Este Anexo de Processamento de Dados Pessoais (este “DPA”) faz parte dos Termos e Condições Gerais para a Assinatura dos Serviços SMU OS, e aplicável ao DPA, na medida nele determinada. Quaisquer termos em letras maiúsculas neste Anexo terão os significados que lhes são atribuídos nos Termos e Condições.:

1. INTERPRETAÇÃO
   1. Além dos termos definidos neste DPA, as seguintes palavras e frases com letra inicial em maiúsculas terão os significados definidos a seguir

      Autoridade reguladora significa qualquer órgão responsável por garantir o cumprimento da Legislação de Proteção de Dados.

      Cláusulas contratuais-padrão significa (a) com relação a uma Transferência Restrita sujeita à LGPD (N.T.: em português: “Lei Geral de Proteção de Dados Pessoais”), as cláusulas contratuais-padrão estabelecidas pela Decisão de Execução (UE) 2021/914 da comissão de 4 de junho de 2021, relativa à transferência de dados para países terceiros nos termos do regulamento, ou qualquer versão final subsequente das mesmas, conforme o resolvido pela Comissão Europeia, ("EU SCC"), (b) com relação a uma Transferência Restrita sujeita à LGPD do Reino Unido, o Acordo Internacional de Transferência de Dados adotado pela Autoridade Reguladora (Information Commissioner) em 21 de março de 2022 e suas versões subsequentes emitidas pela Autoridade Reguladora, ("IDTA do Reino Unido"), (c) com relação a uma Transferência Restrita sujeita à Lei de Proteção de Dados Pessoais da Argentina, as cláusulas contratuais-padrão adotadas pela Disposição E 60/2016 da Agência Nacional de Proteção de Dados Pessoais e suas versões subsequentes emitidas pela Autoridade Reguladora ("cláusulas contratuais-padrão da Argentina"), e (d) com relação a qualquer outra Transferência Restrita sujeita a qualquer outra Legislação de Proteção de Dados, como outras cláusulas contratuais-padrão que possam ser exigidas ("Outras cláusulas de transferência aplicáveis").

      Controlador significa Cliente.

      Dados Pessoais significa a informação referente a um Titular de Dados que é tratada pelo Encarregado sob as instruções do Cliente no contexto da prestação dos Serviços de Tratamento de Dados Pessoais.

      Encarregado significa Sociedade.

      Incidente de segurança significa qualquer violação de segurança com relação aos Dados Pessoais que leve à sua destruição, perda, alteração, divulgação não autorizada ou acesso, seja de forma acidental ou ilegal.

      Legislação de Proteção de Dados significa as regras aplicáveis de proteção e privacidade de Dados Pessoais aplicáveis e vinculantes para as Partes no que diz respeito ao Tratamento de Dados Pessoais, incluindo o Regulamento Geral de Proteção de Dados 2016/679, a Lei de Proteção de Dados do Reino Unido de 2018 e o Regulamento Geral de Proteção de Dados do Reino Unido ("LGPD do Reino Unido"), Lei de Proteção de Dados Pessoais da Argentina nº 25.326 e a Lei de Privacidade do Consumidor da Califórnia ("CCPA"), entre outros.

      Salvaguardas adequadas significam os mecanismos legalmente aplicáveis para Transferências de Dados Pessoais que podem eventualmente ser permitidos pela Legislação de Proteção de Dados, incluindo as Cláusulas Contratuais-padrão.

      Serviços de Tratamento de Dados significa os serviços descritos no Apêndice 1.

      Sub Encarregado significa qualquer terceiro nomeado pelo Encarregado para processar os Dados Pessoais.

      Transferência Restrita significa uma transferência internacional de dados para um país que não foi declarado adequado pela Autoridade Reguladora ou que requer a execução de algum tipo de mecanismo de transferência para cumprir a Legislação de Proteção de Dados.

      Transferência Subsequente significa a Transferência de um Destinatário internacional para outro Destinatário internacional.

   2. Neste DPA, as referências a "Titular dos Dados", "Tratamento", "Responsável pela Proteção de Dados" e "Transferência" terão o mesmo significado estabelecido na Legislação de Proteção de Dados.
2. OBRIGAÇÕES DO CONTROLADOR
   1. O Controlador deve:
      Cumprir toda a legislação de proteção de dados;

      Instruir o Encarregado (e autorizá-lo a instruir a cada um dos seus Sub Encarregados previamente aprovados) a realizar o Tratamento de Dados Pessoais.

      Declarar e garantir que está, e sempre estará devida, pertinente e efetivamente autorizado a dar as instruções estabelecidas na cláusula 2.1(b).

      Declarar e garantir que todos os Dados Pessoais fornecidos pelo Controlador para usar em relação com o Apêndice 1 deste DPA, cumprem em todos os aspectos, incluindo os termos referidos a coleta, armazenamento e Tratamento, com toda a legislação de proteção de dados.

      Realizar uma avaliação sobre o impacto na proteção de Dados Pessoais das operações de tratamento que deve realizar o Encarregado de acordo com os requisitos da legislação de proteção de dados.

      Realizar as consultas prévias necessárias de acordo com os requisitos da legislação de proteção de dados.

      Informar o Encarregado, tanto quanto for do seu conhecimento e convicção, se qualquer divulgação de Dados Pessoais estiver restringida de alguma forma (incluindo, sem limitação, qualquer restrição de divulgação adicional aos contratados pelo Controlador e/ou qualquer transferência internacional de Dados Pessoais permitida ao abrigo deste DPA).
3. OBRIGAÇÕES DO ENCARREGADO
   1. O Encarregado deve:
      Realizar o Tratamento de Dados Pessoais apenas na medida e da maneira necessárias para a prestação dos Serviços de Tratamento de Dados e de acordo com as instruções escritas pelo Controlador.

      Manter registros escritos de todas as atividades de Tratamento realizadas em nome do Controlador como parte dos Serviços de Tratamento de Dados, incluindo:

      nome e detalhes de contato do Encarregado e de cada Controlador, ou de qualquer Filial, em nome do qual o Encarregado atua.

      se aplicável e devidamente autorizado pelo Controlador ao abrigo do presente DPA, as transferências de Dados Pessoais para uma organização internacional ou para outro país, incluindo a identificação desse país ou organização internacional, e a documentação das Salvaguardas adequadas.

      Cumprir com suas obrigações como Encarregado sob a legislação de proteção de dados, incluindo, quando necessário, a nomeação de um Delegado de Proteção de Dados.

      Adotar medidas técnicas e organizativas adequadas, pelo menos equivalentes às medidas técnicas e organizativas previstas no Apêndice 2 do presente acordo.

      Notificar o Controlador sem demora injustificada se, no entendimento do Encarregado, as instruções do Controlador violarem a legislação de proteção de dados. O Encarregado não será responsável por não executar qualquer instrução supostamente infratora que tenha sido devidamente notificada previamente ao Controlador até que o status de tal instrução tenha sido resolvido pelas Partes. Qualquer aviso nesse sentido é fornecido “com esse alcance” e não deve ser considerado como assessoramento jurídico pelo Encarregado.

      Assegurar que seus funcionários e contratados que tenham acesso aos Dados Pessoais estejam sujeitos a apropriadas obrigações de confidencialidade de tais dados, que serão pelo menos tão restritivas quanto as contidas neste documento e nas leis aplicáveis. Além disso, o acesso e o uso de Dados Pessoais por funcionários e contratados são permitidos apenas quando for necessário para executar os Serviços de Tratamento de Dados.

      Cooperar e auxiliar o Controlador no cumprimento de suas obrigações sob a Legislação de Proteção de Dados, levando em consideração a natureza dos Serviços de Tratamento de Dados e as informações colocadas à disposição do Encarregado, incluindo:

      notificar o Controlador, sem atraso indevido, sobre o recebimento de qualquer solicitação feita por um Titular dos Dados para exercer qualquer um de seus direitos sob a Lei de Proteção de Dados, e fornecer, na medida em que o Processador a tenha, informações e assistência razoáveis ​​e suficientes para atender a tais solicitações;

      auxiliar nas obrigações do Controlador de informar incidentes de segurança às autoridades reguladoras e aos titulares dos dados. O Encarregado não fará qualquer declaração, anúncio ou comentário público em relação a qualquer Incidente de Segurança, sem a revisão prévia e consentimento por escrito do Controlador; e

      contribuir para a realização de avaliações de impacto sobre a proteção de dados e, se for o caso, consultas prévias com as autoridades reguladoras.
   2. O Encarregado notificará o Controlador (ou qualquer uma das suas afiliadas), sem demora injustificada e, em qualquer caso, no prazo de até 72 (setenta e duas) horas, de qualquer Incidente de Segurança. A notificação não será exigida nos casos em que tal incidente de segurança não seja suscetível de constituir um risco para os direitos e liberdades das pessoas. O Encarregado deverá fornecer todas as informações relevantes relativas às circunstâncias do incidente, na medida do possível, para que o Controlador possa cumprir com as suas obrigações de informar às autoridades reguladoras e notificar aos titulares afetados.
4. AUDITORIA
   1. Após o recebimento de um aviso prévio razoável, por escrito, de pelo menos 10 (dez) dias úteis, o Encarregado disponibilizará ao Controlador (e deverá garantir que todos os seus Sub Encarregados o façam) as informações que possam ser necessárias para demonstrar o cumprimento, pelo Encarregado, de suas obrigações sob este DPA e da legislação de proteção de dados, bem como permitir que o Controlador faça auditorias para este fim, com uma solicitação razoável sujeita a um pedido máximo de 1 (uma) auditoria a cada 12 (doze) meses.
   2. O Encarregado deverá fornecer (ou obter) acesso a todas as instalações, documentos, pessoal e registos relevantes durante o horário normal de expediente para cada auditoria. Igualmente deverá proporcionar e obter um nível razoável de cooperação, acesso e assistência adicional em relação a essa auditoria.
   3. Não será necessário que o Encarregado forneça acesso às suas instalações ou partilhe informações, para os fins relacionados com essa auditoria:
      A qualquer pessoa, exceto quando produzir provas razoáveis de sua identidade e autoridade;

      Fora do horário normal de expediente para tais instalações; ou

      Para qualquer auditor que não aceite assinar qualquer acordo de confidencialidade que seja exigido pelo Encarregado ou que seja um concorrente do Encarregado.
   4. Os termos deste DPA não serão interpretados, sob nenhuma circunstância, como a obrigação do Encarregado de fornecer ou divulgar ao Controlador e/ou aos seus auditores qualquer informação que: (a) não esteja estritamente relacionada com os Serviços de Tratamento de Dados; (b) se relacionar com qualquer cliente do Encarregado que não seja o Controlador; (c) esteja relacionada a salários ou qualquer outra informação relacionada a funcionários do Encarregado ou das afiliadas do Encarregado, ou (d) esteja relacionada ao custo de execução dos serviços prestados pelo Encarregado.
   5. O Controlador utilizará todos os meios razoáveis para evitar danos, lesões ou perturbações (ou para minimizá-los, se não puder evitá-los) nas instalações, equipamentos, pessoal e negócios do Encarregado no decurso de tal auditoria.
   6. Os custos da auditoria serão suportados pelo Controlador. Caso sejam identificados erros ou não conformidades em decorrência do processo de auditoria, o Controlador deverá notificar ao Encarregado e conceder-lhe o prazo de 30 (trinta) dias úteis para a correção do erro ou não conformidade.
5. SUB ENCARREGADOS
   1. O Encarregado está autorizado a subcontratar outras empresas (Sub Encarregadas) que executem tarefas auxiliares de produção para desenvolver os serviços contratados entre as partes. Esses Sub Encarregados podem ser contratados pelo Encarregado para o desempenho de qualquer uma das suas obrigações ao abrigo do contrato pertinente, apenas na medida permitida neste documento. A lista de Sub Encarregados está disponível neste link. O Encarregado manterá a lista de Sub Encarregados atualizada nessa lista.
   2. O Encarregado deve assegurar que o acesso aos Dados Pessoais seja limitado às pessoas autorizadas que necessitem do acesso aos mesmos para fornecer os Serviços de Tratamento de Dados.
   3. Antes de qualquer Sub Encarregado se envolver em atividades de Tratamento de Dados Pessoais, o Encarregado deverá celebrar um contrato vinculante por escrito com o Sub Encarregado contendo um nível substancialmente semelhante de obrigações decorrentes deste DPA. Do mesmo modo, procurará que cada Sub Encarregado cumpra as suas obrigações ao abrigo do contrato celebrado com eles.
   4. O Encarregado permanecerá totalmente responsável perante o Controlador ao abrigo do presente DPA por todos os atos e omissões de cada um dos Sub Encarregados como se fossem seus.
6. TRANSFERÊNCIAS INTERNACIONAIS
   1. O Encarregado não transferirá (nem permitirá qualquer Transferência subsequente) quaisquer Dados Pessoais para outro país ou organização internacional ("Destinatário Internacional") sem o consentimento do Controlador.
   2. Através do presente, o Controlador outorga seu consentimento para que o Encarregado transfira dados pessoais para os Serviços de Tratamento de Dados para qualquer Destinatário Internacional, desde que a Transferência de Dados Pessoais pelo Encarregado para um Destinatário Internacional (incluindo qualquer Transferência subsequente) cumpra as seguintes condições:
      Seja feita de acordo com as adequadas Salvaguardas e seja de acordo com as disposições da legislação de proteção de dados e deste DPA; e

      Seja realizada com base em um contrato escrito, que inclua obrigações equivalentes às que correspondem ao Encarregado.
   3. O Encarregado poderá transmitir os Dados Pessoais às suas afiliadas, a terceiros contratados pelo Encarregado em conformidade com a legislação de proteção de dados e em relação ao escopo do DPA, e a outros Encarregados do mesmo Controlador ("Partes Autorizadas"), de acordo com as instruções dadas pelo Controlador. Neste último caso, o Controlador deverá identificar previamente e por escrito a entidade que receberá os dados, os dados que devem ser partilhados, e as medidas de segurança que correspondam para prosseguir com a comunicação.
   4. No caso de o Encarregado ter a obrigação legal de transferir Dados Pessoais de um país para outro, ou para uma organização internacional, deverá primeiro informar ao Controlador tal requisito legal, exceto quando proibido pelos regulamentos aplicáveis por razões de interesse público significativo.
   5. No caso de qualquer Transferência Restrita de Dados Pessoais, serão de aplicação os termos estabelecidos no Apêndice 3.
7. EXCLUSÃO DE DADOS
   1. Dentro de 30 (trinta) dias após o recebimento de notificação por escrito, o Encarregado excluirá (e garantirá que cada um de seus Sub Encarregados o faça), na medida em que a tecnologia permitir, todos os Dados Pessoais da maneira razoavelmente solicitada pelo Controlador após a primeira das seguintes datas:
      finalização deste DPA por qualquer motivo;

      o final da prestação dos Serviços de Tratamento de Dados relacionados ao Tratamento de tais Dados Pessoais; ou

      quando já não mais seja necessário, pelo Encarregado, o tratamento de qualquer Dado Pessoal para cumprir as suas obrigações ao abrigo do presente DPA.
   2. Os requisitos da cláusula 7.1 não serão aplicáveis na medida em que o Encarregado (ou qualquer um dos seus Sub Encarregados) deva, ao abrigo de qualquer lei, regulamento, norma, ordem judicial ou outras regras semelhantes aplicáveis em qualquer jurisdição relevante, reter ou continuar armazenando os Dados Pessoais após a terminação.
   3. Se solicitado por escrito pelo Controlador, o Encarregado deverá fornecer uma confirmação por escrito do cumprimento da cláusula 7.1.