DPA

Última atualização em 28 de julho de 2023

ESTE ADITAMENTO DE PROCESSAMENTO DE DADOS (este “DPA”) é incorporado ao Contrato Principal de Serviços (o “Contrato”) entre o Cliente e EIVUS LTDA (“Prestador de Serviços” ou “Processador”), cada um sendo uma (“parte”) e coletivamente (“as partes”). Termos em maiúsculas mas não definidos neste DPA terão os significados atribuídos a esses termos no Contrato.

No curso da prestação dos Serviços ao Cliente conforme o Contrato, o Prestador de Serviços pode Processar Dados Pessoais em nome do Cliente. O Prestador de Serviços concorda em cumprir as seguintes disposições, incluindo as Cláusulas Contratuais Padrão (processadores) anexadas como Anexo A e seus Apêndices relacionados e incorporados ao DPA (as “Cláusulas”), na extensão aplicável conforme fornecido na Seção 2.8 abaixo, com relação ao seu Processamento de quaisquer Dados Pessoais enviados por ou para o Cliente ao Prestador de Serviços em conexão com o uso dos Serviços pelo Cliente.

1. DEFINIÇÕES

“Controlador” significa a entidade que determina as finalidades e os meios do Processamento de Dados Pessoais.

“Dados do Cliente” significa quaisquer dados, informações ou materiais originados pelo Cliente que o Cliente envia, coleta ou fornece no curso do uso dos Serviços, incluindo quaisquer Dados Pessoais do Cliente.

“Dados Pessoais do Cliente” significa Dados Pessoais enviados por ou para o Cliente ao Prestador de Serviços em conexão com o uso dos Serviços pelo Cliente.

“Leis de Proteção de Dados” significa todas as leis e regulamentos, incluindo leis e regulamentos da União Europeia, do Espaço Econômico Europeu e de seus estados membros, aplicáveis ao Processamento de Dados Pessoais do Cliente pelo Prestador de Serviços nos termos do Contrato.

“Titular dos Dados” significa uma pessoa natural identificada ou identificável. Para os fins deste DPA, “Titulares dos Dados” incluem indivíduos de uma ou mais das seguintes categorias: (a) usuários do Cliente, (b) indivíduos que colaboram e comunicam-se com os usuários do Cliente e (c) indivíduos cujos Dados Pessoais são possuídos pelo Cliente e armazenados dentro dos Dados do Cliente.

“GDPR” significa o Regulamento Geral de Proteção de Dados da UE 2016/679.

“Dados Pessoais” tem o mesmo significado que “dados pessoais” conforme definido no GDPR.

“Violação de Dados Pessoais” tem o mesmo significado que “violação de dados pessoais” conforme definido no GDPR.

“Processamento” tem o mesmo significado que “processamento” conforme definido no GDPR.

“Processador” significa a entidade que Processa Dados Pessoais em nome do Controlador.

“Documentação de Segurança, Privacidade e Arquitetura” significa a documentação de Segurança, Privacidade e Arquitetura aplicável aos Serviços adquiridos pelo Cliente, conforme descrito nos resumos dos relatórios de auditoria SSAE 16 SOC Tipo II então vigentes (ou relatório sucessor padrão da indústria comparável) que o Prestador de Serviços geralmente disponibiliza aos seus Clientes conforme atualizados de tempos em tempos, ou de outra forma disponibilizados razoavelmente pelo Prestador de Serviços.

“Subprocessador” significa qualquer entidade que o Prestador de Serviços contrata para Processar Dados Pessoais do Cliente em seu nome.

2. PROCESSAMENTO DE DADOS PESSOAIS DO CLIENTE

2.1 Papéis das Partes; Propósito. As partes reconhecem e concordam que, com relação ao Processamento de Dados Pessoais do Cliente, o Cliente atua como um Processador de dados pessoais em nome de seus clientes que são Controladores de tais dados pessoais e que o Prestador de Serviços, como Subprocessador, pode engajar outros Subprocessadores de acordo com os requisitos estabelecidos neste Contrato. O objetivo do Processamento de Dados Pessoais do Cliente pelo Prestador de Serviços é a execução dos Serviços para o Cliente e o exercício dos direitos do Cliente conforme o Contrato.

2.2 Processamento de Dados Pessoais pelo Prestador de Serviços. O Prestador de Serviços Processará Dados Pessoais do Cliente apenas em nome e de acordo com as instruções do Cliente. Para os fins deste DPA e da Cláusula 5(a) das Cláusulas, o Cliente instruirá o Prestador de Serviços a Processar Dados Pessoais do Cliente para os seguintes fins: (i) armazenar dados conforme descrito mais completamente no Contrato e nos Formulários de Pedido de Serviço aplicáveis; e (ii) cumprir outras instruções razoáveis fornecidas pelo Cliente (por exemplo, por e-mail), onde tais instruções sejam consistentes com os termos do Contrato e deste DPA. Este DPA e o CONTRATO são as instruções completas e finais do Cliente ao Prestador de Serviços para o Processamento de Dados Pessoais do Cliente. Quaisquer instruções adicionais que sejam inconsistentes com os termos do Contrato ou deste DPA devem ser acordadas separadamente por escrito e assinadas por representantes autorizados de ambas as partes.

2.3 Processamento de Dados Pessoais pelo Cliente. No uso dos Serviços, o Prestador de Serviços Processará Dados Pessoais do Cliente de acordo com os requisitos das Leis de Proteção de Dados. As instruções do Cliente para o Processamento de Dados Pessoais pelo Prestador de Serviços estarão em conformidade com todas as Leis de Proteção de Dados. O Cliente terá a responsabilidade exclusiva pela precisão, qualidade e legalidade dos Dados Pessoais do Cliente e pelos meios pelos quais o Cliente adquiriu tais Dados Pessoais do Cliente.

2.4 Segurança do Processamento. O Prestador de Serviços garantirá a segurança dos Dados Pessoais do Cliente implementando medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, conforme exigido pelas Leis de Proteção de Dados aplicáveis. Essas medidas incluem aquelas estabelecidas na Documentação de Segurança, Privacidade e Arquitetura. O Prestador de Serviços não diminuirá materialmente a segurança geral dos Serviços durante o prazo do Contrato.

2.5 Notificação de Violação de Dados Pessoais. O Prestador de Serviços notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais. Na medida em que tal Violação de Dados Pessoais seja causada por violação dos requisitos deste DPA pelo Prestador de Serviços, o Prestador de Serviços envidará esforços razoáveis para identificar e remediar a causa de tal Violação de Dados Pessoais.

2.6 Assistência. O Prestador de Serviços concorda em fornecer ao Cliente assistência razoável para garantir o cumprimento de suas obrigações nos termos dos Artigos 32 a 36 do GDPR, levando em consideração a natureza do Processamento do Prestador de Serviços e as informações disponíveis para o Prestador de Serviços. O Prestador de Serviços, na medida do legalmente permitido, notificará prontamente o Cliente se receber uma solicitação de um Titular dos Dados para acesso, correção, alteração ou exclusão dos Dados Pessoais do Titular dos Dados. Mediante solicitação do Cliente, o Prestador de Serviços fornecerá assistência comercialmente razoável ao Cliente por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, em relação ao tratamento de solicitação de um Titular dos Dados para exercer os direitos do Titular dos Dados estabelecidos no Capítulo III do GDPR, levando em consideração a natureza do Processamento de Dados Pessoais do Cliente pelo Prestador de Serviços e somente na medida em que o Cliente não seja capaz de cumprir tais solicitações por meio dos Serviços. O Cliente será responsável por quaisquer custos decorrentes da prestação de tal assistência pelo Prestador de Serviços.

2.7 Exclusão de Dados Pessoais do Cliente. O Prestador de Serviços excluirá todos os Dados Pessoais

do Cliente e suas cópias (i) mediante solicitação do Cliente, (ii) na rescisão ou vencimento do Contrato e (iii) em uma base contínua a cada vinte e oito (28) dias durante o prazo do Contrato, salvo disposição em contrário exigida pelas Leis de Proteção de Dados aplicáveis. As partes concordam que a certificação da exclusão de Dados Pessoais do Cliente descrita na Cláusula 12(1) será fornecida pelo Prestador de Serviços ao Cliente somente mediante solicitação por escrito do Cliente.

2.8 Transferências de Dados. Com relação aos Dados Pessoais do Cliente transferidos do Espaço Econômico Europeu (“EEE”) para fora do EEE em conexão com o uso dos Serviços pelo Cliente, seja diretamente ou por meio de transferência subsequente, o Prestador de Serviços fornecerá pelo menos o mesmo nível de proteção para tais Dados Pessoais do Cliente como é exigido pelos princípios relevantes conforme o Artigo 46 do GDPR. Se o Prestador de Serviços determinar que não pode mais fornecer este nível de proteção, o Prestador de Serviços notificará prontamente o Cliente dessa determinação, e o Cliente terá o direito de rescindir o Contrato sem penalidade mediante aviso ao Prestador de Serviços. As Cláusulas se aplicam apenas aos Dados Pessoais do Cliente que são transferidos do EEE para fora do EEE, seja diretamente ou por meio de transferência subsequente, para qualquer país ou destinatário: (i) não reconhecido pela Comissão Europeia como fornecendo um nível adequado de proteção para Dados Pessoais, e (ii) não coberto por um quadro adequado reconhecido pelas autoridades ou tribunais relevantes como fornecendo um nível adequado de proteção para Dados Pessoais. Para fins das Cláusulas e deste DPA, o Cliente e todas as Afiliadas do Cliente estabelecidas dentro do EEE que adquiriram Serviços com base em um Formulário de Pedido de Serviço serão considerados “Exportadores de Dados” e serão coletivamente incluídos no termo “Cliente”.

2.9 Auditorias. O Prestador de Serviços disponibilizará ao Cliente todas as informações necessárias para demonstrar o cumprimento de suas obrigações nos termos do GDPR. O Prestador de Serviços obteve as certificações e auditorias de terceiros estabelecidas na Documentação de Segurança, Privacidade e Arquitetura. Mediante solicitação por escrito do Cliente em intervalos razoáveis, o Prestador de Serviços fornecerá uma cópia dos resumos mais recentes dos relatórios de auditorias ou certificações de terceiros do Prestador de Serviços, conforme aplicável, que o Prestador de Serviços geralmente disponibiliza aos seus Clientes no momento de tal solicitação. O Prestador de Serviços também fornecerá, mediante solicitação por escrito do Cliente, relatórios contendo os resultados completos de tais auditorias ou certificações de terceiros, desde que tais relatórios possam ser editados para remover detalhes de testes ou outras informações que não sejam necessárias para que o Cliente entenda as vulnerabilidades específicas que possam colocar os Dados Pessoais do Cliente em risco, a critério razoável exclusivo do Prestador de Serviços. As partes concordam que os direitos de auditoria descritos no Artigo 28 do GDPR e nas Cláusulas 5(f) e 12(2) das Cláusulas serão satisfeitos pela provisão de tais resumos e/ou relatórios pelo Prestador de Serviços.

3. PESSOAL DO PRESTADOR DE SERVIÇOS

3.1 Confidencialidade. O Prestador de Serviços garantirá que seu pessoal envolvido no Processamento de Dados Pessoais do Cliente esteja informado da natureza confidencial dos Dados Pessoais do Cliente, tenha recebido treinamento adequado sobre suas responsabilidades e tenha assinado acordos de confidencialidade por escrito ou esteja sujeito a uma obrigação estatutária adequada de confidencialidade. O Prestador de Serviços garantirá que tais obrigações de confidencialidade sobrevivam ao término do engajamento do pessoal.

3.2 Limitação de Acesso. O Prestador de Serviços garantirá que o acesso do Prestador de Serviços aos Dados Pessoais do Cliente seja limitado ao pessoal que necessite de tal acesso para cumprir o Contrato.

3.3 Oficial de Proteção de Dados. Certos funcionários da matriz do Cliente foram designados como oficiais de proteção de dados onde tal nomeação for exigida pelas Leis de Proteção de Dados.

4. SUBPROCESSADORES

4.1 Autorização Geral. O Cliente autoriza o Prestador de Serviços a subcontratar o Processamento de Dados Pessoais do Cliente sob este DPA para Subprocessadores, desde que o Prestador de Serviços: (a) forneça ao Cliente informações sobre o(s) Subprocessador(es) conforme razoavelmente solicitado pelo Cliente de tempos em tempos; (b) estenda suas obrigações sob este DPA a tais Subprocessadores, de modo que os requisitos de Processamento de tais Subprocessadores com relação aos Dados Pessoais do Cliente não sejam menos onerosos do que os requisitos de Processamento do Prestador de Serviços conforme estabelecido neste DPA; e (c) seja integralmente responsável perante o Cliente pelo cumprimento das obrigações do Subprocessador sob este DPA se tal Subprocessador deixar de cumprir suas obrigações de proteção de dados.

4.2 Novos Subprocessadores. O Prestador de Serviços informará o Cliente sobre quaisquer mudanças pretendidas relacionadas à adição ou substituição de Subprocessadores. Se o Cliente tiver uma base razoável para objetar ao uso pelo Prestador de Serviços de um novo Subprocessador, o Cliente notificará prontamente o Prestador de Serviços por escrito dentro de dez (10) dias após o Prestador de Serviços informar o Cliente sobre tal mudança. Se tal objeção não for injustificada, o Prestador de Serviços envidará esforços razoáveis para disponibilizar ao Cliente uma mudança nos Serviços afetados ou recomendará uma mudança comercialmente razoável na configuração ou uso dos Serviços afetados pelo Cliente para evitar o Processamento de Dados Pessoais do Cliente por tal novo Subprocessador. Se o Prestador de Serviços não puder disponibilizar tal mudança dentro de um período razoável, que não excederá sessenta (60) dias, o Cliente poderá rescindir o(s) Formulário(s) de Pedido de Serviço aplicável(is) com relação apenas aos Serviços que não possam ser fornecidos pelo Prestador de Serviços sem o uso do novo Subprocessador objeto da objeção, mediante aviso por escrito ao Processador. O Cliente receberá um reembolso de quaisquer taxas pagas antecipadamente pelo período após a data efetiva da rescisão dos Serviços rescindidos.

4.3 Acordos com Subprocessadores. As partes concordam que se cópias dos acordos com Subprocessadores devem ser enviadas pelo Prestador de Serviços ao Cliente de acordo com as Leis de Proteção de Dados aplicáveis, tais cópias podem ter todas as informações comerciais e cláusulas não relacionadas a este DPA editadas pelo Prestador de Serviços antecipadamente; e que tais cópias serão fornecidas pelo Prestador de Serviços somente mediante solicitação razoável do Cliente.

5. DISPOSIÇÕES GERAIS

5.1 Termos Conflitantes. Este DPA se aplica apenas ao Cliente e ao Prestador de Serviços e não confere quaisquer direitos a terceiros. Este DPA não substitui quaisquer direitos adicionais relacionados à privacidade ou segurança de dados estabelecidos no Contrato.

5.2 Prazo e Rescisão. Este DPA entrará em vigor na data em que o Cliente tiver ambos: (i) executado um Contrato válido; e (ii) executado este DPA. Este DPA será rescindido simultaneamente e automaticamente na rescisão do Contrato. O Prestador de Serviços poderá rescindir este DPA a qualquer momento mediante aviso ao Cliente, se o Prestador de Serviços oferecer meios alternativos ao Cliente que

cumpram todas as Leis de Proteção de Dados aplicáveis. O Cliente poderá rescindir este DPA a critério do Cliente mediante recebimento pelo Prestador de Serviços de aviso por escrito do Cliente de rescisão.

5.3 Recursos. Os recursos do Prestador de Serviços, incluindo os de suas Afiliadas, decorrentes de qualquer violação pelo Cliente dos termos deste DPA, serão limitados a duas vezes os valores pagos ou pagáveis nos últimos 12 meses nos termos do Contrato.

5.4 Lei Aplicável. Na medida exigida pelas Leis de Proteção de Dados aplicáveis, este DPA será regido pelas leis da jurisdição aplicável. Em todos os outros casos, este DPA será regido pelas leis da jurisdição indicada no Contrato.