Aditivo de Tratamento de Dados da MUUD

Este Aditivo de Tratamento de Dados ("DPA") integra o contrato entre a MUUD SpA, RUT (cadastro fiscal chileno) 77.634.166-5, Av. Presidente Kennedy 5600, Of. 507, Vitacura, Santiago, Chile, ou, para os clientes nos Estados Unidos, a MUUD Inc. nos termos da Seção 1.4 ("MUUD"), e o Cliente Institucional (o "Cliente") para a prestação dos Serviços da MUUD. O Cliente aceita este DPA ao assinar um Pedido que o mencione ou ao aceitar os Termos de Serviço da MUUD. Mediante solicitação, a MUUD fornecerá uma via assinada.

1. Escopo e prevalência

1.1 Este DPA se aplica a todos os Dados Pessoais do Cliente que a MUUD tratar em nome do Cliente ao prestar os Serviços, enquanto a MUUD os tratar.

1.2 Em caso de conflito, aplica-se a seguinte ordem: (a) as cláusulas-padrão contratuais e os demais instrumentos de transferência da Seção 8, nas matérias que regulam; (b) um acordo de tratamento de dados ou anexo de dados assinado pela MUUD e pelo Cliente, incluindo o anexo de dados do contrato padrão da MUUD para escolas no Chile; (c) este DPA; (d) o Pedido; e (e) os Termos de Serviço.

1.3 Este DPA não se aplica às informações de saúde protegidas tratadas para prestadores de saúde nos Estados Unidos, que são regidas por um Business Associate Agreement separado.

1.4 Clientes nos Estados Unidos. Para os Pedidos com Clientes Institucionais nos Estados Unidos, a operadora e parte deste DPA é a MUUD Inc., sociedade de Delaware integralmente controlada pela MUUD SpA, e as referências a "MUUD" referem-se à MUUD Inc. A MUUD SpA opera e dá suporte aos Serviços em nome da MUUD Inc. como Suboperadora indicada no Anexo III, por meio de um acordo escrito de tratamento de dados entre as duas sociedades não menos protetivo que este DPA, e a MUUD Inc. continua integralmente responsável perante o Cliente pelo cumprimento da MUUD SpA.

2. Definições

Os termos não definidos aqui têm o significado que lhes dão os Termos de Serviço da MUUD (https://muud.app/terminos-y-condiciones) ou as Leis de Proteção de Dados Aplicáveis.

"Dados Pessoais do Cliente" são os dados pessoais incluídos nos Dados do Cliente, incluindo os Dados de Estudantes, que a MUUD trata em nome do Cliente.

"Controlador", "operador", "titular", "incidente de segurança com dados pessoais" e "tratamento" têm o significado que lhes dá a LGPD, e incluem os conceitos equivalentes das demais Leis de Proteção de Dados Aplicáveis ("controller" e "processor" no RGPD; "responsable" e "encargado" no Chile, na Espanha e no México; a instituição ou agência educacional e o "school official" nos termos da FERPA).

"Suboperador" é o terceiro contratado pela MUUD que trata Dados Pessoais do Cliente.

"Política de Privacidade" é a Política de Privacidade da MUUD publicada em https://muud.app/politica-de-privacidad.

"Cláusulas Contratuais-Padrão da UE" ou "CCP" são as cláusulas aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia.

3. Papéis e instruções

3.1 O Cliente é o controlador e a MUUD é a operadora dos Dados Pessoais do Cliente. A MUUD é controladora independente apenas dos dados descritos como tal na Política de Privacidade (contatos de clientes, faturamento, segurança e dados do site).

3.2 A MUUD trata os Dados Pessoais do Cliente apenas conforme as instruções documentadas do Cliente, inclusive quanto a transferências internacionais, salvo se a lei aplicável exigir de outra forma; nesse caso, a MUUD informará o Cliente antes do tratamento, salvo se a lei o proibir. As instruções do Cliente são este DPA, o Pedido, as configurações que o Cliente escolher nos Serviços e qualquer outra instrução escrita compatível com eles.

3.3 A MUUD informará imediatamente o Cliente se, a seu juízo, uma instrução violar as Leis de Proteção de Dados Aplicáveis, e poderá suspender o tratamento afetado até que a instrução seja confirmada ou modificada.

3.4 O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares são descritos no Anexo I.

4. Obrigações do Cliente

4.1 O Cliente é responsável pela licitude do tratamento que instrui, incluindo o estabelecimento de uma base legal para cada finalidade e, quanto aos dados sensíveis, de uma hipótese legal válida segundo as Leis de Proteção de Dados Aplicáveis.

4.2 O Cliente fornece aos titulares, e aos pais ou responsáveis das crianças, os avisos exigidos por lei, usando, quando útil, os modelos de aviso fornecidos pela MUUD, e obtém, registra e mantém os consentimentos ou autorizações exigidos.

4.3 Cadastro de estudantes. Quando os estudantes se cadastram com um código de turma, o App solicita seu consentimento expresso para o tratamento de dados sensíveis antes do primeiro check-in; esse consentimento complementa, mas não substitui, o consentimento dos pais ou responsáveis que a lei exige para crianças abaixo da idade aplicável, o qual é obtido pelo Cliente. Quando o Cliente cria as contas por carga em massa, verifica que os consentimentos exigidos foram obtidos antes de enviar a lista de alunos à MUUD, e disponibiliza os Termos de Serviço e a Política de Privacidade da MUUD aos usuários cujas contas cria, e aos pais ou responsáveis dos estudantes, antes do primeiro uso dos Serviços.

4.4 O Cliente designa a equipe que pode ver os indicadores e alertas nos Serviços, mantém sua lista de usuários atualizada e acompanha os alertas por meio de sua própria equipe qualificada e de seus protocolos.

4.5 O Cliente não insere nos Serviços dados que não sejam necessários para os Serviços, como prontuários de saúde, registros disciplinares ou números de documentos oficiais de identificação.

5. Compromissos da MUUD sobre o uso dos dados

5.1 A MUUD trata os Dados Pessoais do Cliente apenas para prestar, manter, proteger e dar suporte aos Serviços para o Cliente. A MUUD não: (a) os vende, aluga nem comercializa; (b) os usa para publicidade, marketing ou segmentação comportamental; (c) cria perfis dos titulares, exceto no necessário para os Serviços; (d) os usa para treinar modelos de inteligência artificial, e proíbe contratualmente seus Suboperadores de IA de fazê-lo; nem (e) os combina com dados de outras fontes.

5.2 Texto livre. O conteúdo das entradas de texto livre e das conversas com o assistente de check-in nunca é exibido a nenhum usuário do Cliente. A equipe designada do Cliente vê apenas os indicadores e alertas derivados dos check-ins e os relatórios agregados por grupo. As entradas de texto livre e os registros de alertas precoces são tratados como dados sensíveis, conforme o Anexo II.

5.3 Dados anonimizados. A MUUD pode gerar dados anonimizados e agregados a partir dos Dados Pessoais do Cliente para avaliar e melhorar os Serviços e relatar tendências de bem-estar, desde que esses dados não permitam razoavelmente identificar nenhuma pessoa nem o Cliente, que a MUUD não tente reidentificá-los e que nunca sejam usados para treinar modelos de IA de terceiros.

5.4 Estes compromissos subsistem ao término do contrato e continuam a vincular qualquer sucessor da MUUD em fusão, aquisição ou venda de ativos.

6. Confidencialidade e segurança

6.1 A MUUD dá acesso aos Dados Pessoais do Cliente apenas à equipe que precisa dele para prestar os Serviços, sujeita a obrigações escritas de confidencialidade que subsistem ao término de sua relação e com treinamento em privacidade e segurança. O acesso aos dados de estudantes é limitado a um número reduzido de funções identificadas, registradas no Registro das Operações de Tratamento da MUUD.

6.2 A MUUD implementa e mantém as medidas técnicas e organizacionais do Anexo II, levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, incluindo a sensibilidade dos dados de crianças. A MUUD pode atualizar essas medidas desde que o nível geral de proteção não seja reduzido.

7. Suboperadores

7.1 Autorização geral. O Cliente concede à MUUD autorização geral para contratar Suboperadores. Os Suboperadores autorizados na data de vigência estão indicados no Anexo III, e a lista vigente é publicada na Seção 8 da Política de Privacidade.

7.2 Alterações. A MUUD avisará o Cliente por e-mail sobre qualquer inclusão ou substituição de Suboperador com pelo menos 30 dias de antecedência. O Cliente pode se opor por motivos razoáveis de proteção de dados dentro desses 30 dias. Se a MUUD não puder atender à oposição, o Cliente pode rescindir os Serviços afetados sem multa e receber o reembolso proporcional das tarifas pré-pagas não utilizadas. Em uma emergência que afete a segurança ou a continuidade dos Serviços, a MUUD pode substituir um Suboperador com aviso mais curto, indicando os motivos.

7.3 Repasse de obrigações. A MUUD contrata cada Suboperador por meio de contrato escrito que lhe impõe obrigações de proteção de dados não menos protetivas que as deste DPA, e continua integralmente responsável perante o Cliente pelo cumprimento das obrigações de cada Suboperador.

7.4 Distribuidores Autorizados. Um Distribuidor Autorizado que revende os Serviços ao Cliente não acessa os Dados Pessoais do Cliente por meio dos Serviços, salvo autorização do Cliente por escrito. Nesse caso, o distribuidor passa a ser um Suboperador nos termos desta Seção 7 antes de receber o acesso.

8. Transferências internacionais

8.1 Localização. Os Dados Pessoais do Cliente são hospedados nos Estados Unidos. A MUUD SpA está estabelecida no Chile, e sua equipe autorizada acessa os Dados Pessoais do Cliente remotamente a partir do Chile. A MUUD não transferirá Dados Pessoais do Cliente para nenhum outro país sem cumprir esta Seção e a Seção 7.

8.2 UE/EEE. Quando o Cliente estiver sujeito ao RGPD, incorporam-se a este DPA as CCP, Módulo Dois (de responsável para subcontratante), com o Cliente como exportador de dados e a MUUD como importadora, aplicando-se da seguinte forma: aplica-se a Cláusula 7 (cláusula de adesão); na Cláusula 9 aplica-se a Opção 2 (autorização geral por escrito), com o prazo de aviso da Seção 7.2; não se aplica o texto opcional da Cláusula 11; na Cláusula 13, a autoridade de controle competente é a do Estado-membro onde o Cliente estiver estabelecido; nas Cláusulas 17 e 18, a lei aplicável e os tribunais são os do Estado-membro onde o Cliente estiver estabelecido. Os Anexos I, II e III deste DPA completam os Anexos das CCP. A MUUD realizou uma avaliação de impacto das transferências, que fornecerá mediante solicitação, e usa o Módulo Três das CCP, ou o Quadro de Privacidade de Dados UE-EUA quando o Suboperador for certificado, para as transferências subsequentes.

8.3 Reino Unido. Para as transferências sujeitas ao UK GDPR, incorpora-se o International Data Transfer Addendum às Cláusulas Contratuais-Padrão da Comissão Europeia, emitido pelo Information Commissioner nos termos da seção 119A da Data Protection Act 2018, com a Tabela 1 preenchida com os dados das partes deste DPA, a Tabela 2 com a Seção 8.2, a Tabela 3 com os Anexos I a III e, na Tabela 4, ambas as partes podem encerrar o Addendum conforme sua Seção 19.

8.4 Suíça. Para as transferências sujeitas à nLPD suíça, as CCP se aplicam conforme a Seção 8.2 com estas adaptações: o Comissário Federal de Proteção de Dados e Informação é a autoridade de controle competente para as transferências regidas pela nLPD; as referências a "Estado-membro" incluem a Suíça, de modo que os titulares na Suíça possam demandar em seu local de residência habitual; e as referências ao RGPD incluem a nLPD.

8.5 Brasil. Para as transferências sujeitas à LGPD, incorporam-se as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024, com o Cliente como exportador (controlador) e a MUUD como importadora (operadora), que prevalecem sobre este DPA nas matérias que regulam.

8.6 Chile. Para as transferências sujeitas à lei chilena, este DPA constitui o contrato que assegura um nível adequado de proteção, incluindo as obrigações das Seções 5 a 13, e a partir de 1º de dezembro de 2026 será aplicado conforme a Lei nº 21.719 e as cláusulas-modelo que a Agencia de Protección de Datos Personales aprovar.

8.7 México. As comunicações de Dados Pessoais do Cliente à MUUD e a seus Suboperadores são remessas a operadores nos termos da LFPDPPP. A MUUD trata os dados apenas conforme as instruções do Cliente e seu aviso de privacidade, e não os transfere a terceiros.

9. Solicitações dos titulares

9.1 Se a MUUD receber uma solicitação de um titular, de um dos pais ou responsável, ou da representante da MUUD, a DataRep, relativa a Dados Pessoais do Cliente, a MUUD a encaminhará ao Cliente em até 5 dias úteis e não responderá diretamente, exceto para acusar o recebimento e redirecionar o solicitante, salvo instrução diferente do Cliente.

9.2 Levando em conta a natureza do tratamento, a MUUD auxilia o Cliente, por meio dos Serviços e de medidas técnicas e organizacionais adequadas, a responder às solicitações de exercício dos direitos de confirmação, acesso, correção, eliminação, bloqueio, oposição e portabilidade, e dos direitos ARCO, dentro dos prazos das Leis de Proteção de Dados Aplicáveis. A MUUD executa as instruções de exclusão ou correção em até 5 dias úteis, ou no prazo menor que o Cliente precisar para cumprir um prazo legal.

10. Incidentes de segurança com dados pessoais

10.1 A MUUD comunica o Cliente sem demora injustificada e, em qualquer caso, em até 72 horas após tomar conhecimento de um incidente de segurança com dados pessoais que afete Dados Pessoais do Cliente, por e-mail ao contato designado do Cliente.

10.2 A comunicação descreve, na medida do conhecido: a natureza do incidente, as categorias e o número aproximado de titulares e registros afetados; suas consequências prováveis; as medidas adotadas ou propostas para tratar o incidente e mitigar seus efeitos; e um ponto de contato na MUUD. As informações que não estiverem disponíveis inicialmente são fornecidas em etapas, sem demora injustificada.

10.3 A MUUD coopera com o Cliente para que ele possa cumprir suas obrigações de comunicação à ANPD, às demais autoridades de controle e aos titulares, e não os comunica em nome do Cliente nem faz declarações públicas que o mencionem sem seu consentimento, salvo exigência legal.

11. Relatórios de impacto e consulta prévia

A MUUD fornece ao Cliente as informações razoavelmente necessárias para elaborar relatórios de impacto à proteção de dados pessoais e avaliações de impacto e, quando aplicável, consultas prévias às autoridades de controle, incluindo uma descrição dos Serviços, dos fluxos de dados, dos Suboperadores e das medidas de segurança, e os resultados da própria avaliação de impacto dos Serviços realizada pela MUUD.

12. Auditorias

12.1 A MUUD disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento deste DPA, incluindo questionários de segurança preenchidos, suas políticas e, quando disponíveis, relatórios de auditoria de terceiros, como os relatórios SOC 2, sob confidencialidade.

12.2 Se essas informações não forem suficientes para demonstrar o cumprimento, ou se uma autoridade de controle o exigir, o Cliente pode realizar uma auditoria, diretamente ou por meio de um auditor independente sujeito a confidencialidade, no máximo uma vez por ano, salvo após um incidente de segurança com dados pessoais, com pelo menos 30 dias de aviso, em horário comercial e sem acesso a dados de outros clientes. Como a MUUD opera integralmente na nuvem, as auditorias são realizadas remotamente, por revisão de documentos e entrevistas. Os custos da auditoria correm por conta do Cliente.

13. Devolução e exclusão

13.1 Durante a assinatura, o Cliente pode solicitar a exclusão de quaisquer Dados Pessoais do Cliente, que a MUUD executa conforme a Seção 9.2.

13.2 No término ou vencimento do Pedido, a MUUD disponibiliza os Dados Pessoais do Cliente para exportação em formato de uso comum e leitura automatizada durante 60 dias, e os exclui dos sistemas de produção em até 90 dias após o término, incluindo as listas de alunos conservadas em armazenamento restrito. Os backups são sobrescritos em seu ciclo ordinário de rotação e permanecem isolados de todo tratamento ativo até então. A MUUD certifica a exclusão por escrito mediante solicitação.

13.3 A MUUD só pode conservar Dados Pessoais do Cliente após esses prazos quando a lei o exigir, caso em que este DPA continua se aplicando a eles e eles são tratados apenas para essa finalidade.

14. Disposições por jurisdição

14.1 UE/EEE, Reino Unido e Suíça. As Seções 3 a 13 contêm as estipulações exigidas pelo art. 28(3) do RGPD, pelo art. 28(3) do UK GDPR e pelo art. 9 da nLPD. A representante da MUUD nos termos do art. 27 do RGPD, do art. 27 do UK GDPR e do art. 14 da nLPD é a Data Protection Representative Limited (que opera como DataRep), 77 Camden Street Lower, Dublin, D02 XE80, Irlanda, datarequest@datarep.com. A MUUD não nomeou um encarregado de proteção de dados nos termos do RGPD, conforme sua determinação MUUD-PRIV-DET-002, disponível mediante solicitação.

14.2 Espanha. A MUUD atua como subcontratante ("encargado del tratamiento") nos termos do art. 28 do RGPD e do art. 33 da LOPDGDD. Os dados de estudantes menores de 14 anos são tratados apenas com o consentimento de quem exerce o poder familiar ou com outra base legal estabelecida pelo Cliente segundo a legislação educacional espanhola.

14.3 Brasil. A MUUD atua como operadora nos termos da LGPD, trata os Dados Pessoais do Cliente segundo as instruções lícitas do Cliente (art. 39 da LGPD) e apoia o Cliente no cumprimento do art. 14 da LGPD e do ECA Digital (Lei nº 15.211/2025) em relação a crianças e adolescentes. A MUUD não nomeou encarregado, conforme sua determinação MUUD-PRIV-DET-003, disponível mediante solicitação.

14.4 Chile. A MUUD atua como operadora ("encargado del tratamiento") nos termos da Lei nº 19.628 e, a partir de 1º de dezembro de 2026, da Lei nº 21.719, e trata os Dados Pessoais do Cliente apenas com base neste contrato de encargo, com os deveres de confidencialidade, segurança e exclusão nele estabelecidos.

14.5 México. A MUUD atua como operadora ("encargado") nos termos da LFPDPPP, trata os Dados Pessoais do Cliente apenas conforme as instruções do Cliente, mantém-nos confidenciais, aplica as medidas de segurança do Anexo II e os exclui ao término da relação, conforme a Seção 13.

14.6 Estados Unidos. Quando o Cliente for uma instituição ou agência educacional sujeita à FERPA, a MUUD é um school official com legitimate educational interest nos termos de 34 CFR 99.31(a)(1), sob o controle direto do Cliente quanto ao uso e à manutenção dos registros educacionais, e não volta a divulgá-los, exceto conforme as instruções do Cliente ou o permitido pela FERPA. Em relação aos estudantes menores de 13 anos, o Cliente autoriza a coleta de informações pessoais nos termos da COPPA apenas para uso e benefício da escola e sem nenhuma outra finalidade comercial. A MUUD cumpre as leis estaduais de privacidade estudantil aplicáveis, incluindo a SOPIPA e a seção 49073.1 do Education Code da Califórnia, a SOPPA de Illinois e a RCW 28A.604 de Washington. Quando uma lei estadual ou o Cliente exigir um acordo de privacidade de dados específico, como o National Data Privacy Agreement do Student Data Privacy Consortium, esse acordo prevalece sobre este DPA em caso de conflito.

15. Responsabilidade, vigência e disposições gerais

15.1 A responsabilidade de cada parte nos termos deste DPA está sujeita às limitações do Pedido e dos Termos de Serviço, exceto que nenhuma limitação se aplica aos direitos dos titulares segundo as cláusulas-padrão contratuais ou outros instrumentos de transferência, ou quando a lei imperativa o proibir.

15.2 Este DPA permanece em vigor enquanto a MUUD tratar Dados Pessoais do Cliente, inclusive após o término do Pedido e até sua exclusão conforme a Seção 13.

15.3 A MUUD pode atualizar este DPA para refletir alterações na lei ou nos Serviços, com pelo menos 30 dias de aviso para as alterações relevantes, que não poderão reduzir a proteção dos Dados Pessoais do Cliente. O Cliente pode se opor e rescindir conforme previsto nos Termos de Serviço.

15.4 Exceto nas matérias regidas pelas cláusulas-padrão contratuais ou outros instrumentos de transferência, este DPA é regido pela lei que rege o Pedido e, na sua falta, pelas leis do Chile.

15.5 Este DPA foi redigido em inglês. Em caso de divergência entre esta tradução e a versão em inglês, prevalece a versão em inglês, salvo se a lei imperativa aplicável exigir de outra forma.

Anexo I. Descrição do tratamento

A. Partes

B. Descrição do tratamento

Anexo II. Medidas técnicas e organizacionais de segurança

Anexo III. Suboperadores autorizados

Suboperadores autorizados na data de vigência deste DPA. As alterações posteriores são avisadas conforme a Seção 7.2 e refletidas na Seção 8 da Política de Privacidade, que contém a lista vigente.