Adenda sobre Proteção de Dados

O Regulamento Geral sobre a Proteção de Dados

O Regulamento Geral sobre a Proteção de Dados (RGPD) é um regulamento da União Europeia (UE) sobre proteção de dados e privacidade para todos os indivíduos dentro da UE. Entrou em vigor a 25 de maio de 2018 e aplica-se a todas as organizações que recolhem, armazenam e/ou processam dados pessoais da UE.

Na Konveio LLC, valorizamos a privacidade e a transparência e queremos que os nossos clientes saibam que a Konveio tomou todas as medidas necessárias para cumprir essas regulamentações. Para isso, criámos este Adendo de Processamento de Dados (“DPA”), que descreve as nossas práticas de processamento de dados.

Precisa de uma cópia autografada? Entre em contacto connosco.

Este Adendo de Proteção de Dados ("Adendo") faz parte dos Termos e Condições ("Contrato Principal", "Contrato") entre: (i) Konveio LLC ("Fornecedor") agindo em seu próprio nome e como agente de cada Afiliada do Fornecedor; e (ii) você, o Cliente ("Empresa"), agindo em seu próprio nome e como agente de cada Afiliada da Empresa.

Os termos utilizados neste Adendo terão os significados estabelecidos neste Adendo. Os termos em maiúsculas não definidos neste documento terão o significado que lhes é atribuído no Contrato Principal. Exceto conforme modificado abaixo, os termos do Contrato Principal permanecerão em pleno vigor e efeito.

Tendo em conta as obrigações mútuas aqui estabelecidas, as partes concordam que os termos e condições abaixo serão adicionados como um Adendo ao Contrato Principal. Exceto quando o contexto exigir o contrário, as referências neste Adendo ao Contrato Principal são feitas ao Contrato Principal, conforme alterado por, e incluindo, este Adendo.

1. Definições

1.1 Neste Aditamento, os seguintes termos terão os significados abaixo indicados e os termos afins serão interpretados em conformidade:

1.1.1«Leis aplicáveis» significa (a) as leis dos Estados Unidos ou da União Europeia ou dos Estados-Membros relativas a quaisquer Dados Pessoais da Empresa em relação aos quais qualquer Membro do Grupo da Empresa esteja sujeito às Leis de Proteção de Dados da UE; e (b) qualquer outra lei aplicável relativa a quaisquer Dados Pessoais da Empresa em relação aos quais qualquer Membro do Grupo da Empresa esteja sujeito a quaisquer outras Leis de Proteção de Dados;

1.1.2«Afiliada da Empresa» significa uma entidade que possui ou controla, é possuída ou controlada pela Empresa, ou está sob controlo ou propriedade comum com a Empresa, sendo que controlo é definido como a posse, direta ou indireta, do poder de dirigir ou causar a direção da gestão e das políticas de uma entidade, seja através da posse de títulos com direito a voto, por contrato ou de outra forma;

1.1.3«Membro do Grupo da Empresa» significa a Empresa ou qualquer Afiliada da Empresa;

1.1.4«Dados Pessoais da Empresa» significa quaisquer Dados Pessoais Processados por um Processador Contratado em nome de um Membro do Grupo da Empresa, nos termos ou em conexão com o Contrato Principal;

1.1.5«Processador Contratado» significa Fornecedor ou Subprocessador;

1.1.6«Leis de Proteção de Dados» significa as Leis de Proteção de Dados da UE, as leis de proteção de dados dos Estados Unidos e, na medida do aplicável, as leis de proteção de dados ou privacidade de qualquer outro país;

1.1.7 «EEE» significa o Espaço Económico Europeu;

1.1.8«Leis de Proteção de Dados da UE» significa a Diretiva 95/46/CE da UE, conforme transposta para a legislação nacional de cada Estado-Membro e conforme alterada, substituída ou revogada periodicamente, incluindo pelo RGPD e pelas leis que implementam ou complementam o RGPD;

1.1.9«RGPD» significa Regulamento Geral sobre a Proteção de Dados da UE 2016/679;

1.1.10 «Transferência restrita» significa:

1.1.10.1 uma transferência de Dados Pessoais da Empresa de qualquer Membro do Grupo da Empresa para um Processador Contratado; ou

1.1.10.2 uma transferência posterior de Dados Pessoais da Empresa de um Processador Contratado para outro Processador Contratado, ou entre dois estabelecimentos de um Processador Contratado,

em cada caso, quando tal transferência for proibida pelas Leis de Proteção de Dados (ou pelos termos dos acordos de transferência de dados estabelecidos para abordar as restrições de transferência de dados das Leis de Proteção de Dados) na ausência das Cláusulas Contratuais Padrão a serem estabelecidas nos termos da seção 6.4.3 ou 12 abaixo;

1.1.11«Serviços» significa os serviços e outras atividades a serem fornecidos ou realizados pelo Fornecedor ou em nome deste para os Membros do Grupo da Empresa, de acordo com o Contrato Principal;

1.1.12«Cláusulas Contratuais Padrão» significa as cláusulas contratuais estabelecidas no Anexo 2, alteradas conforme indicado (entre colchetes e em itálico) nesse Anexo e na secção 13.4;

1.1.13«Subprocessador» significa qualquer pessoa (incluindo terceiros e quaisquer Afiliados do Fornecedor, mas excluindo funcionários do Fornecedor ou de quaisquer dos seus subcontratados) nomeada pelo ou em nome do Fornecedor ou de qualquer Afiliado do Fornecedor para Processar Dados Pessoais em nome de qualquer Membro do Grupo da Empresa em relação ao Contrato Principal; e

1.1.14«Afiliada do Fornecedor» significa uma entidade que possui ou controla, é possuída ou controlada por, ou está sob controlo ou propriedade comum com o Fornecedor, onde controlo é definido como a posse, direta ou indireta, do poder de dirigir ou causar a direção da gestão e políticas de uma entidade, seja através da posse de títulos com direito a voto, por contrato ou de outra forma.

1.2 Os termos«Comissão»,«Responsável pelo Tratamento», «Titular dos Dados»,«Estado-Membro»,«Dados Pessoais»,«Violação de Dados Pessoais»,«Tratamento» e«Autoridade de Controlo» terão o mesmo significado que no RGPD, e os seus termos cognatos serão interpretados em conformidade.

1.3 A palavra«incluir» deve ser interpretada como significando incluir sem limitação, e os termos cognatos devem ser interpretados em conformidade.

2. Autoridade

O Fornecedor garante e declara que, antes de qualquer Afiliada do Fornecedor processar quaisquer Dados Pessoais da Empresa em nome de qualquer Membro do Grupo da Empresa, a adesão do Fornecedor a este Adendo como agente e em nome dessa Afiliada do Fornecedor terá sido devida e efetivamente autorizada (ou posteriormente ratificada) por essa Afiliada do Fornecedor.

3. Tratamento dos dados pessoais da empresa

3.1 O Fornecedor e cada Afiliado do Fornecedor devem:

3.1.1 cumprir todas as leis de proteção de dados aplicáveis no processamento de dados pessoais da empresa; e

3.1.2 não processar Dados Pessoais da Empresa, exceto mediante instruções documentadas do Membro do Grupo da Empresa relevante, a menos que o Processamento seja exigido pelas Leis Aplicáveis às quais o Processador Contratado relevante está sujeito, caso em que o Fornecedor ou a Afiliada do Fornecedor relevante deverá, na medida do permitido pelas Leis Aplicáveis, informar o Membro do Grupo da Empresa relevante sobre essa exigência legal antes do Processamento relevante desses Dados Pessoais.

3.2 Cada membro do grupo empresarial:

3.2.1 instrui o Fornecedor e cada Afiliado do Fornecedor (e autoriza o Fornecedor e cada Afiliado do Fornecedor a instruir cada Subprocessador) a:

3.2.1.1 Processar dados pessoais da empresa; e

3.2.1.2 em particular, transferir Dados Pessoais da Empresa para qualquer país ou território,

conforme razoavelmente necessário para a prestação dos Serviços e em conformidade com o Contrato Principal; e

3.2.2 garante e declara que está e permanecerá, em todos os momentos relevantes, devidamente e efetivamente autorizado a dar as instruções estabelecidas na secção 3.2.1 em nome de cada Afiliada da Empresa relevante.

3.3 O Anexo 1 deste Adendo estabelece determinadas informações relativas ao Tratamento dos Dados Pessoais da Empresa pelos Processadores Contratados, conforme exigido pelo artigo 28(3) do RGPD (e, possivelmente, requisitos equivalentes de outras Leis de Proteção de Dados). A Empresa poderá fazer alterações razoáveis ao Anexo 1, mediante notificação por escrito ao Fornecedor, sempre que a Empresa considerar razoavelmente necessário para cumprir esses requisitos. Nada no Anexo 1 (incluindo as alterações feitas de acordo com esta secção 3.3) confere qualquer direito ou impõe qualquer obrigação a qualquer parte deste Adendo.

4. Pessoal do fornecedor e afiliados do fornecedor

O Fornecedor e cada Afiliado do Fornecedor devem tomar medidas razoáveis para garantir a confiabilidade de qualquer funcionário, agente ou contratado de qualquer Processador Contratado que possa ter acesso aos Dados Pessoais da Empresa, garantindo, em cada caso, que o acesso seja estritamente limitado às pessoas que precisam conhecer/aceder aos Dados Pessoais da Empresa relevantes, conforme estritamente necessário para os fins do Contrato Principal, e para cumprir as Leis Aplicáveis no contexto das funções dessa pessoa para com o Processador Contratado, garantindo que todas essas pessoas estejam sujeitas a compromissos de confidencialidade ou obrigações profissionais ou legais de confidencialidade.

5. Segurança

5.1 Tendo em conta o estado da arte, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do Tratamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, o Fornecedor e cada Afiliado do Fornecedor devem, em relação aos Dados Pessoais da Empresa, implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado a esse risco, incluindo, conforme apropriado, as medidas referidas no Artigo 32(1) do RGPD.

5.2 Ao avaliar o nível adequado de segurança, o Fornecedor e cada Afiliado do Fornecedor devem levar em consideração, em particular, os riscos apresentados pelo Processamento, especialmente os decorrentes de uma Violação de Dados Pessoais.

6. Subprocessamento

6.1 Cada Membro do Grupo da Empresa autoriza o Fornecedor e cada Afiliada do Fornecedor a nomear (e permitir que cada Subprocessador nomeado de acordo com esta secção 6 nomeie) Subprocessadores de acordo com esta secção 6 e quaisquer restrições no Contrato Principal.

6.2 O Fornecedor e cada Afiliada do Fornecedor podem continuar a utilizar os Subprocessadores já contratados pelo Fornecedor ou qualquer Afiliada do Fornecedor na data deste Adendo, desde que o Fornecedor e cada Afiliada do Fornecedor, em cada caso, cumpram, assim que possível, as obrigações estabelecidas na seção 6.4.

6.3 O Fornecedor envidará esforços para notificar previamente a Empresa, por escrito, sobre a nomeação de qualquer novo Subprocessador, incluindo todos os detalhes do Processamento a ser realizado pelo Subprocessador. Se, no prazo de 14 dias após o recebimento dessa notificação, a Empresa notificar o Fornecedor por escrito sobre quaisquer objeções (com base em motivos razoáveis) à nomeação proposta:

6.3.1 O Fornecedor deverá trabalhar com a Empresa de boa-fé para disponibilizar uma alteração comercialmente razoável na prestação dos Serviços que evite o uso do Subprocessador proposto; e

6.3.2 caso tal alteração não possa ser feita no prazo de 31 dias a partir da receção da notificação da Empresa pelo Fornecedor, não obstante qualquer disposição do Contrato Principal, a Empresa poderá, mediante notificação por escrito ao Fornecedor, rescindir com efeito imediato o Contrato Principal na medida em que este se refira aos Serviços que exigem a utilização do Subprocessador proposto.

6.4 Com relação a cada Subprocessador, o Fornecedor ou a Afiliada relevante do Fornecedor deverá:

6.4.1 antes de o Subprocessador processar pela primeira vez os Dados Pessoais da Empresa (ou, quando relevante, de acordo com a secção 6.2), realizar uma devida diligência adequada para garantir que o Subprocessador é capaz de fornecer o nível de proteção dos Dados Pessoais da Empresa exigido pelo Contrato Principal;

6.4.2 garantir que o acordo entre, por um lado, (a) o Fornecedor, ou (b) a Afiliada relevante do Fornecedor, ou (c) o Subprocessador intermediário relevante; e, por outro lado, o Subprocessador, seja regido por um contrato escrito que inclua termos que ofereçam, pelo menos, o mesmo nível de proteção para os Dados Pessoais da Empresa que os estabelecidos neste Adendo e cumpram os requisitos do artigo 28(3) do RGPD;

6.4.3 fornecer à Empresa, para análise, as cópias dos contratos dos Processadores Contratados com os Subprocessadores (que podem ser editadas para remover informações comerciais confidenciais não relevantes para os requisitos deste Adendo), conforme a Empresa possa solicitar periodicamente.

6.5 O Fornecedor e cada Afiliado do Fornecedor devem garantir que cada Subprocessador cumpra as obrigações previstas nas secções 3.1, 4, 5, 7.1, 8.2, 9 e 11.1, na medida em que se apliquem ao Tratamento de Dados Pessoais da Empresa realizado por esse Subprocessador, como se fosse parte deste Aditamento em substituição do Fornecedor.

7. Direitos do titular dos dados

7.1 Tendo em conta a natureza do Tratamento, o Fornecedor e cada Afiliada do Fornecedor devem auxiliar cada Membro do Grupo da Empresa, implementando medidas técnicas e organizacionais adequadas, na medida do possível, para o cumprimento das obrigações dos Membros do Grupo da Empresa, conforme razoavelmente entendido pela Empresa, para responder às solicitações de exercício dos direitos dos Titulares dos Dados nos termos das Leis de Proteção de Dados.

7.2 O fornecedor deverá:

7.2.1 notificar imediatamente a Empresa se qualquer Processador Contratado receber uma solicitação de um Titular dos Dados, nos termos de qualquer Lei de Proteção de Dados, em relação aos Dados Pessoais da Empresa; e

7.2.2 garantir que o Processador Contratado não responda a essa solicitação, exceto mediante instruções documentadas da Empresa ou da Afiliada relevante da Empresa ou conforme exigido pelas Leis Aplicáveis às quais o Processador Contratado está sujeito, caso em que o Fornecedor deverá, na medida do permitido pelas Leis Aplicáveis, informar a Empresa sobre essa exigência legal antes que o Processador Contratado responda à solicitação.

8. Violação de dados pessoais

8.1 O Fornecedor deverá notificar a Empresa sem demora injustificada assim que o Fornecedor ou qualquer Subprocessador tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais da Empresa, fornecendo à Empresa informações suficientes para permitir que cada Membro do Grupo da Empresa cumpra quaisquer obrigações de comunicar ou informar os Titulares dos Dados sobre a Violação de Dados Pessoais nos termos das Leis de Proteção de Dados.

8.2 O Fornecedor deverá cooperar com a Empresa e cada Membro do Grupo da Empresa e tomar as medidas comerciais razoáveis que forem indicadas pela Empresa para auxiliar na investigação, mitigação e correção de cada uma dessas Violações de Dados Pessoais.

9. Avaliação do impacto sobre a proteção de dados e consulta prévia

O Fornecedor e cada Afiliado do Fornecedor devem prestar assistência razoável a cada Membro do Grupo da Empresa em quaisquer avaliações de impacto sobre a proteção de dados e consultas prévias com Autoridades Supervisoras ou outras autoridades competentes em matéria de privacidade de dados, que a Empresa considere razoavelmente exigidas a qualquer Membro do Grupo da Empresa pelos artigos 35.º ou 36.º do RGPD ou disposições equivalentes de qualquer outra Lei de Proteção de Dados, em cada caso exclusivamente em relação ao Tratamento de Dados Pessoais da Empresa por, e tendo em conta a natureza do Tratamento e as informações disponíveis para, os Processadores Contratados.

10. Eliminação dos dados pessoais da empresa

10.1 Sujeito às secções 10.2 e 10.3, o Fornecedor e cada Afiliado do Fornecedor devem, prontamente e, em qualquer caso, no prazo de 14 dias a contar da data de cessação de quaisquer Serviços que envolvam o Tratamento de Dados Pessoais da Empresa (a «Data de Cessação»), eliminar e providenciar a eliminação de todas as cópias desses Dados Pessoais da Empresa.

10.2 Sujeito à secção 10.3, a Empresa pode, a seu critério exclusivo, mediante notificação por escrito ao Fornecedor no prazo de 30 dias a contar da Data de Cessação, exigir que o Fornecedor e cada Afiliada do Fornecedor (a) devolvam uma cópia completa de todos os Dados Pessoais da Empresa à Empresa por meio de transferência segura de ficheiros no formato razoavelmente notificado pela Empresa ao Fornecedor; e (b) excluam e providenciem a exclusão de todas as outras cópias dos Dados Pessoais da Empresa Processados por qualquer Processador Contratado. O Fornecedor e cada Afiliada do Fornecedor deverão cumprir qualquer solicitação por escrito dentro de 30 dias a partir da Data de Cessação.

10.3 Cada Processador Contratado pode reter os Dados Pessoais da Empresa na medida exigida pelas Leis Aplicáveis e apenas na medida e pelo período exigidos pelas Leis Aplicáveis, desde que o Fornecedor e cada Afiliado do Fornecedor garantam a confidencialidade de todos esses Dados Pessoais da Empresa e assegurem que tais Dados Pessoais da Empresa sejam Processados apenas conforme necessário para os fins especificados nas Leis Aplicáveis que exigem o seu armazenamento e para nenhum outro fim.

10.4 O Fornecedor deverá fornecer à Empresa uma certificação por escrito de que ele e cada Afiliada do Fornecedor cumpriram integralmente esta seção 10 no prazo de 30 dias a partir da Data de Cessação.

11. Direitos de auditoria

11.1 Sujeito à secção 11.2, o Fornecedor e cada Afiliado do Fornecedor disponibilizarão a cada Membro do Grupo da Empresa, mediante solicitação, todas as informações necessárias para demonstrar a conformidade com este Adendo, e permitirão e contribuirão para auditorias, incluindo inspeções, por qualquer Membro do Grupo da Empresa ou um auditor mandatado por qualquer Membro do Grupo da Empresa em relação ao Tratamento dos Dados Pessoais da Empresa pelos Processadores Contratados.

11.2 Os direitos de informação e auditoria dos Membros do Grupo da Empresa só surgem ao abrigo da secção 11.1 na medida em que o Contrato Principal não lhes conceda direitos de informação e auditoria que cumpram os requisitos relevantes da Lei de Proteção de Dados (incluindo, quando aplicável, o artigo 28(3)(h) do RGPD).

12. Transferências restritas

12.1 Sujeito à secção 12.3, cada Membro do Grupo da Empresa (como «exportador de dados») e cada Processador Contratado, conforme apropriado, (como «importador de dados») celebram as Cláusulas Contratuais Padrão relativas a qualquer Transferência Restrita desse Membro do Grupo da Empresa para esse Processador Contratado.

12.2 As Cláusulas Contratuais Padrão entrarão em vigor nos termos da secção 12.1 na data mais tardia entre:

12.2.1 o exportador de dados tornar-se parte neles;

12.2.2 o importador de dados se tornar parte neles; e

12.2.3 início da Transferência Restrita relevante.

12.3 A Secção 12.1 não se aplica a uma Transferência Restrita, a menos que o seu efeito, juntamente com outras medidas de conformidade razoavelmente praticáveis (que, para evitar dúvidas, não incluem a obtenção de consentimentos dos Titulares dos Dados), seja permitir que a Transferência Restrita relevante ocorra sem violar a Lei de Proteção de Dados aplicável.

13. Termos gerais

LEI APLICÁVEL E JURISDIÇÃO

13.1 Sem prejuízo das cláusulas 7 (Mediação e Jurisdição) e 9 (Lei Aplicável) das Cláusulas Contratuais Padrão:

13.1.1 as partes deste Adendo submetem-se à escolha da jurisdição estipulada no Contrato Principal com relação a quaisquer disputas ou reclamações que possam surgir sob este Adendo, incluindo disputas relativas à sua existência, validade ou rescisão ou às consequências da sua nulidade; e

13.1.2 este Adendo e todas as obrigações não contratuais ou outras obrigações decorrentes ou relacionadas com ele são regidas pelas leis do país ou território estipulado para esse efeito no Contrato Principal.

ORDEM DE PRECEDÊNCIA

13.2 Nada neste Adendo reduz as obrigações do Fornecedor ou de qualquer Afiliada do Fornecedor nos termos do Contrato Principal em relação à proteção de Dados Pessoais ou permite que o Fornecedor ou qualquer Afiliada do Fornecedor Processe (ou permita o Processamento de) Dados Pessoais de uma forma que seja proibida pelo Contrato Principal. Em caso de qualquer conflito ou inconsistência entre este Adendo e as Cláusulas Contratuais Padrão, as Cláusulas Contratuais Padrão prevalecerão.

13.3 Sujeito à secção 13.2, no que diz respeito ao assunto deste Adendo, em caso de inconsistências entre as disposições deste Adendo e quaisquer outros acordos entre as partes, incluindo o Acordo Principal e incluindo (exceto quando explicitamente acordado de outra forma por escrito, assinado em nome das partes) acordos celebrados ou que se pretenda celebrar após a data deste Adendo, as disposições deste Adendo prevalecerão.

ALTERAÇÕES NAS LEIS DE PROTEÇÃO DE DADOS, ETC.

13.4 A Empresa pode:

13.4.1 mediante notificação por escrito com antecedência mínima de 30 (trinta) dias ao Fornecedor, fazer, periodicamente, quaisquer alterações às Cláusulas Contratuais Padrão (incluindo quaisquer Cláusulas Contratuais Padrão celebradas nos termos da secção 12.1), uma vez que se aplicam a Transferências Restritas que estão sujeitas a uma Lei de Proteção de Dados específica, que são necessárias, como resultado de qualquer alteração ou decisão de uma autoridade competente ao abrigo dessa Lei de Proteção de Dados, para permitir que essas Transferências Restritas sejam feitas (ou continuem a ser feitas) sem violar essa Lei de Proteção de Dados; e

13.4.2 propor quaisquer outras alterações a este Adendo que a Empresa considere razoavelmente necessárias para atender aos requisitos de qualquer Lei de Proteção de Dados.

13.5 Se a Empresa enviar uma notificação nos termos da secção 13.4.1:

13.5.1 O Fornecedor e cada Afiliado do Fornecedor devem cooperar prontamente (e garantir que quaisquer Subprocessadores afetados cooperem prontamente) para garantir que variações equivalentes sejam feitas em qualquer acordo estabelecido nos termos da seção 6.4.3; e

13.5.2 A Empresa não deverá reter ou atrasar injustificadamente o acordo com quaisquer alterações consequentes a este Adendo propostas pelo Fornecedor para proteger os Processadores Contratados contra riscos adicionais associados às alterações feitas nos termos da secção 13.4.1 ou 13.5.1.

13.6 Se a Empresa enviar uma notificação nos termos da secção 13.4.2, as partes deverão discutir prontamente as alterações propostas e negociar de boa-fé com o objetivo de chegar a um acordo e implementar essas alterações ou alterações alternativas destinadas a atender aos requisitos identificados na notificação da Empresa, assim que for razoavelmente possível.

13.7 Nem a Empresa nem o Fornecedor exigirão o consentimento ou aprovação de qualquer Afiliada da Empresa ou Afiliada do Fornecedor para alterar este Adendo de acordo com esta seção 13.5 ou de outra forma.

INDEMNIZAÇÃO

13.8 Caso qualquer disposição deste Aditamento seja inválida ou inexequível, o restante deste Aditamento permanecerá válido e em vigor. A disposição inválida ou inexequível será (i) alterada conforme necessário para garantir a sua validade e exequibilidade, preservando ao máximo as intenções das partes ou, se isso não for possível, (ii) interpretada de forma a que a parte inválida ou inexequível nunca tenha sido incluída no mesmo.

Anexo 1: Cláusulas Contratuais Padrão

CLÁUSULAS CONTRATUAIS PADRÃO (PROCESSADORES)

Para efeitos do artigo 26.º, n.º 2, da Diretiva 95/46/CE, para a transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não garantam um nível adequado de proteção de dados.

CONTEXTO

O exportador de dados celebrou um aditamento ao contrato de processamento de dados («DPA») com o importador de dados. De acordo com os termos do DPA, prevê-se que os serviços prestados pelo importador de dados envolvam a transferência de dados pessoais para o importador de dados. O importador de dados está localizado num país que não garante um nível adequado de proteção de dados. Para garantir a conformidade com a Diretiva 95/46/CE e a legislação aplicável em matéria de proteção de dados, o responsável pelo tratamento concorda com a prestação desses Serviços, incluindo o tratamento de dados pessoais a eles inerentes, sujeito à execução e ao cumprimento, por parte do importador de dados, dos termos destas Cláusulas.

CLÁUSULA 1

DEFINIÇÕES

Para efeitos das Cláusulas:

««Dados pessoais», «categorias especiais de dados», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «autoridade de controlo» têm o mesmo significado que na Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados;
«Exportador de dados»: o responsável pelo tratamento que transfere os dados pessoais;
«Importador de dados»: o subcontratante que aceita receber do exportador de dados dados pessoais destinados a serem tratados em seu nome após a transferência, em conformidade com as suas instruções e com os termos das cláusulas, e que não está sujeito ao sistema de um país terceiro que garanta uma proteção adequada na aceção do artigo 25.º, n.º 1, da Diretiva 95/46/CE;
«subencarregado do tratamento»: qualquer encarregado do tratamento contratado pelo importador de dados ou por qualquer outro subencarregado do tratamento do importador de dados que concorde em receber do importador de dados ou de qualquer outro subencarregado do tratamento do importador de dados dados pessoais destinados exclusivamente a atividades de tratamento a realizar em nome do exportador de dados após a transferência, em conformidade com as suas instruções, os termos das cláusulas e os termos do subcontrato escrito;
«legislação aplicável em matéria de proteção de dados»: a legislação que protege os direitos e liberdades fundamentais das pessoas singulares e, em especial, o seu direito à privacidade no que diz respeito ao tratamento de dados pessoais aplicável a um responsável pelo tratamento de dados no Estado-Membro em que o exportador de dados está estabelecido;
«Medidas de segurança técnicas e organizativas»: as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizados, em especial quando o tratamento envolve a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de tratamento.

CLÁUSULA 2

DETALHES DA TRANSFERÊNCIA

Os detalhes da transferência e, em particular, as categorias especiais de dados pessoais, quando aplicável, estão especificados no Apêndice 1, que faz parte integrante das Cláusulas.

CLÁUSULA 3

CLÁUSULA DE TERCEIRO BENEFICIÁRIO

O titular dos dados pode fazer valer contra o exportador de dados esta Cláusula, a Cláusula 4(b) a (i), a Cláusula 5(a) a (e) e (g) a (j), a Cláusula 6(1) e (2), a Cláusula 7, a Cláusula 8(2) e as Cláusulas 9 a 12 como terceiro beneficiário.
O titular dos dados pode fazer valer contra o importador de dados esta Cláusula, a Cláusula 5(a) a (e) e (g), a Cláusula 6, a Cláusula 7, a Cláusula 8(2) e as Cláusulas 9 a 12 contra o importador de dados, nos casos em que o exportador de dados tenha desaparecido de facto ou tenha deixado de existir legalmente, a menos que qualquer entidade sucessora tenha assumido todas as obrigações legais do exportador de dados por contrato ou por força da lei, assumindo, como resultado, os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode aplicá-las contra essa entidade.
O titular dos dados pode fazer valer contra o subcontratante esta Cláusula, a Cláusula 5(a) a (e) e (g), a Cláusula 6, a Cláusula 7, a Cláusula 8(2) e as Cláusulas 9 a 12, nos casos em que tanto o exportador de dados como o importador de dados tenham desaparecido de facto ou deixado de existir legalmente ou se tenham tornado insolventes, a menos que qualquer entidade sucessora tenha assumido todas as obrigações legais do exportador de dados por contrato ou por força da lei, em resultado do que assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode fazer valer essas cláusulas contra essa entidade. Essa responsabilidade civil do subcontratante será limitada às suas próprias operações de tratamento nos termos das Cláusulas.
As partes não se opõem a que um titular de dados seja representado por uma associação ou outro organismo, se o titular de dados assim o desejar expressamente e se tal for permitido pela legislação nacional.

CLÁUSULA 4

OBRIGAÇÕES DO EXPORTADOR DE DADOS

O exportador de dados concorda e garante:

que o tratamento, incluindo a própria transferência, dos dados pessoais foi e continuará a ser realizado em conformidade com as disposições pertinentes da legislação aplicável em matéria de proteção de dados (e, quando aplicável, foi notificado às autoridades competentes do Estado-Membro onde o exportador de dados está estabelecido) e não viola as disposições pertinentes desse Estado;
que instruiu e, durante toda a duração dos serviços de tratamento de dados pessoais, instruirá o importador de dados a tratar os dados pessoais transferidos apenas em nome do exportador de dados e de acordo com a legislação aplicável em matéria de proteção de dados e as Cláusulas;
que o importador de dados fornecerá garantias suficientes no que diz respeito às medidas de segurança técnicas e organizacionais especificadas no Apêndice 2 deste contrato;
que, após avaliação dos requisitos da legislação aplicável em matéria de proteção de dados, as medidas de segurança são adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizados, em especial quando o tratamento envolve a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de tratamento, e que estas medidas garantem um nível de segurança adequado aos riscos apresentados pelo tratamento e à natureza dos dados a proteger, tendo em conta o estado da técnica e o custo da sua implementação;
que garantirá o cumprimento das medidas de segurança;
que, se a transferência envolver categorias especiais de dados, o titular dos dados tenha sido informado ou será informado antes ou logo que possível após a transferência de que os seus dados poderão ser transmitidos a um país terceiro que não oferece proteção adequada na aceção da Diretiva 95/46/CE;
encaminhar qualquer notificação recebida do importador de dados ou de qualquer subcontratado, nos termos da Cláusula 5(b) e da Cláusula 8(3), à autoridade supervisora de proteção de dados, caso o exportador de dados decida continuar a transferência ou suspender a suspensão;
disponibilizar aos titulares dos dados, mediante solicitação, uma cópia das Cláusulas, com exceção do Apêndice 2, e uma descrição resumida das medidas de segurança, bem como uma cópia de qualquer contrato de serviços de subprocessamento que deva ser celebrado de acordo com as Cláusulas, a menos que as Cláusulas ou o contrato contenham informações comerciais, caso em que poderá remover tais informações comerciais;
que, em caso de subcontratação, a atividade de tratamento seja realizada em conformidade com a Cláusula 11 por um subcontratante que ofereça, pelo menos, o mesmo nível de proteção dos dados pessoais e dos direitos dos titulares dos dados que o importador de dados nos termos das Cláusulas; e
que garantirá o cumprimento da Cláusula 4(a) a (i).

CLÁUSULA 5

OBRIGAÇÕES DO IMPORTADOR DE DADOS

O importador de dados concorda e garante:

processar os dados pessoais apenas em nome do exportador de dados e em conformidade com as suas instruções e as Cláusulas; se não puder garantir essa conformidade por qualquer motivo, concorda em informar imediatamente o exportador de dados da sua incapacidade de cumprir, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato;
que não tem motivos para acreditar que a legislação aplicável o impeça de cumprir as instruções recebidas do exportador de dados e as suas obrigações nos termos do contrato e que, no caso de uma alteração nesta legislação que possa ter um efeito adverso substancial nas garantias e obrigações previstas nas Cláusulas, notificará imediatamente a alteração ao exportador de dados assim que tiver conhecimento da mesma, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato;
que implementou as medidas de segurança técnicas e organizacionais especificadas no Apêndice 2 antes de processar os dados pessoais transferidos;
que notificará imediatamente o exportador de dados sobre:
qualquer pedido juridicamente vinculativo de divulgação dos dados pessoais por uma autoridade policial, salvo se proibido, como uma proibição ao abrigo do direito penal para preservar a confidencialidade de uma investigação policial,
qualquer acesso acidental ou não autorizado, e
qualquer pedido recebido diretamente dos titulares dos dados sem responder a esse pedido, a menos que tenha sido autorizado a fazê-lo;
tratar de forma rápida e adequada todas as consultas do exportador de dados relacionadas com o tratamento dos dados pessoais sujeitos à transferência e cumprir as recomendações da autoridade de controlo no que diz respeito ao tratamento dos dados transferidos;
a pedido do exportador de dados, submeter as suas instalações de tratamento de dados a uma auditoria das atividades de tratamento abrangidas pelas cláusulas, a ser realizada pelo exportador de dados ou por um organismo de inspeção composto por membros independentes e com as qualificações profissionais necessárias, vinculados por um dever de confidencialidade, selecionados pelo exportador de dados, se for caso disso, de acordo com a autoridade de controlo;
disponibilizar ao titular dos dados, mediante solicitação, uma cópia das Cláusulas ou de qualquer contrato existente para subprocessamento, a menos que as Cláusulas ou o contrato contenham informações comerciais, caso em que poderá remover tais informações comerciais, com exceção do Apêndice 2, que será substituído por uma descrição resumida das medidas de segurança nos casos em que o titular dos dados não puder obter uma cópia do exportador de dados;
que, em caso de subcontratação, informou previamente o exportador de dados e obteve o seu consentimento prévio por escrito;
que os serviços de processamento pelo subprocessador serão realizados de acordo com a Cláusula 11;
enviar prontamente uma cópia de qualquer contrato de subprocessador que celebrar nos termos das Cláusulas ao exportador de dados.

CLÁUSULA 6

RESPONSABILIDADE

As partes concordam que qualquer titular de dados que tenha sofrido danos como resultado de qualquer violação das obrigações referidas na Cláusula 3 ou na Cláusula 11 por qualquer parte ou subcontratado tem direito a receber uma compensação do exportador de dados pelos danos sofridos.
Se um titular dos dados não puder apresentar uma reclamação de indemnização, em conformidade com o parágrafo 1, contra o exportador de dados, decorrente de uma violação por parte do importador de dados ou do seu subcontratante de qualquer das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, porque o exportador de dados desapareceu de facto ou deixou de existir legalmente ou se tornou insolvente, o importador de dados concorda que o titular dos dados pode apresentar uma reclamação contra o importador de dados como se este fosse o exportador de dados, a menos que qualquer entidade sucessora tenha assumido todas as obrigações legais do exportador de dados por contrato ou por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade.
O importador de dados não pode invocar uma violação das suas obrigações por parte de um subcontratante para evitar as suas próprias responsabilidades.
Se um titular dos dados não puder apresentar uma reclamação contra o exportador ou importador de dados referido nos parágrafos 1 e 2, decorrente de uma violação por parte do subprocessador de qualquer uma das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, porque tanto o exportador como o importador de dados desapareceram de facto ou deixaram de existir legalmente ou se tornaram insolventes, o subcontratante concorda que o titular dos dados pode apresentar uma reclamação contra o subcontratante de dados no que diz respeito às suas próprias operações de tratamento ao abrigo das Cláusulas, como se fosse o exportador ou o importador de dados, a menos que qualquer entidade sucessora tenha assumido todas as obrigações legais do exportador ou importador de dados por contrato ou por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade. A responsabilidade do subcontratado ficará limitada às suas próprias operações de tratamento nos termos das Cláusulas.

CLÁUSULA 7

MEDIAÇÃO E JURISDIÇÃO

O importador de dados concorda que, se o titular dos dados invocar contra ele direitos de terceiro beneficiário e/ou reivindicar indenização por danos nos termos das Cláusulas, o importador de dados aceitará a decisão do titular dos dados:
remeter o litígio para mediação, por uma pessoa independente ou, quando aplicável, pela autoridade de supervisão;
remeter o litígio para os tribunais do Estado-Membro em que o exportador de dados está estabelecido.
As partes concordam que a escolha feita pelo titular dos dados não prejudicará os seus direitos substantivos ou processuais de buscar reparação de acordo com outras disposições da legislação nacional ou internacional.

CLÁUSULA 8

COOPERAÇÃO COM AS AUTORIDADES DE SUPERVISÃO

O exportador de dados concorda em depositar uma cópia deste contrato junto à autoridade supervisora, caso esta o solicite ou caso tal depósito seja exigido pela lei de proteção de dados aplicável.
As partes concordam que a autoridade supervisora tem o direito de realizar uma auditoria ao importador de dados e a qualquer subcontratante, com o mesmo âmbito e sujeita às mesmas condições que se aplicariam a uma auditoria ao exportador de dados ao abrigo da legislação aplicável em matéria de proteção de dados.
O importador de dados informará imediatamente o exportador de dados sobre a existência de legislação aplicável a ele ou a qualquer subcontratado que impeça a realização de uma auditoria do importador de dados ou de qualquer subcontratado, nos termos do parágrafo 2. Nesse caso, o exportador de dados terá o direito de tomar as medidas previstas na Cláusula 5 (b).

CLÁUSULA 9

LEI APLICÁVEL

As Cláusulas serão regidas pela legislação do Estado-Membro em que o exportador de dados está estabelecido.

CLÁUSULA 10

VARIAÇÃO DO CONTRATO

As partes comprometem-se a não alterar ou modificar as Cláusulas. Isso não impede as partes de adicionarem cláusulas sobre questões comerciais relacionadas, quando necessário, desde que não contradigam a Cláusula.

CLÁUSULA 11

SUBPROCESSAMENTO

O importador de dados não subcontratará nenhuma das suas operações de tratamento realizadas em nome do exportador de dados ao abrigo das Cláusulas sem o consentimento prévio por escrito do exportador de dados. Quando o importador de dados subcontratar as suas obrigações ao abrigo das Cláusulas, com o consentimento do exportador de dados, só o fará mediante um acordo escrito com o subcontratante que imponha ao subcontratante as mesmas obrigações que são impostas ao importador de dados ao abrigo das Cláusulas. Caso o subencargado do tratamento não cumpra as suas obrigações em matéria de proteção de dados nos termos desse acordo escrito, o importador de dados continuará a ser totalmente responsável perante o exportador de dados pelo cumprimento das obrigações do subencargado do tratamento nos termos desse acordo.
O contrato prévio por escrito entre o importador de dados e o subencargado do tratamento deve também prever uma cláusula de terceiro beneficiário, tal como estabelecido na Cláusula 3, para os casos em que o titular dos dados não possa apresentar o pedido de indemnização referido no n.º 1 da Cláusula 6 contra o export, tal como previsto na Cláusula 3, para os casos em que o titular dos dados não possa apresentar o pedido de indemnização referido no n.º 1 da Cláusula 6 contra o exportador de dados ou o importador de dados, porque estes desapareceram de facto ou deixaram de existir legalmente ou se tornaram insolventes e nenhuma entidade sucessora assumiu a totalidade das obrigações legais do exportador de dados ou do importador de dados por contrato ou por força da lei. Essa responsabilidade civil do subcontratante ficará limitada às suas próprias operações de tratamento ao abrigo das cláusulas.
As disposições relativas aos aspetos de proteção de dados para o subprocessamento do contrato referido no n.º 1 regem-se pela legislação do Estado-Membro em que o exportador de dados está estabelecido.
O exportador de dados manterá uma lista dos acordos de subprocessamento celebrados ao abrigo das Cláusulas e notificados pelo importador de dados nos termos da Cláusula 5 (j), que será atualizada pelo menos uma vez por ano. A lista estará disponível para a autoridade supervisora de proteção de dados do exportador de dados.

CLÁUSULA 12

OBRIGAÇÃO APÓS O TERMINE DOS SERVIÇOS DE TRATAMENTO DE DADOS PESSOAIS

As partes concordam que, no término da prestação dos serviços de processamento de dados, o importador de dados e o subprocessador deverão, por escolha do exportador de dados, devolver todos os dados pessoais transferidos e as suas cópias ao exportador de dados ou destruir todos os dados pessoais e certificar ao exportador de dados que o fizeram, a menos que a legislação imposta ao importador de dados o impeça de devolver ou destruir a totalidade ou parte dos dados pessoais transferidos. Nesse caso, o importador de dados garante que assegurará a confidencialidade dos dados pessoais transferidos e que não processará mais ativamente os dados pessoais transferidos.
O importador de dados e o subcontratante garantem que, mediante solicitação do exportador de dados e/ou da autoridade supervisora, submeterão as suas instalações de processamento de dados a uma auditoria das medidas referidas no n.º 1.

Apêndice 1 às Cláusulas Contratuais Padrão

Os Estados-Membros podem completar ou especificar, de acordo com os seus procedimentos nacionais, quaisquer informações adicionais necessárias a incluir neste apêndice.

EXPORTADOR DE DADOS

O exportador de dados é: _________________

IMPORTADOR DE DADOS

O importador dos dados é: Konveio, LLC

TITULARES DOS DADOS

Os dados pessoais transferidos dizem respeito às seguintes categorias de titulares dos dados:Utilizadores, Gestores e Administradores do site
.

CATEGORIAS DE DADOS

Os dados pessoais transferidos dizem respeito às seguintes categorias de dados:
Informações de identificação pertinentes para os fins relacionados com a criação de uma conta de utilizador, envio e gestão de comentários, tais como nome, e-mail, número de telefone (opcional), dados de ligação, dados pessoais.

CATEGORIAS ESPECIAIS DE DADOS (SE APLICÁVEL)

Os dados pessoais transferidos dizem respeito às seguintes categorias especiais de dados: n/a

OPERAÇÕES DE PROCESSAMENTO

Os dados pessoais transferidos serão sujeitos às seguintes atividades básicas de processamento:
Prestação de serviços para recolha e gestão de comentários e inquéritos.

Apêndice 2 às Cláusulas Contratuais Padrão

Descrição das medidas de segurança técnicas e organizacionais implementadas pelo importador de dados, em conformidade com as Cláusulas 4(d) e 5(c):

Firewalls, certificados SSL, firewalls de aplicações web, gestão segura do ciclo de vida do desenvolvimento, práticas de codificação segura, acesso 2FA, Prestador de Serviços PCI Nível 1, avaliações internas de vulnerabilidade, formação contínua dos funcionários, verificação de vírus/malware, proteção contra phishing e muito mais.

SUPORTE

Adenda sobre Proteção de Dados

O Regulamento Geral sobre a Proteção de Dados