Adendo de Processamento de Dados da Perplexity

Última atualização: 8 de julho de 2025

Este Adendo de Processamento de Dados (“DPA”) é parte integrante e está incorporado a determinados termos de serviço e outros contratos que fazem referência expressa a ele entre a Perplexity AI, Inc. (“Perplexity”) e clientes empresariais (“Cliente”), incluindo, sem limitação, os Termos de Serviço do Perplexity Pro for Enterprise e os Termos de Serviço da API do Perplexity, que regem o uso dos serviços da Perplexity pelo Cliente (os “Serviços” e tais termos de serviço ou outro contrato relevante, o “Contrato”). Na medida em que a Perplexity processe quaisquer Dados Pessoais em conexão com o uso dos Serviços pelo Cliente, este DPA estabelece as instruções do Cliente para o processamento de tais Dados Pessoais e os direitos e obrigações de ambas as Partes. Exceto conforme expressamente estabelecido neste DPA, o Contrato permanecerá inalterado e em pleno vigor e efeito. No caso de quaisquer conflitos entre este DPA e o Contrato, o DPA prevalecerá.

Definições. Para os fins deste DPA, os seguintes termos terão os significados estabelecidos abaixo. Termos em letras maiúsculas usados, mas não definidos neste DPA, terão os significados dados nos Termos e Condições do Perplexity Pro for Enterprise. Todos os outros termos em letras maiúsculas neste DPA não definidos de outra forma no Contrato terão os significados correspondentes dados a eles nas Leis de Privacidade.

“Cláusulas de Controlador para Processador” significam (i) com relação a transferências de Dados Pessoais sujeitas ao RGPD, as cláusulas contratuais padrão para a transferência de Dados Pessoais para países terceiros estabelecidas na Decisão da Comissão 2021/914 de 4 de junho de 2021, especificamente incluindo o Módulo 2 (Controlador para Processador) (“SCCs da UE”); e (ii) com relação a transferências de Dados Pessoais sujeitas ao RGPD do Reino Unido, o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão da UE (versão B.1.0) emitido pelo Comissário de Informação do Reino Unido (“Adendo do Reino Unido”), em cada caso conforme alterado, atualizado ou substituído periodicamente.

“Leis de Privacidade da UE/Reino Unido” significam, conforme aplicável: (i) o Regulamento Geral sobre a Proteção de Dados 2016/679 (o “RGPD”); (ii) a Diretiva de Privacidade e Comunicações Eletrônicas 2002/58/CE; (iii) a Lei de Proteção de Dados do Reino Unido de 2018, o Regulamento Geral sobre a Proteção de Dados do Reino Unido conforme definido pela Lei de Proteção de Dados do Reino Unido de 2018, conforme alterado pelos Regulamentos de 2019 sobre Proteção de Dados, Privacidade e Comunicações Eletrônicas (Emendas etc.) (Saída da UE) (juntamente com a Lei de Proteção de Dados do Reino Unido de 2018, o “RGPD do Reino Unido”), e os Regulamentos de Privacidade e Comunicações Eletrônicas de 2003; e (iv) qualquer lei, diretiva, ordem, regra, regulamento ou outro instrumento vinculativo relevante que implemente qualquer um dos itens acima, em cada caso, conforme aplicável e em vigor periodicamente, e conforme alterado, consolidado, reeditado ou substituído periodicamente.

“Dados Pessoais” significam quaisquer informações que a Perplexity processe em nome do Cliente para fornecer os Serviços que sejam definidas como “dados pessoais”, “informações pessoais” ou “informações de identificação pessoal” sob qualquer Lei de Privacidade.

“Leis de Privacidade” significam, conforme aplicável, as Leis de Privacidade da UE/Reino Unido, as Leis de Privacidade dos EUA e qualquer lei similar de qualquer outra jurisdição que se relacione à proteção de dados, privacidade ou uso de Dados Pessoais e exija que Controladores e Processadores concordem com compromissos contratuais específicos referentes ao processamento de Dados Pessoais, em cada caso, conforme aplicável e em vigor periodicamente, e conforme alterado, consolidado, reeditado ou substituído periodicamente.

“Cláusulas de Processador para Processador” significam (i) com relação a transferências de Dados Pessoais sujeitas ao RGPD, as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros estabelecidas na Decisão da Comissão 2021/914 de 4 de junho de 2021, especificamente incluindo o Módulo 3 (Processador para Processador); e (ii) com relação a transferências de Dados Pessoais sujeitas ao RGPD do Reino Unido, o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão da UE (versão B.1.0) emitido pelo Comissário de Informação do Reino Unido, em cada caso conforme alterado, atualizado ou substituído periodicamente.

“País Terceiro” significa qualquer país ou território fora do escopo das leis de proteção de dados do Espaço Econômico Europeu ou do Reino Unido, conforme relevante, excluindo países ou territórios aprovados como fornecedores de proteção adequada para Dados Pessoais pela autoridade competente relevante periodicamente.

“Leis de Privacidade dos EUA” significam, conforme aplicável, a Lei de Privacidade do Consumidor da Califórnia, a Lei de Privacidade do Colorado, a Lei de Privacidade de Dados de Connecticut, a Lei de Privacidade do Consumidor de Utah, a Lei de Proteção de Dados do Consumidor da Virgínia, qualquer lei similar de qualquer outro estado relacionada ao processamento de Dados Pessoais e quaisquer regulamentos promulgados sob qualquer um dos anteriores, em cada caso, conforme aplicável e em vigor periodicamente, e conforme alterado, consolidado, reeditado ou substituído periodicamente.

Os termos “Negócio”, “Controlador”, “Processador”, “Venda”, “Provedor de Serviços” e “Compartilhamento” terão o significado que lhes é atribuído pelas Leis de Privacidade aplicáveis.

Papéis das Partes. As Partes reconhecem que, em relação a quaisquer Dados Pessoais recebidos do Cliente na prestação dos Serviços, para fins das Leis de Privacidade, o Cliente é o Controlador ou Processador ou Negócio e a Perplexity é o Provedor de Serviços ou Processador.

Obrigações do Cliente: O Cliente deverá cumprir todas as Leis de Privacidade ao fornecer Dados Pessoais à Perplexity em conexão com seu uso dos Serviços, incluindo o uso de quaisquer integrações com os Serviços. O Cliente declara e garante que (a) todos os Dados Pessoais foram coletados e a todo momento processados e mantidos por ou em nome do Cliente em conformidade com todas as Leis de Privacidade, inclusive com relação a quaisquer obrigações de fornecer aviso aos e/ou obter consentimento dos indivíduos e (b) o Cliente cumpriu as Leis de Privacidade (incluindo ter uma base legal para isso) e, de outra forma, possui todos os direitos, permissões, consentimentos e autorizações necessários para divulgar os Dados Pessoais à Perplexity e permitir que a Perplexity processe os Dados Pessoais conforme estabelecido no Contrato e neste DPA. O Cliente não deverá tomar nenhuma medida que torne a prestação de Dados Pessoais à Perplexity nos termos deste instrumento uma Venda ou Compartilhamento sob as Leis de Privacidade dos EUA ou, de outra forma, torne a Perplexity não um Provedor de Serviços ou Processador sob as Leis de Privacidade dos EUA. O Cliente notificará a Perplexity sem atrasos indevidos se o Cliente determinar que o processamento de Dados Pessoais sob o Contrato não está em conformidade ou não cumprirá as Leis de Privacidade, caso em que a Perplexity não será obrigada a continuar processando tais Dados Pessoais.

Processamento de Dados Pessoais. As Partes concordam que os detalhes do processamento são conforme descritos no Anexo 1. Ao processar Dados Pessoais sob o Contrato, a Perplexity deverá:

processar Dados Pessoais apenas mediante instruções documentadas do Cliente, para a finalidade limitada e específica descrita no Anexo 1, a menos que seja permitido de outra forma processar tais Dados Pessoais pelas Leis de Privacidade aplicáveis, e a todo momento em conformidade com as Leis de Privacidade e os termos deste DPA, fornecendo o mesmo nível de proteção de privacidade exigido pelas Leis de Privacidade;

notificar o Cliente prontamente se: (i) determinar que não pode mais cumprir as instruções do Cliente para o processamento de Dados Pessoais, suas obrigações sob as Leis de Privacidade ou os termos deste DPA ou (ii) acreditar que a instrução do Cliente infringe as Leis de Privacidade aplicáveis;

na medida exigida pelas Leis de Privacidade, conceder ao Cliente o direito de tomar medidas razoáveis e apropriadas para ajudar a garantir que a Perplexity utilize os Dados Pessoais de maneira consistente com as obrigações do Cliente sob este DPA e as Leis de Privacidade, e interromper e remediar qualquer uso não autorizado dos Dados Pessoais; e

exigir que cada funcionário ou outra pessoa que processe Dados Pessoais esteja sujeito a um dever apropriado de confidencialidade com relação a tais Dados Pessoais.

Proibições. Na medida exigida pelas Leis de Privacidade, a Perplexity não deverá (a) Vender ou Compartilhar Dados Pessoais, (b) reter, usar ou divulgar os Dados Pessoais fora do relacionamento comercial direto entre a Perplexity e o Cliente e para qualquer finalidade que não seja a finalidade específica de fornecer os Serviços ao Cliente ou (c) combinar os Dados Pessoais recebidos do, ou em nome do, Cliente com quaisquer Dados Pessoais que possam ser coletados das interações separadas da Perplexity com o(s) indivíduo(s) a quem os Dados Pessoais se referem ou de quaisquer outras fontes. Para evitar dúvidas, os Dados Pessoais não serão usados para o treinamento de grandes modelos de linguagem da Perplexity. Se a Perplexity receber (i) qualquer solicitação legalmente vinculativa para divulgação de Dados Pessoais por uma autoridade policial; ou (ii) qualquer aviso, inquérito ou investigação com relação aos Dados Pessoais de qualquer autoridade supervisora/regulador (ou similar); ou (iii) qualquer reclamação ou solicitação de um titular de dados, em cada caso relacionado ao processamento de Dados Pessoais pela Perplexity em nome do Cliente sob este DPA, então (na medida permitida por lei) a Perplexity notificará o Cliente.

Uso de Subcontratados.

O Cliente concede por meio deste à Perplexity autorização geral por escrito para contratar os subcontratados estabelecidos no Anexo 2, sujeitos aos requisitos desta Seção 6.

Se a Perplexity nomear um novo subcontratado ou pretender fazer quaisquer alterações relativas à adição ou substituição de qualquer subcontratado que não seja um Provedor de Modelos (conforme definido abaixo), deverá fornecer ao Cliente um aviso prévio por escrito com dez dias úteis de antecedência (e-mail é suficiente), durante os quais o Cliente pode se opor à nomeação ou substituição com base em motivos razoáveis e documentados relacionados à confidencialidade ou segurança dos Dados Pessoais ou à conformidade do subcontratado com as Leis de Privacidade (e se o Cliente não se opuser, a Perplexity poderá prosseguir com a nomeação ou substituição). Se o Cliente se opuser dentro de cinco dias, o Cliente e a Perplexity trabalharão juntos de boa-fé para chegar a uma resolução para a objeção (por exemplo, restringindo o uso de Dados Pessoais ou o Cliente deixando de usar, temporária ou permanentemente, um aspecto ou recurso específico dos Serviços). Se, apesar dessas discussões de boa-fé, não for possível encontrar uma resolução, o Cliente (como seu único recurso) poderá rescindir o Contrato e receber o reembolso de quaisquer Taxas pré-pagas não utilizadas (conforme definido no Contrato).

Se a Perplexity nomear um novo subcontratado ou pretender fazer quaisquer alterações relativas à adição ou substituição de qualquer subcontratado que forneça grandes modelos de linguagem ou outros modelos de inteligência artificial generativa (um “Provedor de Modelos”), a Perplexity notificará o Cliente (e-mail é suficiente) e atualizará a lista de “Provedores Terceiros” estabelecida em www.perplexity.ai/hub/legal/third-party-models (cada um dos quais é, para fins de clareza, um Provedor de Modelos sob este DPA). Se o Cliente se opuser à nomeação ou substituição, o único recurso do Cliente é (e o Cliente deve) cessar todo o uso do Modelo de Terceiros relevante por meio dos Serviços (o que, para fins de clareza, o Cliente pode fazer a qualquer momento após a nomeação ou substituição).

A Perplexity contratará subcontratados apenas em conformidade com um contrato por escrito que contenha obrigações para o subcontratado que não sejam menos onerosas para o subcontratado relevante do que as obrigações da Perplexity sob este DPA.

No caso de a Perplexity contratar um subcontratado para realizar atividades de processamento específicas em nome do Cliente em conformidade com as Leis de Privacidade da UE/Reino Unido, onde esse subcontratado falhar em cumprir suas obrigações, a Perplexity permanecerá totalmente responsável perante o Cliente, sob as Leis de Privacidade da UE/Reino Unido aplicáveis, pelo desempenho das obrigações daquele subcontratado.

Assistência. A Perplexity deverá, em relação ao processamento de Dados Pessoais e para permitir que o Cliente cumpra suas obrigações decorrentes disso, fornecer assistência ao Cliente mediante:

notificação ao Cliente sobre solicitações de indivíduos em conformidade com seus direitos sob as Leis de Privacidade, incluindo fornecendo, excluindo ou corrigindo os Dados Pessoais relevantes, ou permitindo que o Cliente faça o mesmo, na medida do possível;

na medida exigida pelas Leis de Privacidade, a realização de avaliações de impacto sobre proteção de dados e, se necessário, consulta prévia com as autoridades competentes relevantes; e

notificação ao Cliente sobre qualquer acesso, destruição, uso, perda, modificação ou divulgação não autorizados ou ilegais de Dados Pessoais (“Violação de Dados Pessoais”) sem atrasos indevidos após a Perplexity tomar conhecimento de tal Violação de Dados Pessoais.

Medidas de Segurança. A Perplexity deverá, levando em consideração o estado da arte, os custos de implementação e a natureza, escopo, contexto e finalidade do processamento, implementar medidas técnicas, físicas e organizacionais apropriadas projetadas para fornecer um nível de segurança adequado ao risco, conforme estabelecido no Anexo 3, ou de outra forma acordado e documentado entre o Cliente e a Perplexity periodicamente, e deverá continuar a cumpri-las durante a vigência do Contrato. A Perplexity fornecerá treinamento em proteção de dados e segurança aos funcionários e outras pessoas autorizadas a acessar Dados Pessoais.

Acesso e Auditorias. Mediante solicitação razoável por escrito do Cliente e na medida em que for exigido da Perplexity pelas Leis de Privacidade, a Perplexity deverá permitir e contribuir para inspeções e auditorias relativas à conformidade da Perplexity com suas obrigações sob este DPA e as Leis de Privacidade, mediante solicitação do Cliente, fornecendo ao Cliente as informações em posse da Perplexity que sejam razoavelmente necessárias para demonstrar tal conformidade e/ou organizando para que um auditor qualificado e independente realize uma avaliação das políticas e medidas técnicas e organizacionais da Perplexity para tal conformidade, usando um padrão de controle ou estrutura e procedimento de avaliação apropriado e aceito para tais avaliações. A Perplexity fornecerá um relatório de tal avaliação ao Cliente mediante solicitação razoável. O Cliente terá permissão para solicitar tais informações e/ou auditoria (na medida exigida pelas Leis de Privacidade) no máximo uma vez a cada 12 meses, mediante aviso prévio por escrito de 30 dias à Perplexity, e somente após as Partes chegarem a um acordo sobre o escopo da auditoria e desde que o auditor esteja vinculado por um dever de confidencialidade. Não obstante o exposto, em nenhum caso o Fornecedor será obrigado a dar ao Cliente acesso a informações, instalações ou sistemas na medida em que isso faria com que o Fornecedor violasse obrigações de confidencialidade devidas a outros clientes ou suas obrigações legais.

Exclusão de Dados Pessoais.   A Perplexity deverá excluir (ou, por opção do Cliente, devolver) todos os Dados Pessoais no prazo de trinta dias após o término da prestação dos Serviços ao Cliente, a menos que a retenção dos Dados Pessoais seja exigida por lei, caso em que a Perplexity notificará o Cliente sem atrasos indevidos sobre tal requisito legal e deverá, após a expiração de tal obrigação de retenção, excluir (ou, por opção do Cliente, devolver) os Dados Pessoais.

Transferências de Dados. Na medida em que a Perplexity processe Dados Pessoais sujeitos às Leis de Privacidade da UE/Reino Unido em um País Terceiro, e esteja agindo como um importador de dados, a Perplexity deverá cumprir as obrigações do importador de dados estabelecidas nas Cláusulas de Controlador para Processador ou nas Cláusulas de Processador para Processador (conforme aplicável), que são incorporadas por meio deste e formam parte deste DPA, e:

para fins do Anexo I ou Parte 1 (conforme relevante), (i) o Cliente é um controlador ou processador (conforme aplicável) e a Perplexity é um processador, e (ii) as partes, os detalhes da pessoa de contato e os detalhes de processamento estabelecidos no Contrato, este DPA e o Anexo 1 se aplicarão e a Data de Início é a data efetiva do Contrato;

se aplicável, para fins da Parte 1 do Adendo do Reino Unido, os SCCs da UE do Adendo relevantes (conforme tal termo é definido no Adendo do Reino Unido) são os SCCs da UE conforme incorporados a este DPA em virtude desta Seção 11;

para fins do Anexo II ou Parte 1 (conforme relevante), as medidas de segurança técnicas e organizacionais, e as medidas técnicas e organizacionais tomadas pela Perplexity para auxiliar o Cliente, conforme estabelecidas no Anexo 3, se aplicarão;

se aplicável, para fins do Anexo III ou Parte 1 (conforme relevante), a lista de subcontratados autorizados estabelecida no Anexo 2 se aplicará; e

se aplicável, para fins de: (i) Cláusula 9, a Opção 2 (“Autorização geral por escrito”) é considerada selecionada e faz-se referência às Seções 6.b e 6.c com relação a prazos de aviso; (ii) Cláusula 11(a), a redação opcional em relação à resolução independente de disputas é considerada incluída; (iii) Cláusula 13 e Anexo I.C, a autoridade supervisora competente será o regulador irlandês; (iv) Cláusulas 17 e 18, a Opção 1 é considerada selecionada e a lei regente e os tribunais competentes serão a lei irlandesa e os tribunais irlandeses, respectivamente; e (v) Parte 1, o Cliente como exportador pode rescindir o Adendo do Reino Unido nos termos da Seção 19 de tal Adendo do Reino Unido.

Na medida em que a Perplexity nomeie uma afiliada ou subcontratado terceirizado para processar os Dados Pessoais em um País Terceiro, a Perplexity executará as Cláusulas de Processador para Processador com qualquer subcontratado relevante (incluindo afiliadas) que nomear em nome do Cliente. Mediante solicitação do Cliente, a Perplexity celebrará separadamente as Cláusulas de Controlador para Processador com o Cliente e tomará quaisquer outras medidas alternativas ou adicionais razoavelmente solicitadas pelo Cliente para garantir que o processamento de Dados Pessoais pela Perplexity ocorra em conformidade com os requisitos das Leis de Privacidade.

Responsabilidade. Sujeito à Cláusula 12 das Cláusulas Contratuais Padrão (SCCs) da UE e a qualquer lei aplicável que não possa ser limitada por contrato, a responsabilidade total agregada de cada parte decorrente ou relacionada a este DPA, às SCCs da UE e ao Adendo do Reino Unido, seja em contrato, ato ilícito ou de outra forma, está sujeita às exclusões e limitações de responsabilidade estabelecidas no Contrato, e qualquer responsabilidade sob este DPA, as SCCs da UE ou o Adendo do Reino Unido é contabilizada e não aumenta esse limite. Nada nesta Seção limita a responsabilidade de qualquer uma das partes perante um titular de dados nos termos da Cláusula 12(b) ou 12(c) das SCCs da UE, ou qualquer responsabilidade que não possa ser limitada nos termos da lei de proteção de dados aplicável.

ANEXO 1

Detalhes do Processamento:

Natureza do processamento

A prestação dos Serviços ao Cliente conforme estabelecido no Contrato.

Finalidade(s) do processamento

A prestação dos Serviços ao Cliente conforme estabelecido no Contrato.

Categorias de indivíduos cujos Dados Pessoais são processados

Usuários Autorizados dos Serviços e, de outra forma, conforme determinado pelo Cliente.

Categorias de Dados Pessoais processados

Informações da Conta dos Usuários Autorizados e informações pessoais contidas na Entrada enviada por meio dos Serviços, conforme determinado pelo Cliente. Quaisquer informações pessoais contidas na Entrada serão armazenadas até o que ocorrer por último: (a) a data em que forem excluídas pelo Cliente por meio da interface dos Serviços e (b) a data que for trinta dias após a Perplexity deixar de prestar os Serviços ao Cliente.

Tipos de Dados Pessoais sujeitos ao processamento que são considerados “sensíveis” ou “categoria especial” sob as Leis de Privacidade

Nenhum dado sensível pretende ser processado, a menos que um Usuário Autorizado o inclua inesperadamente na Entrada.

Frequência (ex.: pontual ou contínua) e duração do processamento

De forma contínua, durante a vigência do Contrato e qualquer período de retenção pós-término, conforme estabelecido no Contrato.

O objeto, a natureza e a duração do processamento realizado por quaisquer subprocessadores autorizados nos termos da Seção 6 são conforme estabelecido neste Anexo 1 e no Anexo 2.

ANEXO 2

Subcontratados Autorizados:

Conforme estabelecido em https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors (“Lista de Suboperadores do Centro de Confiabilidade”).

ANEXO 3

Medidas de Segurança:

A Perplexity mantém Medidas de Segurança razoáveis em medida proporcional ao risco apresentado pelo processamento de Dados Pessoais e, de outra forma, conta com medidas de segurança implementadas e mantidas pelos subcontratados estabelecidos no Anexo 2, incluindo Amazon e Microsoft. Consulte o Contrato para obter mais detalhes sobre os compromissos de segurança da Perplexity.