Termos e Condições de Negócio

0. Aceitação do Acordo

Ao (i) clicar em "Registar", "Aceito" ou outro botão semelhante na Consola de Negócios ou no Website da Didit, (ii) assinar um Formulário de Encomenda que faça referência a estes Termos, ou (iii) aceder ou utilizar os Serviços de outra forma, você (o "Cliente") aceita e concorda legalmente em ficar vinculado por este Acordo em nome da entidade legal ou organização que representa.

Ao aceitar este Acordo, o Cliente declara e garante que tem plena autoridade legal para vincular tal entidade ou organização a estes Termos e a quaisquer Anexos ou Formulários de Encomenda relacionados. Se não tiver tal autoridade, ou se não concordar com estes Termos, não deve utilizar ou aceder aos Serviços.

A UTILIZAÇÃO CONTÍNUA DA PLATAFORMA DIDIT CONSTITUI ACEITAÇÃO INEQUÍVOCA E VINCULATIVA DESTE ACORDO NA SUA TOTALIDADE.

1. Partes do Acordo

As seguintes partes estão envolvidas neste Acordo:

• Fornecedor de Serviços ("Didit," "nós," "nosso"): a entidade Didit que contrata com o Cliente. A entidade contratante aplicável é determinada pela Secção 16.6 (Lei Aplicável e Jurisdição):
  • Didit Identity Spain, S.L. — CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, Espanha. Contrata com Clientes estabelecidos na União Europeia, Espaço Económico Europeu, Reino Unido, Suíça e América Latina.
  • Didit Identity, Inc. — EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Estados Unidos. Contrata com Clientes estabelecidos nos Estados Unidos, Canadá, Ásia-Pacífico, Médio Oriente e todas as outras jurisdições não atribuídas à Didit Identity Spain, S.L.
• Cliente ("você," "seu"):

A entidade legal ou pessoa que se regista para uma conta na Plataforma Didit ou que utiliza os Serviços. O Cliente será a parte contratante da Didit.

• Notificações:

Todas as notificações e comunicações formais relacionadas com este Acordo devem ser dirigidas a legal@didit.me ou ao endereço físico da entidade contratante aplicável acima.

2. Estrutura e Ordem de Precedência

Este Acordo é composto pelos seguintes documentos, que devem ser interpretados em conjunto. Em caso de conflito entre as disposições de qualquer um destes documentos, prevalecerão na seguinte ordem decrescente:

1. Formulários de Encomenda (documentos comerciais específicos do Cliente que detalham a aquisição de Serviços, volumes e preços).
2. Anexo 2 – Acordo de Processamento de Dados (DPA) (que rege o processamento de Dados Pessoais).
3. Estes Termos e Condições de Serviço.
4. Anexo 1 – Acordo de Nível de Serviço (SLA) (que estabelece os compromissos de disponibilidade para os Serviços).

3. Tabela de Conteúdos

1. Aceitação do Acordo
2. Partes do Acordo
3. Estrutura e Ordem de Precedência
4. Tabela de Conteúdos
5. Definições e Interpretações
6. Prazo do Acordo
7. Acesso e Utilização dos Serviços
8. Direitos de Propriedade Intelectual
9. Taxas e Condições de Pagamento
10. Confidencialidade
11. Proteção de Dados e Segurança
12. Exclusão de Garantias
13. Limitação de Responsabilidade
14. Indemnização
15. Declarações e Garantias
16. Suspensão e Rescisão
17. Disposições Gerais

Anexo 1 – Acordo de Nível de Serviço (SLA) Anexo 2 – Acordo de Processamento de Dados (DPA)

4. Definições e Interpretações

Para os fins deste Acordo, os seguintes termos terão os significados a eles atribuídos abaixo:

• Acordo: Refere-se a estes Termos e Condições de Serviço, juntamente com qualquer Formulário de Encomenda, Anexo 1 (SLA) e Anexo 2 (DPA), e quaisquer outras políticas ou anexos neles referenciados.
• API: Significa as interfaces de programação de aplicações fornecidas pela Didit para integração com os Serviços.
• Consola de Negócios: Refere-se ao portal de administração web da Didit, acessível via https://business.didit.me ou qualquer outro URL que a Didit possa designar, que permite ao Cliente gerir a sua conta e os Serviços.
• Créditos: São as unidades pré-pagas denominadas em USD que o Cliente adquire para pagar a utilização dos Serviços, de acordo com os preços e condições especificados pela Didit.
• Credenciais de Acesso: Incluem, mas não se limitam a, palavras-passe, chaves de API, tokens de autenticação ou qualquer outra informação de segurança fornecida pela Didit ao Cliente para aceder aos Serviços.
• Dados do Cliente: Todos os dados, incluindo Informações Confidenciais e Dados Pessoais de Utilizadores Finais, que o Cliente ou Utilizadores Autorizados submetem, carregam ou processam através dos Serviços.
• Dados Pessoais: Terão o significado atribuído no Regulamento Geral de Proteção de Dados (RGPD) da UE (Regulamento (UE) 2016/679) e/ou qualquer outra lei de proteção de dados aplicável.
• Documentação: Refere-se a quaisquer manuais de utilizador, especificações técnicas, guias de implementação, guias de API, políticas ou materiais de suporte relacionados com os Serviços que a Didit disponibiliza ao Cliente.
• Data de Entrada em Vigor: A data em que o Cliente aceita pela primeira vez este Acordo, conforme estabelecido na Secção 0.
• Formulário de Encomenda: Qualquer documento físico ou formulário online que formalize a compra de Créditos ou Serviços específicos pelo Cliente, que faça referência a estes Termos e faça parte deste Acordo.
• Força Maior: Qualquer evento ou circunstância fora do controlo razoável de uma Parte que impeça ou atrase o cumprimento das suas obrigações ao abrigo deste Acordo, tais como atos de Deus, guerra, terrorismo, insurreição, pandemia, desastre natural, interrupções globais da internet, escassez de energia, greves, sabotagem ou decisões governamentais.
• Informações Confidenciais: Todas as informações não públicas divulgadas por uma Parte à outra, seja oralmente, por escrito ou por meios eletrónicos, que sejam designadas como confidenciais ou que, pela natureza da informação ou pelas circunstâncias da divulgação, devam ser razoavelmente entendidas como confidenciais. Isso inclui, mas não se limita a, informações técnicas, financeiras, comerciais, de clientes, de preços, planos de marketing, software, código-fonte e Dados do Cliente.
• Propriedade Intelectual: Inclui patentes, direitos de autor, direitos de base de dados, direitos de design, marcas comerciais, nomes comerciais, know-how, segredos comerciais e quaisquer outros direitos de propriedade intelectual, registados ou não, e os seus pedidos, em qualquer parte do mundo.
• SDK: Significa os kits de desenvolvimento de software fornecidos pela Didit para facilitar a integração e utilização dos Serviços.
• Serviços: Refere-se à plataforma de infraestrutura de identidade e fraude da Didit, incluindo a Consola de Negócios, APIs, SDKs, Documentação e qualquer linha de produtos que a Didit disponibilize ao Cliente, incluindo Verificação de Utilizador (KYC), Verificação de Negócios (KYB), Monitorização de Transações, Rastreio de Carteiras (KYT), o Orquestrador de Fluxos de Trabalho, o servidor Model Context Protocol (MCP) e qualquer outro serviço que a Didit possa lançar ao abrigo deste Acordo.
• Utilizador Autorizado: Qualquer pessoa, como um funcionário ou contratado do Cliente, que o Cliente tenha autorizado a aceder e utilizar os Serviços em nome do Cliente, sujeito aos termos deste Acordo.
• Utilizador Final: A pessoa singular cuja identidade o Cliente procura verificar utilizando os Serviços da Didit.
• Verificação: O processo realizado pela Didit para verificar a identidade de um Utilizador Final, que culmina num resultado Aprovado ou Rejeitado ou em qualquer outro estado definido pela Didit ou num Formulário de Encomenda.
• Funcionalidade de Verificação: Um componente individual do fluxo de verificação, como Verificação de Documento de Identidade, Deteção de Vivacidade, Correspondência Facial, Pesquisa Facial, Rastreio AML, Comprovativo de Morada, Leitura NFC, Validação de Base de Dados, Questionários Personalizados, Verificação Telefónica, Verificação de E-mail, Análise de Dispositivo e IP, pesquisas de registos comerciais, extração de UBO, dados de oficiais, AML de entidade, KYC ligado, avaliação de regras de monitorização de transações, pesquisas de rastreio de carteiras, ou qualquer outro passo discreto oferecido pela Didit nas linhas de produtos.

Interpretação:

• Os títulos das secções são apenas para conveniência e não afetarão a interpretação deste Acordo.
• As palavras no singular incluem o plural e vice-versa.
• A palavra "incluindo" ou "inclui" significa "incluindo, sem limitação."
• Qualquer referência a uma lei ou regulamento refere-se a essa lei ou regulamento tal como em vigor de tempos a tempos, incluindo as suas alterações ou substituições.

5. Prazo do Acordo

5.1 Prazo do Acordo: Este Acordo terá início na Data de Entrada em Vigor e permanecerá em pleno vigor e efeito até ser rescindido por qualquer das Partes de acordo com a Secção 16 do presente.

5.2 Sem Compromisso Mínimo (salvo especificação no Formulário de Encomenda): Salvo especificação em contrário num Formulário de Encomenda assinado pelo Cliente (por exemplo, para planos Enterprise com compromissos de volume), o Cliente pode deixar de utilizar os Serviços a qualquer momento. No entanto, os Créditos não utilizados não serão reembolsáveis em nenhuma circunstância, conforme estabelecido na Secção 9.4. Os Formulários de Encomenda que estipulem um compromisso de consumo mínimo prevalecerão sobre esta cláusula.

6. Acesso e Utilização dos Serviços

6.1 Criação e Segurança da Conta: Para aceder e utilizar os Serviços, o Cliente deve criar uma conta na Consola de Negócios. O Cliente é o único responsável por manter a confidencialidade e segurança das suas Credenciais de Acesso (incluindo palavras-passe e chaves de API) e por todas as atividades que ocorram na sua conta, autorizadas ou não. O Cliente deve notificar imediatamente a Didit sobre qualquer uso não autorizado ou suspeita de uso não autorizado das suas Credenciais de Acesso ou conta. A Didit não será responsável por qualquer perda ou dano resultante da falha do Cliente em cumprir esta obrigação.

6.2 Licença: Sujeito ao cumprimento contínuo do Cliente com este Acordo e ao pagamento atempado de todas as taxas aplicáveis, a Didit concede ao Cliente uma licença não exclusiva, mundial, durante o prazo do Acordo, para aceder e utilizar os Serviços e a Documentação para os seus fins comerciais, especificamente para: (i) Verificar a identidade dos seus Utilizadores Finais. (ii) Ajudar na prevenção e deteção de fraude. (iii) Cumprir as obrigações legais e regulamentares aplicáveis (por exemplo, KYC/AML).

6.3 Direitos de Revenda e Sublicenciamento: O Cliente pode revender, sublicenciar ou de outra forma disponibilizar os Serviços a terceiros, desde que: (i) O Cliente garanta que tais terceiros cumprem todos os termos aplicáveis deste Acordo. (ii) O Cliente permaneça totalmente responsável perante a Didit por quaisquer atos ou omissões de tais terceiros. (iii) O Cliente celebre acordos por escrito com tais terceiros que incluam termos não menos protetores da Didit do que os contidos neste Acordo. (iv) O Cliente notifique a Didit sobre quaisquer acordos de sublicenciamento significativos, mediante solicitação.

6.4 Restrições de Uso: O Cliente concorda em não, e não permitirá que terceiros, realizem qualquer das seguintes ações:

• Copiar, modificar, adaptar, traduzir, fazer engenharia inversa, descompilar, desmontar ou tentar descobrir o código-fonte ou algoritmos dos Serviços ou qualquer parte deles, exceto na medida em que tal atividade seja expressamente permitida pela lei aplicável e não renunciável.
• Construir ou tentar construir um serviço de verificação de identidade concorrente utilizando os Serviços ou qualquer informação obtida a partir deles.
• Utilizar os Serviços para qualquer fim ilegal, discriminatório, fraudulento, enganoso, difamatório, obsceno, abusivo, prejudicial, ou de uma forma que infrinja os direitos de terceiros ou as leis aplicáveis.
• Utilizar os resultados da Verificação ou quaisquer Dados do Cliente obtidos através dos Serviços para treinar, desenvolver ou melhorar modelos de aprendizagem automática (ML) ou inteligência artificial (IA), ou qualquer outro algoritmo ou tecnologia semelhante, sem o consentimento prévio por escrito da Didit.
• Interferir ou tentar interferir com o funcionamento adequado dos Serviços, incluindo, sem limitação, introduzir vírus, trojans, worms, bombas lógicas ou qualquer outro material malicioso ou tecnologicamente prejudicial.
• Tentar obter acesso não autorizado aos Serviços, sistemas informáticos ou redes conectadas aos Serviços.
• Remover, alterar ou ocultar quaisquer avisos de direitos de propriedade intelectual ou marcas comerciais da Didit ou de terceiros contidos nos Serviços ou na Documentação.
• Utilizar os Serviços de uma forma que exceda os limites de uso ou volumes de Crédito adquiridos, ou que imponha uma carga irrazoável ou desproporcionalmente grande na infraestrutura da Didit.
• Abusar ou contornar as limitações de qualquer plano gratuito ou de teste criando múltiplas organizações ou contas na Consola de Negócios (https://business.didit.me), seja direta ou indiretamente, utilizando as mesmas ou diferentes identidades, com o objetivo de obter benefícios adicionais de nível gratuito além do que é pretendido para um único Cliente. Onde a Didit tiver evidências razoáveis de que uma pessoa ou entidade criou ou está a operar múltiplas organizações para explorar o plano gratuito, a Didit pode suspender ou rescindir as organizações e contas afetadas, com aviso prévio quando praticável.

6.5 Responsabilidades do Cliente: O Cliente será o único responsável por:

• Conformidade Legal: Garantir que a sua utilização dos Serviços, incluindo a recolha, processamento e utilização dos Dados do Cliente e Dados Pessoais do Utilizador Final, cumpre integralmente todas as leis, regulamentos e normas aplicáveis na sua jurisdição, incluindo, mas não se limitando a, leis de proteção de dados, leis anti-branqueamento de capitais (AML) e de combate ao financiamento do terrorismo (CFT).
• Avisos e Consentimentos do Utilizador Final: Obter, e manter registos de, todos os avisos, consentimentos explícitos e autorizações necessários dos Utilizadores Finais para a recolha, processamento e transferência dos seus Dados Pessoais (incluindo dados biométricos, se aplicável) para a Didit e os seus sub-processadores, conforme exigido pelas leis de proteção de dados aplicáveis.
• Segurança do Cliente: Implementar e manter medidas de segurança razoáveis e apropriadas para proteger os Dados do Cliente antes de serem submetidos à Didit e para proteger as suas Credenciais de Acesso. Isso inclui, sem limitação, o uso de conexões seguras (HTTPS), a implementação de webhooks assinados e outras boas práticas de segurança da informação.
• Precisão dos Dados: Garantir a precisão, integridade e legalidade dos Dados do Cliente submetidos à Didit através dos Serviços.

6.6 Gestão e Eliminação de Dados: Os resultados da verificação e os Dados do Cliente associados serão entregues ao Cliente via webhooks ou API da Didit. O Cliente terá a capacidade de eliminar permanentemente qualquer registo de Verificação ou Dados do Cliente via API ou Consola de Negócios a qualquer momento, sujeito às políticas de retenção da Didit e às obrigações legais como processador de dados, conforme detalhado no Anexo 2 (DPA).

7. Direitos de Propriedade Intelectual

7.1 Propriedade da Didit: A Didit (e os seus licenciadores, quando aplicável) retêm todos os direitos, títulos e interesses nos e para os Serviços (incluindo software, código, APIs, SDKs, modelos, algoritmos, tecnologia subjacente), Documentação, marcas comerciais da Didit, bem como quaisquer melhorias, modificações, atualizações, derivados ou desenvolvimentos dos mesmos. Nada neste Acordo será interpretado como uma transferência de propriedade Intelectual da Didit para o Cliente. Os direitos concedidos ao Cliente são apenas licenças, e nenhuma licença implícita é concedida ao abrigo deste Acordo.

7.2 Dados do Cliente: O Cliente é e permanecerá o único proprietário de todos os direitos, títulos e interesses nos e para os Dados do Cliente. O Cliente concede à Didit uma licença mundial, não exclusiva, isenta de royalties, sublicenciável e transferível para processar os Dados do Cliente unicamente com o objetivo de fornecer os Serviços ao Cliente e melhorar os Serviços, de acordo com o Anexo 2 (Acordo de Processamento de Dados) e a Política de Privacidade da Didit.

7.3 Feedback: No caso de o Cliente ou qualquer um dos seus Utilizadores Autorizados fornecer à Didit quaisquer sugestões, ideias, pedidos de melhoria, comentários, recomendações ou outras informações relacionadas com os Serviços ("Feedback"), o Cliente concede à Didit uma licença mundial, perpétua, irrevogável, isenta de royalties, totalmente paga, transferível e sublicenciável para usar, explorar, copiar, modificar, criar obras derivadas, distribuir, exibir publicamente, executar publicamente e de outra forma comercializar tal Feedback para qualquer finalidade e de qualquer maneira, sem qualquer obrigação ou compensação para o Cliente.

8. Taxas e Condições de Pagamento

8.1 Créditos Pré-pagos e Não Expiração: Os Serviços da Didit baseiam-se num modelo de Créditos pré-pagos. Os Créditos adquiridos pelo Cliente não expiram e podem ser utilizados enquanto o Acordo estiver em vigor.

8.2 Pagamento por Funcionalidades de Verificação Concluídas: O Cliente será cobrado por cada Funcionalidade de Verificação que seja concluída com sucesso pelo Utilizador Final durante o fluxo de verificação, de acordo com as taxas aplicáveis. Isto significa que: (i) Se um Utilizador Final concluir o passo de Verificação de Documento de Identidade, o Cliente será cobrado por essa funcionalidade. (ii) Se um Utilizador Final concluir o passo de Deteção de Vivacidade, o Cliente será cobrado por essa funcionalidade. (iii) Cada Funcionalidade de Verificação adicional concluída (como Rastreio AML, Comprovativo de Morada, Verificação NFC, etc.) incorrerá na sua respetiva cobrança. (iv) Não serão aplicadas cobranças por Funcionalidades de Verificação que falhem em completar devido a uma falha de sistema por parte da Didit.

O preço específico para cada Funcionalidade de Verificação está estabelecido na página de preços da Didit ou no Formulário de Encomenda aplicável.

8.3 Preços: Os preços aplicáveis para os Serviços são publicados na página de preços da Didit ou, para planos personalizados ou Enterprise, no Formulário de Encomenda correspondente. A Didit reserva-se o direito de modificar os seus preços a qualquer momento, o que será notificado com antecedência de acordo com a Secção 17.2.

8.4 Processo de Pagamento e Não Reembolsabilidade: A compra de Créditos será feita através da plataforma de pagamento designada pela Didit (atualmente Stripe ou métodos de pagamento acordados no Formulário de Encomenda). Todos os pagamentos são finais, e os Créditos adquiridos não são reembolsáveis, salvo indicação expressa em contrário neste Acordo ou num Formulário de Encomenda. Os preços indicados não incluem impostos (como IVA) ou taxas bancárias ou de processamento, que serão da responsabilidade do Cliente.

8.5 Falha de Pagamentos / Estornos e Suspensão de Conta: Em caso de três tentativas consecutivas de pagamento automático falhadas (para reabastecimento automático de Créditos, se configurado) ou em caso de não pagamento de faturas emitidas para planos Enterprise, a Didit pode, a seu exclusivo critério, suspender o acesso do Cliente aos Serviços ou rescindir este Acordo de acordo com a Secção 16. A Didit reserva-se o direito de cobrar juros sobre pagamentos em atraso à taxa máxima permitida pela lei aplicável, calculados diariamente a partir da data de vencimento até à data do pagamento integral.

8.6 Planos Enterprise: Para Clientes que tenham contratado um plano Enterprise ou personalizado através de um Formulário de Encomenda assinado, as condições de preço específicas, termos de pagamento, compromissos de consumo mínimo e faturação estabelecidos nesse Formulário de Encomenda prevalecerão ou complementarão as disposições desta Secção 8.

9. Confidencialidade

Cada Parte ("Parte Recetora") concorda em proteger as Informações Confidenciais da outra Parte ("Parte Divulgadora") com pelo menos o mesmo grau de cuidado que usa para proteger as suas próprias informações de natureza semelhante, mas nunca menos do que um cuidado razoável. A Parte Recetora utilizará as Informações Confidenciais da Parte Divulgadora apenas para cumprir as suas obrigações ao abrigo deste Acordo ou conforme permitido pela lei aplicável.

9.1 Exclusões das Informações Confidenciais: As Informações Confidenciais não incluirão qualquer informação que: (a) seja ou se torne publicamente conhecida sem culpa da Parte Recetora; (b) estivesse legalmente na posse da Parte Recetora antes da sua divulgação pela Parte Divulgadora, sem uma obrigação de confidencialidade; (c) seja divulgada à Parte Recetora por um terceiro sem restrição ou violação de qualquer obrigação de confidencialidade; (d) seja desenvolvida independentemente pela Parte Recetora sem referência às Informações Confidenciais da Parte Divulgadora; ou (e) sejam Dados do Cliente processados pela Didit de forma agregada ou pseudonimizada para a melhoria dos seus algoritmos, conforme estabelecido no Anexo 2 (DPA).

9.2 Divulgação Compelida: A Parte Recetora pode divulgar Informações Confidenciais se exigido por lei, ordem judicial ou uma autoridade governamental competente, desde que, na medida legalmente permitida, a Parte Recetora dê à Parte Divulgadora aviso prévio suficiente para permitir que a Parte Divulgadora procure uma ordem de proteção ou renúncia.

9.3 Obrigação do Pessoal: Cada Parte garantirá que os seus funcionários, agentes e contratados que tenham acesso às Informações Confidenciais da outra Parte estão sujeitos a obrigações de confidencialidade que são pelo menos tão restritivas quanto as estabelecidas nesta Secção 9.

9.4 Sobrevivência: As obrigações de confidencialidade estabelecidas nesta Secção 9 permanecerão em vigor durante o prazo deste Acordo e por um período de cinco (5) anos a partir da data da sua rescisão, exceto no que diz respeito a segredos comerciais, para os quais a obrigação de confidencialidade será indefinida enquanto tal informação mantiver o seu estatuto de segredo comercial.

10. Proteção de Dados e Segurança

O tratamento de Dados Pessoais pela Didit em nome do Cliente será regido pelo Anexo 2 – Acordo de Processamento de Dados (DPA), que faz parte integrante deste Acordo. O DPA detalha as obrigações de cada Parte relativamente ao cumprimento das leis de proteção de dados, medidas de segurança e as responsabilidades do processador de dados e do controlador de dados.

11. Exclusão de Garantias

OS SERVIÇOS DA DIDIT, INCLUINDO A PLATAFORMA, APIS, SDKS E DOCUMENTAÇÃO, SÃO FORNECIDOS "TAL COMO ESTÃO" E "CONFORME DISPONÍVEIS", SEM GARANTIAS DE QUALQUER TIPO. NA MÁXIMA EXTENSÃO PERMITIDA PELA LEI APLICÁVEL, A DIDIT EXCLUI EXPRESSAMENTE TODAS AS GARANTIAS, EXPRESSAS OU IMPLÍCITAS, INCLUINDO, MAS NÃO SE LIMITANDO A, AS GARANTIAS IMPLÍCITAS DE COMERCIABILIDADE, ADEQUAÇÃO A UM FIM ESPECÍFICO, NÃO INFRAÇÃO DE DIREITOS DE TERCEIROS, PRECISÃO DOS DADOS, DISPONIBILIDADE ININTERRUPTA OU SEM ERROS.

A DIDIT NÃO GARANTE QUE OS SERVIÇOS FUNCIONARÃO DE FORMA ININTERRUPTA, SEGURA OU SEM ERROS, QUE OS DEFEITOS SERÃO CORRIGIDOS, OU QUE OS SERVIÇOS OU OS SERVIDORES QUE OS DISPONIBILIZAM ESTÃO LIVRES DE VÍRUS OU OUTROS COMPONENTES PREJUDICIAIS. A DIDIT NÃO OFERECE GARANTIAS QUANTO AOS RESULTADOS QUE PODEM SER OBTIDOS COM A UTILIZAÇÃO DOS SERVIÇOS OU QUANTO À PRECISÃO, FIABILIDADE OU INTEGRALIDADE DE QUALQUER INFORMAÇÃO OBTIDA ATRAVÉS DOS SERVIÇOS. O CLIENTE ASSUME TODOS OS RISCOS ASSOCIADOS À UTILIZAÇÃO DOS SERVIÇOS.

EM PARTICULAR, O CLIENTE RECONHECE QUE AS VERIFICAÇÕES DE IDENTIDADE SÃO PROCESSOS COMPLEXOS BASEADOS EM VÁRIAS FONTES DE DADOS E ALGORITMOS. A DIDIT NÃO GARANTE A IDENTIDADE DE QUALQUER UTILIZADOR FINAL, A VERACIDADE OU AUTENTICIDADE DE QUALQUER DOCUMENTO DE IDENTIDADE, OU A AUSÊNCIA DE FRAUDE. OS RESULTADOS FORNECIDOS PELOS SERVIÇOS DA DIDIT SÃO APENAS PARA FINS INFORMATIVOS E APOIAM O PROCESSO DE TOMADA DE DECISÃO DO CLIENTE. O CLIENTE É O ÚNICO RESPONSÁVEL PELAS SUAS DECISÕES FINAIS BASEADAS OU NÃO NOS RESULTADOS DA DIDIT, E A DIDIT NÃO ASSUME QUALQUER RESPONSABILIDADE POR TAIS DECISÕES OU PELAS SUAS CONSEQUÊNCIAS.

12. Limitação de Responsabilidade

NA MÁXIMA EXTENSÃO PERMITIDA PELA LEI APLICÁVEL, EM NENHUM CASO A DIDIT, AS SUAS AFILIADAS, DIRETORES, FUNCIONÁRIOS, AGENTES, FORNECEDORES OU LICENCIADORES SERÃO RESPONSÁVEIS POR QUAISQUER DANOS INDIRETOS, INCIDENTAIS, ESPECIAIS, CONSEQUENCIAIS, PUNITIVOS, EXEMPLARES OU POR PERDA DE LUCROS, RECEITAS, DADOS, USO OU BOA VONTADE, INCORRIDOS PELO CLIENTE OU POR QUALQUER TERCEIRO, SEJA NUMA AÇÃO CONTRATUAL, DELITUAL (INCLUINDO NEGLIGÊNCIA) OU DE OUTRA FORMA, MESMO QUE A DIDIT TENHA SIDO AVISADA DA POSSIBILIDADE DE TAIS DANOS.

A RESPONSABILIDADE TOTAL E CUMULATIVA DA DIDIT AO ABRIGO DESTE ACORDO POR QUALQUER CAUSA E SOB QUALQUER TEORIA DE RESPONSABILIDADE SERÁ LIMITADA AO MONTANTE DE CRÉDITOS OU TAXAS DE SERVIÇO EFETIVAMENTE PAGOS PELO CLIENTE À DIDIT NOS DOZE (12) MESES ANTERIORES AO EVENTO QUE DEU ORIGEM À RECLAMAÇÃO.

AS LIMITAÇÕES ESTABELECIDAS NESTA SECÇÃO NÃO SE APLICARÃO À RESPONSABILIDADE DECORRENTE DE NEGLIGÊNCIA GRAVE OU MÁ CONDUTA INTENCIONAL DA DIDIT, OBRIGAÇÕES DE INDEMNIZAÇÃO RECÍPROCAS ESTABELECIDAS NA SECÇÃO 14, OU EM CASOS EM QUE A LEI APLICÁVEL NÃO PERMITA A EXCLUSÃO OU LIMITAÇÃO DE CERTOS DANOS.

13. Indemnização

13.1 Indemnização pelo Cliente: O Cliente defenderá, indemnizará e isentará a Didit, as suas afiliadas, diretores, funcionários, agentes e fornecedores ("Partes Indemnizadas da Didit") de e contra todas e quaisquer reclamações, exigências, danos, responsabilidades, perdas, custos e despesas (incluindo honorários advocatícios razoáveis) decorrentes ou relacionadas com: (i) A violação pelo Cliente de qualquer das suas obrigações, declarações ou garantias ao abrigo deste Acordo, incluindo, mas não se limitando a, as relacionadas com segurança, proteção de dados ou restrições de uso. (ii) Qualquer reclamação de um Utilizador Final ou de um terceiro relacionada com a recolha ou processamento de Dados Pessoais pelo Cliente (incluindo a falha em obter os consentimentos necessários), ou as decisões do Cliente baseadas nos resultados da Verificação. (iii) A utilização dos Serviços pelo Cliente de uma forma que não cumpra as leis ou regulamentos aplicáveis. (iv) A infração pelo Cliente ou pelos seus Dados do Cliente de quaisquer direitos de Propriedade Intelectual ou de privacidade de terceiros.

13.2 Indemnização pela Didit: A Didit defenderá, indemnizará e isentará o Cliente, as suas afiliadas, diretores, funcionários e agentes de e contra todas e quaisquer reclamações, exigências, danos, responsabilidades, perdas, custos e despesas (incluindo honorários advocatícios razoáveis) decorrentes ou relacionadas com uma reclamação de terceiros de que os Serviços, conforme fornecidos pela Didit ao Cliente e utilizados de acordo com este Acordo, infringem diretamente uma patente, direito de autor ou marca comercial de tal terceiro.

Exclusões: A obrigação de indemnização da Didit não se aplicará a reclamações decorrentes de: (a) a utilização dos Serviços pelo Cliente em combinação com qualquer software, hardware ou dados não fornecidos pela Didit; (b) modificação dos Serviços por uma parte que não a Didit; ou (c) utilização de versões desatualizadas dos Serviços se uma versão mais recente e não infratora tiver sido fornecida pela Didit.

13.3 Procedimento de Indemnização: A Parte que procura indemnização ("Parte Indemnizada") deverá: (i) notificar prontamente a parte indemnizadora ("Parte Indemnizadora") por escrito de qualquer reclamação; (ii) permitir à Parte Indemnizadora o controlo exclusivo da defesa e resolução da reclamação (desde que a resolução não imponha uma obrigação não monetária à Parte Indemnizada ou admita responsabilidade por parte da Parte Indemnizada sem o seu consentimento prévio por escrito); e (iii) fornecer à Parte Indemnizadora toda a assistência e cooperação razoáveis, a expensas da Parte Indemnizadora.

14. Declarações e Garantias

14.1 Declarações e Garantias do Cliente: O Cliente declara e garante à Didit que: (i) Tem plena capacidade legal e autoridade para celebrar e executar este Acordo. (ii) Cumprirá todas as leis, regulamentos e normas aplicáveis na sua utilização dos Serviços e na recolha, processamento e transferência de Dados do Cliente e Dados Pessoais. (iii) Obteve e manterá todos os consentimentos, permissões e autorizações necessários dos Utilizadores Finais e de qualquer outra pessoa singular para que a Didit processe os seus Dados Pessoais de acordo com este Acordo e o DPA. (iv) Todos os Dados do Cliente fornecidos à Didit são precisos, completos e lícitos, e o Cliente tem o direito de fornecer tais dados à Didit para processamento.

14.2 Declarações e Garantias da Didit: A Didit declara e garante ao Cliente que: (i) Tem plena capacidade legal e autoridade para celebrar e executar este Acordo. (ii) Os Serviços serão prestados de forma profissional e de acordo com os padrões da indústria. (iii) Os Serviços estarão substancialmente em conformidade com as descrições contidas na Documentação.

15. Suspensão e Rescisão

15.1 Rescisão por Conveniência:

• Pelo Cliente: O Cliente pode encerrar a sua conta e rescindir este Acordo a qualquer momento, o que resultará na perda dos Créditos não utilizados.
• Pela Didit: A Didit pode rescindir este Acordo e o acesso do Cliente aos Serviços por conveniência, sem justa causa, mediante aviso prévio por escrito de trinta (30) dias. Nesse caso, a Didit reembolsará o Cliente o valor de quaisquer Créditos não utilizados.

15.2 Rescisão por Justa Causa: Qualquer das Partes pode rescindir este Acordo imediatamente mediante aviso por escrito à outra Parte se: (i) A outra Parte violar materialmente qualquer das suas obrigações ao abrigo deste Acordo e não corrigir tal violação no prazo de trinta (30) dias após receber aviso por escrito especificando a violação. (ii) A outra Parte se tornar falida, insolvente, liquidar, dissolver, entrar num acordo voluntário com credores, ou qualquer processo semelhante.

A Didit pode suspender ou rescindir imediatamente o acesso do Cliente aos Serviços, sem aviso prévio ou período de correção, nos seguintes casos: (a) Violação grave ou repetida da Secção 6.4 (Restrições de Uso) ou 6.5 (Responsabilidades do Cliente). (b) Uso ilegal, fraudulento ou abusivo dos Serviços. (c) Não pagamento ou violação repetida dos termos de pagamento. (d) Quando a Didit determinar, a seu exclusivo critério, que a segurança ou integridade dos Serviços ou Dados do Cliente pode ser comprometida. (e) Em conformidade com uma ordem judicial ou requisito legal. (f) Abuso do plano gratuito ou de teste através da criação de múltiplas organizações ou contas, conforme descrito na Secção 6.4, onde as organizações e contas afetadas podem ser suspensas ou rescindidas.

15.3 Efeitos da Rescisão: Após a rescisão deste Acordo por qualquer motivo: (i) Todas as licenças e direitos concedidos ao Cliente ao abrigo deste Acordo cessarão imediatamente. (ii) O Cliente cessará toda a utilização dos Serviços e Documentação. (iii) Quaisquer montantes em dívida pelo Cliente à Didit na data de rescisão tornar-se-ão imediatamente devidos e pagáveis. (iv) Se a rescisão for por justa causa atribuível ao Cliente, os Créditos não utilizados serão perdidos e não reembolsáveis. (v) As obrigações de retenção e eliminação de Dados do Cliente serão regidas pelo Anexo 2 (DPA). (vi) As secções deste Acordo que, pela sua natureza, devem sobreviver à rescisão, incluindo, sem limitação, as relativas a Propriedade Intelectual, Confidencialidade, Exclusão de Garantias, Limitação de Responsabilidade, Indemnização, Lei Aplicável e Jurisdição, e Disposições Gerais, permanecerão em pleno vigor e efeito.

16. Disposições Gerais

16.1 Força Maior: Nenhuma das Partes será responsável por qualquer atraso ou falha no cumprimento das suas obrigações ao abrigo deste Acordo se tal atraso ou falha for causado por Força Maior. A Parte afetada notificará a outra Parte do evento de Força Maior o mais rapidamente possível e fará esforços razoáveis para mitigar os seus efeitos.

16.2 Modificações ao Acordo: A Didit reserva-se o direito de modificar ou atualizar estes Termos e Condições, Anexos ou políticas de serviço a qualquer momento. A Didit notificará o Cliente de tais modificações com pelo menos trinta (30) dias de antecedência, publicando os Termos revistos no seu Website ou Consola de Negócios, ou enviando notificação direta ao Cliente. Se o Cliente não concordar com as modificações, poderá rescindir o Acordo mediante aviso por escrito antes da data de entrada em vigor dos novos termos. A utilização continuada dos Serviços pelo Cliente após a data de entrada em vigor das modificações constituirá aceitação vinculativa dos termos revistos.

16.3 Cessão: O Cliente não pode ceder ou transferir os seus direitos ou obrigações ao abrigo deste Acordo, no todo ou em parte, sem o consentimento prévio por escrito da Didit. Qualquer tentativa de cessão ou transferência que não cumpra esta disposição será nula e sem efeito. A Didit pode ceder ou transferir livremente este Acordo, no todo ou em parte, a uma afiliada ou em conexão com uma fusão, aquisição, reestruturação corporativa ou venda de todos ou substancialmente todos os seus ativos.

16.4 Divisibilidade: Se qualquer disposição deste Acordo for considerada inválida ou inexequível por um tribunal de jurisdição competente, tal disposição será limitada ou eliminada na extensão mínima necessária, e as restantes disposições deste Acordo permanecerão em pleno vigor e efeito.

16.5 Não Renúncia: A falha de qualquer das Partes em exercer ou o atraso no exercício de qualquer direito ou recurso ao abrigo deste Acordo não operará como uma renúncia a esse direito ou recurso, nem impedirá qualquer exercício subsequente desse direito ou recurso. Uma renúncia expressa a qualquer violação não constituirá uma renúncia a qualquer violação subsequente.

16.6 Lei Aplicável e Jurisdição: A lei aplicável e a jurisdição exclusiva dependem do local de estabelecimento do Cliente, o que também determina a entidade Didit contratante (ver Secção 1):

• Clientes estabelecidos na União Europeia, Espaço Económico Europeu, Reino Unido, Suíça ou América Latina contratam com a Didit Identity Spain, S.L. Este Acordo é regido pelas leis de Espanha (sem referência aos seus princípios de conflito de leis), e as Partes submetem-se irrevogavelmente à jurisdição exclusiva dos tribunais da cidade de Barcelona, Espanha para qualquer disputa decorrente ou relacionada com este Acordo.
• Clientes estabelecidos nos Estados Unidos, Canadá, Ásia-Pacífico, Médio Oriente e todas as outras jurisdições contratam com a Didit Identity, Inc. Este Acordo é regido pelas leis do Estado de Delaware, Estados Unidos da América (sem referência aos seus princípios de conflito de leis), e as Partes submetem-se irrevogavelmente à jurisdição exclusiva dos tribunais estaduais e federais localizados no Condado de New Castle, Delaware para qualquer disputa decorrente ou relacionada com este Acordo.

Esta Secção 16.6 não priva um consumidor das proteções obrigatórias da lei do país da sua residência habitual. A Convenção das Nações Unidas sobre Contratos para a Venda Internacional de Mercadorias não se aplica.

16.7 Acordo Integral: Este Acordo, incluindo todos os Formulários de Encomenda e Anexos, constitui o acordo integral e exclusivo entre o Cliente e a Didit relativamente ao seu objeto e substitui todas as comunicações, propostas e acordos anteriores ou contemporâneos, sejam orais ou escritos, entre as Partes.

16.8 Relação das Partes: As Partes são contratantes independentes. Este Acordo não cria uma parceria, joint venture, emprego, franquia ou relação de agência entre o Cliente e a Didit. Nenhuma das Partes tem autoridade para vincular a outra ou para incorrer em obrigações em nome da outra.

16.9 Notificações: Todas as notificações exigidas ou permitidas ao abrigo deste Acordo devem ser por escrito e serão consideradas entregues quando: (a) entregues pessoalmente; (b) enviadas por correio registado ou com aviso de receção; (c) enviadas por e-mail para os endereços de notificação especificados na Secção 1 ou no Formulário de Encomenda (com confirmação de receção); ou (d) no caso de avisos gerais da Didit ao Cliente, publicados na Consola de Negócios ou no Website.

16.10 Leis de Conformidade de Exportação: O Cliente declara e garante que nem ele nem os seus Utilizadores Autorizados estão sujeitos a sanções económicas ou embargos impostos pela União Europeia, Estados Unidos ou outras autoridades competentes, e que não utilizará os Serviços para fins proibidos por tais leis de controlo de exportação.

16.11 Publicidade: O Cliente concorda que a Didit pode utilizar o nome e o logótipo do Cliente nos materiais de marketing da Didit e na lista de clientes, a menos que o Cliente notifique a Didit por escrito da sua objeção a tal utilização.

16.12 Sobrevivência: As Secções 7 (Direitos de Propriedade Intelectual), 8 (Taxas e Condições de Pagamento – em relação a montantes devidos), 9 (Confidencialidade), 11 (Exclusão de Garantias), 12 (Limitação de Responsabilidade), 13 (Indemnização), 15.3 (Efeitos da Rescisão) e 16 (Disposições Gerais) sobreviverão a qualquer rescisão ou expiração deste Acordo.

Anexo 1 – Acordo de Nível de Serviço (SLA)

Para Planos Enterprise, as condições operacionais e métricas de serviço assinadas no seu Formulário de Encomenda terão precedência sobre este Anexo.

1. Âmbito: Este Acordo de Nível de Serviço ("SLA") aplica-se à disponibilidade operacional da API de verificação central da Didit, do Painel da Consola de Negócios e dos pontos de extremidade do SDK diretamente geridos pela Didit.

2. Compromisso de Disponibilidade: A Didit compromete-se a manter um tempo de atividade mensal para os Serviços centrais de acordo com a seguinte métrica:

3. Medição do Tempo de Atividade: O tempo de atividade é medido minuto a minuto utilizando as ferramentas de monitorização internas da Didit. O tempo de inatividade será considerado qualquer minuto durante o qual a API central ou o Painel falhe em responder com sucesso a um pedido HTTPS (códigos de estado 2XX/3XX), conforme detetado pelo sistema de monitorização da Didit ou reportado e validado pelo Cliente através de um alerta de suporte.

4. Exclusões do Tempo de Atividade: O Tempo de Atividade Mensal não incluirá tempo de inatividade ou interrupção do serviço resultante de:

• Força Maior: Eventos fora do controlo razoável da Didit, conforme definido na Secção 16.1 do Acordo principal.
• Manutenção Agendada: Períodos de manutenção planeada para os Serviços. A Didit esforçar-se-á para limitar a manutenção agendada a um máximo de cinco (5) horas por mês, com pelo menos quarenta e oito (48) horas de aviso prévio fornecido através da Consola de Negócios ou e-mail.
• Manutenção Urgente: Manutenção não agendada necessária para resolver problemas críticos de segurança ou desempenho. A Didit tentará fornecer um aviso prévio razoável, mas isso pode não ser possível em todos os casos.
• Fatores fora do controlo razoável da Didit: Incluindo, mas não se limitando a, problemas de hardware ou software do lado do Cliente, interrupções da rede de internet não atribuíveis à Didit, ataques de negação de serviço que excedam os limiares de mitigação padrão, ou falhas de fornecedores de serviços de terceiros (como fornecedores de nuvem, a menos que seja demonstrada negligência grave por parte da Didit na sua seleção ou gestão).
• Atos ou omissões do Cliente ou dos seus Utilizadores Autorizados: Incluindo qualquer violação do Acordo.

5. Créditos de Serviço (Créditos SLA): Se a Didit não cumprir o Compromisso de Tempo de Atividade Mensal estabelecido na Secção 2, o Cliente pode solicitar um crédito para a sua conta Didit (na forma de Créditos Didit não reembolsáveis) de acordo com a seguinte tabela:

5.1 Processo de Reclamação de Crédito: Para solicitar um crédito, o Cliente deve enviar um pedido por escrito para billing@didit.me no prazo de trinta (30) dias de calendário após o final do mês em que ocorreu a violação do SLA. O pedido deve incluir a data e hora da interrupção do serviço e uma breve descrição da interrupção. O crédito de serviço é o único e exclusivo recurso do Cliente para qualquer violação do Compromisso de Tempo de Atividade ao abrigo deste SLA. O valor do crédito será automaticamente aplicado à conta do Cliente no próximo ciclo de faturação ou reabastecimento de Créditos.

Anexo 2 – Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados ("DPA") faz parte integrante do Acordo principal e é aplicável sempre que a Didit processa Dados Pessoais em nome do Cliente, de acordo com o Regulamento Geral de Proteção de Dados (RGPD) e outras leis de proteção de dados aplicáveis.

1. Contexto e Âmbito: Este DPA estabelece os direitos e obrigações das Partes no que diz respeito ao processamento de Dados Pessoais pela Didit como Processador de Dados, agindo em nome do Cliente como Controlador de Dados.

2. Funções e Natureza do Processamento:

2.1 Detalhes do Processamento:

• Finalidade do Processamento: O processamento de Dados Pessoais pela Didit destina-se exclusivamente a fornecer Serviços de verificação de identidade ao Cliente, incluindo, mas não se limitando a, as obrigações de conformidade KYC/AML do Cliente, verificação de idade e prevenção de fraude.
• Categorias de Titulares de Dados: Os Dados Pessoais processados dizem respeito a Utilizadores Finais cujas identidades são verificadas pelo Cliente através dos Serviços.
• Categorias de Dados Pessoais: Os dados processados podem incluir: informações de documento de identidade (nome, data de nascimento, nacionalidade, número do documento), imagens de selfie/vídeo (incluindo dados biométricos, como dados faciais), dados de contacto (e-mail, telefone), dados de dispositivo e conexão (endereço IP, tipo de dispositivo, localização) e dados de rastreio AML/sanções.
• Duração do Processamento e Retenção: O período de retenção padrão para Dados Pessoais processados em fluxos de verificação é indefinido ("ilimitado") a menos que o Cliente configure um período mais curto. O Cliente pode configurar a retenção por aplicação na Consola de Negócios entre 30 dias e 10 anos, e pode eliminar qualquer sessão individual ou registo de Verificação a qualquer momento através do ponto de extremidade da API `POST /v3/sessions/:session_id/delete/` ou da Consola de Negócios. A Didit eliminará ou devolverá os Dados Pessoais mediante instrução do Cliente ou rescisão do Acordo, a menos que a lei aplicável exija a retenção. A retenção de dados biométricos está em todos os casos sujeita e limitada pelas leis e regulamentos de privacidade biométrica aplicáveis — incluindo o Artigo 9 do Regulamento Geral de Proteção de Dados (RGPD) da UE, a Illinois Biometric Information Privacy Act (BIPA), a Texas Capture or Use of Biometric Identifier Act (CUBI), a Washington H.B. 1493, e qualquer outra lei de privacidade biométrica aplicável; onde tal lei prescreve um período de retenção mais curto ou uma obrigação de destruição anterior, essa regra mais curta ou mais rigorosa prevalece sobre qualquer período de retenção padrão ou configurado pelo Cliente.

2.2 Base Legal para o Processamento: O Cliente é o único responsável por determinar a base legal válida para a recolha e processamento dos Dados Pessoais dos Utilizadores Finais, bem como para a transferência de tais dados para a Didit. Isso pode incluir, por exemplo, o consentimento explícito do titular dos dados (especialmente para dados biométricos), a execução de um contrato, o cumprimento de uma obrigação legal ou um interesse legítimo. O Cliente compromete-se a fornecer os avisos de privacidade necessários e a obter os consentimentos exigidos dos Utilizadores Finais de acordo com a lei aplicável antes de enviar quaisquer Dados Pessoais para a Didit.

2.3 Treino de Modelos Anónimos / Pseudonimizados e Deteção de Fraude (Didit como Controlador Independente): O Cliente reconhece e concorda que a Didit pode utilizar dados anonimizados ou pseudonimizados derivados dos Dados do Cliente para os seguintes fins como Controlador Independente:

(i) Treino e melhoria de modelos de verificação, biométricos e de deteção de fraude — incluindo classificadores de documentos, vivacidade, correspondência facial, deteção de deepfake, deteção de ataques de injeção e modelos de pontuação de risco — para aumentar a segurança, reduzir a fraude e melhorar a precisão dos Serviços para todos os clientes.

(ii) Salvaguardas de prevenção de fraude entre clientes — identificação e sinalização de atores fraudulentos conhecidos, padrões de ataque e tentativas de fraude repetida em diferentes aplicações de Clientes que utilizam os Serviços da Didit.

A Didit processa estes dados com base no seu interesse legítimo em operar uma infraestrutura de identidade e fraude segura e precisa, e aplica anonimização, pseudonimização, agregação e controlos de acesso para que os dados utilizados para estes fins não possam ser razoavelmente ligados a um indivíduo identificável fora do registo de Verificação subjacente.

Opt-out. O Cliente (ou um Utilizador Final afetado) pode optar por não participar no processamento descrito nesta Secção 2.3 (a) eliminando o registo de Verificação subjacente através da API ou da Consola de Negócios, o que remove o registo dos pipelines de treino no próximo ciclo de atualização, ou (b) enviando um e-mail para privacy@didit.me com o identificador de sessão ou conta relevante, solicitando um opt-out. Os opt-outs aplicam-se prospetivamente a partir da data do pedido; a Didit também fará esforços comercialmente razoáveis para purgar registos elegíveis dos conjuntos de dados de treino ativos.

3. Obrigações da Didit (Processador de Dados): A Didit compromete-se a: (i) Processar Dados Pessoais apenas mediante instruções documentadas do Cliente, a menos que exigido pela legislação da União ou do Estado-Membro, caso em que a Didit informará o Cliente sobre esse requisito legal antes do processamento, a menos que essa lei proíba tal informação por motivos importantes de interesse público. (ii) Garantir a confidencialidade dos Dados Pessoais. A Didit garantirá que as pessoas autorizadas a processar Dados Pessoais se comprometem a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada. (iii) Implementar medidas técnicas e organizacionais (TOMs) apropriadas e robustas para garantir um nível de segurança adequado ao risco, incluindo encriptação de dados em repouso (AES-256) e em trânsito (TLS 1.3), gestão de chaves num Serviço de Gestão de Chaves (KMS) dedicado, controlo de acesso baseado em funções, separação de ambientes, resiliência de sistemas e serviços de processamento, monitorização contínua e testes de segurança regulares. A Didit mantém SOC 2 Tipo 1 (Segurança, Disponibilidade, Confidencialidade; exame SOC 2 Tipo 2 em curso), ISO/IEC 27001:2022, iBeta Nível 1 Deteção de Ataque de Apresentação (PAD) sob ISO/IEC 30107-3, e a atestação de sandbox Tesoro / SEPBLAC / CNMV emitida sob a Ley 7/2020 de sandbox financeiro de Espanha. (iv) Assistir o Cliente no cumprimento das suas obrigações como Controlador de Dados, tendo em conta a natureza do processamento e as informações disponíveis para a Didit, incluindo:

(v) Notificar o Cliente sem demora indevida de qualquer violação de segurança de Dados Pessoais de que a Didit tome conhecimento. A Didit fornecerá ao Cliente informações conhecidas sobre a violação e cooperará com o Cliente na mitigação dos seus efeitos e no cumprimento das obrigações de notificação.

4. Obrigações do Cliente (Controlador de Dados): O Cliente compromete-se a: (i) Estabelecer e manter uma base legal adequada para o processamento e transferência de Dados Pessoais para a Didit. (ii) Fornecer os avisos de privacidade necessários e obter os consentimentos exigidos dos Utilizadores Finais, de acordo com as leis de proteção de dados aplicáveis, antes de utilizar os Serviços da Didit. (iii) Configurar os períodos de retenção de dados através da Consola ou API da Didit de acordo com as suas próprias obrigações legais e políticas internas. (iv) Responder a pedidos de autoridades de supervisão ou titulares de dados que a Didit redirecione para o Cliente.

5. Sub-processadores: O Cliente concede à Didit uma autorização geral para o envolvimento de sub-processadores para o processamento de Dados Pessoais. A Didit mantém uma lista atualizada dos seus sub-processadores, que é partilhada com Clientes e potenciais Clientes por e-mail após a assinatura de um Acordo de Não Divulgação (NDA). Para solicitar a lista atual, envie um e-mail para security@didit.me. A Didit notifica os Clientes subscritos por e-mail sobre qualquer adição ou alteração à lista de sub-processadores com antecedência suficiente para permitir que o Cliente objete. A Didit impõe aos seus sub-processadores obrigações de proteção de dados substancialmente semelhantes às estabelecidas neste DPA e permanece totalmente responsável perante o Cliente pelo cumprimento dessas obrigações pelos seus sub-processadores. O Cliente pode opor-se a um novo sub-processador por motivos razoáveis de proteção de dados, caso em que as Partes trabalharão de boa-fé para encontrar uma solução, incluindo a possibilidade de rescindir o Serviço afetado.

6. Violações de Segurança: Em caso de violação de segurança de Dados Pessoais: (i) A Didit notificará o Cliente sem demora indevida após tomar conhecimento da mesma. (ii) A Didit fornecerá ao Cliente detalhes sobre a violação, incluindo a natureza da violação, as categorias de dados afetados, o número aproximado de titulares de dados e registos afetados, as prováveis consequências e as medidas tomadas ou propostas para a resolver e mitigar os seus possíveis efeitos adversos. (iii) A Didit cooperará razoavelmente com o Cliente na investigação da violação e no cumprimento das suas obrigações de notificação às autoridades de supervisão e aos titulares de dados, embora a decisão final sobre tais notificações caiba ao Cliente.

7. Transferências Internacionais de Dados: A infraestrutura de processamento primária da Didit está alojada no Espaço Económico Europeu (EEE). Qualquer transferência de Dados Pessoais para fora do EEE pela Didit ou pelos seus sub-processadores será feita apenas com base num mecanismo de transferência legalmente reconhecido ao abrigo do RGPD, como as Cláusulas Contratuais Padrão (SCCs) aprovadas pela Comissão Europeia, uma decisão de adequação, ou qualquer outro mecanismo legal aplicável para garantir um nível adequado de proteção.

8. Eliminação / Devolução de Dados Pessoais: Mediante pedido por escrito do Cliente ou rescisão deste Acordo, a Didit, à escolha do Cliente, eliminará ou devolverá todos os Dados Pessoais ao Cliente, a menos que a lei aplicável exija que a Didit retenha os Dados Pessoais. O Cliente pode gerir a eliminação dos seus Dados Pessoais através da API ou Consola da Didit de acordo com a sua própria política de retenção.

9. Auditoria e Documentação: A Didit disponibilizará ao Cliente, mediante pedido e com aviso prévio razoável (não inferior a 30 dias), todas as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações estabelecidas neste DPA. No caso de o Cliente exigir uma auditoria direta das instalações ou sistemas da Didit, tal auditoria será limitada e não intrusiva, sujeita a acordo mútuo sobre o âmbito e a metodologia, e o Cliente suportará os custos razoáveis associados. Mediante pedido e sob um NDA assinado, a Didit fornece o seu relatório SOC 2 Tipo 1 (SOC 2 Tipo 2 em curso), certificado ISO/IEC 27001:2022, relatório de teste iBeta Nível 1 PAD, e a conclusão publicada do sandbox Tesoro / SEPBLAC / CNMV como artefatos de auditoria.

10. Prazo do DPA: Este DPA terá o mesmo prazo que o Acordo principal. As cláusulas deste DPA relacionadas com confidencialidade, eliminação, responsabilidade e auditoria sobreviverão à rescisão do Acordo conforme exigido pelas leis aplicáveis.