Acordo de Processamento de Dados

Este Acordo de Processamento de Dados (o “DPA”) é um aditamento aos Termos de Utilização (“Acordo”) entre a Pluspoint Inc., uma sociedade constituída e registada no estado do Delaware e com sede no Estado do Delaware, 2810 North Church St, Suite # 66052, Wilmington, Delaware 19802-4447 EUA (doravante a “Pluspoint”) e o Utilizador.

Este DPA inclui e incorpora por referência os anexos e aditamentos referidos no final deste documento. Todos os termos com inicial maiúscula não definidos neste DPA terão os significados estabelecidos no Acordo. O Utilizador celebra este DPA em seu próprio nome e, na medida do exigido pelas Leis de Proteção de Dados, em nome e por conta das suas Afiliadas Autorizadas (definidas abaixo).

As partes acordam o seguinte:

1. DEFINIÇÕES

“Dados Pessoais do Cliente” significa Dados Pessoais dos utilizadores finais e clientes do Utilizador (i) que o Utilizador carrega ou recolhe através da Plataforma Pluspoint, que podem incluir o seu nome próprio, apelido, endereço de correio eletrónico, número de telefone, perfis de redes sociais (Instagram, Facebook), preferências de comunicação, conteúdo de conversas e mensagens, respostas a inquéritos e classificações, conteúdo de avaliações e classificações, registos de resgate de cupões e histórico de atividade; (ii) que sejam recolhidos a partir de plataformas de terceiros (tais como Google, Facebook, Yelp, TripAdvisor) em ligação com os Serviços; ou (iii) relativamente aos quais o Utilizador seja de outro modo um Responsável pelo Tratamento dos Dados.

“Responsável pelo Tratamento dos Dados” significa o Utilizador.

“Subcontratante dos Dados” significa a Pluspoint.

“Requisitos de Proteção de Dados” significa o Regulamento Geral sobre a Proteção de Dados, as Leis Locais de Proteção de Dados, qualquer legislação e regulamentação subordinada que dê execução ao Regulamento Geral sobre a Proteção de Dados, e todas as Leis de Privacidade.

“Dados Pessoais da UE” significa Dados Pessoais cuja partilha nos termos deste Acordo é regulada pelo Regulamento Geral sobre a Proteção de Dados e pelas Leis Locais de Proteção de Dados.

“Regulamento Geral sobre a Proteção de Dados” significa o Regulamento da União Europeia relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

“Leis Locais de Proteção de Dados” significa qualquer legislação e regulamentação subordinada que dê execução ao Regulamento Geral sobre a Proteção de Dados que possa ser aplicável ao Acordo.

“Violação de Dados Pessoais” significa qualquer destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais do Cliente.

“Leis de Privacidade” significa todas as leis, regulamentos e outros requisitos legais aplicáveis relativos a (a) privacidade, segurança de dados, proteção do consumidor, marketing, promoção e envio de mensagens de texto, correio eletrónico e outras comunicações; e (b) a utilização, recolha, conservação, armazenamento, segurança, divulgação, transferência, eliminação e outro tratamento de quaisquer Dados Pessoais do Cliente.

“Tratamento” e os seus cognatos significam qualquer operação ou conjunto de operações efetuadas sobre Dados Pessoais do Cliente ou sobre conjuntos de Dados Pessoais do Cliente, por meios automatizados ou não, tais como recolha, registo, organização, estruturação, conservação, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, comparação ou interconexão, limitação, apagamento ou destruição.

“Subcontratante” significa qualquer entidade que preste serviços de tratamento à Pluspoint no âmbito do tratamento efetuado pela Pluspoint por conta do Utilizador.

”Autoridade de Controlo” significa uma autoridade pública independente criada por um Estado-Membro da União Europeia nos termos do Artigo 51.º do Regulamento Geral sobre a Proteção de Dados.

”Quadro de Privacidade de Dados” ou ”DPF” significa o Quadro de Privacidade de Dados UE-EUA, a Extensão do Reino Unido ao DPF UE-EUA, e o DPF Suíça-EUA, tal como estabelecido pelo Departamento de Comércio dos EUA.

”Princípios do DPF” significa os princípios e princípios suplementares contidos no Quadro de Privacidade de Dados.

”Representante na UE” significa o representante nomeado pela Pluspoint na União Europeia em conformidade com o Artigo 27.º do Regulamento Geral sobre a Proteção de Dados.

2. NATUREZA DO TRATAMENTO DE DADOS

Cada parte acorda em tratar os Dados Pessoais recebidos ao abrigo do Acordo apenas para as finalidades estabelecidas no Acordo.

3. CONFORMIDADE COM AS LEIS

As partes deverão cumprir as respetivas obrigações ao abrigo de todos os Requisitos de Proteção de Dados aplicáveis.

4. OBRIGAÇÕES DO UTILIZADOR

O Utilizador acorda em:

4.1 Fornecer instruções à Pluspoint e determinar as finalidades e os meios gerais do tratamento dos Dados Pessoais do Cliente pela Pluspoint em conformidade com o Acordo; e

4.2 Cumprir as suas obrigações de proteção, segurança e demais obrigações relativas aos Dados Pessoais do Cliente prescritas pelos Requisitos de Proteção de Dados para os responsáveis pelo tratamento, mediante (a) o estabelecimento e a manutenção de um procedimento para o exercício dos direitos das pessoas cujos Dados Pessoais do Cliente são tratados por conta do Utilizador; e (b) a garantia do cumprimento das disposições deste Acordo pelo seu pessoal ou por qualquer terceiro que aceda ou utilize Dados Pessoais do Cliente por sua conta.

5. OBRIGAÇÕES DA PLUSPOINT`

5.1 Requisitos de Tratamento. A Pluspoint irá:

A. Tratar os Dados Pessoais do Cliente (i) apenas para a finalidade de prestar, suportar e melhorar os serviços da Pluspoint (incluindo para fornecer análises e outros relatórios), utilizando medidas de segurança técnicas e organizativas adequadas; e (ii) em conformidade com as instruções recebidas do Utilizador. A Pluspoint não utilizará nem tratará os Dados Pessoais do Cliente para qualquer outra finalidade.

B. Tomar medidas comercialmente razoáveis para assegurar que as pessoas envolvidas na execução por conta da Pluspoint cumprem os termos do Acordo e que são obrigadas a cumprir e a reconhecer e respeitar a confidencialidade dos Dados Pessoais do Cliente;

C. Caso pretenda recorrer a Subcontratantes para a ajudar a cumprir as suas obrigações em conformidade com o Acordo ou para delegar a totalidade ou parte das atividades de tratamento nesses Subcontratantes, permanecer responsável perante o Utilizador pelos atos e omissões dos Subcontratantes no que respeita à proteção de dados, sempre que esses Subcontratantes atuem segundo as instruções da Pluspoint;

D. Mediante pedido por escrito, fornecer ao Utilizador um resumo das políticas de privacidade e segurança da Pluspoint.

E. Caso a Pluspoint esteja a recolher Dados Pessoais do Cliente junto de pessoas singulares, a Pluspoint será um Responsável pelo Tratamento dos Dados e este Acordo não se aplicará a essa recolha de Dados Pessoais do Cliente.

5.2 Assistência ao Utilizador. A Pluspoint prestará assistência razoável ao Utilizador relativamente a:

A. Quaisquer pedidos de titulares de dados do Utilizador relativos ao acesso ou à retificação, apagamento, limitação, portabilidade, bloqueio ou eliminação de Dados Pessoais do Cliente que a Pluspoint trata para o Utilizador. Se um titular de dados enviar esse pedido diretamente à Pluspoint, a Pluspoint enviará prontamente esse pedido ao Utilizador;

B. A investigação de Violações de Dados Pessoais e a notificação à Autoridade de Controlo e aos titulares de dados do Utilizador relativamente a tais Violações de Dados Pessoais; e

C. Quando apropriado, a elaboração de avaliações de impacto sobre a proteção de dados e, quando necessário, a realização de consultas a qualquer Autoridade de Controlo.

5.3 Tratamento Exigido. Caso a Pluspoint seja obrigada pelos Requisitos de Proteção de Dados a tratar quaisquer Dados Pessoais do Cliente por um motivo distinto da prestação dos serviços descritos no Acordo, a Pluspoint informará o Utilizador desse requisito antes de qualquer tratamento, salvo se a Pluspoint estiver legalmente impedida de informar o Utilizador desse tratamento (por exemplo, em resultado de requisitos de sigilo que possam existir ao abrigo das leis aplicáveis dos Estados-Membros da UE).

6. SEGURANÇA

6.1 A Pluspoint implementou medidas de segurança administrativas, técnicas e físicas razoáveis para proteger contra o acesso, perda, alteração, divulgação ou destruição não autorizados ou acidentais de Dados Pessoais do Cliente;

6.2 A Pluspoint é responsável pela suficiência das salvaguardas de segurança, privacidade e confidencialidade de todo o pessoal da Pluspoint relativamente aos Dados Pessoais do Cliente e responsável por qualquer incumprimento por parte desse pessoal da Pluspoint dos termos deste DPA;

6.3 A Pluspoint tomou medidas razoáveis para confirmar que todo o pessoal da Pluspoint protege a segurança, privacidade e confidencialidade dos Dados Pessoais do Cliente de forma consistente com os requisitos deste DPA; e

6.4 A segurança e confidencialidade dos dados dos Utilizadores são asseguradas pelas seguintes medidas:

A. Cifrar os dados em trânsito e em repouso.

B. Efetuar cópias de segurança dos dados automaticamente todos os dias.

C. Assegurar alta disponibilidade com mecanismo automático de redundância.

D. Manter uma configuração de firewall para proteger os dados.

E. Restringir o acesso aos dados em função da necessidade de conhecimento profissional.

F. Atribuir um identificador único a cada pessoa com acesso aos dados.

G. Não utilizar valores predefinidos fornecidos pelo fornecedor para as palavras-passe do sistema e outros parâmetros de segurança.

H. Apagar os dados quando deixem de ser necessários para a finalidade para a qual foram recolhidos ou de outro modo tratados.

7. AUDITORIA

7.1 Caso uma Autoridade de Controlo exija uma auditoria às instalações de tratamento de dados a partir das quais a Pluspoint trata Dados Pessoais do Cliente, a fim de verificar ou monitorizar o cumprimento pelo Utilizador dos Requisitos de Proteção de Dados, a Pluspoint cooperará com essa auditoria. O Utilizador é responsável por todos os custos e honorários relacionados com essa auditoria, incluindo todos os custos e honorários razoáveis por todo e qualquer tempo despendido pela Pluspoint em qualquer auditoria desse tipo, para além das tarifas dos serviços prestados pela Pluspoint.

8. TRANSFERÊNCIAS DE DADOS

Para transferências de Dados Pessoais da UE para a Pluspoint, para tratamento pela Pluspoint numa jurisdição distinta de uma jurisdição da UE, do EEE ou de países aprovados pela Comissão Europeia que assegurem uma proteção de dados «adequada», a Pluspoint acorda em proporcionar, no mínimo, o mesmo nível de proteção da privacidade para os Dados Pessoais da UE que o exigido ao abrigo do Regulamento Geral sobre a Proteção de Dados. As Partes acordaram que a assinatura das Cláusulas Contratuais-Tipo, conforme estabelecidas na Decisão de Execução (UE) 2021/914 da Comissão, juntamente com medidas suplementares que sejam necessárias para elevar o nível de proteção dos dados transferidos até ao padrão da UE de equivalência essencial, constitui uma forma coerente de proporcionar proteção de dados adequada. Tendo a Pluspoint, pela presente, acordado em aderir às Cláusulas Contratuais-Tipo, que se encontram estabelecidas no Anexo B abaixo.

9. CONFORMIDADE COM O QUADRO DE PRIVACIDADE DE DADOS

9.1 A Pluspoint compromete-se a cumprir o Quadro de Privacidade de Dados UE-EUA (DPF), a Extensão do Reino Unido ao DPF UE-EUA, e o DPF Suíça-EUA, tal como estabelecido pelo Departamento de Comércio dos EUA, relativamente ao tratamento de dados pessoais transferidos da União Europeia, do Reino Unido e da Suíça para os Estados Unidos.

9.2 Limitação da Finalidade. A Pluspoint tratará os Dados Pessoais do Cliente apenas para as finalidades estabelecidas no Acordo e conforme instruído pelo Utilizador. A Pluspoint não tratará os Dados Pessoais do Cliente de uma forma incompatível com as finalidades para as quais foram recolhidos ou subsequentemente autorizados pelo Utilizador.

9.3 Responsabilidade pela Transferência Ulterior. Sempre que a Pluspoint transferir Dados Pessoais do Cliente para um Subcontratante, a Pluspoint deverá: (a) assegurar que o Subcontratante está obrigado a proporcionar, no mínimo, o mesmo nível de proteção da privacidade que o exigido pelos Princípios do DPF; (b) tomar medidas razoáveis e apropriadas para assegurar que o Subcontratante trata efetivamente os Dados Pessoais do Cliente de forma consistente com as obrigações da Pluspoint ao abrigo dos Princípios do DPF; (c) exigir que o Subcontratante notifique a Pluspoint caso determine que já não pode cumprir a sua obrigação de proporcionar o mesmo nível de proteção que o exigido pelos Princípios do DPF; e (d) mediante notificação ao abrigo da alínea (c), tomar medidas razoáveis e apropriadas para cessar e remediar o tratamento não autorizado. A Pluspoint permanece responsável ao abrigo dos Princípios do DPF caso os seus Subcontratantes tratem Dados Pessoais do Cliente de forma incompatível com os Princípios do DPF, salvo se a Pluspoint provar que não é responsável pelo facto que deu origem ao dano.

9.4 Aplicação pela FTC. A Pluspoint Inc. está sujeita aos poderes de investigação e de aplicação da lei da Comissão Federal do Comércio dos EUA (FTC) no que respeita ao seu cumprimento do DPF.

9.5 Recurso e Arbitragem. Os indivíduos da UE, do Reino Unido e da Suíça com reclamações relativas ao tratamento dos seus dados pessoais pela Pluspoint ao abrigo do DPF podem contactar a Pluspoint através de privacy@pluspoint.io. A Pluspoint compromete-se a responder às reclamações relacionadas com o DPF no prazo de 45 dias a contar da receção. Caso uma reclamação não possa ser resolvida através dos processos internos da Pluspoint, os indivíduos podem contactar o prestador independente de resolução de litígios designado pela Pluspoint. Em determinadas condições especificadas pelos Princípios do DPF, os indivíduos podem invocar a arbitragem vinculativa como último recurso para reclamações não resolvidas por quaisquer outros meios.

10. ENCARREGADO DA PROTEÇÃO DE DADOS E REPRESENTANTE NA UE

10.1 A Pluspoint designou um Encarregado da Proteção de Dados que pode ser contactado através de: privacy@pluspoint.io

10.2 Em conformidade com o Artigo 27.º do Regulamento Geral sobre a Proteção de Dados, a Pluspoint nomeou o seguinte Representante na UE: João Pedro Brasil Centro de Negocios Puerta de Banus, Módulo A Oficina 2, Marbella, Malaga 29660, Espanha Email: privacy@pluspoint.io

10.3 O Representante na UE atuará como ponto de contacto para os titulares de dados e para as autoridades de controlo em todas as questões relacionadas com o tratamento de dados pessoais ao abrigo deste DPA.

11. DEVOLUÇÃO E ELIMINAÇÃO DE DADOS

As partes acordam que, com a cessação dos serviços de tratamento de dados ou mediante pedido razoável por escrito do Utilizador para: privacy@pluspoint.io, a Pluspoint notificará, sobre o pedido do Utilizador, quaisquer Subcontratantes para que, à escolha do Utilizador, devolvam todos os Dados Pessoais do Cliente e cópias desses dados ao Utilizador ou os destruam de forma segura e demonstrem, de forma satisfatória para o Utilizador, que tomaram tais medidas, salvo se os Requisitos de Proteção de Dados impedirem a Pluspoint de devolver ou destruir a totalidade ou parte dos Dados Pessoais do Cliente divulgados. Nesse caso, a Pluspoint acorda em preservar a confidencialidade dos Dados Pessoais do Cliente por si conservados e em que apenas tratará ativamente esses Dados Pessoais do Cliente após essa data para cumprir as leis aplicáveis.

12. SUBCONTRATANTES DE DADOS TERCEIROS

12.1 O Utilizador reconhece que, na prestação de alguns serviços, a Pluspoint pode transferir Dados Pessoais do Cliente para subcontratantes de dados e Subcontratantes terceiros e de outro modo interagir com eles.

12.2 A lista de Subcontratantes é fornecida no Anexo A a este DPA.

13. LEI APLICÁVEL, JURISDIÇÃO E FORO

A lei aplicável a este Acordo de Processamento de Dados será a lei do Estado do Delaware, Estados Unidos, sem ter em conta as suas disposições em matéria de conflito de leis. Qualquer litígio decorrente de ou relacionado com este Acordo, incluindo qualquer questão relativa à sua existência, validade ou cessação, será resolvido em conformidade com as disposições de resolução de litígios estabelecidas nos Termos de Utilização.

14. VIGÊNCIA

Este DPA entrará em vigor a partir da Data de Entrada em Vigor e permanecerá em vigor enquanto o SUBCONTRATANTE conservar quaisquer Dados Pessoais relacionados com este DPA na sua posse ou sob o seu controlo.

EM TESTEMUNHO DO QUE, as partes fizeram executar este DPA pelos seus representantes autorizados:

ANEXO A

Lista de Subcontratantes

A Pluspoint pode recorrer aos seguintes Subcontratantes para realizar as atividades de tratamento abaixo indicadas:

• DigitalOcean, LLC. Localização: Frankfurt, Alemanha (UE). Finalidade: Alojamento na cloud e infraestrutura. Localizações de alojamento adicionais para necessidades específicas de clientes estão disponíveis mediante pedido.
• HubSpot, Inc. Localização: EUA. Finalidade: CRM, marketing e apoio ao cliente.
• Twilio, Inc. Localização: EUA. Finalidade: Funcionalidade de envio de mensagens SMS e de voz.
• SendGrid, Inc. (Twilio). Localização: EUA. Finalidade: Entrega de correio eletrónico transacional.
• Google LLC. Localização: EUA. Finalidade: Gestão de perfis de empresa, avaliações, análises, tradução e serviços na cloud.
• Meta Platforms, Inc. Localização: EUA. Finalidade: Gestão de páginas de empresa no Facebook e Instagram, envio de mensagens.
• Stripe, Inc. Localização: EUA. Finalidade: Processamento de pagamentos e subscrições.
• Sentry (Functional Software, Inc.). Localização: EUA. Finalidade: Rastreio de erros de aplicações e monitorização de desempenho.
• PostHog, Inc. Localização: UE. Finalidade: Análise de produto e informações sobre o comportamento dos utilizadores.
• OpenAI, L.L.C. Localização: EUA. Finalidade: Funcionalidades baseadas em IA, incluindo análise de avaliações, chatbot e geração de conteúdos.
• Anthropic, PBC. Localização: EUA. Finalidade: Processamento e análise de conversas baseados em IA.
• Yext, Inc. Localização: EUA. Finalidade: Gestão de listagens de empresa e sindicação.
• DataShake Ltd. Localização: EUA. Finalidade: Agregação de avaliações a partir de plataformas de terceiros.
• WhatsApp LLC (Meta). Localização: EUA. Finalidade: Canal de mensagens WhatsApp Business.
• Zapier, Inc. Localização: EUA. Finalidade: Integração opcional de automatização de fluxos de trabalho.

‍

ANEXO B

Cláusulas Contratuais-Tipo

Para efeitos do Artigo 46.º, n.º 2, alínea c), do Regulamento (UE) 2016/679 para a transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não asseguram um nível adequado de proteção de dados.

O RESPONSÁVEL PELO TRATAMENTO ao abrigo do DPA da Pluspoint que aceita estas cláusulas (o «exportador de dados») e

O SUBCONTRATANTE ao abrigo do DPA da Pluspoint que aceita estas cláusulas (doravante o «importador de dados»),

Cada parte é designada separadamente como «Parte» e conjuntamente como «Partes»,

ACORDARAM nas seguintes Cláusulas Contratuais (as «Cláusulas») a fim de apresentarem garantias adequadas no que respeita à proteção da privacidade e dos direitos e liberdades fundamentais das pessoas relativamente à transferência, pelo exportador de dados para o importador de dados, dos dados pessoais especificados no Apêndice 1.

Cláusula 1

Definições

Para efeitos das Cláusulas:

A. «dados pessoais», «categorias especiais de dados», «tratamento/tratar», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «autoridade de controlo» terão o mesmo significado que no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados);

B. «o exportador de dados» significa o responsável pelo tratamento que transfere os dados pessoais;

C. «o importador de dados» significa o subcontratante que aceita receber do exportador de dados dados pessoais destinados a serem tratados por sua conta após a transferência, em conformidade com as suas instruções e os termos das Cláusulas, e que não está sujeito a um sistema de país terceiro que assegure uma proteção adequada na aceção do Artigo 45.º do Regulamento (UE) 2016/679;

D. «o subcontratante» significa qualquer subcontratante envolvido pelo importador de dados ou por qualquer outro subcontratante do importador de dados que aceita receber do importador de dados ou de qualquer outro subcontratante do importador de dados dados pessoais destinados exclusivamente a atividades de tratamento a realizar por conta do exportador de dados após a transferência, em conformidade com as suas instruções, os termos das Cláusulas e os termos do contrato de subcontratação por escrito;

E. «a lei de proteção de dados aplicável» significa a legislação que protege os direitos e liberdades fundamentais das pessoas e, em especial, o seu direito à privacidade no que respeita ao tratamento de dados pessoais aplicável a um responsável pelo tratamento no Estado-Membro em que o exportador de dados está estabelecido;

F. «medidas técnicas e organizativas de segurança» significa as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita ou a perda acidental, alteração, divulgação não autorizada ou acesso não autorizado, em especial quando o tratamento implica a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de tratamento.

Cláusula 2

Pormenores da transferência

Os pormenores da transferência e, em especial, as categorias especiais de dados pessoais, quando aplicável, estão especificados no Apêndice 1, que constitui parte integrante das Cláusulas.

Cláusula 3

Cláusula de terceiro beneficiário

1. O titular dos dados pode fazer valer contra o exportador de dados esta Cláusula, a Cláusula 4, alíneas b) a i), a Cláusula 5, alíneas a) a e), e g) a j), a Cláusula 6, n.os 1 e 2, a Cláusula 7, a Cláusula 8, n.º 2, e as Cláusulas 9 a 12 enquanto terceiro beneficiário.

2. O titular dos dados pode fazer valer contra o importador de dados esta Cláusula, a Cláusula 5, alíneas a) a e) e g), a Cláusula 6, a Cláusula 7, a Cláusula 8, n.º 2, e as Cláusulas 9 a 12, nos casos em que o exportador de dados tenha desaparecido de facto ou tenha deixado de existir juridicamente, salvo se qualquer entidade sucessora tiver assumido a totalidade das obrigações jurídicas do exportador de dados por contrato ou por força da lei, em resultado do que assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode fazê-las valer contra essa entidade.

3. O titular dos dados pode fazer valer contra o subcontratante esta Cláusula, a Cláusula 5, alíneas a) a e) e g), a Cláusula 6, a Cláusula 7, a Cláusula 8, n.º 2, e as Cláusulas 9 a 12, nos casos em que tanto o exportador de dados como o importador de dados tenham desaparecido de facto ou tenham deixado de existir juridicamente ou se tenham tornado insolventes, salvo se qualquer entidade sucessora tiver assumido a totalidade das obrigações jurídicas do exportador de dados por contrato ou por força da lei, em resultado do que assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode fazê-las valer contra essa entidade. Essa responsabilidade de terceiro do subcontratante deverá ser limitada às suas próprias operações de tratamento ao abrigo das Cláusulas.

4. As partes não se opõem a que um titular dos dados seja representado por uma associação ou outro organismo se o titular dos dados assim o desejar expressamente e se tal for permitido pelo direito nacional.

Cláusula 4

Obrigações do exportador de dados

O exportador de dados acorda e garante:

A. que o tratamento, incluindo a própria transferência, dos dados pessoais foi e continuará a ser efetuado em conformidade com as disposições aplicáveis da lei de proteção de dados aplicável e não viola as disposições aplicáveis desse Estado;

B. que instruiu e, durante toda a vigência dos serviços de tratamento de dados pessoais, instruirá o importador de dados a tratar os dados pessoais transferidos apenas por conta do exportador de dados e em conformidade com a lei de proteção de dados aplicável e as Cláusulas;

C. que o importador de dados prestará garantias suficientes no que respeita às medidas técnicas e organizativas de segurança especificadas no Apêndice 2 a este contrato;

D. que, após avaliação dos requisitos da lei de proteção de dados aplicável, as medidas de segurança são adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita ou a perda acidental, alteração, divulgação não autorizada ou acesso não autorizado, em especial quando o tratamento implica a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de tratamento, e que essas medidas asseguram um nível de segurança adequado aos riscos apresentados pelo tratamento e à natureza dos dados a proteger, tendo em conta o estado da técnica e os custos da sua aplicação;

E. que assegurará o cumprimento das medidas de segurança;

F. que, se a transferência envolver categorias especiais de dados, o titular dos dados foi informado ou será informado antes da transferência, ou logo que possível após a transferência, de que os seus dados podem ser transmitidos a um país terceiro que não assegure uma proteção adequada na aceção do Regulamento (UE) 2016/679;

G. transmitir qualquer notificação recebida do importador de dados ou de qualquer subcontratante nos termos da Cláusula 5, alínea b), e da Cláusula 8, n.º 3, à autoridade de controlo da proteção de dados se o exportador de dados decidir prosseguir a transferência ou levantar a suspensão;

H. disponibilizar aos titulares dos dados, mediante pedido, uma cópia das Cláusulas, com exceção do Apêndice 2, e uma descrição resumida das medidas de segurança, bem como uma cópia de qualquer contrato de subcontratação que tenha de ser celebrado em conformidade com as Cláusulas, salvo se as Cláusulas ou o contrato contiverem informações comerciais, caso em que poderá remover essas informações comerciais;

I. que, em caso de subcontratação, a atividade de tratamento é realizada em conformidade com a Cláusula 11 por um subcontratante que proporcione, no mínimo, o mesmo nível de proteção dos dados pessoais e dos direitos do titular dos dados que o importador de dados ao abrigo das Cláusulas; e

J. que assegurará o cumprimento da Cláusula 4, alíneas a) a i).

Cláusula 5

Obrigações do importador de dados |2|

O importador de dados acorda e garante:

A. tratar os dados pessoais apenas por conta do exportador de dados e em conformidade com as suas instruções e as Cláusulas; se não puder proporcionar esse cumprimento por quaisquer motivos, acorda em informar prontamente o exportador de dados da sua incapacidade de cumprir, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou de rescindir o contrato;

B. que não tem motivos para crer que a legislação aplicável ao mesmo o impede de cumprir as instruções recebidas do exportador de dados e as suas obrigações ao abrigo do contrato e que, no caso de uma alteração desta legislação suscetível de ter um efeito adverso substancial sobre as garantias e obrigações previstas pelas Cláusulas, notificará prontamente a alteração ao exportador de dados logo que dela tenha conhecimento, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou de rescindir o contrato;

C. que aplicou as medidas técnicas e organizativas de segurança especificadas no Apêndice 2 antes de tratar os dados pessoais transferidos;

D. que notificará prontamente o exportador de dados acerca de:

1. quaisquer pedidos juridicamente vinculativos de divulgação de dados pessoais por uma autoridade de aplicação da lei, salvo proibição em contrário, tal como uma proibição ao abrigo do direito penal de preservar a confidencialidade de uma investigação de aplicação da lei,

2. qualquer acesso acidental ou não autorizado, e

3. qualquer pedido recebido diretamente dos titulares dos dados sem responder a esse pedido, salvo se de outro modo tiver sido autorizado a fazê-lo;

E. dar resposta pronta e adequada a todas as consultas do exportador de dados relativas ao seu tratamento dos dados pessoais objeto da transferência e cumprir os pareceres da autoridade de controlo no que respeita ao tratamento dos dados transferidos;

F. a pedido do exportador de dados, submeter as suas instalações de tratamento de dados a uma auditoria das atividades de tratamento abrangidas pelas Cláusulas, a qual será realizada pelo exportador de dados ou por um organismo de inspeção composto por membros independentes e na posse das qualificações profissionais exigidas, vinculados por um dever de confidencialidade, selecionado pelo exportador de dados, quando aplicável, de acordo com a autoridade de controlo;

G. disponibilizar ao titular dos dados, mediante pedido, uma cópia das Cláusulas, ou de qualquer contrato de subcontratação existente, salvo se as Cláusulas ou o contrato contiverem informações comerciais, caso em que poderá remover essas informações comerciais, com exceção do Apêndice 2, que será substituído por uma descrição resumida das medidas de segurança nos casos em que o titular dos dados não consiga obter uma cópia do exportador de dados;

H. que, em caso de subcontratação, informou previamente o exportador de dados e obteve o seu consentimento prévio por escrito;

I. que os serviços de tratamento pelo subcontratante serão realizados em conformidade com a Cláusula 11;

J. enviar prontamente uma cópia de qualquer contrato de subcontratação que celebre ao abrigo das Cláusulas ao exportador de dados.

Cláusula 6

Responsabilidade

1. As partes acordam que qualquer titular dos dados que tenha sofrido um dano em resultado de qualquer incumprimento das obrigações referidas na Cláusula 3 ou na Cláusula 11 por qualquer parte ou subcontratante tem direito a receber indemnização do exportador de dados pelo dano sofrido.

2. Se um titular dos dados não puder intentar uma ação de indemnização em conformidade com o n.º 1 contra o exportador de dados, decorrente de um incumprimento, por parte do importador de dados ou do seu subcontratante, de qualquer das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, por o exportador de dados ter desaparecido de facto ou ter deixado de existir juridicamente ou se ter tornado insolvente, o importador de dados acorda em que o titular dos dados possa intentar uma ação contra o importador de dados como se fosse o exportador de dados, salvo se qualquer entidade sucessora tiver assumido a totalidade das obrigações jurídicas do exportador de dados por contrato por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade.

3. O importador de dados não pode invocar um incumprimento, por parte de um subcontratante, das suas obrigações para se eximir das suas próprias responsabilidades.

4. Se um titular dos dados não puder intentar uma ação contra o exportador de dados ou o importador de dados referidos nos n.os 1 e 2, decorrente de um incumprimento, por parte do subcontratante, de qualquer das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, por tanto o exportador de dados como o importador de dados terem desaparecido de facto ou terem deixado de existir juridicamente ou se terem tornado insolventes, o subcontratante acorda em que o titular dos dados possa intentar uma ação contra o subcontratante de dados no que respeita às suas próprias operações de tratamento ao abrigo das Cláusulas, como se fosse o exportador de dados ou o importador de dados, salvo se qualquer entidade sucessora tiver assumido a totalidade das obrigações jurídicas do exportador de dados ou do importador de dados por contrato ou por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade. A responsabilidade do subcontratante deverá ser limitada às suas próprias operações de tratamento ao abrigo das Cláusulas.

Cláusula 7

Mediação e jurisdição

1. O importador de dados acorda em que, se o titular dos dados invocar contra ele direitos de terceiro beneficiário e/ou reclamar indemnização por danos ao abrigo das Cláusulas, o importador de dados aceitará a decisão do titular dos dados:

1. de submeter o litígio a mediação, por uma pessoa independente ou, quando aplicável, pela autoridade de controlo;

2. de submeter o litígio aos tribunais do Estado-Membro em que o exportador de dados está estabelecido.

2. As partes acordam em que a escolha feita pelo titular dos dados não prejudicará os seus direitos substantivos ou processuais de procurar vias de recurso em conformidade com outras disposições do direito nacional ou internacional.

Cláusula 8

Cooperação com as autoridades de controlo

1. O exportador de dados acorda em depositar uma cópia deste contrato junto da autoridade de controlo se esta o solicitar ou se tal depósito for exigido ao abrigo da lei de proteção de dados aplicável.

2. As partes acordam em que a autoridade de controlo tem o direito de realizar uma auditoria ao importador de dados, e a qualquer subcontratante, que tenha o mesmo âmbito e esteja sujeita às mesmas condições que seriam aplicáveis a uma auditoria ao exportador de dados ao abrigo da lei de proteção de dados aplicável.

3. O importador de dados deverá informar prontamente o exportador de dados acerca da existência de legislação que lhe seja aplicável ou a qualquer subcontratante que impeça a realização de uma auditoria ao importador de dados, ou a qualquer subcontratante, nos termos do n.º 2. Nesse caso, o exportador de dados terá o direito de tomar as medidas previstas na Cláusula 5, alínea b).

Cláusula 9

Lei Aplicável

As Cláusulas serão regidas pelas leis de Inglaterra.

Cláusula 10

Alteração do contrato

As partes comprometem-se a não alterar nem modificar as Cláusulas. Tal não impede as partes de aditar cláusulas sobre questões de natureza comercial quando necessário, desde que não contradigam a Cláusula.

Cláusula 11

Subcontratação

1. O importador de dados não subcontratará qualquer das suas operações de tratamento realizadas por conta do exportador de dados ao abrigo das Cláusulas sem o consentimento prévio por escrito do exportador de dados. Sempre que o importador de dados subcontrate as suas obrigações ao abrigo das Cláusulas, com o consentimento do exportador de dados, fá-lo-á apenas mediante um acordo por escrito com o subcontratante que imponha ao subcontratante as mesmas obrigações que são impostas ao importador de dados ao abrigo das Cláusulas |3|. Sempre que o subcontratante não cumpra as suas obrigações de proteção de dados ao abrigo desse acordo por escrito, o importador de dados permanecerá plenamente responsável perante o exportador de dados pelo cumprimento das obrigações do subcontratante ao abrigo desse acordo.

2. O contrato prévio por escrito entre o importador de dados e o subcontratante deverá igualmente prever uma cláusula de terceiro beneficiário, conforme estabelecida na Cláusula 3, para os casos em que o titular dos dados não puder intentar uma ação de indemnização referida no n.º 1 da Cláusula 6 contra o exportador de dados ou o importador de dados por estes terem desaparecido de facto ou terem deixado de existir juridicamente ou se terem tornado insolventes e nenhuma entidade sucessora tiver assumido a totalidade das obrigações jurídicas do exportador de dados ou do importador de dados por contrato ou por força da lei. Essa responsabilidade de terceiro do subcontratante deverá ser limitada às suas próprias operações de tratamento ao abrigo das Cláusulas.

3. As disposições relativas aos aspetos da proteção de dados na subcontratação do contrato referido no n.º 1 serão regidas pelas leis de Inglaterra.

4. O exportador de dados manterá uma lista dos acordos de subcontratação celebrados ao abrigo das Cláusulas e notificados pelo importador de dados nos termos da Cláusula 5, alínea j), a qual será atualizada pelo menos uma vez por ano. A lista estará disponível para a autoridade de controlo da proteção de dados do exportador de dados.

Cláusula 12

Obrigação após a cessação dos serviços de tratamento de dados pessoais

1. As partes acordam em que, com a cessação da prestação de serviços de tratamento de dados, o importador de dados e o subcontratante deverão, à escolha do exportador de dados, devolver todos os dados pessoais transferidos e as respetivas cópias ao exportador de dados ou destruir todos os dados pessoais e certificar ao exportador de dados que o fizeram, salvo se a legislação imposta ao importador de dados o impedir de devolver ou destruir a totalidade ou parte dos dados pessoais transferidos. Nesse caso, o importador de dados garante que assegurará a confidencialidade dos dados pessoais transferidos e não tratará ativamente os dados pessoais transferidos a partir desse momento.

2. O importador de dados e o subcontratante garantem que, mediante pedido do exportador de dados e/ou da autoridade de controlo, submeterão as suas instalações de tratamento de dados a uma auditoria das medidas referidas no n.º 1.

APÊNDICE 1 ÀS CLÁUSULAS CONTRATUAIS-TIPO

Este Apêndice faz parte das Cláusulas e deve ser preenchido e assinado pelas partes.

Os Estados-Membros podem completar ou especificar, de acordo com os seus procedimentos nacionais, quaisquer informações adicionais necessárias a incluir neste Apêndice.

Exportador de dados

O exportador de dados é a entidade definida como exportador de dados acima.

Importador de dados

O exportador de dados é a entidade definida como importador de dados acima.

Titulares dos dados

Os titulares dos dados incluem: (i) os colaboradores e utilizadores autorizados do exportador de dados que acedem à Plataforma Pluspoint; e (ii) os utilizadores finais, clientes e contactos do exportador de dados cujos dados pessoais são carregados, recolhidos através de, ou tratados pela Plataforma Pluspoint por conta do exportador de dados.

Categorias de dados

As categorias de dados pessoais transferidos estão sob o controlo do exportador de dados e podem incluir dados relativos a pessoas na medida em que sejam fornecidos ao importador de dados por ou sob a direção do exportador de dados, nos termos dos termos de serviço aplicáveis entre eles, incluindo mas não se limitando a: (i) dados de identificação do utilizador final: nome próprio, apelido, endereço de correio eletrónico, número de telefone; (ii) perfis de redes sociais: identificadores de perfil do Instagram e do Facebook; (iii) dados de comunicação: conteúdo de conversas e mensagens através de canais (SMS, correio eletrónico, WhatsApp, Facebook Messenger, chat ao vivo); (iv) dados de feedback: respostas a inquéritos, classificações e conteúdo de avaliações de plataformas ligadas (Google, Facebook, Yelp, TripAdvisor, e outras); (v) dados de envolvimento: registos de resgate de cupões, registos de interação com campanhas e histórico de atividade; e (vi) preferências de comunicação: estado da subscrição de correio eletrónico e definições de notificações.

Operações de tratamento

As operações de tratamento são os Serviços (conforme definidos no Acordo de Processamento de Dados entre as partes) que são utilizados pelo exportador de dados e descritos na respetiva documentação.

APÊNDICE 2 ÀS CLÁUSULAS CONTRATUAIS-TIPO

Este Apêndice faz parte das Cláusulas e deve ser preenchido e assinado pelas partes.

Medidas técnicas e organizativas de segurança implementadas pelo importador de dados em conformidade com as Cláusulas 4, alínea d), e 5, alínea c) (ou documento/legislação em anexo):

Tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como o risco, de probabilidade e gravidade variáveis, para os direitos e liberdades das pessoas singulares, o Subcontratante dos Dados deverá aplicar medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, nomeadamente, conforme apropriado:

● a pseudonimização e a cifragem dos Dados;

● a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e serviços de tratamento;

● a capacidade de restabelecer a disponibilidade e o acesso aos Dados de forma atempada no caso de um incidente físico ou técnico;

● um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para assegurar a segurança do tratamento.

Não obstante o acima exposto, deverão ser tomadas as seguintes medidas específicas:

1. Controlo do acesso físico

Medidas para impedir que pessoas não autorizadas obtenham acesso a sistemas de tratamento de dados para tratar ou utilizar Dados:

1. Definição das pessoas a quem é concedido acesso físico;

2. Controlo de acesso eletrónico;

3. Emissão de identificadores de acesso;

4. Implementação de uma política para pessoas externas;

5. Dispositivo de alarme ou serviço de segurança fora dos horários de serviço;

6. Divisão das instalações em diferentes zonas de segurança;

7. Implementação de uma política de gestão de chaves (cartão);

8. Portas de segurança (abertura eletrónica de portas, leitor de identificação, CCTV);

9. Implementação de medidas de segurança nas instalações (por exemplo, alerta/notificação de intrusão).

2. Controlo do acesso lógico

Medidas para impedir que pessoas não autorizadas utilizem equipamentos de tratamento de dados e procedimentos:

1. Definição das pessoas que podem aceder ao equipamento de tratamento de dados;

2. Implementação de uma política para pessoas externas;

3. Proteção por palavra-passe dos computadores pessoais.

3. Controlo do acesso aos dados

Medidas que asseguram que as pessoas autorizadas a utilizar um sistema de tratamento de dados obtêm acesso apenas aos Dados a que estão autorizadas a aceder em conformidade com os seus direitos de acesso:

1. Atribuição de terminais/postos de trabalho separados e de parâmetros de identificação exclusivamente

a funções específicas;

2. Implementação de direitos de acesso parciais para os respetivos Dados e funções;

3. Exigência de identificação perante o sistema de tratamento de dados (por exemplo, através de identificação e autenticação;

4. Implementação de uma política sobre perfis de acesso e de utilizador;

5. Avaliação dos protocolos em caso de incidentes danosos.

4. Controlo da transferência de dados

Medidas para assegurar que os Dados não possam ser lidos, copiados, modificados ou apagados sem autorização durante a transmissão eletrónica, o transporte ou o armazenamento em suportes de dados, e que as entidades de destino de qualquer transferência de Dados por meio de instalações de transmissão de dados possam ser estabelecidas e verificadas.

Cifragem.

5. Controlo da introdução

Medidas para assegurar que é possível verificar e averiguar se os Dados foram introduzidos, alterados ou removidos dos sistemas de tratamento de Dados e, em caso afirmativo, por quem:

Registo da introdução de dados.

6. Controlo das instruções

Medidas para assegurar que os Dados tratados por conta de terceiros são tratados estritamente em conformidade com as instruções do Responsável pelo Tratamento dos Dados:

1. Documentação da distinção de competências e obrigações entre o Responsável pelo Tratamento dos Dados

e o Subcontratante dos Dados;

2. Processo formal de atribuição;

3. Controlo dos resultados do trabalho.

7. Controlo da disponibilidade

Medidas para assegurar que os Dados estão protegidos contra a destruição ou perda acidental:

1. Realização de um calendário regular de cópias de segurança;

2. Controlo do estado e da respetiva rotulagem dos suportes de dados para fins de cópia de segurança de dados.

8. Controlo da separação de dados

Medidas para assegurar que os dados recolhidos para diferentes finalidades possam ser tratados separadamente.

Separação lógica dos dados de cada um dos clientes do Subcontratante dos Dados.

CLÁUSULA ILUSTRATIVA DE INDEMNIZAÇÃO

Responsabilidade

As partes acordam em que, se uma das partes for considerada responsável por uma violação das cláusulas cometida pela outra parte, esta última, na medida em que seja responsável, indemnizará a primeira parte por qualquer custo, encargo, dano, despesa ou perda em que tenha incorrido.

A indemnização está dependente de:

1. o exportador de dados notificar prontamente o importador de dados de uma reclamação; e

2. ser dada ao importador de dados a possibilidade de cooperar com o exportador de dados na defesa e resolução da reclamação.

|1| As partes podem reproduzir as definições e os significados contidos no Regulamento (UE) 2016/679 nesta Cláusula se considerarem ser melhor para que o contrato seja autónomo.

|2| Os requisitos imperativos da legislação nacional aplicável ao importador de dados que não vão além do necessário numa sociedade democrática com base num dos interesses enumerados no Artigo 23.º, n.º 1, do Regulamento (UE) 2016/679, ou seja, se constituírem uma medida necessária para salvaguardar a segurança nacional, a defesa, a segurança pública, a prevenção, investigação, deteção e repressão de infrações penais ou de violações da deontologia das profissões regulamentadas, um interesse económico ou financeiro importante do Estado ou a proteção do titular dos dados ou dos direitos e liberdades de terceiros, não estão em contradição com as cláusulas contratuais-tipo. Alguns exemplos de tais requisitos imperativos que não vão além do necessário numa sociedade democrática são, nomeadamente, as sanções internacionalmente reconhecidas, os requisitos de comunicação fiscal ou os requisitos de comunicação em matéria de combate ao branqueamento de capitais.

|3| Este requisito pode ser cumprido mediante a coassinatura, pelo subcontratante, do contrato celebrado entre o exportador de dados e o importador de dados ao abrigo desta Decisão