Termos e Condições Comerciais

0. Aceitação do Acordo

Ao (i) clicar em "Registrar", "Eu Aceito" ou outro botão similar no Business Console ou no Site da Didit, (ii) assinar um Formulário de Pedido que faça referência a estes Termos, ou (iii) de outra forma acessar ou usar os Serviços, você (o "Cliente") aceita legalmente e concorda em estar vinculado por este Acordo em nome da entidade legal ou organização que você representa.

Ao aceitar este Acordo, o Cliente declara e garante que possui total autoridade legal para vincular tal entidade ou organização a estes Termos e quaisquer Anexos ou Formulários de Pedido relacionados. Se você não tiver tal autoridade, ou se não concordar com estes Termos, você não deve usar ou acessar os Serviços.

O USO CONTÍNUO DA PLATAFORMA DIDIT CONSTITUI ACEITAÇÃO INEQUÍVOCA E VINCULANTE DESTE ACORDO EM SUA TOTALIDADE.

1. Partes do Acordo

As seguintes partes estão envolvidas neste Acordo:

• Provedor de Serviços ("Didit," "nós," "nosso"): a entidade Didit que contrata com o Cliente. A entidade contratante aplicável é determinada pela Seção 16.6 (Lei Aplicável e Jurisdição):
  • Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, Espanha. Contrata com Clientes estabelecidos na União Europeia, Espaço Econômico Europeu, Reino Unido e Suíça.
  • Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Estados Unidos. Contrata com Clientes estabelecidos nos Estados Unidos, Canadá, América Latina, Ásia-Pacífico, Oriente Médio e todas as outras jurisdições não alocadas à Didit Identity Spain, S.L.
• Cliente ("você," "seu"):

A entidade legal ou pessoa que se registra para uma conta na Plataforma Didit ou usa os Serviços. O Cliente será a parte contratante da Didit.

• Notificações:

Todas as notificações e comunicações formais relacionadas a este Acordo devem ser endereçadas a legal@didit.me ou ao endereço físico da entidade contratante aplicável acima.

2. Estrutura e Ordem de Precedência

Este Acordo é composto pelos seguintes documentos, que serão interpretados em conjunto. Em caso de conflito entre as disposições de qualquer um desses documentos, eles prevalecerão na seguinte ordem decrescente:

1. Formulários de Pedido (documentos comerciais específicos do Cliente detalhando a aquisição de Serviços, volumes e preços).
2. Anexo 2, Acordo de Processamento de Dados (DPA) (regulando o processamento de Dados Pessoais).
3. Estes Termos e Condições de Serviço.
4. Anexo 1, Acordo de Nível de Serviço (SLA) (estabelecendo os compromissos de disponibilidade para os Serviços).

3. Sumário

1. Aceitação do Acordo
2. Partes do Acordo
3. Estrutura e Ordem de Precedência
4. Sumário
5. Definições e Interpretações
6. Prazo do Acordo
7. Acesso e Uso dos Serviços
8. Direitos de Propriedade Intelectual
9. Taxas e Termos de Pagamento
10. Confidencialidade
11. Proteção de Dados e Segurança
12. Isenção de Garantias
13. Limitação de Responsabilidade
14. Indenização
15. Declarações e Garantias
16. Suspensão e Rescisão
17. Disposições Gerais

Anexo 1, Acordo de Nível de Serviço (SLA) Anexo 2, Acordo de Processamento de Dados (DPA)

4. Definições e Interpretações

Para os fins deste Acordo, os seguintes termos terão os significados a eles atribuídos abaixo:

• Acordo: Refere-se a estes Termos e Condições de Serviço, juntamente com qualquer Formulário de Pedido, Anexo 1 (SLA) e Anexo 2 (DPA), e quaisquer outras políticas ou anexos neles referenciados.
• API: Significa as interfaces de programação de aplicativos fornecidas pela Didit para integração com os Serviços.
• Business Console: Refere-se ao portal de administração web da Didit, acessível via https://business.didit.me ou qualquer outra URL que a Didit possa designar, que permite ao Cliente gerenciar sua conta e os Serviços.
• Créditos: São as unidades pré-pagas denominadas em USD que o Cliente adquire para pagar pelo uso dos Serviços, de acordo com os preços e condições especificados pela Didit.
• Credenciais de Acesso: Incluem, mas não se limitam a, senhas, chaves de API, tokens de autenticação ou qualquer outra informação de segurança fornecida pela Didit ao Cliente para acessar os Serviços.
• Dados do Cliente: Todos os dados, incluindo Informações Confidenciais e Dados Pessoais de Usuários Finais, que o Cliente ou Usuários Autorizados enviam, carregam ou processam através dos Serviços.
• Dados Pessoais: Terão o significado atribuído no Regulamento Geral de Proteção de Dados (GDPR) da UE (Regulamento (UE) 2016/679) e/ou qualquer outra lei de proteção de dados aplicável.
• Documentação: Refere-se a quaisquer manuais do usuário, especificações técnicas, guias de implementação, guias de API, políticas ou materiais de suporte relacionados aos Serviços que a Didit disponibiliza ao Cliente.
• Data Efetiva: A data em que o Cliente aceita pela primeira vez este Acordo, conforme estabelecido na Seção 0.
• Formulário de Pedido: Qualquer documento físico ou formulário online que formalize a compra de Créditos ou Serviços específicos pelo Cliente, que faça referência a estes Termos e faça parte deste Acordo.
• Força Maior: Qualquer evento ou circunstância além do controle razoável de uma Parte que impeça ou atrase o cumprimento de suas obrigações sob este Acordo, como atos de Deus, guerra, terrorismo, insurreição, pandemia, desastre natural, interrupções globais de internet, escassez de energia, greves, sabotagem ou decisões governamentais.
• Informações Confidenciais: Todas as informações não públicas divulgadas por uma Parte à outra, seja oralmente, por escrito ou por meios eletrônicos, que sejam designadas como confidenciais ou que, pela natureza da informação ou pelas circunstâncias da divulgação, devam ser razoavelmente entendidas como confidenciais. Isso inclui, mas não se limita a, informações técnicas, financeiras, comerciais, de clientes, de preços, planos de marketing, software, código-fonte e Dados do Cliente.
• Propriedade Intelectual: Inclui patentes, direitos autorais, direitos de banco de dados, direitos de design, marcas registradas, nomes comerciais, know-how, segredos comerciais e quaisquer outros direitos de propriedade intelectual, registrados ou não registrados, e seus pedidos, em qualquer parte do mundo.
• SDK: Significa os kits de desenvolvimento de software fornecidos pela Didit para facilitar a integração e o uso dos Serviços.
• Serviços: Refere-se à plataforma de infraestrutura de identidade e fraude da Didit, incluindo o Business Console, APIs, SDKs, Documentação e qualquer linha de produto que a Didit disponibilize ao Cliente, incluindo Verificação de Usuário (KYC), Verificação de Negócios (KYB), Monitoramento de Transações, Rastreamento de Carteiras (KYT), o Orquestrador de Fluxos de Trabalho, o servidor Model Context Protocol (MCP) e qualquer outro serviço que a Didit possa lançar sob este Acordo.
• Usuário Autorizado: Qualquer pessoa, como um funcionário ou contratado do Cliente, que o Cliente tenha autorizado a acessar e usar os Serviços em nome do Cliente, sujeito aos termos deste Acordo.
• Usuário Final: A pessoa natural cuja identidade o Cliente busca verificar usando os Serviços da Didit.
• Verificação: O processo realizado pela Didit para verificar a identidade de um Usuário Final, que culmina em um resultado Aprovado ou Rejeitado ou qualquer outro status definido pela Didit ou em um Formulário de Pedido.
• Recurso de Verificação: Um componente individual do fluxo de verificação, como Verificação de Documento de Identidade, Detecção de Vivacidade, Correspondência Facial, Busca Facial, Rastreamento AML, Comprovante de Endereço, Leitura NFC, Validação de Banco de Dados, Questionários Personalizados, Verificação de Telefone, Verificação de E-mail, Análise de Dispositivo e IP, consultas de registro comercial, extração de UBO, dados de oficiais, AML de entidade, KYC vinculado, avaliação de regras de monitoramento de transações, consultas de rastreamento de carteiras ou qualquer outra etapa discreta oferecida pela Didit nas linhas de produtos.

Interpretação:

• Os títulos das seções são apenas para conveniência e não afetarão a interpretação deste Acordo.
• Palavras no singular incluem o plural e vice-versa.
• A palavra "incluindo" ou "inclui" significa "incluindo, sem limitação."
• Qualquer referência a uma lei ou regulamento refere-se a essa lei ou regulamento em vigor de tempos em tempos, incluindo suas emendas ou substituições.

5. Prazo do Acordo

5.1 Prazo do Acordo: Este Acordo terá início na Data Efetiva e permanecerá em pleno vigor e efeito até ser rescindido por qualquer das Partes de acordo com a Seção 15 deste.

5.2 Sem Compromisso Mínimo (a menos que especificado no Formulário de Pedido): A menos que especificado de outra forma em um Formulário de Pedido assinado pelo Cliente (por exemplo, para planos Enterprise com compromissos de volume), o Cliente pode parar de usar os Serviços a qualquer momento. No entanto, os Créditos comprados não utilizados não são reembolsáveis, exceto nos casos exaustivos expressamente declarados na Seção 15 (ver Seção 8.4); os Créditos de Serviço SLA nunca são reembolsáveis ou pagáveis em dinheiro. Os Formulários de Pedido que estipulam um compromisso de consumo mínimo prevalecerão sobre esta cláusula.

6. Acesso e Uso dos Serviços

6.1 Criação e Segurança da Conta: Para acessar e usar os Serviços, o Cliente deve criar uma conta no Business Console. O Cliente é o único responsável por manter a confidencialidade e segurança de suas Credenciais de Acesso (incluindo senhas e chaves de API) e por todas as atividades que ocorrem em sua conta, autorizadas ou não. O Cliente deve notificar imediatamente a Didit sobre qualquer uso não autorizado ou suspeita de uso não autorizado de suas Credenciais de Acesso ou conta. A Didit não será responsável por qualquer perda ou dano decorrente da falha do Cliente em cumprir esta obrigação.

6.2 Licença: Sujeito à conformidade contínua do Cliente com este Acordo e ao pagamento pontual de todas as taxas aplicáveis, a Didit concede ao Cliente uma licença não exclusiva e mundial, durante o prazo do Acordo, para acessar e usar os Serviços e a Documentação para seus fins comerciais, especificamente para: (i) Verificar a identidade de seus Usuários Finais. (ii) Auxiliar na prevenção e detecção de fraudes. (iii) Cumprir as obrigações legais e regulatórias aplicáveis (por exemplo, KYC/AML).

6.3 Direitos de Revenda e Sublicenciamento: O Cliente pode revender, sublicenciar ou de outra forma disponibilizar os Serviços a terceiros, desde que: (i) O Cliente garanta que tais terceiros cumpram todos os termos aplicáveis deste Acordo. (ii) O Cliente permaneça totalmente responsável perante a Didit por quaisquer atos ou omissões de tais terceiros. (iii) O Cliente celebre acordos por escrito com tais terceiros que incluam termos não menos protetores da Didit do que os contidos neste Acordo. (iv) O Cliente notifique a Didit sobre quaisquer acordos de sublicenciamento significativos mediante solicitação.

6.4 Restrições de Uso: O Cliente concorda em não, e não permitirá que terceiros, realizem qualquer das seguintes ações:

• Copiar, modificar, adaptar, traduzir, fazer engenharia reversa, descompilar, desmontar ou tentar descobrir o código-fonte ou algoritmos dos Serviços ou qualquer parte deles, exceto na medida em que tal atividade seja expressamente permitida pela lei aplicável e não renunciável.
• Construir ou tentar construir um serviço de verificação de identidade concorrente usando os Serviços ou qualquer informação obtida deles.
• Usar os Serviços para qualquer finalidade ilegal, discriminatória, fraudulenta, enganosa, difamatória, obscena, abusiva, prejudicial, ou de uma maneira que infrinja os direitos de terceiros ou as leis aplicáveis.
• Usar os resultados da Verificação ou quaisquer Dados do Cliente obtidos através dos Serviços para treinar, desenvolver ou melhorar modelos de aprendizado de máquina (ML) ou inteligência artificial (IA), ou qualquer outro algoritmo ou tecnologia similar, sem o consentimento prévio por escrito da Didit.
• Interferir ou tentar interferir com o funcionamento adequado dos Serviços, incluindo, sem limitação, introduzir vírus, cavalos de Troia, worms, bombas lógicas ou qualquer outro material malicioso ou tecnologicamente prejudicial.
• Tentar obter acesso não autorizado aos Serviços, sistemas de computador ou redes conectadas aos Serviços.
• Remover, alterar ou obscurecer quaisquer avisos de direitos de propriedade intelectual ou marcas registradas da Didit ou de terceiros contidos nos Serviços ou na Documentação.
• Usar os Serviços de uma maneira que exceda os limites de uso ou volumes de Crédito comprados, ou que imponha uma carga irracional ou desproporcionalmente grande na infraestrutura da Didit.
• Abusar ou contornar as limitações de qualquer plano gratuito ou de teste criando múltiplas organizações ou contas no Business Console (https://business.didit.me), seja direta ou indiretamente, usando as mesmas ou diferentes identidades, com o objetivo de obter benefícios adicionais de nível gratuito além do que é pretendido para um único Cliente. Onde a Didit tiver evidências razoáveis de que uma pessoa ou entidade criou ou está operando múltiplas organizações para explorar o plano gratuito, a Didit poderá suspender ou encerrar as organizações e contas afetadas, com aviso prévio quando praticável.

6.5 Responsabilidades do Cliente: O Cliente será o único responsável por:

• Conformidade Legal: Garantir que seu uso dos Serviços, incluindo a coleta, processamento e uso de Dados do Cliente e Dados Pessoais do Usuário Final, esteja em total conformidade com todas as leis, regulamentos e normas aplicáveis em sua jurisdição, incluindo, mas não se limitando a, leis de proteção de dados, leis de combate à lavagem de dinheiro (AML) e combate ao financiamento do terrorismo (CFT).
• Avisos e Consentimentos do Usuário Final: Obter, e manter registros de, todos os avisos, consentimentos explícitos e autorizações necessários dos Usuários Finais para a coleta, processamento e transferência de seus Dados Pessoais (incluindo dados biométricos, se aplicável) para a Didit e seus sub-processadores, conforme exigido pelas leis de proteção de dados aplicáveis.
• Segurança do Cliente: Implementar e manter medidas de segurança razoáveis e apropriadas para proteger os Dados do Cliente antes de serem enviados à Didit e para proteger suas Credenciais de Acesso. Isso inclui, sem limitação, o uso de conexões seguras (HTTPS), a implementação de webhooks assinados e outras melhores práticas de segurança da informação.
• Precisão dos Dados: Garantir a precisão, integridade e legalidade dos Dados do Cliente enviados à Didit através dos Serviços.

6.6 Gerenciamento e Exclusão de Dados: Os resultados da verificação e os Dados do Cliente associados serão entregues ao Cliente via webhooks ou API da Didit. O Cliente terá a capacidade de excluir permanentemente qualquer registro de Verificação ou Dados do Cliente via API ou Business Console a qualquer momento, sujeito às políticas de retenção da Didit e obrigações legais como processador de dados, conforme detalhado no Anexo 2 (DPA).

7. Direitos de Propriedade Intelectual

7.1 Propriedade da Didit: A Didit (e seus licenciadores, quando aplicável) retém todos os direitos, títulos e interesses nos e para os Serviços (incluindo software, código, APIs, SDKs, modelos, algoritmos, tecnologia subjacente), Documentação, marcas registradas da Didit, bem como quaisquer melhorias, modificações, atualizações, derivados ou desenvolvimentos deles. Nada neste Acordo será interpretado como uma transferência de propriedade intelectual da Didit para o Cliente. Os direitos concedidos ao Cliente são apenas licenças, e nenhuma licença implícita é concedida sob este Acordo.

7.2 Dados do Cliente: O Cliente é e permanecerá o único proprietário de todos os direitos, títulos e interesses nos e para os Dados do Cliente. O Cliente concede à Didit uma licença mundial, não exclusiva, isenta de royalties, sublicenciável e transferível para processar Dados do Cliente unicamente com o propósito de fornecer os Serviços ao Cliente e melhorar os Serviços, de acordo com o Anexo 2 (Acordo de Processamento de Dados) e a Política de Privacidade da Didit.

7.3 Feedback: No caso de o Cliente ou qualquer de seus Usuários Autorizados fornecer à Didit quaisquer sugestões, ideias, solicitações de melhoria, comentários, recomendações ou outras informações relacionadas aos Serviços ("Feedback"), o Cliente concede à Didit uma licença mundial, perpétua, irrevogável, isenta de royalties, totalmente paga, transferível e sublicenciável para usar, explorar, copiar, modificar, criar obras derivadas, distribuir, exibir publicamente, executar publicamente e de outra forma comercializar tal Feedback para qualquer finalidade e de qualquer maneira, sem qualquer obrigação ou compensação ao Cliente.

8. Taxas e Termos de Pagamento

8.1 Créditos Pré-pagos e Não Expiração: Os Serviços da Didit são baseados em um modelo de Créditos pré-pagos. Os Créditos comprados pelo Cliente não expiram e podem ser usados enquanto o Acordo estiver em vigor.

8.2 Pagamento por Recursos de Verificação Concluídos: O Cliente será cobrado por cada Recurso de Verificação que for concluído com sucesso pelo Usuário Final durante o fluxo de verificação, de acordo com as taxas aplicáveis. Isso significa que: (i) Se um Usuário Final concluir a etapa de Verificação de Documento de Identidade, o Cliente será cobrado por esse recurso. (ii) Se um Usuário Final concluir a etapa de Detecção de Vivacidade, o Cliente será cobrado por esse recurso. (iii) Cada Recurso de Verificação adicional concluído (como Rastreamento AML, Comprovante de Endereço, Verificação NFC, etc.) incorrerá em sua respectiva cobrança. (iv) Nenhuma cobrança será aplicada para Recursos de Verificação que falharem em ser concluídos devido a uma falha do sistema por parte da Didit.

Os preços específicos para cada Recurso de Verificação estão definidos na página de preços da Didit ou no Formulário de Pedido aplicável.

8.3 Preços: Os preços aplicáveis para os Serviços são publicados na página de preços da Didit ou, para planos personalizados ou Enterprise, no Formulário de Pedido correspondente. A Didit reserva-se o direito de modificar seus preços a qualquer momento, o que será notificado com antecedência de acordo com a Seção 16.2.

8.4 Processo de Pagamento e Não Reembolsabilidade: A compra de Créditos será feita através da plataforma de pagamento designada pela Didit (atualmente Stripe ou métodos de pagamento acordados no Formulário de Pedido). Todos os pagamentos são finais, e os Créditos comprados não são reembolsáveis, a menos que expressamente declarado de outra forma neste Acordo ou em um Formulário de Pedido. Os preços indicados não incluem impostos (como IVA) ou taxas bancárias ou de processamento, que serão de responsabilidade do Cliente.

8.5 Falha de Pagamentos / Estornos e Suspensão de Conta: No caso de três tentativas consecutivas de pagamento automático falhas (para reabastecimento automático de Créditos, se configurado) ou em caso de não pagamento de faturas emitidas para planos Enterprise, a Didit poderá, a seu exclusivo critério, suspender o acesso do Cliente aos Serviços ou rescindir este Acordo de acordo com a Seção 15. A Didit reserva-se o direito de cobrar juros sobre pagamentos em atraso à taxa máxima permitida pela lei aplicável, calculados diariamente a partir da data de vencimento até a data do pagamento integral.

8.6 Planos Enterprise: Para Clientes que contrataram um plano Enterprise ou personalizado através de um Formulário de Pedido assinado, as condições de preço específicas, termos de pagamento, compromissos de consumo mínimo e faturamento estabelecidos em tal Formulário de Pedido prevalecerão ou complementarão as disposições desta Seção 8.

9. Confidencialidade

Cada Parte ("Parte Receptora") concorda em proteger as Informações Confidenciais da outra Parte ("Parte Divulgadora") com pelo menos o mesmo grau de cuidado que usa para proteger suas próprias informações de natureza similar, mas nunca menos do que um cuidado razoável. A Parte Receptora usará as Informações Confidenciais da Parte Divulgadora apenas para cumprir suas obrigações sob este Acordo ou conforme permitido pela lei aplicável.

9.1 Exclusões de Informações Confidenciais: Informações Confidenciais não incluirão qualquer informação que: (a) seja ou se torne publicamente conhecida sem culpa da Parte Receptora; (b) estava legalmente na posse da Parte Receptora antes de sua divulgação pela Parte Divulgadora, sem uma obrigação de confidencialidade; (c) seja divulgada à Parte Receptora por um terceiro sem restrição ou violação de qualquer obrigação de confidencialidade; (d) seja desenvolvida independentemente pela Parte Receptora sem referência às Informações Confidenciais da Parte Divulgadora; ou (e) sejam Dados do Cliente processados pela Didit de forma agregada ou pseudonimizada para a melhoria de seus algoritmos, conforme estabelecido no Anexo 2 (DPA).

9.2 Divulgação Compelida: A Parte Receptora pode divulgar Informações Confidenciais se exigido por lei, ordem judicial ou autoridade governamental competente, desde que, na medida legalmente permitida, a Parte Receptora dê à Parte Divulgadora aviso prévio suficiente para permitir que a Parte Divulgadora busque uma ordem de proteção ou renúncia.

9.3 Obrigação do Pessoal: Cada Parte garantirá que seus funcionários, agentes e contratados que tenham acesso às Informações Confidenciais da outra Parte estejam sujeitos a obrigações de confidencialidade que sejam pelo menos tão restritivas quanto as estabelecidas nesta Seção 9.

9.4 Sobrevivência: As obrigações de confidencialidade estabelecidas nesta Seção 9 permanecerão em vigor durante o prazo deste Acordo e por um período de cinco (5) anos a partir da data de sua rescisão, exceto com relação a segredos comerciais, para os quais a obrigação de confidencialidade será indefinida enquanto tais informações mantiverem seu status de segredo comercial.

10. Proteção de Dados e Segurança

O processamento de Dados Pessoais pela Didit em nome do Cliente será regido pelo Anexo 2, Acordo de Processamento de Dados (DPA), que faz parte integrante deste Acordo. O DPA detalha as obrigações de cada Parte em relação à conformidade com as leis de proteção de dados, medidas de segurança e as responsabilidades do processador e controlador de dados.

11. Isenção de Garantias

OS SERVIÇOS DA DIDIT, INCLUINDO A PLATAFORMA, APIS, SDKS E DOCUMENTAÇÃO, SÃO FORNECIDOS "COMO ESTÃO" E "CONFORME DISPONÍVEIS", SEM GARANTIAS DE QUALQUER TIPO. NA EXTENSÃO MÁXIMA PERMITIDA PELA LEI APLICÁVEL, A DIDIT SE ISENTA EXPRESSAMENTE DE TODAS AS GARANTIAS, EXPRESSAS OU IMPLÍCITAS, INCLUINDO, MAS NÃO SE LIMITANDO A, AS GARANTIAS IMPLÍCITAS DE COMERCIABILIDADE, ADEQUAÇÃO A UM FIM ESPECÍFICO, NÃO INFRAÇÃO DE DIREITOS DE TERCEIROS, PRECISÃO DE DADOS, DISPONIBILIDADE ININTERRUPTA OU SEM ERROS.

A DIDIT NÃO GARANTE QUE OS SERVIÇOS OPERARÃO ININTERRUPTAMENTE, DE FORMA SEGURA OU SEM ERROS, QUE OS DEFEITOS SERÃO CORRIGIDOS, OU QUE OS SERVIÇOS OU OS SERVIDORES QUE OS DISPONIBILIZAM ESTÃO LIVRES DE VÍRUS OU OUTROS COMPONENTES NOCIVOS. A DIDIT NÃO OFERECE GARANTIAS QUANTO AOS RESULTADOS QUE PODEM SER OBTIDOS COM O USO DOS SERVIÇOS OU A PRECISÃO, CONFIABILIDADE OU INTEGRALIDADE DE QUALQUER INFORMAÇÃO OBTIDA ATRAVÉS DOS SERVIÇOS. O CLIENTE ASSUME TODOS OS RISCOS ASSOCIADOS AO USO DOS SERVIÇOS.

EM PARTICULAR, O CLIENTE RECONHECE QUE AS VERIFICAÇÕES DE IDENTIDADE SÃO PROCESSOS COMPLEXOS BASEADOS EM VÁRIAS FONTES DE DADOS E ALGORITMOS. A DIDIT NÃO GARANTE A IDENTIDADE DE QUALQUER USUÁRIO FINAL, A VERACIDADE OU AUTENTICIDADE DE QUALQUER DOCUMENTO DE IDENTIDADE, OU A AUSÊNCIA DE FRAUDE. OS RESULTADOS FORNECIDOS PELOS SERVIÇOS DA DIDIT SÃO APENAS PARA FINS INFORMATIVOS E APOIAM O PROCESSO DE TOMADA DE DECISÃO DO CLIENTE. O CLIENTE É O ÚNICO RESPONSÁVEL POR SUAS DECISÕES FINAIS BASEADAS OU NÃO NOS RESULTADOS DA DIDIT, E A DIDIT NÃO ASSUME QUALQUER RESPONSABILIDADE POR TAIS DECISÕES OU SUAS CONSEQUÊNCIAS.

12. Limitação de Responsabilidade

NA EXTENSÃO MÁXIMA PERMITIDA PELA LEI APLICÁVEL, EM NENHUM CASO A DIDIT, SUAS AFILIADAS, DIRETORES, FUNCIONÁRIOS, AGENTES, FORNECEDORES OU LICENCIADORES SERÃO RESPONSÁVEIS POR QUAISQUER DANOS INDIRETOS, INCIDENTAIS, ESPECIAIS, CONSEQUENCIAIS, PUNITIVOS, EXEMPLARES OU DANOS POR PERDA DE LUCROS, RECEITA, DADOS, USO OU BOA VONTADE, INCORRIDOS PELO CLIENTE OU QUALQUER TERCEIRO, SEJA EM UMA AÇÃO CONTRATUAL, DELITUAL (INCLUINDO NEGLIGÊNCIA) OU DE OUTRA FORMA, MESMO QUE A DIDIT TENHA SIDO AVISADA DA POSSIBILIDADE DE TAIS DANOS.

A RESPONSABILIDADE TOTAL E CUMULATIVA DA DIDIT SOB ESTE ACORDO POR QUALQUER CAUSA E SOB QUALQUER TEORIA DE RESPONSABILIDADE SERÁ LIMITADA AO VALOR DOS CRÉDITOS OU TAXAS DE SERVIÇO EFETIVAMENTE PAGOS PELO CLIENTE À DIDIT NOS DOZE (12) MESES ANTERIORES AO EVENTO QUE DEU ORIGEM À RECLAMAÇÃO.

A RESPONSABILIDADE DECORRENTE DA VIOLAÇÃO DA SEÇÃO 9 (CONFIDENCIALIDADE) OU DO ANEXO 2 (DPA) POR UMA PARTE, INCLUINDO RECLAMAÇÕES RELACIONADAS A VIOLAÇÕES DE DADOS PESSOAIS, É LIMITADA A DUAS (2) VEZES O LIMITE ESTABELECIDO ACIMA. AS LIMITAÇÕES NESTA SEÇÃO NÃO SE APLICAM À RESPONSABILIDADE DECORRENTE DE FRAUDE, NEGLIGÊNCIA GRAVE OU MÁ CONDUTA INTENCIONAL DE UMA PARTE, ÀS OBRIGAÇÕES DE PAGAMENTO DO CLIENTE, ÀS OBRIGAÇÕES DE INDENIZAÇÃO DO CLIENTE SOB A SEÇÃO 13.1, OU EM CASOS EM QUE A LEI APLICÁVEL NÃO PERMITE A EXCLUSÃO OU LIMITAÇÃO DE CERTOS DANOS. OS CRÉDITOS DE SERVIÇO EMITIDOS SOB O ANEXO 1 FAZEM PARTE E NÃO AUMENTAM A RESPONSABILIDADE TOTAL DA DIDIT SOB O LIMITE.

13. Indenização

13.1 Indenização pelo Cliente: O Cliente defenderá, indenizará e isentará a Didit, suas afiliadas, diretores, funcionários, agentes e fornecedores ("Partes Indenizadas da Didit") de e contra todas e quaisquer reivindicações, demandas, danos, responsabilidades, perdas, custos e despesas (incluindo honorários advocatícios razoáveis) decorrentes ou relacionadas a: (i) A violação pelo Cliente de qualquer de suas obrigações, declarações ou garantias sob este Acordo, incluindo, mas não se limitando a, aquelas relacionadas à segurança, proteção de dados ou restrições de uso. (ii) Qualquer reivindicação de um Usuário Final ou de um terceiro relacionada à coleta ou processamento de Dados Pessoais pelo Cliente (incluindo a falha em obter os consentimentos necessários), ou às decisões do Cliente baseadas nos resultados da Verificação. (iii) O uso dos Serviços pelo Cliente de uma maneira que não esteja em conformidade com as leis ou regulamentos aplicáveis. (iv) A infração pelo Cliente ou por seus Dados do Cliente de qualquer Propriedade Intelectual ou direitos de privacidade de terceiros.

13.2 Indenização pela Didit: A Didit defenderá, indenizará e isentará o Cliente, suas afiliadas, diretores, funcionários e agentes de e contra todas e quaisquer reivindicações, demandas, danos, responsabilidades, perdas, custos e despesas (incluindo honorários advocatícios razoáveis) decorrentes ou relacionadas a uma reivindicação de terceiros de que os Serviços, conforme fornecidos pela Didit ao Cliente e usados de acordo com este Acordo, infringem diretamente uma patente, direito autoral ou marca registrada de tal terceiro.

Exclusões: A obrigação de indenização da Didit não se aplicará a reivindicações decorrentes de: (a) o uso dos Serviços pelo Cliente em combinação com qualquer software, hardware ou dados não fornecidos pela Didit; (b) modificação dos Serviços por uma parte que não seja a Didit; ou (c) uso de versões desatualizadas dos Serviços se uma versão mais recente e não infratora tiver sido fornecida pela Didit.

13.3 Procedimento de Indenização: A Parte que busca indenização ("Parte Indenizada") deverá: (i) notificar prontamente a parte indenizadora ("Parte Indenizadora") por escrito sobre qualquer reivindicação; (ii) permitir que a Parte Indenizadora tenha controle exclusivo da defesa e liquidação da reivindicação (desde que a liquidação não imponha uma obrigação não monetária à Parte Indenizada ou admita responsabilidade por parte da Parte Indenizada sem seu consentimento prévio por escrito); e (iii) fornecer à Parte Indenizadora toda a assistência e cooperação razoáveis, às custas da Parte Indenizadora.

14. Declarações e Garantias

14.1 Declarações e Garantias do Cliente: O Cliente declara e garante à Didit que: (i) Possui plena capacidade legal e autoridade para celebrar e cumprir este Acordo. (ii) Cumprirá todas as leis, regulamentos e normas aplicáveis no uso dos Serviços e na coleta, processamento e transferência de Dados do Cliente e Dados Pessoais. (iii) Obteve e manterá todos os consentimentos, permissões e autorizações necessários dos Usuários Finais e de qualquer outra pessoa natural para que a Didit processe seus Dados Pessoais de acordo com este Acordo e o DPA. (iv) Todos os Dados do Cliente fornecidos à Didit são precisos, completos e lícitos, e o Cliente tem o direito de fornecer tais dados à Didit para processamento.

14.2 Declarações e Garantias da Didit: A Didit declara e garante ao Cliente que: (i) Possui plena capacidade legal e autoridade para celebrar e cumprir este Acordo. (ii) Os Serviços serão fornecidos de maneira profissional e de acordo com os padrões da indústria. (iii) Os Serviços estarão substancialmente em conformidade com as descrições contidas na Documentação.

15. Suspensão e Rescisão

15.1 Rescisão por Conveniência:

• Pelo Cliente: O Cliente pode fechar sua conta e rescindir este Acordo a qualquer momento, o que resultará na perda de Créditos não utilizados — exceto quando o Cliente rescindir (i) por violação material não sanada ou insolvência da Didit sob a Seção 15.2, (ii) por falha crônica de SLA (Uptime Mensal abaixo de 99,0% em dois de três meses civis consecutivos, ou abaixo de 95,0% em qualquer mês civil único, conforme Anexo 1), ou (iii) após um evento de Força Maior que afete a Didit e que continue por mais de trinta (30) dias consecutivos — nesses casos, a Didit reembolsará os Créditos comprados não utilizados.
• Pela Didit: A Didit pode rescindir este Acordo e o acesso do Cliente aos Serviços por conveniência, sem justa causa, mediante aviso prévio por escrito de trinta (30) dias. Nesse caso, a Didit reembolsará ao Cliente o valor de quaisquer Créditos comprados não utilizados.

Juntamente com qualquer rescisão por remédio de PI que a Didit eleja sob a Seção 13.2, estes são os eventos exaustivos de reembolso. Qualquer reembolso é igual apenas aos valores efetivamente pagos e retidos pela Didit por Créditos comprados não utilizados, nunca excede o dinheiro efetivamente recebido pela Didit por eles, exclui Créditos de Serviço SLA e Créditos promocionais, bônus ou outros sem custo, é pago por transferência bancária dentro de trinta (30) dias, e é um retorno de pré-pagamento, não danos.

15.2 Rescisão por Justa Causa: Qualquer Parte pode rescindir este Acordo imediatamente mediante aviso por escrito à outra Parte se: (i) A outra Parte violar materialmente qualquer de suas obrigações sob este Acordo e não sanar tal violação dentro de trinta (30) dias após receber aviso por escrito especificando a violação. (ii) A outra Parte se tornar falida, insolvente, liquidar, dissolver, entrar em um acordo voluntário com credores ou qualquer procedimento similar.

A Didit pode suspender ou rescindir imediatamente o acesso do Cliente aos Serviços, sem aviso prévio ou período de cura, nos seguintes casos: (a) Violação grave ou repetida da Seção 6.4 (Restrições de Uso) ou 6.5 (Responsabilidades do Cliente). (b) Uso ilegal, fraudulento ou abusivo dos Serviços. (c) Não pagamento ou violação repetida dos termos de pagamento. (d) Quando a Didit determinar, a seu exclusivo critério, que a segurança ou integridade dos Serviços ou Dados do Cliente pode ser comprometida. (e) Em conformidade com uma ordem judicial ou requisito legal. (f) Abuso do plano gratuito ou de teste através da criação de múltiplas organizações ou contas, conforme descrito na Seção 6.4, onde as organizações e contas afetadas podem ser suspensas ou encerradas.

15.3 Efeitos da Rescisão: Após a rescisão deste Acordo por qualquer motivo: (i) Todas as licenças e direitos concedidos ao Cliente sob este Acordo cessarão imediatamente. (ii) O Cliente cessará todo o uso dos Serviços e da Documentação. (iii) Quaisquer valores pendentes devidos pelo Cliente à Didit na data de rescisão tornar-se-ão imediatamente devidos e pagáveis. (iv) Se a rescisão for por justa causa atribuível ao Cliente, os Créditos não utilizados serão perdidos e não reembolsáveis. (v) As obrigações de retenção e exclusão de Dados do Cliente serão regidas pelo Anexo 2 (DPA). (vi) As seções deste Acordo que, por sua natureza, devem sobreviver à rescisão, incluindo, sem limitação, aquelas relacionadas a Propriedade Intelectual, Confidencialidade, Isenção de Garantias, Limitação de Responsabilidade, Indenização, Lei Aplicável e Jurisdição e Disposições Gerais, permanecerão em pleno vigor e efeito.

16. Disposições Gerais

16.1 Força Maior: Nenhuma Parte será responsável por qualquer atraso ou falha no cumprimento de suas obrigações sob este Acordo se tal atraso ou falha for causado por Força Maior. A Parte afetada notificará a outra Parte do evento de Força Maior o mais rápido possível e fará esforços razoáveis para mitigar seus efeitos.

16.2 Modificações do Acordo: A Didit reserva-se o direito de modificar ou atualizar estes Termos e Condições, Anexos ou políticas de serviço a qualquer momento. A Didit notificará o Cliente sobre tais modificações com pelo menos trinta (30) dias de antecedência, publicando os Termos revisados em seu Site ou Business Console, ou enviando notificação direta ao Cliente. Se o Cliente não concordar com as modificações, poderá rescindir o Acordo mediante aviso por escrito antes da data efetiva dos novos termos. O uso continuado dos Serviços pelo Cliente após a data efetiva das modificações constituirá aceitação vinculante dos termos revisados.

16.3 Cessão: O Cliente não pode ceder ou transferir seus direitos ou obrigações sob este Acordo, no todo ou em parte, sem o consentimento prévio por escrito da Didit. Qualquer tentativa de cessão ou transferência que não esteja em conformidade com esta disposição será nula e sem efeito. A Didit pode livremente ceder ou transferir este Acordo, no todo ou em parte, a uma afiliada ou em conexão com uma fusão, aquisição, reestruturação corporativa ou venda de todos ou substancialmente todos os seus ativos.

16.4 Separabilidade: Se qualquer disposição deste Acordo for considerada inválida ou inexequível por um tribunal de jurisdição competente, tal disposição será limitada ou eliminada na extensão mínima necessária, e as demais disposições deste Acordo permanecerão em pleno vigor e efeito.

16.5 Não Renúncia: A falha de qualquer Parte em exercer ou o atraso no exercício de qualquer direito ou remédio sob este Acordo não operará como uma renúncia a esse direito ou remédio, nem impedirá qualquer exercício subsequente desse direito ou remédio. Uma renúncia expressa de qualquer violação não constituirá uma renúncia de qualquer violação subsequente.

16.6 Lei Aplicável e Jurisdição: A lei aplicável e a jurisdição exclusiva dependem do local de estabelecimento do Cliente, o que também determina a entidade Didit contratante (ver Seção 1):

• Clientes estabelecidos na União Europeia, Espaço Econômico Europeu, Reino Unido ou Suíça contratam com a Didit Identity Spain, S.L. Este Acordo é regido pelas leis da Espanha (sem referência aos seus princípios de conflito de leis), e as Partes se submetem irrevogavelmente à jurisdição exclusiva dos tribunais da cidade de Barcelona, Espanha para qualquer disputa decorrente ou relacionada a este Acordo.
• Clientes estabelecidos nos Estados Unidos, Canadá, América Latina, Ásia-Pacífico, Oriente Médio e todas as outras jurisdições contratam com a Didit Identity, Inc. Este Acordo é regido pelas leis do Estado de Delaware, Estados Unidos da América (sem referência aos seus princípios de conflito de leis), e as Partes se submetem irrevogavelmente à jurisdição exclusiva dos tribunais estaduais e federais localizados no Condado de New Castle, Delaware para qualquer disputa decorrente ou relacionada a este Acordo.

Esta Seção 16.6 não priva um consumidor das proteções obrigatórias da lei do país de sua residência habitual. A Convenção das Nações Unidas sobre Contratos para a Venda Internacional de Mercadorias não se aplica.

16.7 Acordo Integral: Este Acordo, incluindo todos os Formulários de Pedido e Anexos, constitui o acordo integral e exclusivo entre o Cliente e a Didit com relação ao seu objeto e substitui todas as comunicações, propostas e acordos anteriores ou contemporâneos, sejam orais ou escritos, entre as Partes.

16.8 Relação das Partes: As Partes são contratadas independentes. Este Acordo não cria uma parceria, joint venture, emprego, franquia ou relação de agência entre o Cliente e a Didit. Nenhuma Parte tem autoridade para vincular a outra ou para incorrer em obrigações em nome da outra.

16.9 Notificações: Todas as notificações exigidas ou permitidas sob este Acordo serão por escrito e serão consideradas entregues quando: (a) entregues pessoalmente; (b) enviadas por correio certificado ou registrado, com aviso de recebimento; (c) enviadas por e-mail para os endereços de notificação especificados na Seção 1 ou no Formulário de Pedido (com confirmação de recebimento); ou (d) no caso de avisos gerais da Didit ao Cliente, publicados no Business Console ou no Site.

16.10 Leis de Conformidade de Exportação: O Cliente declara e garante que nem ele nem seus Usuários Autorizados estão sujeitos a sanções econômicas ou embargos impostos pela União Europeia, Estados Unidos ou outras autoridades competentes, e que não usará os Serviços para fins proibidos por tais leis de controle de exportação.

16.11 Publicidade: O Cliente concorda que a Didit pode usar o nome e o logotipo do Cliente em materiais de marketing e lista de clientes da Didit, a menos que o Cliente notifique a Didit por escrito de sua objeção a tal uso.

16.12 Sobrevivência: As Seções 7 (Direitos de Propriedade Intelectual), 8 (Taxas e Termos de Pagamento, em relação a valores devidos), 9 (Confidencialidade), 11 (Isenção de Garantias), 12 (Limitação de Responsabilidade), 13 (Indenização), 15.3 (Efeitos da Rescisão) e 16 (Disposições Gerais) sobreviverão a qualquer rescisão ou expiração deste Acordo.

Anexo 1, Acordo de Nível de Serviço (SLA)

Para Planos Enterprise, as condições operacionais e métricas de serviço assinadas em seu Formulário de Pedido terão precedência sobre este Anexo.

1. Escopo: Este Acordo de Nível de Serviço ("SLA") aplica-se à disponibilidade operacional da API de verificação principal da Didit, do Painel do Business Console e dos endpoints do SDK diretamente gerenciados pela Didit.

2. Compromisso de Disponibilidade: A Didit compromete-se a manter um uptime mensal para os Serviços principais de acordo com a seguinte métrica:

3. Medição de Uptime: O Uptime é medido minuto a minuto usando as ferramentas de monitoramento internas da Didit. O tempo de inatividade será considerado qualquer minuto durante o qual a API principal ou o Painel falhe em responder com sucesso a uma solicitação HTTPS (códigos de status 2XX/3XX), conforme detectado pelo sistema de monitoramento da Didit ou relatado e validado pelo Cliente através de um alerta de suporte.

4. Exclusões de Uptime: O Uptime Mensal não incluirá tempo de inatividade ou interrupção de serviço resultante de:

• Força Maior: Eventos além do controle razoável da Didit, conforme definido na Seção 16.1 do Acordo principal.
• Manutenção Programada: Períodos de manutenção planejada para os Serviços. A Didit limitará a manutenção programada a um máximo de cinco (5) horas por mês civil, com pelo menos quarenta e oito (48) horas de aviso prévio fornecido via Business Console ou e-mail.
• Manutenção Urgente: Manutenção não programada necessária para resolver problemas críticos de segurança ou desempenho. A Didit tentará fornecer aviso prévio razoável, mas isso pode não ser possível em todos os casos.
• Fatores além do controle razoável da Didit: Incluindo, mas não se limitando a, problemas de hardware ou software do lado do Cliente, interrupções de rede de internet não atribuíveis à Didit, ataques de negação de serviço que excedam os limites de mitigação padrão, ou falhas de provedores de serviços terceirizados (como provedores de nuvem, a menos que seja demonstrada negligência grave da Didit em sua seleção ou gerenciamento).
• Atos ou omissões do Cliente ou de seus Usuários Autorizados: Incluindo qualquer violação do Acordo.

5. Créditos de Serviço (Créditos SLA): Se a Didit não cumprir o Compromisso de Uptime Mensal estabelecido na Seção 2, o Cliente poderá solicitar um Crédito de Serviço calculado sobre as taxas efetivamente consumidas (Créditos deduzidos) durante o mês civil afetado (o "Gasto do Mês Afetado"), determinado unicamente pelo consumo e independente de quando os Créditos foram comprados ou faturados, de acordo com a seguinte tabela:

5.1 Processo de Reivindicação de Crédito: Para solicitar um crédito, o Cliente deve enviar uma solicitação por escrito para billing@didit.me dentro de trinta (30) dias corridos após o final do mês em que ocorreu a violação do SLA. A solicitação deve incluir a data e hora da interrupção do serviço e uma breve descrição da interrupção. O crédito de serviço é o único e exclusivo recurso do Cliente para qualquer violação do Compromisso de Uptime sob este SLA. O valor do crédito será automaticamente aplicado à conta do Cliente no próximo ciclo de faturamento ou reabastecimento de Créditos. Os créditos de serviço não são reembolsáveis, não transferíveis, não têm valor em dinheiro, nunca são pagáveis em dinheiro e expiram na rescisão do Acordo. Os créditos de serviço totais para qualquer mês civil são limitados a 50% das taxas que o Cliente efetivamente consumiu (Créditos deduzidos) durante o mês afetado, determinado unicamente pelo consumo e independente de quando os Créditos foram comprados. Os Créditos são devidos apenas enquanto a conta do Cliente estiver em situação regular (sem faturas em atraso).

6. Metas de Resposta do Suporte: "Horário Comercial" significa 09:00–21:00 CET/CEST, de segunda a sexta-feira, excluindo feriados públicos espanhóis. A Didit responde às solicitações de suporte dentro das seguintes metas (compromissos de resposta — não de resolução; a Didit trabalha continuamente em incidentes P1 até que sejam resolvidos): P1 (Crítico: interrupção completa do serviço ou problema crítico de integridade de dados) — em menos de 2 horas, 24/7; P2 (Alto: degradação significativa ou falha de recurso principal) — em menos de 4 Horas Comerciais; P3 (Normal: problemas menores de recurso) — em menos de 8 Horas Comerciais; P4 (Baixo: consultas gerais ou problemas cosméticos) — em menos de 24 Horas Comerciais.

7. Resposta e Comunicação de Incidentes: Todo incidente de produção é publicado em status.didit.me em tempo real; a Didit publica um post-mortem para incidentes críticos (P1) dentro de quinze (15) dias úteis após a resolução. A notificação de Violação de Dados Pessoais segue o Anexo 2, Seção 6.

Anexo 2, Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados ("DPA") faz parte integrante do Acordo principal e é aplicável sempre que a Didit processar Dados Pessoais em nome do Cliente, de acordo com o Regulamento Geral de Proteção de Dados (GDPR) e outras leis de proteção de dados aplicáveis.

1. Contexto e Escopo: Este DPA estabelece os direitos e obrigações das Partes com relação ao processamento de Dados Pessoais pela Didit como Processador de Dados, agindo em nome do Cliente como Controlador de Dados.

2. Funções e Natureza do Processamento:

2.1 Detalhes do Processamento:

• Finalidade do Processamento: O processamento de Dados Pessoais pela Didit destina-se unicamente a fornecer Serviços de verificação de identidade ao Cliente, incluindo, mas não se limitando a, obrigações de conformidade KYC/AML do Cliente, verificação de idade e prevenção de fraudes.
• Categorias de Titulares de Dados: Os Dados Pessoais processados referem-se a Usuários Finais cujas identidades são verificadas pelo Cliente através dos Serviços.
• Categorias de Dados Pessoais: Os dados processados podem incluir: informações de documento de identidade (nome, data de nascimento, nacionalidade, número do documento), imagens de selfie/vídeo (incluindo dados biométricos, como dados faciais), dados de contato (e-mail, telefone), dados de dispositivo e conexão (endereço IP, tipo de dispositivo, localização) e dados de rastreamento AML/sanções.
• Duração do Processamento e Retenção: O período de retenção padrão para Dados Pessoais processados em fluxos de verificação é indefinido ("ilimitado") a menos que o Cliente configure um período mais curto. O Cliente pode configurar a retenção por aplicativo no Business Console entre 30 dias e 10 anos, e pode excluir qualquer sessão individual ou registro de Verificação a qualquer momento via endpoint da API `POST /v3/sessions/:session_id/delete/` ou o Business Console. A Didit excluirá ou retornará Dados Pessoais mediante instrução do Cliente ou rescisão do Acordo, a menos que a lei aplicável exija a retenção. A retenção de dados biométricos está em todos os casos sujeita e limitada pelas leis e regulamentos de privacidade biométrica aplicáveis, incluindo o Artigo 9 do Regulamento Geral de Proteção de Dados (GDPR) da UE, a Lei de Privacidade de Informações Biométricas de Illinois (BIPA), a Lei de Captura ou Uso de Identificador Biométrico do Texas (CUBI), a H.B. 1493 de Washington e qualquer outra lei de privacidade biométrica aplicável; onde tal lei prescreve um período de retenção mais curto ou uma obrigação de destruição anterior, essa regra mais curta ou mais rigorosa prevalece sobre qualquer período de retenção padrão ou configurado pelo Cliente.

2.2 Base Legal para o Processamento:

O Cliente é o único responsável por determinar a base legal válida para a coleta e processamento dos Dados Pessoais dos Usuários Finais, bem como para a transferência de tais dados para a Didit. Isso pode incluir, por exemplo, o consentimento explícito do titular dos dados (especialmente para dados biométricos), a execução de um contrato, o cumprimento de uma obrigação legal ou um interesse legítimo. O Cliente compromete-se a fornecer os avisos de privacidade necessários e obter os consentimentos exigidos dos Usuários Finais de acordo com a lei aplicável antes de enviar quaisquer Dados Pessoais para a Didit.

2.3 Treinamento de Modelo Anônimo/Pseudonimizado e Detecção de Fraude (Didit como Controlador Independente):

O Cliente reconhece e concorda que a Didit pode usar dados anonimizados ou pseudonimizados derivados de Dados do Cliente para os seguintes fins como Controlador Independente:

(i) Treinamento e melhoria de modelos de verificação, biométricos e de detecção de fraude, incluindo classificadores de documentos, vivacidade, correspondência facial, detecção de deepfake, detecção de ataque de injeção e modelos de pontuação de risco, para aumentar a segurança, reduzir fraudes e melhorar a precisão dos Serviços para todos os clientes.

(ii) Salvaguardas de prevenção de fraude entre clientes, identificando e sinalizando atores fraudulentos conhecidos, padrões de ataque e tentativas de fraude repetida em diferentes aplicativos de Clientes usando os Serviços da Didit.

A Didit processa esses dados com base em seu interesse legítimo em operar uma infraestrutura de identidade e fraude segura e precisa, e aplica anonimização, pseudonimização, agregação e controles de acesso para que os dados usados para esses fins não possam ser razoavelmente vinculados a um indivíduo identificável fora do registro de Verificação subjacente.

Opt-out. O Cliente (ou um Usuário Final afetado) pode optar por não participar do processamento descrito nesta Seção 2.3 (a) excluindo o registro de Verificação subjacente via API ou Business Console, o que remove o registro dos pipelines de treinamento no próximo ciclo de atualização, ou (b) enviando um e-mail para privacy@didit.me com o identificador de sessão ou conta relevante, solicitando um opt-out. Os opt-outs se aplicam prospectivamente a partir da data da solicitação; a Didit também fará esforços comercialmente razoáveis para limpar registros elegíveis de conjuntos de dados de treinamento ativos.

3. Obrigações da Didit (Processador de Dados): A Didit compromete-se a: (i) Processar Dados Pessoais apenas mediante instruções documentadas do Cliente, a menos que exigido pela lei da União ou do Estado Membro, caso em que a Didit informará o Cliente sobre esse requisito legal antes do processamento, a menos que essa lei proíba tal informação por motivos importantes de interesse público. (ii) Garantir a confidencialidade dos Dados Pessoais. A Didit garantirá que as pessoas autorizadas a processar Dados Pessoais se comprometam a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal de confidencialidade apropriada. (iii) Implementar medidas técnicas e organizacionais (TOMs) apropriadas e robustas para garantir um nível de segurança adequado ao risco, incluindo criptografia de dados em repouso (AES-256) e em trânsito (TLS 1.3), gerenciamento de chaves em um Serviço de Gerenciamento de Chaves (KMS) dedicado, controle de acesso baseado em função, separação de ambiente, resiliência de sistemas e serviços de processamento, monitoramento contínuo e testes de segurança regulares. A Didit mantém SOC 2 Tipo 1 (Segurança, Disponibilidade, Confidencialidade; SOC 2 Tipo 2 emitido em 30 de julho de 2026), ISO/IEC 27001:2022, iBeta Nível 1 de Detecção de Ataque de Apresentação (PAD) sob ISO/IEC 30107-3, e o atestado de sandbox Tesoro / SEPBLAC / CNMV emitido sob a Lei 7/2020 de sandbox financeiro da Espanha. (iv) Auxiliar o Cliente no cumprimento de suas obrigações como Controlador de Dados, levando em consideração a natureza do processamento e as informações disponíveis para a Didit, incluindo:

(v) Notificar o Cliente sem demora indevida sobre qualquer violação de segurança de Dados Pessoais da qual a Didit tome conhecimento. A Didit fornecerá ao Cliente as informações conhecidas sobre a violação e cooperará com o Cliente na mitigação de seus efeitos e no cumprimento das obrigações de notificação.

4. Obrigações do Cliente (Controlador de Dados): O Cliente compromete-se a: (i) Estabelecer e manter uma base legal adequada para o processamento e transferência de Dados Pessoais para a Didit. (ii) Fornecer os avisos de privacidade necessários e obter os consentimentos exigidos dos Usuários Finais, de acordo com as leis de proteção de dados aplicáveis, antes de usar os Serviços da Didit. (iii) Configurar os períodos de retenção de dados via Console ou API da Didit de acordo com suas próprias obrigações legais e políticas internas. (iv) Responder às solicitações de autoridades supervisoras ou titulares de dados que a Didit redirecionar para o Cliente.

5. Sub-processadores: O Cliente concede à Didit uma autorização geral para o engajamento de sub-processadores para o processamento de Dados Pessoais. A Didit mantém uma lista atualizada de seus sub-processadores, publicada em didit.me/terms/sub-processors, que é a lista canônica referenciada por este DPA. Informações detalhadas sobre as salvaguardas contratuais em vigor com cada sub-processador estão disponíveis mediante solicitação por escrito para legal@didit.me sob um Acordo de Não Divulgação assinado. A Didit dá pelo menos trinta (30) dias de aviso prévio sobre uma adição ou substituição pretendida via essa página e o Business Console; o Cliente pode objetar por motivos razoáveis de proteção de dados para privacy@didit.me dentro de trinta (30) dias do aviso, após o que as Partes trabalharão de boa-fé por trinta (30) dias para resolver a objeção — caso contrário, a Didit pode optar por não nomear o sub-processador, ou o Cliente pode parar de usar e rescindir apenas o Serviço afetado; os Créditos comprados não utilizados permanecem disponíveis para consumo nos Serviços restantes e nenhum reembolso é devido por essa conta. A Didit impõe a seus sub-processadores obrigações de proteção de dados substancialmente semelhantes às estabelecidas neste DPA e permanece totalmente responsável perante o Cliente pela conformidade de seus sub-processadores com essas obrigações. O Cliente pode objetar a um novo sub-processador por motivos razoáveis de proteção de dados, caso em que as Partes trabalharão de boa-fé para encontrar uma solução, incluindo a possibilidade de rescindir o Serviço afetado.

6. Violações de Segurança: Em caso de violação de segurança de Dados Pessoais: (i) A Didit notificará o Cliente sem demora indevida e, em qualquer caso, dentro de quarenta e oito (48) horas após a confirmação de uma Violação de Dados Pessoais que afete os Dados do Cliente, por e-mail para o contato designado do Cliente e através do Business Console — a tempo de o Cliente cumprir sua própria obrigação de notificação de 72 horas sob o Artigo 33 do GDPR. A Didit fornecerá atualizações de status pelo menos a cada quarenta e oito (48) horas até a resolução e, para incidentes críticos (P1), uma análise da causa raiz dentro de quinze (15) dias úteis após a resolução. (ii) A Didit fornecerá ao Cliente detalhes sobre a violação, incluindo a natureza da violação, as categorias de dados afetados, o número aproximado de titulares de dados e registros de dados afetados, as prováveis consequências e as medidas tomadas ou propostas para abordá-la e mitigar seus possíveis efeitos adversos. (iii) A Didit cooperará razoavelmente com o Cliente na investigação da violação e no cumprimento de suas obrigações de notificação às autoridades supervisoras e titulares de dados, embora a decisão final sobre tais notificações caiba ao Cliente.

7. Transferências Internacionais de Dados: Os dados primários processados pela Didit são hospedados no Espaço Econômico Europeu (EEE). Qualquer transferência de Dados Pessoais para fora do EEE pela Didit ou seus sub-processadores será feita apenas com base em um mecanismo de transferência legalmente reconhecido sob o GDPR, como Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia, uma decisão de adequação ou qualquer outro mecanismo legal aplicável para garantir um nível adequado de proteção.

8. Exclusão / Retorno de Dados Pessoais: Mediante solicitação por escrito do Cliente ou rescisão deste Acordo, a Didit, a critério do Cliente, excluirá ou retornará todos os Dados Pessoais ao Cliente, a menos que a lei aplicável exija que a Didit retenha os Dados Pessoais. O Cliente pode gerenciar a exclusão de seus Dados Pessoais via API ou Console da Didit de acordo com sua própria política de retenção.

9. Auditoria e Documentação: A Didit disponibilizará ao Cliente, mediante solicitação e com aviso prévio razoável (não inferior a 30 dias), todas as informações razoavelmente necessárias para demonstrar a conformidade com as obrigações estabelecidas neste DPA. No caso de o Cliente exigir uma auditoria direta das instalações ou sistemas da Didit, tal auditoria será limitada e não intrusiva, sujeita a acordo mútuo sobre escopo e metodologia, e o Cliente arcará com os custos razoáveis associados. Mediante solicitação e sob um NDA assinado, a Didit fornece seus relatórios SOC 2 Tipo 1 e SOC 2 Tipo 2, certificado ISO/IEC 27001:2022, relatório de teste iBeta Nível 1 PAD e a conclusão do sandbox Tesoro / SEPBLAC / CNMV publicada como artefatos de auditoria.

10. Prazo do DPA: Este DPA terá o mesmo prazo do Acordo principal. As cláusulas deste DPA relacionadas à confidencialidade, exclusão, responsabilidade e auditoria sobreviverão à rescisão do Acordo conforme exigido pelas leis aplicáveis.