Contrato de processamento de dados (DPA)
OS ABAIXO ASSINADOS:
e
doravante denominadas conjuntamente como: Partes;
CONSIDERAÇÕES:
CONCORDAM COM O SEGUINTE:
Os termos escritos com letra maiúscula neste DPA têm os seguintes significados:
1.2 Violação de dados: uma violação das medidas de segurança destinadas a proteger os Dados Pessoais contra perda ou qualquer forma de processamento ilegal, bem como qualquer incidente ou evento em que ocorra ou possa ocorrer perda ou processamento ilegal de Dados Pessoais.
1.3 Contrato: o Contrato entre o Processador e o Controlador com relação à solução SAAS de segurança cibernética fornecida pelo Processador, da qual decorre o processamento de Dados Pessoais.
1.4 Dados pessoais: qualquer informação relacionada a uma pessoa física identificada ou identificável. Uma pessoa física identificável é aquela que pode ser identificada, direta ou indiretamente, principalmente por referência a um identificador, como um nome, um número de identificação, dados de localização, um identificador on-line ou a um ou mais fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa física.
1.5 Subprocessador: a pessoa física ou jurídica que auxilia um Processador no processamento de Dados Pessoais em nome do Controlador.
1.6 Processamento: qualquer operação ou conjunto de operações realizadas sobre os Dados Pessoais, seja ou não por meios automatizados, tais como coletar, registrar, organizar, estruturar, armazenar, adaptar ou alterar, recuperar, consultar, usar, divulgar por transmissão, disseminação ou de outra forma tornar disponível, alinhar ou combinar, restringir, apagar ou destruir.
1.7 Contrato de Processamento de Dados (DPA): este contrato entre o Controlador e o Processador referente ao processamento de dados pessoais, incluindo considerações e anexos associados.
2.1 Este DPA entra em vigor na data em que as Partes assinam o Contrato.
2.2 Este DPA permanecerá em vigor enquanto o Processador processar Dados Pessoais em nome do Controlador nos termos do Contrato.
3.1 Durante a execução do Contrato, o Controlador poderá fornecer Dados Pessoais ao Processador. Uma visão geral das categorias de Dados Pessoais que podem ser fornecidos ao Processador está incluída na Política de Privacidade.
3.2 O Controlador determina a finalidade e os meios de processamento dos Dados Pessoais. Essa finalidade está registrada na Política de Privacidade.
3.3 O Processador processa esses Dados Pessoais exclusivamente para a execução do Contrato, deste DPA e das instruções por escrito fornecidas pelo Controlador. O Processador somente processará os Dados Pessoais para os fins descritos na Política de Privacidade e não usará os Dados Pessoais para nenhum outro fim ou para seus próprios fins, a menos que seja exigido por lei.
3.4 Se uma instrução mencionada no Artigo 3.3, na opinião do Processador, estiver em conflito com uma disposição legal sobre proteção de dados, o Processador informará o Controlador sobre isso antes do processamento, a menos que uma disposição legal proíba essa notificação.
3.5 O Controlador concede ao Processador uma autorização geral para subcontratar o processamento de Dados Pessoais a Subprocessadores, incluindo os Subprocessadores listados no site do Processador.
3.6 Se o Processador contratar um Subprocessador novo ou substituto, o Processador
(a) Atualizar a lista de Subprocessadores disponível no site do Processador.
(b) Impor substancialmente os mesmos termos de proteção de dados a qualquer Subprocessador que contratar, conforme os termos contidos neste DPA (incluindo disposições de transferência de dados, quando aplicável).
(c) Permanecerá responsável perante o Controlador por qualquer violação deste DPA causada por um ato, erro ou omissão de tal Subprocessador.
(d) Notificar o Controlador, se o Controlador estiver inscrito. Se o Controlador optar por ser notificado por escrito 14 dias antes de o Guardey contratar um Subprocessador novo ou substituto, o Controlador deverá se inscrever para receber tais notificações por meio deste link.
3.7 A Controladora poderá se opor à nomeação pelo Processador de qualquer Subprocessador novo ou substituto, prontamente e por escrito, no prazo de 14 (quatorze) dias após o recebimento da notificação, de acordo com o item 3.6(d), e por motivos razoáveis relacionados à capacidade do Subprocessador de cumprir as leis de proteção de dados aplicáveis. Nesse caso, as Partes discutirão as preocupações do Controlador de boa-fé com o objetivo de chegar a uma solução comercialmente razoável. Se as Partes não conseguirem chegar a essa solução, o Processador terá o direito, a seu exclusivo critério, de não nomear o Subprocessador em questão ou permitir que o Controlador suspenda ou rescinda o Pedido aplicável e/ou o Contrato.
3.8 O Processador fornecerá assistência conforme necessário para cumprir as obrigações previstas nos artigos 32 a 36 do GDPR. Em particular, o Processador cooperará na execução das ações necessárias em resposta às solicitações dos Titulares dos Dados com relação a acesso, retificação, restrição ou exclusão de Dados Pessoais.
3.9 O Processador armazenará e processará os Dados Pessoais somente na União Europeia, salvo acordo em contrário com o Controlador.
3.10 O Controlador garante que o processamento dos Dados Pessoais, conforme instruído ao Processador, não viola os regulamentos de proteção de dados e não é ilegal. O Controlador indeniza o Processador contra todas as reivindicações de terceiros, incluindo aquelas de autoridades de supervisão, relacionadas a esse assunto.
3.11 Transferências internacionais de dados:
(a) Se o processamento envolver a transferência de Dados Pessoais para fora da UE/EER, o Processador garantirá um nível adequado de proteção em conformidade com o Capítulo V do GDPR.
(b) Para transferências a países sem uma decisão de adequação, serão usadas cláusulas contratuais padrão (SCCs) ou outro mecanismo de transferência aprovado.
(c) O Processador notificará o Controlador sobre os Subprocessadores fora da UE/EER e permitirá que o Controlador se oponha a essas transferências, de acordo com o item 3.7.
4.1 O Processador continuará a cumprir as disposições deste DPA após a rescisão do Contrato e do DPA, desde que o Processador retenha quaisquer Dados Pessoais do Controlador.
5.1 Após a rescisão do Contrato e do DPA, todos os Dados Pessoais serão devolvidos ao Controlador (ou a um terceiro designado pelo Controlador) ou destruídos assim que for razoavelmente possível, mediante solicitação do Controlador, à escolha do Controlador.
6.1 O Processador implementará medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais contra perda ou qualquer forma de processamento ilegal. Essas medidas garantirão um nível de segurança adequado ao risco apresentado pelo processamento e à natureza dos Dados Pessoais a serem protegidos, levando em conta o estado da arte e os custos de implementação. Uma lista detalhada dessas medidas é fornecida na Política de Segurança.
6.2 O Processador atualizará as medidas mencionadas no Artigo 6.1 se o Controlador solicitar tais atualizações porque o Controlador acredita que é necessário manter um nível adequado de segurança, conforme descrito no Artigo 6.1. Nesses casos, o Processador tem o direito de aumentar os preços acordados com o Controlador para cobrir os custos incorridos pelo Processador em relação a essas atualizações.
7.1 Mediante solicitação, o Processador deverá fornecer cópias de quaisquer certificações, resumos de relatórios de auditoria e/ou outra documentação relevante que possua, quando razoavelmente exigido pelo Controlador para verificar a conformidade do Processador com este DPA.
7.2 Embora a intenção das partes seja, normalmente, confiar nas obrigações do Processador estabelecidas na Seção 7.1 para verificar a conformidade do Processador com este ATD, após um Incidente de Segurança confirmado ou quando uma autoridade de proteção de dados assim o exigir, o Controlador poderá fornecer ao Processador um aviso prévio por escrito de trinta (30) dias solicitando que um terceiro realize uma auditoria das operações e instalações do Processador ("Auditoria"); desde que (i) qualquer Auditoria seja realizada às custas do Controlador; (ii) as partes concordem mutuamente com o escopo, o cronograma e a duração da Auditoria; e (iii) a Auditoria não afete de forma não razoável as operações regulares do Processador.
8.1 O Controlador é responsável por avaliar a necessidade de comunicar uma Violação de Dados à autoridade supervisora e/ou aos Titulares dos Dados e por fazer a comunicação.
8.2 O Processador comunicará qualquer Violação de Dados ou suspeita de violação ao Controlador assim que possível, mas, em qualquer caso, dentro de 24 horas após a descoberta da violação. O Processador fornecerá, no mínimo, as seguintes informações:
(a) a causa (suspeita) da violação de dados;
(b) as consequências (conhecidas ou esperadas) da violação de dados;
(c) dados de localização da violação de dados;
(d) quaisquer destinatários não autorizados dos Dados Pessoais e todas as informações disponíveis sobre eles;
(e) sugestões de medidas para limitar os danos;
(f) quaisquer outras informações solicitadas pelo Controlador.
8.3 O Processador cooperará com a solicitação do Controlador para informar adequadamente os Titulares dos Dados ou as autoridades de supervisão sobre a Violação de Dados e estará disponível para consulta com o Controlador. 8.4 O Controlador e o Processador manterão estrita confidencialidade entre si com relação à Violação de dados, qualquer receio de uma Violação de dados e outros assuntos relacionados, exceto no que se refere às obrigações previstas na legislação nacional ou da UE.
9.1 Cada parte será responsável e indenizará a outra parte contra quaisquer reivindicações, ações, danos e perdas decorrentes de ou em conexão com qualquer violação deste DPA, na medida em que tal violação seja atribuível à negligência da parte, à má conduta intencional ou à não conformidade com as leis de proteção de dados aplicáveis.
9.2 A responsabilidade do Processador por qualquer violação deste DPA deverá ser limitada apenas a danos diretos e não deverá exceder os valores pagos pelo Controlador ao Processador nos termos do Contrato durante os 12 meses anteriores à violação.
10.1 O Processador deverá notificar imediatamente o Controlador caso receba uma solicitação de um Titular de Dados para exercer seus direitos de acordo com o GDPR.
10.2 O Processador deverá cooperar com o Controlador e prestar assistência ao Controlador para permitir que o Controlador cumpra essas solicitações dentro dos prazos estipulados pelo GDPR.
11.1 O Processador designa a seguinte pessoa de contato para coordenar as obrigações previstas neste DPA:
Informações de contato do processador:
11.2 Todas as comunicações relativas a este DPA devem ser encaminhadas à pessoa de contato especificada acima.
11.3 O Controlador deve fornecer suas informações de contato por meio dos canais de comunicação designados no site do Processador ou entrando em contato com a equipe de suporte do Processador nos detalhes de contato fornecidos acima.
12.1 GDPR do Reino Unido: se, e na medida em que, o processamento de Dados Pessoais nos termos deste ATD se referir a titulares de dados no Reino Unido, as disposições do GDPR do Reino Unido serão aplicáveis. As referências ao GDPR neste ATD também incluirão referências ao GDPR do Reino Unido, quando aplicável.
12.2 CCPA/CPRA: se e na medida em que o processamento de Dados Pessoais de acordo com este DPA se referir a titulares de dados na Califórnia, as disposições da Lei de Privacidade do Consumidor da Califórnia (CCPA) e da Lei de Direitos de Privacidade da Califórnia (CPRA) serão aplicáveis. O Processador deverá:
(a) Notificar imediatamente o Controlador sobre quaisquer solicitações de consumidores de acordo com a CCPA/CPRA.
(b) Cooperar com o Controlador para garantir que tais solicitações sejam tratadas em tempo hábil e de acordo com a CCPA/CPRA.
(c) Não "vender" Dados Pessoais, conforme definido pela CCPA/CPRA.
(d) Garantir a conformidade com os requisitos da CCPA/CPRA, incluindo transparência e notificações de direitos do consumidor.
13.1 Os desvios deste DPA somente serão vinculantes se expressamente acordados por escrito entre as Partes.
13.2 Os termos e condições gerais ou outras condições gerais ou especiais do Processador não se aplicam a este DPA e são expressamente rejeitados pelo Controlador.
13.3 Este DPA complementa o Contrato. Em caso de conflito entre as disposições deste DPA e do Contrato, as disposições deste DPA prevalecerão.
13.4 Este DPA é regido pela legislação holandesa.
13.5 As controvérsias entre as Partes que não puderem ser resolvidas por meio de consulta serão submetidas ao tribunal holandês competente em Haia.
