Adenda relativa ao Tratamento de Dados

1. Âmbito e integração

Este Adenda relativa ao Tratamento de Dados («ATD») faz parte dos Termos de Serviço celebrados entre a EverXCloud Inc., a Delaware corporation («EverXCloud», «nós») e o Cliente Empresarial («Cliente», «você») e aplica-se sempre que a EverXCloud trata Dados Pessoais do Cliente na prestação dos Serviços. É integrado nos Termos de Serviço por remissão e produz efeitos, sem assinatura, quando o Cliente aceita os Termos de Serviço. Um Cliente que necessite de uma cópia assinada pode solicitá-la através de [email protected].

Este ATD não se aplica aos Clientes Particulares que utilizam os Serviços para fins puramente pessoais, nem aos dados pessoais que a EverXCloud trata como responsável pelo tratamento independente (como os dados de conta, de cobrança, de verificação de identidade, de conformidade e de apoio), que se regem pela Política de Privacidade.

2. Definições

Os termos não definidos neste ATD têm o significado que lhes é atribuído nos Termos de Serviço.

• «Legislação de Proteção de Dados»: toda a legislação relativa ao tratamento de dados pessoais aplicável a uma parte no âmbito dos Serviços, incluindo, consoante o caso, o RGPD, o UK GDPR e o UK Data Protection Act 2018, a Lei Federal suíça sobre a Proteção de Dados, o CCPA e outras leis estaduais de privacidade dos Estados Unidos.
• «RGPD»: o Regulamento (UE) 2016/679; «UK GDPR»: o RGPD tal como integrado no direito do Reino Unido.
• «CCPA»: o California Consumer Privacy Act of 1999, na sua versão alterada, e os respectivos regulamentos de execução.
• «Dados Pessoais do Cliente»: os dados pessoais contidos nos conteúdos, arquivos, software, modelos, conjuntos de dados e outros dados que o Cliente ou os seus usuários enviam, armazenam ou tratam em Instâncias e outros recursos dos Serviços («Conteúdo do Cliente»).
• «Subcontratante Ulterior»: qualquer subcontratante contratado pela EverXCloud para tratar Dados Pessoais do Cliente, incluindo os Fornecedores.
• «Incidente de Segurança»: uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a Dados Pessoais do Cliente tratados pela EverXCloud ou pelos seus Subcontratantes Ulteriores.
• «CCT»: as cláusulas contratuais-tipo anexas à Decisão de Execução (UE) 2021/914 da Comissão; «Adenda do Reino Unido»: o International Data Transfer Addendum às CCT emitido pelo UK Information Commissioner.
• «responsável pelo tratamento», «subcontratante», «titular dos dados», «dados pessoais», «tratamento», «business», «service provider», «sell» e «share» têm o significado que lhes é atribuído na Legislação de Proteção de Dados aplicável.

3. Funções das partes

No que respeita aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento (ou «business») e a EverXCloud é um subcontratante (ou «service provider»). Quando o Cliente atuar como subcontratante por conta de um responsável pelo tratamento terceiro, a EverXCloud atua como subcontratante ulterior do Cliente, e o Cliente garante que as suas instruções e a contratação da EverXCloud foram autorizadas por esse responsável pelo tratamento.

Cada parte cumpre as obrigações que a Legislação de Proteção de Dados lhe impõe. O Cliente é responsável pela licitude do tratamento dos Dados Pessoais do Cliente, incluindo a existência de um fundamento jurídico para o mesmo e a prestação das informações exigidas aos titulares dos dados, bem como pela exatidão e qualidade dos Dados Pessoais do Cliente e pelos meios através dos quais foram obtidos.

4. Características do tratamento

• Objeto: fornecimento de infraestrutura de computação GPU (Instâncias, acesso à rede e Serviços conexos) ao Cliente.
• Natureza: alojamento, armazenamento, computação e transmissão efetuados automaticamente pela infraestrutura segundo as indicações do Cliente. A EverXCloud fornece apenas infraestrutura: não acede, não inspeciona, não analisa nem utiliza o Conteúdo do Cliente, exceto na medida do necessário para prestar os Serviços, para prevenir ou resolver um problema de segurança ou técnico, para investigar uma suspeita de violação da Política de Utilização Aceitável ou para cumprir a lei, em cada caso conforme permitido por este ATD.
• Finalidade: execução dos Termos de Serviço e das Encomendas do Cliente.
• Duração: a vigência dos Termos de Serviço e o período até a eliminação dos Dados Pessoais do Cliente nos termos da Seção 12.
• Categorias de titulares dos dados e de dados pessoais: determinadas exclusivamente pelo Cliente, em função do Conteúdo do Cliente que decida tratar. O Cliente não tratará categorias especiais de dados pessoais, dados pessoais relacionados com condenações penais e infrações, informações de saúde protegidas ou dados de cartões de pagamento através dos Serviços, salvo se tiver aplicado garantias adequadas e, quando exigido pela Política de Utilização Aceitável, obtido o acordo prévio por escrito da EverXCloud.
• Localização: o centro de dados selecionado pelo Cliente para cada Instância, conforme indicado no Portal.

5. Tratamento mediante instruções documentadas

A EverXCloud trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que respeita às transferências para um país terceiro, a menos que seja obrigada a fazê-lo por uma lei a que a EverXCloud esteja sujeita; nesse caso, a EverXCloud informa o Cliente dessa exigência jurídica antes do tratamento, salvo se essa lei proibir tal informação por motivos importantes de interesse público.

Os Termos de Serviço, este ATD, a configuração e a utilização dos Serviços pelo Cliente e as suas Encomendas constituem as instruções completas do Cliente. Instruções adicionais exigem o acordo escrito da EverXCloud e podem estar sujeitas a encargos. A EverXCloud informa imediatamente o Cliente se, no seu entender, uma instrução violar a Legislação de Proteção de Dados; a EverXCloud não é obrigada a efetuar uma análise jurídica do Conteúdo do Cliente.

6. Confidencialidade

A EverXCloud assegura que as pessoas autorizadas a tratar os Dados Pessoais do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada, e que o acesso é limitado ao pessoal que dele necessita para prestar os Serviços.

7. Medidas de segurança

A EverXCloud aplica e mantém as medidas técnicas e organizativas abaixo descritas, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas singulares. A EverXCloud pode atualizar estas medidas, desde que o nível global de segurança não seja substancialmente reduzido.

• Isolamento: cada Instância é executada num ambiente isolado; o Conteúdo do Cliente não é partilhado entre Clientes.
• Cifragem e apagamento dos espaços de trabalho: os espaços de trabalho das Instâncias são cifrados com uma chave aleatória que nunca é escrita em disco e que é destruída quando a Instância termina, tornando os dados ilegíveis; quando a cifragem não estiver disponível num anfitrião, o espaço de trabalho é sobrescrito antes da eliminação.
• Cifragem em trânsito: o acesso ao Portal e à interface de programação de aplicações utiliza TLS; o acesso às Instâncias utiliza SSH ou conexões cifradas.
• Cifragem em repouso dos dados sensíveis da plataforma e das cópias de segurança, com chaves conservadas separadamente dos dados cifrados.
• Controle de acessos: acesso segundo o princípio do privilégio mínimo, autenticação multifator para o acesso administrativo, contas individuais e registro das ações administrativas.
• Segurança da rede: firewalls, limitação de pedidos e proteção contra ataques de negação de serviço através do nosso prestador de distribuição de conteúdos e de segurança.
• Segurança operacional: atualizações de segurança, monitorização e alertas, gestão de vulnerabilidades e resposta a incidentes documentada.
• Resiliência: cópias de segurança diárias e cifradas dos dados da plataforma, armazenadas fora das instalações; o Conteúdo do Cliente nas Instâncias não é objeto de cópia de segurança pela EverXCloud, salvo se o Cliente utilizar um Serviço que o preveja expressamente.
• Subcontratantes Ulteriores e Fornecedores: obrigações contratuais que asseguram pelo menos o mesmo nível de proteção que este ATD, incluindo isolamento, apagamento do armazenamento entre aluguéis e notificação de incidentes.

O Cliente é responsável pela segurança da sua utilização dos Serviços, incluindo a proteção das suas credenciais de conta, chaves de API e chaves SSH, a configuração segura das suas Instâncias, a cifragem do Conteúdo do Cliente quando adequado e a manutenção das suas próprias cópias de segurança.

8. Subcontratantes Ulteriores

O Cliente concede à EverXCloud uma autorização geral para contratar Subcontratantes Ulteriores, incluindo os Fornecedores que exploram o equipamento em que as Instâncias são executadas e os prestadores de serviços de infraestrutura da EverXCloud. A lista atual de Subcontratantes Ulteriores, com a respectiva localização e função, está à disposição do Cliente mediante pedido através de [email protected].

A EverXCloud notifica o Cliente de qualquer intenção de aditar ou substituir um Subcontratante Ulterior com pelo menos 15 dias de antecedência, por e-mail ou através do Portal. O Cliente pode opor-se, por motivos razoáveis relacionados com a proteção de dados, escrevendo para [email protected] dentro desse prazo. As partes discutirão a oposição de boa-fé; a EverXCloud pode propor uma alternativa, como executar as cargas de trabalho do Cliente apenas em localizações que não utilizem o Subcontratante Ulterior em causa. Se não for encontrada uma solução no prazo de 30 dias, o Cliente pode pôr termo aos Serviços afetados e obter o reembolso do Saldo Pré-pago não utilizado nos termos da Política de Reembolso e Cancelamento, o que constitui o único meio de reação do Cliente relativamente à oposição.

Quando o Cliente seleciona no Portal um Fornecedor, uma localização ou uma oferta específicos, essa seleção constitui a instrução e a autorização do Cliente para utilizar o Fornecedor em causa.

A EverXCloud impõe a cada Subcontratante Ulterior, por contrato escrito, obrigações em matéria de proteção de dados que asseguram pelo menos o mesmo nível de proteção que este ATD, e continua sendo responsável perante o Cliente pelo cumprimento das obrigações do Subcontratante Ulterior nos termos da Legislação de Proteção de Dados e sem prejuízo da Seção 16.

9. Assistência relativa aos pedidos dos titulares dos dados

Tendo em conta a natureza do tratamento, a EverXCloud presta assistência ao Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados. Uma vez que o Cliente controla o Conteúdo do Cliente, o Cliente responderá, na maioria dos casos, diretamente aos pedidos utilizando os Serviços. Se a EverXCloud receber de um titular dos dados um pedido relativo a Dados Pessoais do Cliente, remeterá o titular dos dados para o Cliente quando este for identificável e não responderá ela própria, exceto para confirmar o reencaminhamento ou quando a lei o exija.

10. Assistência em matéria de segurança, avaliações de impacto e consultas

Tendo em conta a natureza do tratamento e a informação ao seu dispor, a EverXCloud presta ao Cliente assistência razoável no cumprimento das suas obrigações relativas à segurança do tratamento, às avaliações de impacto sobre a proteção de dados e à consulta prévia das autoridades de controle, nomeadamente fornecendo informações sobre os Serviços e as medidas descritas na Seção 7. A assistência que vá além dessas informações pode estar sujeita a encargos razoáveis.

11. Incidentes de Segurança

A EverXCloud notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter tomado conhecimento de um Incidente de Segurança. A notificação é enviada para o endereço de e-mail associado à conta do Cliente e descreve, na medida em que sejam conhecidos, a natureza do Incidente de Segurança, as categorias e o número aproximado de titulares dos dados e de registros em causa, as consequências prováveis e as medidas adotadas ou propostas. Quando as informações não puderem ser fornecidas ao mesmo tempo, são fornecidas por fases, sem demora injustificada adicional.

A EverXCloud adota medidas razoáveis para conter, investigar e atenuar o Incidente de Segurança e coopera com o Cliente para que este possa cumprir as suas próprias obrigações de notificação. A notificação de um Incidente de Segurança não constitui um reconhecimento de culpa ou de responsabilidade. As tentativas ou atividades sem êxito que não comprometam a segurança dos Dados Pessoais do Cliente, como pings, análises de portas ou tentativas de início de sessão falhadas, não constituem Incidentes de Segurança.

12. Eliminação e devolução

O Cliente pode recuperar o Conteúdo do Cliente a qualquer momento durante a vigência, utilizando os Serviços. No termo de uma Instância, o seu espaço de trabalho é destruído conforme descrito na Seção 7. A EverXCloud não disponibiliza armazenamento persistente. Qualquer outro Conteúdo do Cliente armazenado é eliminado nos termos dos Termos de Serviço e, o mais tardar, no prazo de 30 dias após a cessação dos Termos de Serviço, salvo se uma lei a que a EverXCloud esteja sujeita exigir a sua conservação por mais tempo.

O Conteúdo do Cliente que tenha sido eliminado não pode ser recuperado. Cabe ao Cliente recuperar o Conteúdo do Cliente antes do termo de uma Instância.

13. Informações e auditorias

A EverXCloud disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento deste ATD e do artigo 28.º do RGPD e do UK GDPR. O Cliente aceita exercer os seus direitos de auditoria, em primeiro lugar, mediante a análise dessas informações, incluindo respostas escritas a questionários de segurança razoáveis e quaisquer relatórios de auditoria de terceiros que a EverXCloud possa ter obtido.

Se essas informações não forem suficientes para demonstrar o cumprimento, ou quando uma autoridade de controle o exija, o Cliente pode realizar, diretamente ou através de um auditor independente vinculado à confidencialidade e que não seja concorrente da EverXCloud, uma auditoria ou inspeção, no máximo uma vez em cada período de doze meses (exceto na sequência de um Incidente de Segurança que afete o Cliente ou a pedido de uma autoridade de controle), mediante pré-aviso escrito de pelo menos 30 dias, durante o horário de expediente, sem perturbar os Serviços e sem prejuízo da proteção das informações confidenciais da EverXCloud, dos seus outros clientes e dos Fornecedores. O Cliente suporta os custos da auditoria e reembolsa os custos razoáveis da EverXCloud. As auditorias aos Fornecedores são realizadas através dos direitos de informação e de auditoria de que a EverXCloud dispõe ao abrigo dos seus contratos com estes.

14. Transferências internacionais

A EverXCloud está estabelecida nos Estados Unidos e trata os Dados Pessoais do Cliente nos Estados Unidos e nas localizações selecionadas pelo Cliente. O Cliente autoriza as transferências de Dados Pessoais do Cliente para os Estados Unidos e para as localizações dos Subcontratantes Ulteriores, nos termos desta Seção.

Na medida em que o tratamento efetuado pela EverXCloud implique uma transferência de Dados Pessoais do Cliente sujeitos ao RGPD para um país que não beneficie de uma decisão de adequação, as CCT são integradas neste ATD por remissão e aplicam-se do seguinte modo: o Módulo 2 (de responsável pelo tratamento para subcontratante) quando o Cliente for responsável pelo tratamento, e o Módulo 3 (de subcontratante para subcontratante) quando o Cliente for subcontratante; o Cliente é o exportador de dados e a EverXCloud o importador de dados; aplica-se a cláusula 7 (cláusula de adesão); nos termos da cláusula 9, alínea a), aplica-se a opção 2 (autorização geral por escrito), com o prazo de pré-aviso fixado na Seção 8; a redação opcional da cláusula 11, alínea a), não se aplica; nos termos da cláusula 13, a autoridade de controle competente é determinada em conformidade com essa cláusula; nos termos da cláusula 17, as CCT regem-se pelo direito da Irlanda; nos termos da cláusula 18, os litígios são resolvidos pelos tribunais da Irlanda; o Anexo I é completado pelas Seções 3 e 4 deste ATD e pelos dados da conta do Cliente; o Anexo II é completado pela Seção 7; o Anexo III é completado pela lista referida na Seção 8.

Para as transferências sujeitas ao UK GDPR, a Adenda do Reino Unido é integrada por remissão, completada com as informações acima; nenhuma das partes pode pôr termo à Adenda do Reino Unido ao abrigo da respectiva seção 19. Para as transferências sujeitas à Lei Federal suíça sobre a Proteção de Dados, as CCT aplicam-se com as necessárias adaptações, sendo o Comissário Federal para a Proteção de Dados e a Informação suíço a autoridade de controle competente e incluindo as referências aos Estados-Membros a Suíça.

Em caso de conflito entre as CCT ou a Adenda do Reino Unido e este ATD ou os Termos de Serviço, prevalecem as CCT ou a Adenda do Reino Unido. A EverXCloud pode substituir o mecanismo de transferência acima por outro mecanismo reconhecido pela Legislação de Proteção de Dados, incluindo uma certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA, mediante notificação ao Cliente.

15. Condições de service provider ao abrigo do CCPA

Na medida em que os Dados Pessoais do Cliente incluam informações pessoais sujeitas ao CCPA ou a uma lei estadual de privacidade semelhante dos Estados Unidos, a EverXCloud atua como service provider (ou subcontratante) e trata-as para a finalidade empresarial limitada e especificada de prestar os Serviços descritos nos Termos de Serviço. A EverXCloud não:

• venderá nem partilhará as informações pessoais;
• conservará, utilizará ou divulgará as informações pessoais para qualquer finalidade, incluindo qualquer finalidade comercial, que não as finalidades empresariais especificadas neste ATD, ou fora da relação comercial direta entre a EverXCloud e o Cliente, exceto conforme permitido pelo CCPA;
• combinará as informações pessoais com informações pessoais que receba de outra pessoa ou por conta de outra pessoa, ou que coleta das suas próprias interações com consumidores, exceto conforme permitido pelo CCPA.

A EverXCloud cumpre as obrigações que lhe são aplicáveis ao abrigo do CCPA e assegura o mesmo nível de proteção da privacidade exigido pelo CCPA. Notifica o Cliente se determinar que já não pode cumprir as suas obrigações. O Cliente pode adotar medidas razoáveis e adequadas, nos termos da Seção 13, para garantir que a EverXCloud utiliza as informações pessoais de forma compatível com as obrigações do Cliente e, mediante notificação, para fazer cessar e corrigir a utilização não autorizada. A EverXCloud certifica que compreende e cumprirá as restrições desta Seção.

16. Responsabilidade

A responsabilidade de cada parte decorrente deste ATD ou com ele relacionada, incluindo as CCT na medida em que estas o permitam, está sujeita às exclusões e limitações de responsabilidade previstas nos Termos de Serviço, que se aplicam de forma agregada a todas as reclamações ao abrigo dos Termos de Serviço e deste ATD. Nada nesta Seção limita os direitos dos titulares dos dados ao abrigo das CCT nem qualquer responsabilidade que não possa ser limitada nos termos da lei aplicável.

17. Vigência, precedência e alterações

Este ATD mantém-se em vigor enquanto a EverXCloud tratar Dados Pessoais do Cliente por conta do Cliente.

Em caso de conflito, aplica-se a seguinte ordem de precedência: as CCT e a Adenda do Reino Unido, quando aplicáveis; em seguida, este ATD; em seguida, os Termos de Serviço e as outras políticas que estes integram. Este ATD prevalece sobre os Termos de Serviço em todas as matérias relativas ao tratamento dos Dados Pessoais do Cliente.

A EverXCloud pode alterar este ATD quando tal for exigido por uma alteração da Legislação de Proteção de Dados, por uma decisão de uma autoridade de controle ou de um tribunal, ou por uma alteração dos Serviços que não reduza substancialmente a proteção dos Dados Pessoais do Cliente, publicando a versão atualizada e notificando o Cliente com pelo menos 30 dias de antecedência. Este ATD rege-se pela lei que rege os Termos de Serviço, com exceção das CCT e da Adenda do Reino Unido, que se regem pela lei nelas indicada.

Data de entrada em vigor: 19 de outubro de 2026. Versão 2026-10-19.