Última atualização: 9 de dezembro de 2024
A presente adenda relativa ao tratamento de dados (“DPA”), faz parte de, e está sujeito aos Termos de Serviço da SocialPilot entre si (“Cliente”) e a SocialPilot Technologies, Inc. (“Fornecedor”) que fazem referência à presente DPA (o “Condições”). As partes celebram o presente APD em seu nome e, na medida do exigido pelas Leis de Proteção de Dados aplicáveis, em nome e por conta das suas filiais, e o presente APD entrará em vigor na data de entrada em vigor dos Termos (“Data efectiva”).
Todos os termos em maiúsculas não definidos no presente DPA terão os significados estabelecidos nas Condições.
2.1 Âmbito e aplicabilidade. Este DPA aplica-se onde e apenas na medida em que o Fornecedor Processa os Dados Pessoais do Cliente em nome do Cliente como Processador de Dados no decurso da prestação de Serviços de acordo com os Termos. Qualquer outro Processamento de Dados Pessoais relativamente ao Cliente e aos seus utilizadores conduzido pelo Fornecedor como Controlador de Dados, incluindo a administração da relação comercial e a segurança do sistema, será efectuado de acordo com a política de privacidade então em vigor do Fornecedor. Não obstante a expiração ou rescisão dos Termos, o presente APD e as Cláusulas Modelo (se aplicável) permanecerão em vigor até à eliminação de todos os Dados Pessoais do Cliente processados pelo Fornecedor, tal como descrito no presente APD, e expirarão automaticamente após essa eliminação.
3.1 Papel das Partes. Se e na medida em que os Serviços prestados pelo Fornecedor ao abrigo dos Termos exigirem que o Fornecedor processe Dados Pessoais, então, entre o Fornecedor e o Cliente, o Fornecedor processará os Dados Pessoais do Cliente apenas como um Processador de Dados a atuar em nome do Cliente. O Cliente é o Controlador de Dados dos Dados Pessoais do Cliente ou, no caso de o Cliente estar a agir em nome de um Controlador de Dados de terceiros, é um Processador de Dados.
3.2 Processamento de Dados Pessoais pelo Cliente. O Cliente declara e garante ao Fornecedor que: (i) o Cliente cumprirá as suas obrigações ao abrigo das Leis de Proteção de Dados no que diz respeito ao seu Processamento de Dados Pessoais, incluindo quaisquer obrigações específicas da sua função como Responsável pelo Tratamento de Dados; (ii) o Cliente forneceu todos os avisos e obteve todos os consentimentos, atribuições, licenças, autorizações, permissões e/ou direitos necessários ao abrigo das Leis de Proteção de Dados para que o Fornecedor processe legalmente os Dados Pessoais conforme contemplado ao abrigo destes Termos para a Finalidade; e (iii) assegurará que as suas instruções de Processamento são legais e que o Processamento dos Dados Pessoais do Cliente pelo Fornecedor, de acordo com essas instruções, não violará ou infringirá as Leis de Proteção de Dados aplicáveis ou a propriedade intelectual, publicidade, privacidade ou outros direitos que regem esses Dados Pessoais do Cliente. Se o Cliente for ele próprio um Processador de Dados a atuar em nome de um Controlador de Dados de terceiros, o Cliente declara ainda ao Fornecedor que as instruções e acções do Cliente relativamente a esses Dados Pessoais do Cliente, incluindo a sua nomeação do Fornecedor como outro Processador de Dados, foram autorizadas pelo Controlador de Dados relevante. Sem limitar qualquer outra coisa aqui contida ou nos Termos, o Cliente reconhece e concorda que é o único responsável por todos os Dados Pessoais do Cliente que submete aos Serviços e/ou instrui o Fornecedor a submeter aos Serviços, incluindo, sem limitação, quaisquer Dados Pessoais do Cliente que sejam mal atribuídos, mal rotulados e/ou mal categorizados.
3.3 Processamento de Dados Pessoais por parte do Fornecedor. O Fornecedor processará os Dados Pessoais do Cliente apenas na medida e da forma necessárias para os Objectivos e de acordo com as instruções legais documentadas do Cliente. O Fornecedor não combinará, e assegurará que os seus Sub-processadores não o façam, os Dados Pessoais do Cliente com quaisquer Dados Pessoais de outras fontes, ou que o Fornecedor ou o seu Sub-processador tenha recolhido em seu próprio nome, exceto conforme permitido pelas Leis de Proteção de Dados, e não “venderá” quaisquer Dados Pessoais do Cliente na aceção da CCPA ou de outra forma. Além disso, o Fornecedor cumprirá as obrigações aplicáveis ao abrigo da CPRA, incluindo o facto de o Fornecedor fornecer o mesmo nível de proteção de privacidade que o exigido ao abrigo da CPRA. As partes concordam que os Termos (incluindo este APD) estabelecem as instruções completas e finais do Cliente para o Fornecedor relativamente ao Processamento dos Dados Pessoais do Cliente. O Processamento adicional fora do âmbito de tais instruções exigirá um acordo prévio por escrito entre as partes.
3.4 Detalhes do Processamento. O seguinte descreve os pormenores do Processamento a ser fornecido pelo Fornecedor ao Cliente ao abrigo do presente DPA.
(a) Objeto. O objeto do Processamento ao abrigo da presente APD são os Dados Pessoais do Cliente.
(b) Duração. A duração do Processamento ao abrigo da presente APD é o período de vigência dos Termos.
(c) Objectivos. Os objectivos do processamento ao abrigo da presente APD são a prestação dos Serviços ao Cliente.
(d) Natureza do Processamento. A natureza do Processamento ao abrigo da presente APD é a prestação de Serviços de gestão de redes sociais, incluindo o cálculo, armazenamento e processamento de Dados Pessoais e outros serviços acordados entre o Fornecedor e o Cliente.
(e) Tipo de dados. O tipo de Dados do Cliente a serem Processados ao abrigo da presente APD inclui os Dados Pessoais do Cliente carregados nos Serviços através das contas do Cliente, cuja extensão é determinada e controlada pelo Cliente, a seu exclusivo critério, e que pode incluir, mas não se limita a, os seguintes tipos de Dados Pessoais: (i) Informações da conta de redes sociais e dados de contacto (tais como nome, título, detalhes de contacto, endereço, número de telefone, identificadores de dispositivo, endereço de e-mail, nome de utilizador do Cliente ou outros identificadores de utilizador e identificador de redes sociais); (ii) informações de TI (endereços IP, dados de utilização, dados de cookies e dados de localização); e (iii) informações de faturação e números de cartão de crédito.
(f) Categorias de titulares de dados. Os sujeitos de dados do Processamento ao abrigo do presente DPA podem incluir, sem limitação, clientes, funcionários, agentes, conselheiros, representantes, consultores, contactos, potenciais clientes, parceiros comerciais, contratantes independentes, vendedores e fornecedores, bem como utilizadores finais autorizados pelo Cliente a utilizar os Serviços.
3.5 Aviso de obrigações de processamento. Se, em qualquer altura, o Fornecedor não puder cumprir as suas obrigações ao abrigo do presente APD: (i) o Fornecedor deverá notificar o Cliente; (ii) o Cliente poderá recuperar todos os Dados Pessoais do Cliente fornecidos ao abrigo do presente APD; e (iii) o Fornecedor deverá eliminar adequadamente os Dados Pessoais do Cliente de acordo com os requisitos de retenção do presente APD.
4.1 Subprocessadores autorizados. O Cliente concorda que o Fornecedor pode contratar Subcontratantes para processar os Dados Pessoais do Cliente em nome do Cliente. O Fornecedor deverá (i) fornecer uma lista actualizada dos Subcontratantes que nomeou mediante pedido por escrito do Cliente; e (ii) notificar o Cliente se adicionar ou remover Subcontratantes pelo menos catorze (14) dias antes de permitir que esse Subcontratante processe os Dados Pessoais do Cliente. O Cliente pode opor-se por escrito à nomeação de um novo Subcontratante pelo Fornecedor no prazo de dez (10) dias de calendário após essa notificação, desde que essa objeção se baseie em motivos razoáveis relacionados com a proteção de dados. Nesse caso, as partes discutirão essas preocupações de boa fé com o objetivo de chegar a uma resolução. Se o Fornecedor não puder fornecer um Subcontratante alternativo, ou se as partes não conseguirem chegar a uma resolução conforme previsto na frase anterior, o Cliente, como única e exclusiva solução, poderá rescindir os Termos (incluindo o presente APD) mediante notificação por escrito ao Fornecedor, mas não será elegível para qualquer reembolso e o Cliente deverá pagar imediatamente todas as taxas a pagar ao abrigo dos Termos.
4.2 Obrigações do subcontratante. O Fornecedor irá: (i) celebrar um acordo escrito com cada Subcontratante imporá termos de proteção de dados que exijam que o Subcontratante Processe os Dados Pessoais do Cliente de uma forma que seja substancialmente semelhante às normas estabelecidas no presente APD e, na medida do aplicável aos Serviços prestados pelo Fornecedor, à norma exigida pelas Leis de Proteção de Dados; e (ii) permanecerá responsável pelo seu cumprimento das obrigações do presente APD e por quaisquer actos ou omissões de cada Subcontratante.
5.1 Medidas de segurança. Tendo em conta o estado da arte, os custos de implementação e a natureza, âmbito, contexto e objectivos do Processamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, o Fornecedor deverá implementar e manter medidas de segurança técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente de Incidentes de Segurança e para preservar a segurança e a confidencialidade dos Dados Pessoais do Cliente Processados pelo Fornecedor em nome do Cliente (“Medidas de Segurança”). O Cliente é responsável por analisar as informações disponibilizadas pelo Fornecedor relativamente à segurança dos dados e por determinar de forma independente se os Serviços cumprem os requisitos do Cliente e as obrigações legais ao abrigo das Leis de Proteção de Dados. O Cliente reconhece que as Medidas de Segurança estão sujeitas a progressos e desenvolvimentos técnicos e que o Fornecedor pode atualizar ou modificar as Medidas de Segurança periodicamente, desde que essas actualizações e modificações não resultem numa degradação material da segurança global dos Serviços ou dos Dados do Cliente, incluindo os Dados Pessoais do Cliente.
5.2 Medidas de segurança do Cliente. O Cliente é responsável por utilizar e configurar os Serviços de uma forma que lhe permita cumprir as Leis de Proteção de Dados, incluindo a implementação de medidas técnicas e organizacionais adequadas.
5.3 Confidencialidade do processamento. O Fornecedor assegurará que qualquer pessoa autorizada pelo Fornecedor a processar os Dados Pessoais do Cliente (incluindo o seu pessoal, agentes e subcontratantes) estará sujeita a uma obrigação de confidencialidade adequada.
5.4 Não avaliação dos Dados do Cliente pelo Fornecedor. O Cliente reconhece que o Fornecedor não avaliará o conteúdo dos Dados do Cliente de modo a identificar informações sujeitas a quaisquer requisitos legais específicos. O Cliente é o único responsável pelo cumprimento das leis de notificação de incidentes aplicáveis ao Cliente e pelo cumprimento de quaisquer obrigações de notificação de terceiros relacionadas com quaisquer Incidentes de Segurança.
5.5 Responsabilidades do Cliente. O Cliente concorda que, sem prejuízo das obrigações do Fornecedor nos termos da Secção 5.1 (Medidas de Segurança) e da Secção 8.3 (Resposta a Incidentes de Segurança):
6.1 Relatórios. A Operadora reconhece que a Operadora é regularmente auditada por auditores independentes e/ou auditores internos relativamente às Medidas de Segurança da Operadora. Mediante pedido, o Fornecedor deverá fornecer (numa base confidencial) um resumo do(s) seu(s) relatório(s) de auditoria atual(is) e quaisquer outros materiais publicados disponibilizados pelo Fornecedor, que descrevam melhor os princípios, programas e práticas do Fornecedor relativamente à segurança e privacidade das informações (coletivamente, “Relatório”) ao Cliente, para que o Cliente possa verificar a conformidade do Fornecedor com este APD. Não obstante o supracitado, o Cliente pode divulgar um Relatório conforme permitido pela secção de confidencialidade aplicável dos Termos, incluindo quando solicitado ou exigido pelas autoridades de proteção de dados com jurisdição sobre o Cliente, mesmo que não seja legalmente exigido (“Pedido da Autoridade de Proteção de Dados”), desde que, no entanto, o Cliente, conforme permitido por lei, dê ao Fornecedor uma notificação prévia por escrito do Pedido da Autoridade de Proteção de Dados, de modo a que o Fornecedor possa tentar garantir o tratamento confidencial do Relatório. Se o Cliente não estiver legalmente autorizado a dar ao Fornecedor um aviso prévio, o Cliente concorda em envidar esforços razoáveis para garantir o tratamento confidencial do Relatório e concorda ainda em não remover ou ocultar quaisquer marcas “confidenciais”, “proprietárias” ou semelhantes do Relatório.
6.2 Pedidos de informação. O Fornecedor também deverá fornecer respostas por escrito (numa base confidencial) a todos os pedidos razoáveis de informações feitos pelo Cliente relacionados com o seu Processamento dos Dados Pessoais do Cliente, incluindo respostas a questionários de segurança das informações e de auditoria que sejam necessários para confirmar a conformidade do Fornecedor com esta APD, desde que o Cliente não exerça este direito mais do que uma vez por ano, exceto que este direito também pode ser exercido no caso de o Cliente ser expressamente solicitado ou obrigado a fornecer estas informações a uma autoridade de proteção de dados, ou se o Fornecedor tiver sofrido um Incidente de Segurança, ou outra base razoavelmente semelhante.
7.1 Processamento internacional. A Operadora pode processar os Dados do Cliente em qualquer parte do mundo onde a Operadora, as suas filiais ou os seus Subprocessadores mantenham operações de Processamento de dados. A Operadora fornecerá sempre salvaguardas adequadas para os Dados Pessoais do Cliente onde quer que sejam processados, de acordo com os requisitos das Leis de Proteção de Dados.
7.2 Transferências do EEE. Na medida em que o Fornecedor processe quaisquer Dados Pessoais do Cliente protegidos pelas Leis de Proteção de Dados aplicáveis do EEE (“Dados do EEE”), as partes concordam que o Fornecedor disponibilize os mecanismos de transferência listados abaixo, para quaisquer transferências de Dados do EEE do EEE para o Fornecedor localizado num país que não assegure um nível adequado de proteção (na aceção da Lei de Proteção de Dados aplicável) e na medida em que tais transferências estejam sujeitas a tais Leis de Proteção de Dados do EEE, O Fornecedor concorda em respeitar e processar os Dados do EEE em conformidade com as Cláusulas Modelo e, para estes efeitos, o Fornecedor concorda que é um “importador de dados” e que o Cliente é o “exportador de dados” ao abrigo das Cláusulas Modelo (não obstante o facto de o Cliente poder ser uma entidade localizada fora do EEE).
8.1 Eliminação pelo Cliente. O Fornecedor permitirá ao Cliente eliminar os Dados do Cliente durante o Período de Vigência de uma forma consistente com a funcionalidade do Serviço.
8.2 Eliminação após a cessação. Durante trinta (30) dias após a rescisão ou expiração dos Termos, o Cliente terá a opção de recuperar quaisquer Dados Pessoais do Cliente restantes de acordo com os Termos. Depois disso, o Cliente dá instruções ao Fornecedor para eliminar automaticamente todos os restantes (se existirem) Dados Pessoais do Cliente (incluindo cópias). O Fornecedor não será obrigado a eliminar os Dados Pessoais do Cliente na medida em que (i) o Fornecedor seja obrigado pela lei aplicável ou por ordem de um organismo governamental ou regulador a reter alguns ou todos os Dados Pessoais do Cliente; e/ou (ii) os Dados Pessoais do Cliente tenham sido arquivados em sistemas de cópia de segurança, que o Fornecedor de Dados Pessoais do Cliente deverá isolar e proteger de forma segura de qualquer outro Processamento, exceto na medida exigida pela lei aplicável.
8.3 Resposta a Incidentes de Segurança. Após a confirmação de um Incidente de Segurança, o Fornecedor deverá: (i) notificar o Cliente sem atrasos indevidos e, em qualquer caso, essa notificação deverá ocorrer no prazo máximo de setenta e duas (72) horas após o Fornecedor ter tomado conhecimento do Incidente de Segurança; (ii) fornecer informações atempadas relacionadas com o Incidente de Segurança à medida que este se torne conhecido ou que seja razoavelmente solicitado pelo Cliente; e (iii) o Fornecedor deverá tomar prontamente medidas razoáveis para conter, investigar e mitigar qualquer Incidente de Segurança. A notificação ou resposta do Fornecedor a um Incidente de Segurança ao abrigo desta Secção 8.3 (Resposta a Incidentes de Segurança) não será interpretada como um reconhecimento pelo Fornecedor de qualquer falha ou responsabilidade relativamente ao Incidente de Segurança.
9.1 Cooperação. Em nenhuma circunstância a presente APD ou qualquer parte restringirá ou limitará os direitos de qualquer titular de dados ou de qualquer autoridade de controlo competente. Se uma agência de aplicação da lei enviar ao Fornecedor um pedido de Dados Pessoais do Cliente (por exemplo, uma intimação ou ordem judicial), o Fornecedor tentará redirecionar a agência de aplicação da lei para solicitar esses dados diretamente ao Cliente. Como parte deste esforço, o Fornecedor poderá fornecer as informações de contacto do Cliente à agência de aplicação da lei. Se for obrigado a divulgar os Dados Pessoais do Cliente a uma agência de aplicação da lei, o Fornecedor dará ao Cliente um aviso razoável da exigência para permitir que o Cliente procure uma ordem de proteção ou outra solução apropriada na medida em que o Fornecedor esteja legalmente autorizado a fazê-lo.
9.2 Pedidos de acesso do consumidor. Tendo em conta a natureza do Processamento, o Fornecedor deverá (a pedido e a expensas do Cliente) fornecer uma cooperação razoável para permitir que o Cliente responda a quaisquer pedidos das autoridades de proteção de dados aplicáveis ou a um Pedido de Consumidor Verificável para exercer os direitos (na medida em que estejam disponíveis ao abrigo das Leis de Proteção de Dados) de: acesso, retificação, restrição de Processamento, apagamento (“direito a ser esquecido”), portabilidade de dados, objeção ao Processamento, não estar sujeito a uma tomada de decisão individual automatizada, optar por não vender Dados Pessoais, ou o direito a não ser discriminado, em cada caso apenas na medida em que esteja relacionado com o Processamento de Dados Pessoais do Cliente através dos Serviços ao abrigo dos Termos. No caso de qualquer Pedido Verificável do Consumidor ser feito diretamente ao Fornecedor, em que esse pedido identifique o Cliente, o Fornecedor não responderá a essa comunicação diretamente sem a autorização prévia do Cliente, a menos que seja legalmente obrigado a fazê-lo e, em vez disso, após ser notificado pelo Fornecedor, o Cliente responderá ao Pedido Verificável do Consumidor. Se o Fornecedor for obrigado a responder a um Pedido Verificável do Consumidor, o Fornecedor notificará imediatamente o Cliente e fornecerá ao Cliente uma cópia do Pedido Verificável do Consumidor, a menos que seja legalmente proibido de o fazer.
9.3 Registos. O Cliente reconhece que o Fornecedor pode ser obrigado, ao abrigo do RGPD ou do RGPD do Reino Unido, conforme aplicável, a: (a) recolher e manter registos de determinadas informações, incluindo o nome e os detalhes de contacto de cada Processador de Dados e/ou Controlador de Dados em nome do qual o Fornecedor está a agir e, quando aplicável, do representante local e do responsável pela proteção de dados desse Processador de Dados ou Controlador de Dados; e (b) disponibilizar essas informações às autoridades de supervisão. Assim, se o RGPD ou o RGPD do Reino Unido se aplicar ao Processamento dos Dados Pessoais do Cliente, o Cliente irá, quando solicitado, fornecer essas informações ao Fornecedor através dos Serviços ou de outros meios fornecidos pelo Fornecedor, e irá garantir que todas as informações fornecidas são mantidas exactas e actualizadas.
9.4 DIPA. Na medida em que o Fornecedor seja exigido pela Lei de Proteção de Dados aplicável, o Fornecedor deverá (a pedido e a expensas do Cliente) fornecer as informações razoavelmente solicitadas relativamente aos Serviços para permitir que o Cliente efectue avaliações do impacto da proteção de dados ou consultas prévias com as autoridades de proteção de dados, conforme exigido por lei.
10.1 Termos integrais. As partes acordam que o presente APD substitui e prevalece sobre qualquer adenda, anexo ou exposição de processamento de dados existente que as partes possam ter celebrado anteriormente em relação aos Serviços. Com exceção das alterações introduzidas pelo presente APD, os Termos permanecem inalterados e em pleno vigor e efeito. Se houver algum conflito entre o presente APD e os Termos, o presente APD prevalecerá na medida desse conflito em relação ao Processamento dos Dados Pessoais do Cliente.
10.2 Responsabilidade. Não obstante qualquer disposição em contrário nos Termos ou no presente APD, a responsabilidade de cada parte e das afiliadas de cada parte ao abrigo do presente APD estará sujeita às limitações de responsabilidade estabelecidas nos Termos. Sem limitar as obrigações de qualquer uma das partes ao abrigo dos Termos, o Cliente concorda que quaisquer penalizações regulamentares incorridas pelo Fornecedor em relação aos Dados Pessoais do Cliente que surjam como resultado de, ou em ligação com, a falha do Cliente em cumprir as suas obrigações ao abrigo do presente APD ou de quaisquer Leis de Proteção de Dados aplicáveis, contarão para e reduzirão a responsabilidade do Fornecedor ao abrigo dos Termos como se fosse responsabilidade para com o Cliente ao abrigo dos Termos.
10.3 Lei aplicável e jurisdição. Este APD será regido e interpretado de acordo com a lei aplicável e as disposições de jurisdição nos Termos, exceto se exigido de outra forma pelas Leis de Proteção de Dados aplicáveis.
10.4 Certificação. O Fornecedor certifica que compreende as suas obrigações ao abrigo do presente APD e que as cumprirá.
