML)
● Incluindo registros de conversa e histórico de interações com a IA
● Transmissão direta para outros serviços (onde tecnicamente viável)
12.7 Direito de Oposição (Artigo 21)
Os titulares de dados podem se opor ao processamento por razões legítimas:
● Processamento para marketing direto
● Processamento com base em interesses legítimos
● Processamento para perfilagem e tomada de decisão automatizada
12.8 Direitos Relacionados à Tomada de Decisão Automatizada (Artigo 22)
Os titulares de dados têm direitos a:
● Solicitar revisão humana de decisões geradas por IA
● Receber explicação sobre a lógica de decisão
● Contestar recomendações com intervenção humana
● Optar por não participar de decisões puramente automatizadas com efeito legal -
PERÍODOS DE RETENÇÃO DE DADOS
13.1 Retenção Padrão de Dados
Justificativa do Período de Retenção da Categoria de Dados
Informações da conta Duração do serviço + 3 anos Requisitos legais/contratuais
Registros de transações 5-7 anos Conformidade fiscal e regulatória
Registros de atividades 12 meses Segurança e melhoria de serviços
Comunicações de suporte 2 anos Registros de atendimento ao cliente
13.2 Retenção Específica de IA
Período de Retenção do Tipo de Dados de IA Justificativa
Registros de conversas 12-24 meses Qualidade do serviço, resolução de disputas
Dados de treinamento de modelo Ciclo de treinamento + 1 ano Versionamento de modelo, trilha de auditoria
Registros de inferência 6-12 meses Monitoramento do sistema, depuração
Conjuntos de dados de ajuste Fino até descomissionamento do modelo + 1 ano Acompanhamento de desempenho do modelo -
SEGURANÇA DE DADOS E MEDIDAS TÉCNICAS
14.1 Padrões de Segurança
● ISO 27001 em processo de certificação (Gestão de Segurança da Informação)
● SOC 2 em processo de conformidade (para organizações de serviços)
● Alinhamento com o Quadro de Cibersegurança do NIST
14.2 Salvaguardas Técnicas
● Criptografia de ponta a ponta para dados em trânsito (TLS 1.3)
● Criptografia em repouso usando AES-256
● Autenticação multifatorial para acesso administrativo
● Auditorias de segurança regulares e testes de penetração
● Sistemas de detecção e prevenção de intrusões
● Ferramentas de prevenção de perda de dados
14.3 Salvaguardas Organizacionais
● Controles de acesso e princípios de menor privilégio
● Treinamento de proteção de dados para funcionários e NDAs
● Verificações de antecedentes para pessoal com acesso a dados
● Procedimentos de resposta a incidentes e notificação de violação -
PROCEDIMENTOS DE NOTIFICAÇÃO DE VIOLAÇÃO
15.1 Cascata de Notificação de 48 Horas
Ao descobrir uma violação de dados pessoais, notificamos na seguinte sequência:
Etapa de Notificação Destinatário Prazo Método
Etapa 1 (Urgente) Cliente/Controlador Dentro de 4 horas Email + telefone
Etapa 2 (Formal) Autoridade Supervisora Dentro de 48 horas Relatório escrito para ICO/DPA
Etapa 3 (Transparência) Titulares de Dados (se alto risco) Sem demora indevida Email com etapas de remediação
15.2 Investigação de Violação
● Contenção imediata e preservação de evidências
● Análise da causa raiz dentro de 72 horas
● Avaliação de escopo (dados afetados, indivíduos impactados)
● Avaliação de risco (probabilidade de dano aos titulares de dados)
● Documentação de todas as atividades de resposta a violações -
PROTEÇÃO DE DADOS NO REINO UNIDO E NA SUÍÇA
16.1 Conformidade com o GDPR do Reino Unido
Para titulares de dados no Reino Unido:
● Total conformidade com a Lei de Proteção de Dados do Reino Unido de 2018 e com o GDPR do Reino Unido
● Confiança na Decisão de Adequação do Reino Unido, quando aplicável
● Mecanismos de IDTA do Reino Unido para transferências para países não adequados
● Documentação específica de processamento de dados do Reino Unido
16.2 Alinhamento com a FADP Suíça (nFADP)
Para titulares de dados suíços:
● Conformidade com a nova Lei Federal Suíça de Proteção de Dados (nFADP)
● Direitos de proteção de dados e requisitos de consentimento ampliados
● Certificação de extensão do DPF Suíço
● Considerações de localização de dados quando necessário -
PROTEÇÃO DE DADOS DE CRIANÇAS NO CONTEXTO DA IA
17.1 Verificação de Idade
A plataforma da Syntari AI é destinada ao uso profissional por pessoas com 18 anos ou mais.
● Mecanismos de verificação de idade são implementados na criação da conta
● Consentimento dos pais é necessário para usuários de 13 a 17 anos (quando aplicável pela jurisdição)
● Usuários com menos de 13 anos não estão autorizados a usar a plataforma
17.2 Restrições em Recursos de IA para Menores
Para usuários com menos de 18 anos, as seguintes restrições se aplicam:
● Acesso limitado a certos recursos de IA
● Sem perfis ou recomendações baseadas em interesses
● Transparência aprimorada para qualquer tomada de decisão automatizada
● Notificação aos pais sobre interações significativas de IA -
INFORMAÇÕES DE CONTATO PARA PRIVACIDADE
Tipo de Consulta Email de Contato Tempo de Resposta
Solicitações de titulares de dados dpo@syntari.ai Dentro de 30 dias
Consultas sobre privacidade privacy@syntari.ai Dentro de 5 dias úteis
Solicitações da UE eu-representative@syntari.ai Dentro de 7 dias
Solicitações do Reino Unido uk-representative@syntari.ai Dentro de 7 dias
Notificação de violação dpo@syntari.ai Escalation imediata
Reclamações dpo@syntari.ai Reconhecimento dentro de 24 horas -
AUTORIDADES SUPERVISORAS E RECLAMAÇÕES
19.1 Direito de Registrar Reclamação
Os titulares de dados têm o direito de registrar reclamações junto à autoridade supervisora relevante:
● Conselho Europeu de Proteção de Dados (para dados da UE)
● Escritório do Comissário de Informação (ICO) para dados do Reino Unido
● Comissário Federal de Proteção de Dados e Informação da Suíça para dados suíços
19.2 Cooperação com Autoridades
Colaboramos plenamente com as investigações da autoridade supervisora e fornecemos:
● Respostas em tempo hábil a solicitações de investigação
● Registros completos das atividades de processamento
● Documentação das medidas de conformidade
● Acesso do titular de dados quando autorizado -
VERSÃO DO DOCUMENTO E CONTROLE
Valor do Atributo
Título do Documento Aviso de GDPR & Adendo
Versão 3.0
Data de Vigência 23 de fevereiro de 2026
Emitido Por Encarregado de Proteção de Dados
Última Atualização 23 de fevereiro de 2026
Próxima Data de Revisão 23 de fevereiro de 2027
Este documento substitui todas as versões anteriores do Aviso de GDPR.
Para perguntas sobre este Aviso, entre em contato com dpo@syntari.ai.
